Champiñones

Y yo que quería montar un flame hoy lunes por la mañana. No sé, hablando del Windows 7, o del i-phone, o tal vez del Linux ese ... o qué se yo, y va y resulta que España va y gana la Eurocopa. Claro, hoy todo el mundo feliz, abrazos, besos, oeoeoeoeoe, a cantar lo del "Yo soy español, español..." o el "campeones, campeones" o el "El próximo mundial lo vamos a ganar" o eso que se canta en Bronxtolex a su ídolo "Iker Casillas se pone de pastillas", no, esto último creo que no lo cantan.

En fin, que hoy es un día en el que nadie va a querer pegarse con nadie, el rey va a besar a la reina, el alto al bajo, el flaco al gordo, el guapo a la fea, etc...Todos contentos y felices porque el hombre negro levantó la copa.

Y es que al final va a trinufar la campaña de la cerveza Mahou de conseguir que el ayuntaminto de Bronxtolex ponga una calle a la madre que pario a Casillas, el mejor portero del mundo:http://www.calledelamadrequeparioacasillas.com/

El de Bronxtolex con la copa para kalimotxo
...y una vez celebrado...a otra cosa, ¿no?, ¡qué tenemos que levantar este país! Ya tendremos la ocasión de ver los goles durante los próximos... no sé.. ¿cuarenta años?. Y todos los años tendremos un especial, un resumen, con los protagonistas, etc... es lo que tiene el futbol...

Os imagináis una entrevista a un informático..."¿Y cómo encontraste ese bug antes que nadie pudiera explotarlo? ¿Qué sentiste?" y el informático contestando: "bueno, sí, no.." (esto es obligatorio en todas las respuestas para no herir a nadie, primero decir bueno, luego sí, y luego no)... "la verdad es que fue una compilación muy dificil, el código estaba muy desordenado, no había muchas llamadas a funciones, el equipo de programadores no había refactorizado correctamente el flujo y esto hacía que no hubiera llamadas exteriores en paralelo. Los desmarques de variables eran muy dificiles de fijar y esto hacía que se fueran de marca constantemente. Al final encontré el fallo, pero ha sido un trabajo colectivo, lo importante es el equipo. Yo, personalmente me sentí muy felíz, pleno de satisfacción"

Y la foto de portada del diario "El Bug" el informático levantando el portátil entre fuegos artificiales y la música de Queen.. "we are the champions, no time for loosers, 'cause we are the ch...." y él con la sonrisa de felicidad en alto. Las niñas monas a sus pies, pidiendo un hijo suyo, abrazos, besos, etc...

Esto es algo muy común en nuestra profesión dónde es algo habitual que los informáticos, al igual que los futbolistas salgamos con modelos. Las convenciones de informáticos están llenas de mujeres esculturales esperando a cazar a uno de esas promesas para salir en las revistas del corazón y dar exclusivas: "El informático confirmo que está preparando una nueva compilación de viejos existos".

-"Buenos, sí, no. Estamos trabajando, todo el equipo, porque lo importante es el equipo, en una nueva compilación con viejos programas, pero adaptados, con nuevos arreglos, para que los que no los conozcan los encuentren más atractivos."

Si estos futbolistas, estrellas de rock, modelos, presentadores de televisión, políticos, millonarios contertulianos de programas de televisión supieran la pasta, el glamour y las orgías que nos corremos los informáticos, entonces todos estarían aprendiendo C.

Saludos Malignos!

6 meses más viejo

Ha pasado otro medio año. Otros seís meses que se van mañana día 30 de Junio. Otros seis meses dando pirulos como una peonza. En estos seis meses he visitado Londres, Buenos Aires, Amsterdam, Barcelona, Bilbao, Pamplona, Granada, Almería, León, Valencia, A Coruña, Salamanca, La Rioja y por supuesto.... Madrid.

He conocido a mucha gente interesante, divertida, que me ha dado cariño, que ha compartido un café, una cerveza o buenos ratos. Me he enamorado de Palako, he disfrutado de Pedro Laguan, Juan Garrido, Rodol y Alex, he pasado tiempo con Alexa, Francisco Amato, el maravilloso Luciano Bello, Ariel o Fede en Argentina, con Al Cutter, Inma la coronela, Raúl Benito, mi primo laggy, Ivan Castro o Marco Amoedo en Londres. Con Jordi, Carles, Viajero, Pablo Catalina o en Barcelona, he sacado mi ratito para el café con Elena la presi, Iñaki "simax", Mikel Gastesi o David Barroso en Pamplona. He podido raptar en un viaje a pajarraco de los Santos y llevarmelo a comer, compartir charlas con Jorge Ramió y con el espía Alfonso, con Antonio y con Marta en la universidad, con la gente de Spectra que siempre em tratan con cariño: el abuelo, el cervi, Amescua, Héctor, Luis Martín, David Carmona, El gran Germi, la Flaca Olvido, David "damisela" Salgado, Enrique, Cristina, ... He vuelto a ser bien recibido por todos allí dónde el avión me ha dejado, en Almería y la noche que me confunde, en Barna cerrando los garitos con un rescaso compañero de habitación, cenando con Aramosf y RoMaNSoFt, visitando Bilbao y saludando al Gran Rodrigo Corral, Mandingo y Txipi, chateando con mis niñas: penyaskito, Atarasco o el capullo que me obliga a usar ubuntu desde Valencia. Son tantas las voces, las caras, los abrazos de gente que me ha dado calor, cariño y compañía estos seis meses, que parece que han sido muchos más días que estos aproximadamente 180 días.

Durante estos 180 días he recogido fotos y momentos. Algunos desde las cámaras de otros, y mcuhos desde mi Windows Mobile (puuuuuuuubliiiiirecord..nanananananinonina) para que no se pierdan "como una lágrima en la lluvia". Os dejo algunos de ellos.

Recuerdos de 6 meses

Durante este tiempo he conocido a gente muy popular:

¿Este chico salió de OT?
A gente muy grande en el mundo de la tecnología:

No es grande, es que hace falta mucho espacio para guardar un corazón del tamaño del suyo
Alguna vez, por alguna cosa que he dicho o hecho me he metido en algún problemilla:

Por la boca vive el pez
Pero aun así, siempre he encontrado un garito en el que beber para olvidar:

Vaya, el lunes a las 3:00 estaba cerrado. Estarían todos con el retohacker
Durante este tiempo he viajado mucho en avión:

...con Windows Vista, que el 98 estaba prohibido
He conocido marcas que me gustaría regalar a más de uno:

Dos para entrega a domicilio a ...
He constatado una vez más que no hace falta pensar igual para quererse:

Huele a manzana podrida!!
He visto que nuestro nombre no queda tan mal en "guiri"

en la blája!
Y que hasta un experto de seguridad puede llevar el pin de la tarjeta en la cartera:

Es el abuelo y lleva su pin en la cartera...ver para creer. Yo tuve que tirar una foto para no olvidar el momento
He repasado la dieta mediterranea en grandes restaurantes de postín y con gente de alto alterne:

Uff, que de caras conocidas en Barna
Y también he conocido otras dietas más allá de la dieta mediterranea:

Asado en ..¿mi honor?. Mil gracias Ariel!!
Y que a pesar de no tener nuestra huerta, en Argentina tienen una compañía magnifica:

Cenando en Buenos Aires
Con tanto viaje he acabado perdiendo los gallumbos por ahí:

...¿Este cabrón no se pira de viaje con la Imagine Cup? :)
Pero a pesar de que los viajes nos separen, siempre tendremos el "aparato pa (intentar) ligar".:

Chicas de argentina... aprovechaos ahora!
Pero al final, he regresado al hogar, para descubrir que en Bronxtoles sigue el buen humor y las nuevas tecnologías.

¿Qué sistema operativo será? ¿Un Linux? Es que se parece a Windows pero no se comportaba igual :P
Y al final, después de estos seis meses dando tumbos...estoy... como me puedes ver

Más mayor, pero muy feliz
Saludos Malignos!

Y de aquí a nada Agosto

Hola amig@s estudiantes de la seguridad,

no se puede dejar un día sin aprovechar en este mundo de la informática. Todos los días hay que estar poniéndose las pilas y aprendiendo cosas nuevas, que son muchas las cosas que aparecen día tras día.

El viernes 1 de Agosto, nos iremos de fiesta y se dará por incializado el peridodo de descanso estival, que ya va siendo hora, pero mientras tanto, estaremos currando este mes de Julio. Os paso las actividades de este Julio por si os encajan algunas acciones.

SALAMANCA: Curso de Verano en la Universidad de Salamanca

Poder ver a Bernardo Quintero y Sergio de los Santos de Hispasec, a Héctor Montenegro de Spectra, a David Barroso de S21Sec y a muchos otros pájaros más durante una semana en un entorno idílico como Salamanca hablando de temas chulos de Seguridad Informática no tiene despercicio. Y, cómo yo soy un tipo afortunado tengo 10 subvenciones del 50 % de la matricula para 10 personas, que regalaré a 10 amigos que me lo pidan con cariño y amor por un mail. Pero esmeraros en el mail, cómo si tuvierais que ligar conmigo, ya sabéis, del tipo: "Te idolatro", "Eres mi sex symblo", "Soy mujer y estoy requeteque","¿Cuanto quieres?",...

La agenda del curso de verano, que además está premiado con 2 créditos universitarios está disponible en la siguiente URL: http://www.usal.es/~seguridadinformacion/

MADRID: SQL Server 2008, Legaliz@IT y Windows Server 2008

Durante el mes de Julio habrá una semanita dedicada a novedades de SQL Server 2008, el cuál se encuentra en la RC0, es decir (Release Candidate 0) a un paso de la RTM (Release To Manufacturing) así que ya podéis disfrutarlo. Juan Luís Rambla dará una semana dedicada a Legalidad Informática, para aplicar LOPD, LSSI, etc... a los sistemas informáticos. Y después más fiesta, pero con Windows Server 2008. NAP, Servicios de Cluster, Virtualización con Hyper-V, Coreserver, PowerShell, Compatibilidad de aplicaciones, IIS 7, etc... Hasta finales de Julio habrá diversión en Madrid.

MADRID: Formación Técnica en Auditoría y Seguridad

Pasado ya el ecuador de la formación quedarán 2 semanas en el mes de Julio:

- Auditoría Wireless, VoIP, Mensajería Instantánea y VPNS, dónde se verán del 7 al 11 de Julio las tecnologías Wireless: WEP, WEP2, WPA, WPA2. Inyección de paquetes. Ataques a routers Wireless. Inyección de tráfico. AP spoofing. Tecnologías VoIP. Arquitectura SIP. Intercepción de comunicaciones. Reconstrucción de conversaciones. Comunicaciones en Sistemas de Mensajería instantánea. Sistemas de voz, video y conversaciones instantáneas. VPNs.

- Análisis Forense, dónde ser verá del 14 al 18 de Julio: Definiciones. Aplicaciones prácticas. Recogida de datos. Recogida offline y Online. Cadena de custodia. Logs. Análisis de logs del sistema operativo. Análisis de logs de aplicativos. Análisis forense de Malware. Seguimiento del malware para poder denunciar. Sistema de recogida y firmado de logs. Análisis de memoria RAM. Volcado y búsqueda de estructuras. Documentos. Informes de análisis.

El Jueves 17 de Julio, por la noche, habrá cenote y fiesta para todos los que hayan asistido a alguno de los módulos, así que, nos juntaremos allí, entre profes, alumnos y amigos una buena tropa.

VALENCIA: 3 semanas de Seminarios Técnicos

En Valencia, un año después justo, vamos a estar 3 semanas, de nuevo, de la mano de la Bolsa de Valencia. Una de las semanas será dedicada a SQL Server 2008 y SharePoint Portal Server 2007, otra semana dedicada a Windows Server 2008 y una dedicada a los amantes de la seguridad de red con ProtégeIT! - Network Security y luego... hasta el año que viene.

Reto Hacking VIII

Ya lo sabéis, el día 4 de Julio, 20:00 GMT+1 saldrá el nuevo Reto. Los premios serán anunciados esta semana, así que no hace falta que os preocupeis, serán TAN BUENOS COMO SIEMPRE. Eso sí, Dani Kachakil ya me ha avisado que se ha reservado el finde. RoMaNSoft y Pedro Laguna han puesto escusas y Mandingo no está muy libre últimamente, así que es momento para ganarles a todos!!!.

Y EN AGOSTO...LA DEFCON16

De las cuales, tras pedirlo "amablemente" me han puesto al principio de las charlas, jeje. La experiencia en Blackhat de hablar la última jornada al medio día hizo que no pudiera disfrutar de la fiesta debido al estrés de la preparación. Esta vez será distinto pues pedí hablar el primer día y estar de relax el resto... BIIIEEEN. El sábado hablará mi amigo Luciano, que está buscando con quien compartir habitación. Yo, como ya sabéis la comparto con "el de siempre", así que si alguien necesita un compañero para compartir habitación en Las Vegas, por favor, pon un mail a Luciano Bello.

Cómo para aburrirse este verano, ¿eh?

Saludos Malignos!

Adiós con el corazón

Bill Gates se va este viernes, deja de ser uno de los directores ejecutivos de la compañía para dedicarse en la mayor parte de su tiempo a la fundación. No se va a jugar al golf, ni a pilotar jets, ni a fundirse la pasta en fiestas de lujo y posting luciendo trajes en pasarelas con estrellas del rock, magnates del petroleo o ricachones de la Formula 1 con modelos del brazo. Se va a trabajar con su mujer de toda la vida en una fundación humanitaria.

Muchos le han criticado, pero él es parte de la historia de la informática y antes de irse le he mandado un mail para pedir ordenes que seguir cumpliendo desde este blog durante el tiempo que no esté disponible.

¿Qué será de esto sin tí, amo? ¿Será este el año de Linux en el desktop? ¿Ganará España la Final de la Eurocopa 2008 a Alemania?¿Volveré a instalar Ubuntu?

Hail Spectra!

Entrevista a David Barroso

Era imposible que este tipejo y yo no acabaramos encontrandonos en alguno de los saraos que frecuentamos. Esos sitios de malas caras, luces rojas y humo adormecedor.

David Barroso se pone el mono de currar con su corbata y su traje, pero detrás de esos ojos claros y esa sonrisa picarona se esconde un pillo. Es de esas personas que les gusta hablar lo justo, escuchando al interlocutor para aprender. Yo he tenido la suerte de verle dentro y fuera del mono, disfrutando del David auténtico y mooola. Dirige la sección de e-crime en S21Sec y vive rodeado de hackers, subido a un avión y en reuniones con directores de seguridad, ¡como para aburrirse!. Producto nacional de calidad: David Barroso.

David en... Sanfermines,jeje
1.- Vale David, seguro que es vox populi, pero... como yo no lo sé... ¿De dónde viene el nombre de S21Sec?

Uff, es una pregunta mítica. Realmente no hay una respuesta oficial, pero más o menos viene de S21 (siglo 21) Sec (Security), una especie de Seguridad del Siglo XXI, ya que la empresa justo nació en el 2000

2.- Director de e-crime... suena a Horatio o "Graison"... ¿qué se hace en e-crime?

Tratamos cualquier cosa chunga en Internet: fraudes, extorsiones, robos de información, espionaje industrial, denegaciones de servicio distribuidas, troyanos, difamaciones, URLs que infectan a sus visitantes, rootkits, kits de exploits,... Hay poco tiempo para aburrirse.

3.- Y... entre tú y yo... todos sabemos que algunas veces los hackers se pelean entre ellos... ¿Cómo se lleva tener que dirigir un grupo tan grande de hackers en S21Sec?

Realmente en S21sec hay muchos hackers en el sentido real del significado de la palabra hacker, desde gente ya consagrada hasta compañeros muy jóvenes que realmente son una autoridad en ciertos temas. Como en todas las familias, alguna vez siempre hay algún roce por diversos motivos, pero en general hay muy buen rollo, más que dirigir es simplemente ser uno más y aportar cada uno su granito de arena.

4.- David, cuentanos, ¿Qué coño estudiaste? ¿Cómo aprendiste tú seguridad informática?

Pues como la mayoría, todos de pequeños hemos trasteado, en mi caso con un Spectrum 48Kb, y hecho nuestros pinitos en la época de las BBS donde cualquier documento de lo que fuera lo leíamos con devoción, Pero mi cambio radical fue cuando a los 18 años fui de Palencia a estudiar Ingenieria Informática en Madrid en un colegio mayor de casi 200 personas. Además de aprender todo tipo de juegos de cartas, de beber, y cualquier cosa rara, el tener a casi 200 'usuarios' como conejillos de indias nos obligó a aprender de todo para poder sobrevivir y no morir en el intento. De todas formas no hay ningún secreto, es echarle horas, noches, fines de semanas y cualquier rato que tengas. La información está ahí fuera, tan sólo hay que filtrar entre todo lo que hay.

5.- Las multinacionales se asientan en Madrid y Barna preferentemente y S21Sec tiene sede allí también, pero siempre que te pillo estás "escondido" en Pamplona, San Sebastián, Palencia o León... ¿cómo se vive el tener que lidiar con vuelos de conexión y sin AVE?

La verdad que paso más tiempo en otros sitios que en mi casa (y sino, pregunta a mis compañeros de Pamplona, que a los pobres les tengo abandonados, pero también a los de Madrid o Barcelona) pero la verdad es que en todos los sitios los amigos te hacen sentir como en casa, ya sea Madrid, Barcelona, León, Buenos Aires, Amsterdam o Washington. Con tanto vuelo he cogido un poco de tirria a las aerolíneas, y la verdad es que comparando, en el tren se va como un señor. Mi queja habitual es la falta de enchufes en los aeropuertos; tengo controlados todos los enchufes que hay en la T4 y los puedo contar con los dedos de mis manos!!!! Es más fácil encontrarme sentado al lado de un enchufe de la T4 que en mi casa :)

6.- He visto alguna foto muy mala por ahí en Internet...¿Tomaste algúna droga en los últimos Sanfermines?

La verdad es que me tocó juntarme con compañías malignas que me hicieron perder el sentido con su sex-appeal :) ¿La sidra y el pacharán son una droga?

7.- David, en este mundo de la seguridad Informática..¿a quién has conocido que te haya dejado boquiabierto?

Hay muchas personas, y sin movernos de España, por un motivo u otro (darkraver, dkbza, dreg, jfs, griyo, pluf, providor, slay, xezaw, ...) creo que el nivel español está muy alto y un ejemplo claro son los Pandas con Gambas :) a nivel internacional me encanta ver la forma de presentar de Johnny Long y como no, hay que quitarse el sombrero ante personas como HD Moore, Ilfak Guilfanov, Mark Russinovich, Dave Aitel, Joe Stewart, Pedram Amini, Ollie Whitehouse, Petko Petkov, y un sinfín de nombres que no caben todos aquí :)

8.- Ponte nostalgico y cuentanos ¿a qué edad empezaste, cúal fue tu primer cabezón y cómo te diste cuenta de cual sería tu destino?

La verdad es que mi primer encontronazo con la seguridad vino originado porque me encontré un disco de 5 1/4 en un parque y todo inocente de mí lo metí en mi 8086 infectando a mi pobre ordenador con el mítico Jerusalem/Viernes 13. Entonces descubrí que existían los antivirus, y que realmente la seguridad iba a formar parte de mi vida.

9.- Tres juegos de ordenador que te han consumido más horas que asignaturas de la universidad.

Uff es difícil elegir tres: yo diría el Target Renegade en el Spectrum con los ritos durante la carga del juego, las aventuras de LucasArts, y el Warcraft y sus variantes.

10.- Los que te hemos visto hablar sabemos que da gusto escucharte. ¿dónde coño pueden escucharte los que no lo han hecho en los próximos meses?

Me toca un verano tranquilo, puesto que estaré contigo en Salamanca el 9 de Julio, y ya hasta pasado el verano en el ISSE 2008 no tengo nada planificado que sea un evento público (eso sí, todas las semanas me toca presentar algo con algún cliente :) ).

11.- ¿Es dificil analizar un malware hoy en día o en dos patadas y con un ollydbg...?

Me temo que los días en los que abrías un ejecutable con el Olly y en un instante sabías que hacía tienen los días contados. Sigue habiendo de ese tipo, pero generalmente no son nada interesantes. Los más actuales ya no son cosa de horas, sino muchas veces de días (un ejemplo bien claro es el Rustock.C)

12.- Si alguien quiere viajar por el mundo... ¿a dónde le podéis enviar currando con S21Sec?

Hoy en día hay muchas posibilidades, Mexico, Argentina, Chile, Venezuela, Londres, Australia, Dubai, ... y por supuesto destinos más nacionales como Murcia, León, Pamplona, Barcelona, San Sebastián o Madrid.

13.- David, todos tenemos un pasado (o varios). Confiesa... ¿Cómo fueron tus primeras andanzas?

Mis 6 años en un Colegio Mayor me hicieron un hombre en todos los sentidos :)

14.- Y... ¿Te vienes a la Defcon16? Lo digo por ....

Ahí estaremos!!! Este año promete con todos los que vamos, habrá que ir a todas las fiestas^B^B^B^B^B^B^B conferencias!!

15.- ¿Qué requisitos tiene que tener un "delincuente" para ser fichado por S21Sec?

Principalmente dos: inquietud y creatividad. Es mejor romper algo y arreglarlo, que no hacer nada por miedo a romperlo.

16.- Voy en San Fermín chiquito para Pamplona, ¿llevo algo o lo pones tu todo cómo siempre?

Yo pongo las drogas (sidra y pacharán) y el resto lo que salga :)

17.- ¿Te gusta la legislación que hay hoy en día en España respecto a las actividades hacker?

Me parece que todavía estamos muy verdes en este tema, pero no sólo en España, sino en cualquier país. Es un problema complicado de solucionar, y hasta que no se comprenda totalmente la tecnología, sus implicaciones y repercusiones, va a ser difícil solucionarlo.

18.- Recomiéndanos tres conferencias que te gusten mucho

Referente a conocer los productos nuevos de Seguridad, la RSA de EEUU; sobre nuevas técnicas y herramientas la BlackHat (aunque la organización es horrible, tú lo sabes ;)); y una que conjuga calidad, buen ambiente, y diversión es la NoConName española. Todo el mundo habla maravillas de la RECon y de la CanSecWest, a ver si con suerte voy en la siguiente edición.

19.- ¿Qué lees por las mañanas para estar al día?

Ahora tiro de mi lector de RSS donde tengo unos 200 feeds, y entre ellos, algunas listas de correo imprescindibles, y el msn/yahoo/jabber/gtalk más o menos tengo todo controlado.

20.- Vienes a Salamanca en el curso de verano... ¿Has visto el astronauta en la Catedral de Salamanca o lo vas a buscar en Google?

Durante mis años jóvenes fui bastante a Salamanca algunos fines de semana y entre los buenos pinchos que tienen y la marcha que hay por la noche, he visto muchas cosas durante la noche salmantina que sólo contaré en una exclusiva :)

Las vacunas

Supongo que la mayoría de vosotros os habréis puesto todas las vacunas. Ya sabéis, seguro que habéis contado con unos padres lo suficientemente responsables como para no dejar a seres andantes y parlantes pasear por un mundo lleno de virus y malos seres sin cumplir las vacunaciones pertinentes.

Yo recuerdo las sesiones de la cartilla de vacunación con cierto malestar, pues nunca he podido superar mi fobia a las agujas, las tijeras (incluidas las del peluquero) y las alturas (que le vamos a hacer si uno ha vivido toda su vida en un primero). Pero mi mamá y mi papá eran personas responsables que tenían que preocuparse de la seguridad de su hijito. Y no importaba que mi madre perdiera de trabajar ese día, mi mamá me llevaba a vacunar. No importaba que ese día tuviera que cuidarme ya que yo, aprensivo como soy, me ponía a morir con las vacunas. No importaba ni el tiempo, ni el dinero, yo era su hijito, su josemaricariño, y mi mamá me llevaba a vacunar. Era por mi seguridad.

No sólo se ocupaba de las vacunas mi mama, también me revisaba por las mañanas que me hubiera lavado los dientes, las manos, las orejas y la cara, que estuviera peinado, con mi colonia, abrigado y con los cordones bien apretados. No le importaba revisar mi cartera y comprobar que llevaba el bocadillo para el recreo, los libros de todas las asignaturas y los deberes hechos. No le preocupaba ir a hablar con los profesores cuando la llamaban para preocuparse de que aprendía correctamente. Era por mi seguridad.

Una vez en una conferencia, mi primo Laggy, dijo que el software es cómo un hijo. Debe ser cuidado y educado, con cariño, amor y preocupación. No importa los desvelos. No importa que tengas que perder tiempo poniendole sus parchecitos, no importa que debas revisar una y otra vez que el código es bueno, que tiene bien ataditas las comprobaciones de tipos, los valores de usabilidad y los tests. No importa que ya hubieras probado "algunas cosas". Hay que probarlo todo.

Al igual que en la vida real, si alguien no cuida bien a sus hijos hay que leyes para que se ocupen de él, con los servidores y las aplicaciones debería ser similar.

Ayer, Spectra, publicó un Advisory de seguridad. Este advisory no es de un fallo del software de Spectra, sino de los problemas que están teniendo los hijos de papas descuidados y despreocupados que no han cuidado correctamente a sus hijitos. En este caso los que tienen tecnologías ASP, ASP.NET y SQL Server.

Una de las recomendaciones que se ha hecho durante mucho tiempo ha sido, no visites páginas de las que no te fies. Bien, esta recomendación no vale para nada si los papás de las páginas fiables no han cuidado de su hijito.

Hoy en día se están poniendo "de moda" nuevas formas de infectar máquinas. En una de estas nuevas modalidades se buscan sitios legítimos que tiene fallos de SQL Injection en la aplicación aplicación web. En el caso de tecnologías de Spectra, buscan cosas como .asp?id= en Google, después prueban a saco todas esas urls pero añadiendo un bonito script en Transact-SQL que actualiza los datos alfanumericos de la base de datos con un include de javascript para meter un .js de un sítio ilegítimo que detecta la versión del navegador y regala al usuarios los exploits más chulos y que más se llevan para meterle un troyanito. Si cuela dabuti, si no a por el siguiente de la lista. La forma es bruta, pero funcionan. Así el ataque mezcla Google Hacking, SQL Injection, XSS, vulnerabilidades en navegadores y tecnología de troyanos. Toda una fiesta para el paladar.

Así tu vistias la página de tu colegio, las recetas más chulas o la web de la empresa de tu primo ... y te cae un regalito. Si la web es vulnerable y tu navegador tiene un exploit para el que no estás parcheado te puede tocar la lotería.

Spectra ha alertado a sus clientes con un advisory, pero esta recomendación no debe ser tomada sólo para los clientes .asp... ¿Cuanto tardarán en pasarse al coldfusion o el .jsp? Padres irresponsables que os saltáis las vacunas de vuestros niños...arderéis en el infierno.

Saludos Malignos!

Autónomos Informáticos

Antes de la eclosión del software libre existián los programas Freeware. Una opción de licencia por parte del desarrollador tan lícita como cualquier otra. En esta licencia el usuario puede utilizar el programa pero el código fuente no es publicado y los derechos de autor son protegidos por el programador.

Este tipo de licencia hoy en día ha pasado a un segundo plano, arrasada por el ímpetu de las licencias Open Source y Software Libre. Sin embargo, sigue siendo todavía una opción utilizada por muchos programadores.

Un ejemplo es Cain & Abel, desarrollado por Massimiliano Montoro. La licencia que acompaña a Cain es Freeware, sencilla y fácil de entender, sin enrevesadas claúsulas que fomenten sesudos debates.

Esta es la licencia que acompaña a Cain & Abel v4.9.15

Title and Ownership
--------------------------------
© Copyright 2001-2008 Massimiliano Montoro. All rights reserved.
This software is owned by Massimiliano Montoro (mao), you may not reverse engineer, disassemble or de-compile this software nor may you permit anyone else to do so.

FREEWARE VERSION
----------------------------------
You are hereby licensed to: use the FREEWARE Version of the software forever; make as many copies of the FREEWARE Version of this software and documentation as you wish; give exact copies of the original FREEWARE version to anyone; and distribute the FREEWARE version of the software and documentation in its unmodified form via electronic means. There is no charge for any of the above. You are specifically prohibited from charging or requesting donations for any of such copies and from distributing the software/documentation with other products (commercial or otherwise) without prior written permission.

La licencia es sencilla, entendible por todos y deja claras las cosas: "El software es mio, lo he programado yo y si alguien tiene que sacar pasta de este software soy yo, por lo demás, te dejo que lo utilices para siempre dónde quieras"

Este modelo de licencia junto con el modelo de donación que sustenta el proyecto, le ha permitido al autor hacer una joya comparable con pocos proyectos. ¿Hubiera funcionado otro modelo? ¿Si lo cambiara el modelo a GPL tendría los problemas que tuvieron otros o le iba a funcionar? ¿El que va a darnos los consejos es informático o economista? ¿Tendría que llegar a un modelo mixto como otros proyectos? ¿Tendría que acabar vendiendo?.

Sí hay proyectos SL que funcionan, otros no, hay proyectos OS que funcionan otros no, pero también hay proyectos de software "mal llamado privativo" que sin ser Windows y Office funciona. Caín & Abel es código propietario y el propietario del código ha elegido un modelo de ganarse la vida ¿Es malo? ¿Es menos malo este modelo de software "privativo" por ser freeware? Este proyecto ha demostrado que no sólo los carpinteros, los fontaneros o los pintores pueden ser autónomos. También podemos tener autónomos informáticos.

Massimiliano Montoro, elijas el modelo de licencia que elijas, este juguete es una obra de arte. Cuenta con una donación por parte mía.

Saludos Malignos!

Reto Hacking VIII is comming on!

Hola hackers peores, seres y alimañas del averno,

esta es una llamada para todos aquellos de vosotros que no tenéis vida, para todos aquellos que no sabéis lo que es ser cool, los que no entendéis porque esa tía, después de contarle al detalle cómo funciona el sistema de direccionamiento del Motorola 6800 o por qué el Comodore 64 debería haber triunfado, no ligásteis con ella y se fue con el rubito ese del flequillo que no sabe ni descomprimir un tar.gz.

Sí, vosotros, los lunáticos de los retos hacking... he de avisaros que......El Reto Hacking VIII ya tiene fecha de inicio. Ya puedes cancelar tus planes... (si es que tenías alguno que yo me sé que tu rascas menos bola...), ya puedes reservar tu fecha en el calendario, ya puedes comprar café (o descafenido), Cocal-Cola (o pepsi), limpia tu mouse, ponle pilas a tu teclado inalámbrico, recoge la basura de tu cuarto (para que puedas volver a llenarlo otra vez de basura), leéte los últimos informes de Secunia, repasa las newsletters de Hispasec, mirate el Blog de S21Sec y de que van las charlas del AseguraIT... (Palako habló de la Web...), mira que ha hecho RoMaNSoFt o que ha publicado Atar, repasa si hay algo nuevo en Wifislax o de que he hablado yo en las últimas charlas y congresos.

¿Será de Blind? ¿Tendrá SQL, XPath o LDAP?, ¿Algo de Javascript, XSS, CSRF, XSS Worms, que últimamente ha estado con Pedro Laguna muy juguetón?, o... ¿algo de decompilar, desofuscar? ¿Podría ser un flash, saltarse una firma en un java o reviar un código en bytecodes? ¿tal vez algo de cracking o habrá que volver a hacer algo de steganografía? ¿Será otra adivinanza chorra o pondremos algo RFI?. Ultimamente Palako habló de LFIs, ¿no?. ¿Habrá que saltarse un captcha que todos estamos un poco hasta las narices de ellos? ¿No se les ocurrirá poner algún exploit de alguna versión de algún software, no? O ¿algo de Bruteforcear con el "paiper" de mandingo? En el technews habló de NSAuditor.. ¿qué hacía esa tool? y en Argentina estuvo con Francisco Amato y este tipo había hecho algo de evilgrade y una tool de... ¿SQL Injection? o quizas... ¿las consultas pesadas de la Defcon?.... ¿Qué será? ¿Habrá que programar? ¿Habrá que tener idéas felices? ¿Ganará Kachail again? ¿Qué escusas pondrán los participantes para quitarse presión sobre la victoria? ¿Ganarán los sexypandas? ¿Cómo va la clasificación?

El próximo 4 de Julio de 2008 a las 20:00 (GMT+1), coindiciendo con la ejecución del Curso de Verano de la Universidad de Salamanca comienzan las respuestas en el Reto Hacking VIII. ¿Te lo vas a perder?

Saludos Malignos!

Tías con polla

Sí, esas son las películas que le gustaba ver a nuestro amigo Randal en Clerks. De ahí degeneró todo al famoso "erotísmo entre especies" de Clerks II y ... bueno, el resto es historia.

A mi, cómo buen informatico el sexo me parece binario, hay o no. El resto son cosas de ciencia ficción que deben conocer aquellos que disfrutan de otras cosas distintas a las de los ordenadores.

El caso, es que, por uno de los mailings de cadena esos, me llegó el típico mail de "Tiene sorpresa o no". Claro, yo no soy de los que se quiere equivocar con estas cosas, pues siempre se me viene a la cabeza la imagen gráfica de Fuckowski de hacer el 69 con un hombre: "Por un lado está bien, por otro te comes una polla".

"Manos a la obra, y ante la duda, maromo"

Antes de seguir con la historia, prueba tú a ver que te sale, que seguro que te crees mucho más list@ que yo.

Ostra o Tiburón

Y así hice, pero... al final del test... sólo acerté el 40 %!!!! , no,no, no es tan malo, pq en la mayoría de los casos eran mujeres a las que yo había calificado de marono, es decir, que esa noche no follaba por precavido y como a eso estamos acostumbrados los informáticos pues no me preocupaba, pero....con una me equivoqué y me tocó tiburón.

Vaya, que graciosos, saco un 4 y me como una polla. Pues no le veo la puta gracia.

Al final, te muestran los resultados para que veas lo ciego que estas. Pues pa ciego tú! Grrr.

Saludos Malignos!

Domingo de... ¿risas o lágrimas?

Supongo que esto de aprovechar los fines de semana para enredar con temas pendientes que no has podido realizar durante toda la semana es algo común entre muchos de nosotros.

"Fin de semana, perfecto, voy a ver si puedo probar esta herramienta, a ver si puedo buscar info sobre este tema, a ver si puedo escribir sobre esto"

Yo estoy aprovechando y escuchando la mesa redonda de Mark Russinovich sobre seguridad en Windows Vista (que no viendola, que parece "La Clave"). Pero... hoy es un día especial, vamos a jugar contra Italia en cuartos de final. Yo soy pesimista at all, porque la experiencia dice, como dijo Linux Torvalds al principio de este año... que no creía que este fuera el año del desktop. Bien, ójala me equivoque, pero no creo que este sea el año de pasar de cuartos...

Sí, soy un puto negativo, y ójala me gafe, pero coño, he nacido en este país y necesito que la historia me enseñe. Cuando era un adolescente vi perdír al equipo de mis amores ene veces en semifinales de la Copa de Europa y fue así como apareció un chaval de 17 años y... cambió la historia. Con su capote, en lo alto del coche que le dieron como mejor jugador de la Intercontinental cambió la historia, por eso soy Raulista. Espero que este domingo, mientras paso el día viendo a Rafa Nadal, Fernando Alonso, Dani Pedrosa, Sergio Gadea, Alvaro Bautista, Tony Elias, Jorge Lorenzo, Hector Barberá, Alex Devón, Javi Villa, Pastor Maldonado, Adrián Vallés o Julio Simón, sea una antesala para gritar eso de illa, illa, illa y me cambien la historia.

Pero por si acaso no es así, por si acaso la historia va a ser como siempre, por si acaso voy a tener que ir Roma y aguantar que digan, "sí, sí, pero en futbol...." me voy a guardar algo de tarea para esta noche, he hecho una lista de objetivos y me resarciré con ellos, ...de alguna forma.

De momento, me he ido a documentar al parlamento italiano y no he podido, deben estar jugando al despiste, no nos dan ninguna información, proque he ido a buscar en la historia algún día en el que Buffon se haya comido 3 golitos y me ha salido un mensaje raro, raro, raro,...

No parece haber datos en la BD, ¿no?
¡Qué el codazo de Tassoti NO se olvida!

Saludos Malignos!

Agua pasada no mueve molino

Hola amig@s de sabado,

llevo un rato batiendome entre la dualidad de publicar ciertas cosas o no y que me he bloqueado. Así que me molaría saber vuestra opinión, (si os da la gana, claro está). El caso es que desde hace tiempo he ido guardando capturas y pequeños tutoriales sobre como cepillarse algunas páginas web. Todas esas páginas las he ido enseñando de una u otra forma a lo largo del tiempo.

Algunas de ellas, ya no están y como en el caso de la del Futbol Club Barcelona "se perderán como una lagrima entre la lluvia" ya que no guardé capturas, pero de otras muchas tengo el step by step de qué se podía hacer y cómo. En muchos casos estas webs siguen rotas o inseguras.

En muchos de los casos estos fallos han sido los catalizadores de los Retos Hacking (habrá uno en Julio...) y han sido totalmente didácticos para nosotros encontrarnos con ellos. Y por eso creo que quedaría muy bien enseñarlos. Por otro lado, son técnicas que ya he explicado ampliamente en el blog y no aportan muchas cosas nuevas desde el punto técnico.

Yo las tengo guardadas y las repaso de vez en cuando para acordarme de ellos, porque cómo soy un puto desastre me olvido de los sitios, los lugares y cómo se hacía.

En fin, ¿creéis que os aportaría algo ver los cucharones, los blind sql injection, los XSS, los SQL Injection, los LDAP Injection en sitios dónde estaban?

Saludos Malignos!

La Despedida del Abuelo

Bueno, esta foto está tomada hace unos minutos, el abuelo aun está cantando en el curso que estamos impartiendo. Es su última charlita cómo evangelista y había que dejarla para la historia. No pude librarme de él en su primer día como tal y no he querido perderme estar con él en su último día de expansión de la palabra del amo. ¡¡¡Abuelo, no nos dejes!!

Hablando sobre los parches en Spectra
Saludos Malignos!

La primera gorda de Vista

Vaya semanita. Va a ser para estar divirtiendonos en los departamentos de IT. Spectra acaba de publicar un boletín de los gordos. Se ha corregido una vulnerabilidad que podía permitir EJECUCIÓN DE CÓDIGO REMOTAMENTE (más o menos [según alcance el bluetooth de la máquina]). La vulnerabilidad afecta a todos los Windows XP y todos los Windows Vista (incluso SP1), así que hay que actulizar pronto.

La vulnerabilidad se había reportado internamente (como la vulnerabilidad de Firefox), pero una vez disponible el parche, será cuestión de días (u horas) que mediante ingeniería inversa del parche descubran como explotarla y aparezcan exploits para hacer uso de esta vulnerabilidad en sistemas no parcheados, así que actualiza... o deshabilita tu Bluetooth.

De nuevo Spectra, rompe el ciclo de actualizaciones ante una vulnerabilidad crítica. Tienes toda la información en el boletín de Seguridad MS08-030.

Si tienes dispositivos Windows Mobile, actualizalos. Con lo poco que la gente actualiza el software de los dispositivos mobiles esto puede ser una escabechina en el futuro...

Saludos Malignos!

Regalos de Cumpleaños

Los más allegados, los más curiosos o los más informados sabían que esta semana ha sido mi cumpleaños. Me he hecho un poco más mayor, un poco más cascarrabias y un poco menos guerrero....supongo.

Como he debido de ser muy bueno o he debido dar mucha guerra, me han caido muuuchos regalos. Alguno de ellos ha sido una grata sorpresa que me ha llegado por mail, otros un sms al móvil, otros regalos dignos de un buen elemento como yo. Sí, porque ¿qué clase de persona puede gustarle que le regalen unas gafas macarras de hacer Snow, unas gafas de sol de malote, una camiseta de Silver Surfer, una temporada de Smallville, el poster original de El Imperio Contrataca, un detector de radares y la serie completa de Los Soprano? Vistos todos los regalos juntos sobre la mesa, me hizo pensar: "joder, estás para encerrar y que te echen cacahuetes".

Pero no acababán ahí, porque el día de mi cumple... salía el Firefox 3. Gracias Mozilla, por acordarte de uno de forma tan especial. Josemaricariño de No Lusers lloró de alegría por tal acontecimiento...Y venía con sorpresa, pues 5 horas después... ya había una vulnerabilidad de seguridad nada bonita. Pero bueno, no pasa nada, porque como dice el decalogo de seguridad que están haciendo en la ciudad de los Crispis, sólo hay malware para Internet Explorer.

En fin, que gracias por acordaros TODOS de cuando cumplí.. int a; # años

Saludos Malignos!

Robando del cepillo... de Google

Después de tener el filtro antispam desactivado por problemillas con un mail que no quería entrar de uno de esos servicios de Internet (porno), hemos vuelto a tener las barreras altas. Ya no me entran esas maravillas de arte chinesco y tengo que conformarme con el spam de serie, ya sabéis, lo de siempre.

La vida es monótona sin mis Chips Ahoy, pero de vez en cuando entra alguna cosa de Spam que se queda en la Junk Folder de cliente en vez de ser asesinada por el servidor. Entre ellas me ha llamado recientemente la atención este mail.

Es un mail de Phishing de los servicios de Google Adwords, es decir, de los anunciantes de Google. La idea es que los anunciantes utilizan el servicio Adwords para dar de alta sus servicios y los bloggers, weberos y demases Adsense para poner los anuncios y cobrar por redirigir tráfico hacia los anunciantes.

A por Adwords
El mail que envian es un phising clásico, como se ve, que apunta a servidores que pasaron por la fase de ser sospechosos y luego desactivados, para robar las credenciales de los anunciantes. En este caso los phishers han ido a por el departamento de publicidad y marketing que, en muchos casos, vive exclusivamente de este servicio. Hay muchas empresas que basan su negocio en únicamente la clientela capturada por Adworks, así que si ven esto seguro que cuanto menos se preocupan.

Es curioso como las mafias van cambiando de clientela. Los bancos les hacen currar mucho, que si tienen que hacer troyanos, luchar contra los servicios antiphishing y antitroyanos, saltarse las detecciones de antivirus, antispam, antimalware y la susceptibilidad del usuario, hartamente vapuleado con mails de phishing de bancos. Ese es un terreno dónde han pescado y pescan muchos grupos.

Hay que buscar nuevos caladeros y Adwords parece uno bueno, con cuentas de empresas, con gente de publicidad y marketing...Pinta bien para el negocio, aquí hay buenos "atunes" han debido de pensar.

Yo estoy convencido, que cuando lleguen a los clientes de los Sexshops me cazan, pq a mi me cortan el suministro de .. bueno... de eso... y me pongo nervioso.

Saludos Malignos!

No veo mucho la tele...

...pero anuncios así me encantan y me hacen bailar... ¡Quiero un disfraz de Chips Ahoy!...


Dame un buen muerdo!!!
"Estoy superbueno,
yo soy supersexy,
sé lo que te gusta a tiiiiiiii.
Si quieres mi cuerpo
dame un buen muerdo..."
¡¡Sí, te llamaré, rubia!!

PD: No os perdáis en Yotube todos los anuncios de Chips Ahoy en Inglés... son la polla!

Saludos Malignos!

Soy un vendido

La informática es algo más que dinero. Sí, es pasión, dependencia, arte, entretenimiento y hasta sexo, ya sean contactos, pajillas de turno o cibersexo. Para mí la informática no es parte de mi vida, ES mi vida. Paso más horas con mi ordenador que con ningún ser humano, pienso constantemente en hacer algo nuevo con mi cacharro. Me meto en hacer todo tipo de jaleos y jardines siempre que tenga que ver con la informática. Es todo. Estoy enamorado de ella. De la tecnología de los programas, de los fallos de seguridad, de la forma de dar por culo a un sistema y de cómo corregirlo, de todo. A día de hoy estoy trabajando en tantas cosas distintas que tienen que ver con la informática que a veces pienso que me gusta todo de ella. Está tan rica como la tía buena esa del bar y encima me hace más caso.

La informática es más que dinero, pero no menos. No me gusta los que dicen que los informáticos somos unos peseteros, que si el software es caro o los servicios más baratos. Cada informático, sea desarrollador, IT Pro, arquitecto o diseñador tiene derecho a disfrutar de su profesión y, debido a que es su profesión a tenerla bien remunerada.

Todo lo que ayude a que un programador, un ingeniero informático, un IT Pro o un diseñador, en definitiva, un informático pueda vivir de su hobby (si es el caso) será bueno, pero, porque sea su hobby no tiene por qué hacerlo gratis. ¿No te gusta tu trabajo? Pues lo siento, como decía Robe Iniesta: Te jodes, haber estudiado cuando estabas a tiempo.

Sí, cobro por mi trabajo y además me siento feliz con mi sueldo y además hago mil cosas fuera de mi trabajo que podría cobrar o que directamente las hago gratis porque me gusta, porque me mola o porque simplemente me sale de la punta de las narices.

Pero no me acuses de que cobro, lo hago igual que todos los profesionales de este mundo y jamás acusaré a alguien del SL de que cobre. Me fastidia el que defiende que el software debe ser libre, cobra una pasta por sus servicios y se olvida de los demás. Me parece de puta madre que cobres por tus servicios, yo lo hago, pero espero que cuando uses un software libre tengas la decencia de apretar el botón que dice Donate y darle algo de pasta a los desarrolladores que se lo han currado, para que puedan seguir y que no pase como pasa que muchos proyectos acaban muertos o en manos de empresas que empiezan a cerrar partes.

He estudiado 3 años en la Poli, 2 en la URJC, 1 año de postgrado, varias certificaciones, monté una empresa hace 10 años, y he trabajado siempre con el fin de pagarme los estudios, para que alguien me diga que “la informática es más que dinero”. Sí, para las 30 personas que curramos allí, la informática es algo más que dinero, son las nóminas, las hipotecas de primeros de mes, los anticipos por que hay un imprevisto, los pañales de sus niños, los médicos y las guarderías, las medicinas, la gasolina del coche, el abono transporte y la comida de todos los días.

Adoro la informática, vivo de la informática. Ójala que todo el que adore la informática viva de ella, nos irá mucho mejor a todos.

Saludos Malignos!

Cruzando Puentes

***************************************************************************************
Artículo publicado en Windows TI Magazine 133 May'08
***************************************************************************************

Allá por el año 2006 comenzó el proyecto Bug Hunting para mejorar la seguridad de los principales proyectos Open Source. Este proyecto estaba destinado a ayudar a encontrar fallos en el código que pudieran provocar agujeros de seguridad. Este proyecto venía a relevar el fallido intento, años antes, que realizó, el ahora empleado de Microsoft Crispin Cowan con Sardonix. Se contrató para este proyecto a la empresa Coverity y Andrew Morton, uno de los principales responsables del kenel de Linux dijo esto sobre el proyecto: “Coverity’s static source code analysis has proven to be an effective step towards furthering the quality and security of Linux”. Es decir, que el trabajo que se estaba realizando en Coverity analizando el código había demostrado ser un paso adelante hacia la calidad y la seguridad de Linux.

En el mes de Octubre, es decir, diez meses después de comenzar el proyecto, Ben Chelf, responsable técnico de Coverity, sacaba sus conclusiones en un bonito artículo titulado “Insecurity in Open Source” en el que decía varias cosas interesantes como: “But when software security and quality really matter—like crossing the Atlantic on a jet airliner—trust me, you want to fly proprietary”, es decir, que si vas a cruzar el Atlántico en un avión, tú quieres que el avión vuele con software propietario. No, no era una alabanza a Microsoft o algo por el estilo, sino una queja a la forma de realizar software en algunos de los proyectos de la comunidad Open Source. Para mejorar deben seguirse las mejores prácticas de desarrollo, probadas ya como buenas, que muchas empresas de software propietario utilizan. Mejorar los procesos de testing, de ingeniería de desarrollo y conseguir mejores productos.

Este año, el que ponía la queja era Negroponte, padre del proyecto de OLPC (One Laptop per child) quién se quejaba de la falta ingeniería en el desarrollo Open Source de Sugar, el software educativo que planea utilizar para enseñar a los chicos, del que se lamentaba porque "grew amorphously and didn't have a software architect who did it in a crisp way." Es decir, que el proyecto crecía amorfamente sin que tuviera un arquitecto de software que decidiera de forma clara y cristalina cual es el camino a seguir.

El 13 de Mayo, Luciano Bello, argentino y mantenedor de Debian, con el que tuve el gusto de compartir “güiscola”, charlas, cachondeos y asiento trasero en su coche “Rojo Debian” desvelaba un fallo producido en el paquete OpenSSL que distribuía Debian. Este paquete había sido modificado con el objetivo de quitar un warning del compilador. Para solucionarlo un técnico comentó una línea de código que le daba un mensaje de aviso. Esa línea fue quitada en el paquete OpenSSL que distribuía Debian, y por tanto todas las distribuciones basadas en Debian, pero no se reintegró al proyecto original, dónde algunos programadores podrían haber detectado el fallo.

El fallito provocado al comentar esa línea en cuestión provocó que todas las claves que se generarán estuvieran dentro de un rango muy pequeño, que además se pudieran descubrir las claves privadas a partir de las claves públicas, y alguna que otra cosilla. El revuelo mundial ha sido de órdago a la grande pues a nivel mundial hay que cambiar las claves generadas durante los últimos casi dos años por ese software.
¿Todo esto quiere decir que el que un producto sea Open Source es menos inseguro o simplemente peor? No, y he tenido muchas veces esta misma charla con muchos técnicos de esos que merece la pena quitarse el sombrero ante ellos. No importa si es Open Source o de código no abierto, lo que importa es lo que se haga con él. Los procesos de ingeniería, los ciclos de vida, las fases de creación de un software robusto.

Para ello, hay que dejar un poco a parte la buena voluntad, que siempre queda bien, y que tomen los mandos los ingenieros, los arquitectos, los profesionales. Yo cuando cruzo por un puente quiero que lo haya hecho un ingeniero, no una persona con buena voluntad:

“Sí, te has caído y te has partido la crisma y dos piernas, pero es que el que construyó este puente lo hizo con buena voluntad y con mucho espíritu de colaborar y cambiar el mundo… así que… ¡No te quejes!”

Visto lo visto, habrá que saber que puentes se deben coger y que puentes no, pues cuando lo que quiero es que mi empresa lleve los camiones por la carretera me importa poco si el constructor tenía buena voluntad o lo hizo por un buen pellizco de dinero, lo que me importa es que mis camiones pasen.

***************************************************************************************
Artículo publicado en Windows TI Magazine 133 May'08
***************************************************************************************

No Lusers 46: Random

***************************************************************************************
Publicada en Windows TI Magazine Nº 133 May'08
***************************************************************************************




***************************************************************************************
Publicada en Windows TI Magazine Nº 133 May'08
***************************************************************************************

Panda de cabrones

Vale, sí, es cierto, la culpa en parte es mía. Yo empecé con eso de "alguien ha matado a alguien", "alguien está ciego", "no es tan dificil de ganar", etc... pero joder, es que os pasáis un pasote, ¡cabrones!

Voy a cambiar el título del blog a algo así como: "Haga una auditoría gratis a su web", o... "¿Ha queado satisfecho con la seguridad de su web?", o mejor... "¡Ponga en ridiculo al vecino que tanto odia!".

Y es que es matemático, pongo una URL y, o en los comentarios públicos o en los mails privados me llegan los resultados de "la auditoría". Un mail aparecerá con el subject de "Marchando una de Blind!" o ..."Te mando su /etc/passwd" o... mira, mira... "la zona de administración tiene un Joomla sin parchear".

Sois una panda de cabrones de cojones.... pero no puedo dejar de partirme la caja.

Uno haciendo la Eurocopa Blind SQL Injection/XSS cup, repasando las webs de las federeaciones, el otro con el cursito de verano, el otro con el banco de turno o con la web de un técnicoless.... aquí siempre hay fiesta.

La verdad es que en cierta manera... merecido lo tienen pues llega un momento en que no sabes a quién avisar o a quién no avisar. A veces pasan de ti, a veces te dan las gracias y otras... otras sabemos que lo hacemos por lo que lo hacemos, que todos somos más o menos iguales....

En fin, que a partir de ahora voy a poner los posts sin links....salvo que se lo merezcan.

Bueno, pues eso, a pensar en el Futbol que España juega el miercoles contra Grecia y dejar eso de hackear webs. Id leyendo lo que Grecia tiene que decir al respecto, que tiene mucho que opinar sobre ...todo.

Saludos Maglignos!

Cadena Youtubiana II - Goyo Jiménez

Es domingo, España ganó a Suecia y ya estamos en cuartos, alegria, fiesta, alboroto, resaca y esas cosas, así que... ¿Para que complicaros la mañana con sesudas reflexiones(que tendría que copiar a otro, claro)? ¿Para que hacer un flame metiendome con alguna cosa y leer comentarios guerrilleros? Naaaa, hoy, después de los guiskises de ayer, con la medio resaca en el cuerpo me he acordado de aquellos maravillosos momentos en Londres, dónde en ninguna casa había televisión. No, no teníamos tele, tenímos Youtube, así que había mucha programación que ver. Os dejo hoy otra de las cadenas youtubianas que me enseñaron para el programa de noche, es la Cadena Youtubiana de Goyo Jiménez.

Los Americanos


Primera Parte

Segunda Parte
Tercera Parte
La Tele de Antes


Primera Parte

Segunda Parte

Tercera Parte
Superhéroe


Superhéroe
Abogados


Abogados
Y...después de esto.... a pasar el rato con otra cosa.

Saludos Malignos!

Curso de Verano en Salmanca y Otros

Salamanca

No sé si mi estómago aguantará las comilonas y las noches de esa semana de verano en Salamanca, pero habrá que hacerlo, no le vamos a hacer un feo a tanta gente como va allí.

El día 7 de Julio comienza en Salamanca un curso de verano sobre Seguridad de La información en el que van a estar muchos pájaros de muchas aventuras. El curso, fomentado por el Vicerector de Innovación Tecnológicoa de la Universidad de Salamanca, D. Francisco José García Peñalvo, acoge durante una semana a un montón de buenos amigos que van a dar su punto de vista sobre muchos temas. Esa semana estarán Hector Montenegro de Spectra, Antonio Guzmán de la URJC, David Barroso de S21Sec, Bernardo Quintero de Hispasec, Jorge Oteo de Prisacom, Alex Bové de elhacker.net, Sergio González de Wifislax, Dani Comino de IDG, Marta Pastor de RNE, Victor Orive de ADMTools, Alfonso de Miguel Yanes de la Guardia Civil, Sergio de los Santos de Hispasec, Marta Beltrán de la URJC y el que suscribe.

5 días para charlar sobre temas de seguridad Informática, 5 días para ver amigos, 5 días para quemar un poco la encantadora ciudad de Salamanca. He pensado llevarme como recuerdo el Astronauta de la fachada de la catedral, que ya está bien eso de tener un diablo, pero un astronauta...

La agenda y el registro está disponible en la siguiente URL: http://www.usal.es/~seguridadinformacion/

Y a todos los ponentes y asistentes que vais a venir...sabéis que tenéis que aguantar de fiesta, que creo que el único que me sigue de allí es "pajarraco" de los Santos, testado ya en Gira, Security Days y visitas a Malaga...

Pamplona

En Pamplona, antes de irse hacia Barcelona, el Abuelo Parada y David Cervigón harán una parada para participar en un envento en el CES en Navarra. En dicho evento hablarán de SQL Server 2008, Windows Server 2008 y Virtualización y alta disponibilidad con Windows Server 2008, para ir jugando con Hyper-V. El evento será en jornada de tarde, y me da a mi que llegarán por la mañana, cantarán por la tarde y volarán por la noche, así que el tiempo para estar con ellos será reducido. Tenéis más información sobre este evento en la siguiente URL: Evento Lanzamiento en Pamplona.

Barcelona: Hands On Lab

La campaña de Hands On lab a Barcelona está llegando a su fin y quedan únicamente dos semanas, la primera de ellas dedicada a Windows Server 2008, NAP, IIS7, PowerShell y CoreServer y la segunda, dedicada a un curso de 24 horas de Seguridad en Red.

Barcelona

El día 19 de Junio estarán en Barcelona con Windows Server 2008, Vista SP1, SQL Server 2008 y Virtualización. Este evento será en el Auditorio Winterthur, para unas 600 personas, con lo que es conveniente, si te has registrado que asistas pronto. Aún te puedes registrar en la sigueinte URL: Evento Lanzamiento en Barcelona. Como ponentes, van el Abuelo y David Cervigón.

Madrid: Formación Técnica de Auditoría y Seguridad Informática

Sivelhack, Pedro Laguna, El abuelo, el que suscribe, Juan Luís Rambla y alguno más continuaremos en Junio y Julio con los módulos de este curso. Las fechas las tenéis aquí:

- [23/06-27/06] Auditoría de Aplicaciones Web
- [30/06-04/07] Auditoría y Seguridad de Red
- [07/07-11/07] Auditoría Wireless, IM, VoIP y VPNs
- [14/07-18/07] Análisis Forense

La URL de Información y Registro: FTSAI

Madrid: Hands On Lab

En Junio y Julio continuan los Hands On Lab en Madrid con semanas dedicadas a: SharePoint, SQL Server 2008, Biztalk, Windows Server y una semana para Legalidad en infraestructuras.

Vamos, para que no te aburras este verano... y en Julio Valencia.

Saludos Malignos!

PD: No me voy a disfrazar en ninguno de ellos

Momentus Ridiculous XI

Era un soleado día en pitufolandia, dónde Papa "bil Gates Pifuto" nos había vuelto a regañar por comernos la seta dónde viviamos. "No debéis comer la seta, en ella hay que vivir. Tiempo ha nuestros antepesados se comían las setas y así nos vemos hoy en día azules". Así que dejamos de comerlos la seta.

La mañana parecía tranquila, Pitufo Gruñon Balmer estaba tranquilo y no había tenido pesadillas con Azrael Tux, la mala mascota del malvado Gargamel, Pitufo Laguna había estado por la noche preocupado, porque había vuelto a crecer y claro, salirse de la talla de un pitufo era demasiado para él. Ya bastante chungo es pillar cacho con una churri siendo pitufo & informático, como para que encima te salgas de la talla y no puedas.... en fin.

Daos cuenta que las clase de los informáticos son como una pequeña aldea de pitufos. Esta llena de pitufos y suele haber 0 o 1 (por eso de que puedan ser contadas en binario) pitufinas.

Pitufo Laguna y yo habíamos estado pitufoconsipirando para irnos como Gnomos o hados o ninfos a ver si pillabamos cacho con alguna Gnoma, hada o ninfa que nos hiciera ver lo mismo que vemos como las setas.

Nuestro único consejo era seguir las enseñanzas de la madre de Stewie y encontrar a una chica que fume, porque si fuma....

En fin, en aquella mañana dulce y soleada nos econtramos vestidos de forma sexy listos para salir de marcha cuando nos encontramos con otro montón de pitufos para hablar de cosas de Pitufoinformáticos...


Pitufando
El rollo de lo que hablamos entre todos fue de esto de Pitufar ISA2k6

| View | Upload your own

Pitufo ISA 2k6
En la reunión había muchos pitufos y con alguno nos pitufamos una foto... a otros les dio vergüenza hacerse una pitufofoto con dos pitufos de más de metro setenta y cinco en pañales... que por cierto.. esto de mear mientras se da una charla tiene su aquel...

RoMaNSoFt pitufando
En fin, que esta vida se tiene que acabar, que uno ya tiene una edad para estar haciendo el pitufo...

Saludos Azules!

El Abuelo y Rosa se me van

No somos nadie, y menos si tienes hipoteca que cada vez eres menos nadie. Sniff. Así es la vida, unos que se van, otros que se vienen y algunos que no evolucionamos.

"Córtate esos pelos y dedicate a vivir la vida", me recomendaba el abuelo en la historia de "Spectra The Band", y eso es lo que debería haber hecho. No puede ser que lleve uno ya tantos años haciendo lo mismo... y lo que es peor... no me canse y siga con ello. En fin, los adictos al cachondeo, el flame, la tecla para poner comillas y no para hacer una pivot table, los adictos a escuchar interesantes charlas sobre como poder hacer fingerprinting de cosas en lugar de como analizar las tendencias de mercado tenemos que dar la despedida a nuestro querido Abuelo.

El Padre Parada, el abuelo, Pepe el evangelista, Don José Parada Gimeno, deja de ser evangelista. Los que tenemos la suerte de vivir cerca de él y compartir cafés, comidas, habitaciones de hotel y ducha (en serie, no en paralelo, eh panda de cabron@s, que ya sé yo lo que estáis pensando) sabíamos que tarde o temprano iba a pasar. José Parada deja de ser evangelista y se pasa a Ingeniero Especialista para ayudar a las administraciones púbicas. Ya nos lo quisieron quitar el año pasado, pero tras amenazar a demandar a la FIFA el departamento tuvo que frenar el fichaje, pero este año...es en firme.

Sin embargo, aun le quedan algunas acciones como Evangelista para los que queráis disfrutar de él. Hoy estará en Infosecurity a última hora de la mañana. Mañana nos vamos juntos a comer un Casa Cándido, digo... a dar una charla en Segovia, el día 16 va a pasar por Pamplona y el día 19 por Barcelona para cerrar su etapa el día 20 en la Formación Técnica de Auditoría y Seguridad Informática y en Agosto, con la charlita en las Defcon. José ha querido dedicarme sus últimos días como evangelista, cosa que yo se lo voy a agradecer siempre.

En otro orden de cosas, dentro de las noticias sobre Spectra, hay que anunciar otro cambio. En este caso es en la dirección, ya que Rosa, mi Rosa, había aceptado un puesto internacional y estabamos a la espera de saber quién era la/el sustitut@. Las quinielas estaban echadas desde hace tiempo y los papables eran "vox populi" en los mentideros de la corte, pero hasta el final no se supo ni se destapó el nombre del candidato.

Bien, ya habemus futata blanca y la elegida es Doña María Garaña, un mujer con experiencia en Spectra, en la dura lucha en el Lado del Mal. Así que, La reina se ha ido, Larga vida a la reina.
Esto... creo que esta mañana el café tenía un sabor raro....

Saludos Malignos!

La Wifi en Ubuntu 8.04 (III de III)

***************************************************************************************
La Wifi en Ubuntu 8.04 (I de III)
La Wifi en Ubuntu 8.04 (II de III)
La Wifi en Ubuntu 8.04 (III de III)
***************************************************************************************

Como ya sabéis mi Ubuntu está wipeado, pero tenía pendiente escribir la tercera parte de esta serie que le dediqué a la configuración de la wifi. Una de las cosas que probé, dentro de la desesperación de poder entender las herramientas Wifi que acompañanan la distribución de marras, fue la de configurar las opciones de mi conexión con iwpriv e wpa_supplicant.

iwpriv sirve para tocar parametros privados en el driver de tu tarjeta wireless y en concreto, mi driver, no permitía tocar ninguno y siempre me daba errores. Si no estás trabajando en algún proyecto de hacking wifi o similar te recomiendo que no sigas este camino para configurar la wifi de tu casa.

wpa_supplicant, por su parte, es el agente cliente que negocia las claves en conexiones WPA/WPA2. Este componente es utilizado por las herramientas gráficas que acompañan y por lo tanto, para configurar la wifi en un ordenador de usuario tampoco es camino más cómodo. Es un buen camino si estas desarrollando una solución empotrada o un sistema sin entorno gráfico.

Al final, cómo ya se vieron en la primera y segunda parte de este artículo aquellas son las herramientas que tienes para usar en el entorno gráfico. Sin embargo, hay una cosa que me llamó mucho la atención y que supongo que a todos vosotros os habrá pasado algo similar:

He perdido el icono de la red wireless

Sí, cuando tienes activado el modo itinerante aparece un bonito icono arriba a la derecha con un grafiquito que muestra la potencia de la señal.

El icono antes de irse
Vale, de repente, pones la configuración manual, es decir, desactivas el modo itinerante y tu icono se convierte en Kimi Raikkonen. Sí, el piloto de Ferrari de Formula 1. No, no es porque tu wifi corra más, sino porque pase lo que pasa el aspecto no cambia. Veamos unos ejemplos:

Internet: Configurada manualmente con acceso a Internet

Como se puede ver tenemos link, IP, puerta de enlace y DNS correctamente configurado.

¡Habemus Internete!
Y tenemos un "expresivo" icono.

Sólo Acceso Local

Quitamos la puerta de enlace, con lo que ya no podemos salir a Internet, sólo tenemos acceso a los equipos de la red local

Sólo LAN local
Y cómo se puede ver el icono no ha cambiado.

Sin dirección IP

Hemos quitado la configuración de la dirección IP así que tenemos link a la wifi pero no hay IP, es decir, tenemos cargada la pila de protcolos de red pero no podemos comnunicarnos con nadie.

Sin IP
El mismo icono, impasible, como la expresión de Kimi Raikkonen, sigue con nosotros.

Sin Link

Ahora, usando iwconfig configuramos una red wireless que no existe, es decir, no tenemos link wifi. ¿creeis que ha cambiado el icono?

Sin wifi

Bueno, estos fueron algunos detallitos de usabilidad que me hicieron perder mucho tiempo, pero claro, la culpa es mia que estoy acostumbrado a saber lo que pasa a un golpe de VISTA. Os dejo como es normalmente en el ordenador que suelo utilizar:

Con Acceso a Internet

Internet
Además, como se vé, el icono del banquito me indica qel perfil del firewall que tengo configurado en esta tarjeta. En este caso, perfil de conexión de red pública. No me fio de nadie.

Sólo Acceso Local

Sólo lan local
El que menos nos gusta ver cuando estamos en redes dando charlas.

Sin IP

... o no hay DHCP running
Sin Conexión

No Link my friend
Otra cosa distinta es que puedo agragar congiguraciones de redes wireless ocultas o que deseo que el sistema guarde sus configuraciones porque la herramienta tiene el botón [+] y puedo, sorprendentemente, elegir el orden de prioridad de conexión en caso de que haya más de una.

Adminsitrando mis wifis
Además, tanto si tengo IP fija o Dinámica puedo ver las redes que se han añadido manualmente y las que están mi entorno y conectarme o desconectarme a todas ellas.

Wifis disponibles
Pero claro, estas son opciones "accesorias" y "nada necesarias", sólo útiles para vendidos a Spectra como yo ¿verdad?

Saludos Malignos!

***************************************************************************************
La Wifi en Ubuntu 8.04 (I de III)
La Wifi en Ubuntu 8.04 (II de III)
La Wifi en Ubuntu 8.04 (III de III)
***************************************************************************************