Archivos del blog

Soluciones Nebula Niveles 00-04

Durante los días de vacaciones que he tenido recientemente, encontré algunos ratos para empezar a trastear con los entornos de exploit-exercises.com. Por el momento he resuelto el primer entorno completo (Nebula) y he comenzado con el siguiente (Protostar). La verdad

Tagged with: , , , ,
Publicado en exploiting, hacking

DB2 SQL injection cheat sheet

Note: There is an English version of this post here. Estoy seguro de que todos nosotros (pentesters) usamos bastante los cheat sheets sobre inyección SQL de pentestmonkey. Se han convertido en una referencia cuando se trata de realizar inyecciones SQL, y

Tagged with: , , , ,
Publicado en seguridad, web hacking

DB2 SQL injection cheat sheet

Nota: Hay una versión de esta entrada en Español aquí. I’m sure we all (pentesters) make extensive use of pentestmonkey’s SQL injection cheat sheets. They are touchstones when it comes down to SQL injection, and most of the time they

Tagged with: , , , ,
Publicado en seguridad, web hacking

Un 10 para OWASP ZAP (apología del software libre)

Quería dedicar una entrada a elogiar la estupenda respuesta del equipo de desarrollo de OWASP ZAP, y que sirva de ejemplo de cómo el software libre no supone un handicap para las empresas. Si bien yo recomiendo siempre que, si

Tagged with: , , , , ,
Publicado en herramientas, web hacking

SQLol y XMLmao: Web hacking Testbeds

Recientemente tuve que preparar unas presentaciones sobre XPath Injection (I,II) a modo de formación interna en la empresa, y me puse a buscar entornos en los que se pudieran practicar las técnicas que iba a contar. El caso es que

Tagged with: , , , ,
Publicado en hacking, seguridad, web hacking

Montar las Imágenes de exploit-exercises.com en VMware Fusion

Quería dejar un pequeño apunte para aquellos que estén interesados en probar los retos de exploit-exercises.com. Desde dicha web proporcionan tres máquinas virtuales con diferentes niveles de exploiting para practicar y mejorar las técnicas y conocimientos relativos: Nebula, Protostar y

Tagged with: , , , , ,
Publicado en exploiting, hacking, herramientas, virtualización

Advanced XPath Injection

Quería actualizar brevemente con la segunda parte de la presentación sobre XPath Injection (en inglés) que he dado en la empresa para los menos avezados en el tema. El título “avanzado” quizá sea decir mucho, pero tiene algunos trucos, incluyendo

Tagged with: , , ,
Publicado en hacking, web hacking

Oracle Blind SQL Injection en Order By

 Hoy quería comentar un caso curioso que me he encontrado recientemente durante un pentest de una aplicación web. La aplicación en cuestión es muy grande, con muchísimos menús, submenús, cantidad de roles, checkboxes y dropdown menus que muestran diferentes páginas en

Tagged with: , , ,
Publicado en web hacking

XPath Injection Primer

Edit: He publicado una segunda parte de este tema aquí. Estos días he preparado una presentación introductoria (en inglés) sobre XPath Injection para dar como formación interna en la empresa, ya que hay gente nueva que no tiene mucha experiencia.

Tagged with: , ,
Publicado en hacking, web hacking

DLL Hijacking Linux (Windows like)

Mucho se ha hablado (y el revuelo ha sido enorme) estos días sobre un “fallo/feature/vulnerabilidad” en la forma en la que Windows busca las librerías compartidas (DLL) que necesita un ejecutable. El problema viene cuando los programadores no indican la

Tagged with: , , , ,
Publicado en exploiting, hacking, Linux
Archive