Ya estamos en el ecuador de la gira, han acabado las cinco primeras ciudades y la cosa ya va rodada, con lo que nos podemos relajar un poco. La experiencia personal después de las ciudades que ya han pasado ha sido muy divertida y ayer había que salir a cenar y comentar cosas y experiencias.
Entre las cosas que surgieron al amparo del Ribeiro, del golfo Paulo y de Diego, salió la divertida expresión y mirada que se le queda a algunos cuando descubren el SQL Injection. Esa primera comilla que te permite entrar en una zona privada de una web. Truco fácil y viejo, pero para algunos… ha sido ver "la luz".
“Osea.. que algunas cosas que salen en las pelis de hackers son verdad, ¿no?”, la simpática expresión de “¿pero qué me estas contando?” que suelta uno con los brazos en alto y los ojos fueras de las cuencas cuando ve que te puedes logar como admin o los brazos en la cabeza de otro como si lo que viera no fuera posible.
Podríamos decir vislumbrar la primera comilla es un momento de iluminación, de entrar en la iglesia de la seguridad informática y para muchos…el comienzo de una larga caminata sin fin por los vericuetos de las técnicas hackers.
A mí, como profesor me encanta, y pienso… “Espera, espera, que aun te vas a reír más” pues sé que cuando descubra los trucos que se han ido desarrollando se lo van a pasar teta. Así, les cuento como rfp publicó el NT Web technology Vulnerabilities, cómo después Litchfield publicó Web applications disassembly with ODBC error messages para sacar los datos con los mensajes ODBC y como lo explota Priamos, las sqlbftools, el avance con los documentos de Chris Anley Advanced SQL Injection in SQL Server y (more) advanced SQL Injection en los que descubría los ataques Blind por tiempos y cómo lo implementa SQL Ninja, paseamos por las técnicas de análisis de ataques Blind de Cameron Hotchkies para llegar a Absinthe, y pararse en cómo aparecen los ataques por tiempo usando la función Benchmark en MySQL y su uso en algún exploit, luego llegamos a las consultas pesadas, donde me encuentro con nombres de amigos como el de Kachakil, o el de RoMaNSoFt y su reducción del charset en ataques de booleanización en Blind LDAP Injection, el Deep Blind SQL Injection publicado por Ferruh y el BSQL Hacker y terminar visitando el Lateral SQL Injection…
El mundo que nace tras la primera comilla es apasionante. Yo sufrí esa sensación, ese momento de “mi primera comilla” …y la lie. A partir de ese momento…los días tienen muchas menos horas…
Saludos Malignos!
PD: La semana que viene nos vemos en Sevilla y Valladolid.
Entre las cosas que surgieron al amparo del Ribeiro, del golfo Paulo y de Diego, salió la divertida expresión y mirada que se le queda a algunos cuando descubren el SQL Injection. Esa primera comilla que te permite entrar en una zona privada de una web. Truco fácil y viejo, pero para algunos… ha sido ver "la luz".
“Osea.. que algunas cosas que salen en las pelis de hackers son verdad, ¿no?”, la simpática expresión de “¿pero qué me estas contando?” que suelta uno con los brazos en alto y los ojos fueras de las cuencas cuando ve que te puedes logar como admin o los brazos en la cabeza de otro como si lo que viera no fuera posible.
Podríamos decir vislumbrar la primera comilla es un momento de iluminación, de entrar en la iglesia de la seguridad informática y para muchos…el comienzo de una larga caminata sin fin por los vericuetos de las técnicas hackers.
A mí, como profesor me encanta, y pienso… “Espera, espera, que aun te vas a reír más” pues sé que cuando descubra los trucos que se han ido desarrollando se lo van a pasar teta. Así, les cuento como rfp publicó el NT Web technology Vulnerabilities, cómo después Litchfield publicó Web applications disassembly with ODBC error messages para sacar los datos con los mensajes ODBC y como lo explota Priamos, las sqlbftools, el avance con los documentos de Chris Anley Advanced SQL Injection in SQL Server y (more) advanced SQL Injection en los que descubría los ataques Blind por tiempos y cómo lo implementa SQL Ninja, paseamos por las técnicas de análisis de ataques Blind de Cameron Hotchkies para llegar a Absinthe, y pararse en cómo aparecen los ataques por tiempo usando la función Benchmark en MySQL y su uso en algún exploit, luego llegamos a las consultas pesadas, donde me encuentro con nombres de amigos como el de Kachakil, o el de RoMaNSoFt y su reducción del charset en ataques de booleanización en Blind LDAP Injection, el Deep Blind SQL Injection publicado por Ferruh y el BSQL Hacker y terminar visitando el Lateral SQL Injection…
El mundo que nace tras la primera comilla es apasionante. Yo sufrí esa sensación, ese momento de “mi primera comilla” …y la lie. A partir de ese momento…los días tienen muchas menos horas…
Saludos Malignos!
PD: La semana que viene nos vemos en Sevilla y Valladolid.
http://www.nytimes.com/2008/11/16/us/politics/16blackberry.html?_r=1&scp=3&sq=blackberry%20obama%20&st=Search
ResponderEliminarala pa que digais luego bobadas de seguridad...a cascarla el win mobile 6.
Y a ver si de paso entre los 5000 que van a despedir en mocosoft limpian a tanto farandulero como hay...
@anónimo,
ResponderEliminarhttp://elladodelmal.blogspot.com/2009/01/obama-y-windows-mobile-por-hctor-snchez.html
Saludos!
Los dos "papers" de Chris Anley de NGS Software fueron para mi (e imagino que para muchos) todo un flash en el mundo de las intrusiones en páginas web. Anda que no nos han proporcionado horas de diversión...
ResponderEliminarte la voy a pegar en castellano, porque como no lees..
ResponderEliminarhttp://www.elpais.com/articulo/internet/Obama/queda/BlackBerry/elpeputec/20090123elpepunet_2/Tes
@anónimo,
ResponderEliminarlos días como hoy, en los que me han cancelado el vuelo en A Coruña y estoy en Santiago de Compostela, la pielecita que recubre mis testículos se encuenra más fina y sensible de lo habitual. Estos días prefiero dedos cariñosos y aterciopelados en lugar de tocaduras innecesarias.
El artículo dice que Obama ha impuesto su decisión por encima de la política de seguridad, que es justo lo que queremos todos los técnicos, que llegue un jefado y se salte la política porque le sale de la punta el rabo.
Te he dejado el link (escrito desde mi HTC) para pudieras ponerlo y discutir en ese post, que ya se habló de eso y de la preferencia de Obama, pero como necesitas más "cariño" al final he sacado el portátil y la 3G.
¿Por qué firmas en anónimo? ¿No te gusta tu opinión?
Lo dicho, que me voy a mi Madrid. Disfruta el subidón de que Obama se quede la BB, yo tengo una PSP y también me la quedo.
PD: No sé si lo sabes o no, pero yo no trabajo en Spectra. ¿Tú dónde trabajas?
Saludos Malignos!
Me imagino a más de uno acordándose de la familia del nuevo jefe por el trabajo extra que le va a dar. En fin, creo que queda claro que allí, igual que aquí, el capricho del jefe manda sobre todo lo demás.
ResponderEliminaren cuanto al post: jojojo
ResponderEliminarme he sentido muy identificado con el post.
ResponderEliminarel día que hice un ' or '1'='1 en una web que había desarrollado y conseguí saltarme el login se me abrió un nuevo mundo.
y hoy en día, son incontables las horas que paso por diversión poniendo y quitando comillas :_
Maligno dice: "que es justo lo que queremos todos los técnicos, que llegue un jefado y se salte la política porque le sale de la punta el rabo."
ResponderEliminar¿Qué se hace en estos casos?
Ejemplo, si llega el jefe y te dice que no piensa dejar de usar WEP de 64 bit (o que quiere seguir usando la Nintendo DS, que sólo soporta 128 :P), tú le dices que es una locura y él te dice que "por sus webos que para eso es jefe" o similar.
¿qué hacemos?
jajajajaja cuanto cabrón por metro cuadrao..
ResponderEliminarEsti Obama ye un grande, y la Señorísima NSA a callar...
Que qué se hace? pues eso, cuando un jefe pide gilipolleces se aplica el doble rasero si se puede, por delante sisi a todo y por detrás a mi bola..
Y d lo de Microsoft-5000.. taba cantao, ni el imperio se libra de los ERE. No se por donde leí hoy que los resultados de este semestre pasao fueron malos malos, casi malignos :P
Aunque para mí la noticia del día es lo mal que se han tomado los Sun boys que red Hat les haya superado en volumen de negocio por primera vez..
Saludos!
Wi®
@josemaria,
ResponderEliminarLos pappers de Chris son el umbral de la puerta introductoria al SQL Injection y demás técnicas, dios bendiga esos pappers que recordare hasta la tumba!
Saludos,
hola....
ResponderEliminarpues a ver si encuentras esos dedos "cariñosos y aterciopelados"....jajajajaja, el descanso del guerrero, porque para cabrones ya hay muchos por aqui, y al Obama Hussein (vaya tela) que le den.....mal troyano que le entre. Y como bien dices, espero verte en Sevilla DC. Saludos.