Sigue El lado del mal en Telegram
Chema Alonso en Threads
Chema Alonso en Mastodon
Chema Alonso en BSKY
Chema Alonso en Linkedin
DragonJAR
8.8 Chile
Ekoparty
e-Hack MX 
AREA 51 
Comunidad Dojo Panamá 
ARPAHE SOLUTIONS 
Black Hat DC 2010
Terminó ya BlackHat DC 2010 y he de decir que no me voy nada descontento. Sí que es cierto que esta charla no es BlackHat USA en Las Vegas, pero no estuvo mal. A diferencia de BH USA Las Vegas donde hay muchos tracks y a diferencia de BH EUROPE donde sólo hay 2 tracks, en ésta hay 3 tracks en paralelo. Hubo uno dedicado al panorama hacker y los temas de hardware, otro dedicado íntegramente a Metasploit y otro a temas de application Security.
Nosotros tuvimos la suerte, y digo suerte porque así lo creo, de abrir el de Application Security el primer día. Entre los tres tracks habría unas 300 y pico personas, muy lejos de Las Vegas pero por encima de las 200 que suelen ir a BH Europe y en nuestra sala hubo pues eso, un tercio aproximadamente. La charla fue bien, y he conseguido una foto del momento de uno de los asistentes que la subió al “twittel” (invento del demonio…). Luego salió una reseña en Dark Reading sobre la charla gracias a una reportera de lo má simpática, Kelly Jackson Higgins, que se enteró de todos los conceptos. Una crá!: Black Hat DC: Researchers Reveal Connection String 'Pollution' Attack
Yo soy el de la "e" al que se le ve el "sexy trasero" en el espejo, Palako el de la camiseta de Spectra
Después pasaron por allí un montón de buenos ponentes, pero he de decir, que con el jet lag y la presión me vi obligado a descansar y seleccionar las charlas así que me fui a ver a:
David Litchifield y su Hacking Oracle [ponga aquí su versión]
La charla estuvo muy bien montada técnicamente y con cuatro demostraciones hizo ver como las políticas por defecto de Oracle permitían a cualquier picho pata convertirse en el amo del calabozo en la base de datos y en el sistema operativo. Yo creo que a David Litchfield Oracle no le quiere mucho… Al final de su charla, yo que soy un tipo educado, tuve que irme a buscar la palabreja esa que había puesto en su presentación: Who “plonker” did think this was a good idea?. La presentación fue muy buena con SQL Injection (lo menos), command injection a tavés de módulos Java y luego se inyectó unas dlls en C a través de paquetes Java. Para reírse. Por supuesto mostró que mientras, SQL Server 2005 había tenido 3 vulnerabilidades en 5 años y SQL Server 2008 lleva exactamente 0.
Leo Nve Y Christian Martorella
La verdad es que me salté esta charla, por motivos de cansancio y porque ya había visto parte en la Ekoparty, porque Leo me ha contado mucho de ella tras hablar con él en Argentina, en la CONFidence en Polonia y aquí, y porque estoy moviendo hilos para que hagan esa charla en el próximo Asegúr@IT. De todas formas, triunfaron y salieron en la revista Forbes como ya puse en mi twtiter.
Mike Kershaw
Mike es un tipo genial, simpatico, agradable y freak… como muchos de nosotros. En su apariencia de jugador de rol metalero se ha picado una tool que muchos seguro que conocéis Kismet. Fuimos a su charla y nos vimos un recorrido completo de cómo atacar redes WiFi desde L2 hasta la capa aplicación. Repasó como aplicar otros trucos conjuntamente para comprometer completamente un equipo. Muy interesante, así que le he pedido hacer una entrevista que veréis publicada por aquí.
HD Moore
La cuarta charla que elegí para ver fue la última y literalmente la última que le echaron del escenario por enrollarse mucho y fuimos los últimos en salir sin ver las últimas 10 diapos ;). La charla fue la historia de Metasploit, desde su primera versión en Perl, “El Visual Basic para Linux”, hasta que llegó a Rapid7 con … "y hasta aquí puedo leer que se firmaron los NDA". Como eligieron Ruby para susituir Perl… “Ok, nos va a llevar más de 1 año reprogramar todo.. .¿Qué lenguaje os parece divertido?” o el mal rollo cuando una empresa les comercializó Metasploit debido a la licencia tan permisiva que tenían. Nada técnico, todo muy divertido e historiador.
Por lo demás, todo estuvo tranquilo, polite y fácil. La gran mayoría, como es de esperar en Washington DC era personal militar y gubernamental y algunos de nuestros chistes no hicieron mucha gracia, pero cuando les hablamos de España, les pedimos perdón por La Macarena y Alejandro Sanz, les enseñamos a pedir otra cerveza y a correr en San Fermines si tenían 2 big balls… parece que sí les hizo gracia ;)
Saludos Malignos!
PD: Ya puedes acceder a muchas de las presentaciones y Whitepaper en la siguiente URL: Blackhat DC 2010 material
Nosotros tuvimos la suerte, y digo suerte porque así lo creo, de abrir el de Application Security el primer día. Entre los tres tracks habría unas 300 y pico personas, muy lejos de Las Vegas pero por encima de las 200 que suelen ir a BH Europe y en nuestra sala hubo pues eso, un tercio aproximadamente. La charla fue bien, y he conseguido una foto del momento de uno de los asistentes que la subió al “twittel” (invento del demonio…). Luego salió una reseña en Dark Reading sobre la charla gracias a una reportera de lo má simpática, Kelly Jackson Higgins, que se enteró de todos los conceptos. Una crá!: Black Hat DC: Researchers Reveal Connection String 'Pollution' Attack
Yo soy el de la "e" al que se le ve el "sexy trasero" en el espejo, Palako el de la camiseta de Spectra
Después pasaron por allí un montón de buenos ponentes, pero he de decir, que con el jet lag y la presión me vi obligado a descansar y seleccionar las charlas así que me fui a ver a:
David Litchifield y su Hacking Oracle [ponga aquí su versión]
La charla estuvo muy bien montada técnicamente y con cuatro demostraciones hizo ver como las políticas por defecto de Oracle permitían a cualquier picho pata convertirse en el amo del calabozo en la base de datos y en el sistema operativo. Yo creo que a David Litchfield Oracle no le quiere mucho… Al final de su charla, yo que soy un tipo educado, tuve que irme a buscar la palabreja esa que había puesto en su presentación: Who “plonker” did think this was a good idea?. La presentación fue muy buena con SQL Injection (lo menos), command injection a tavés de módulos Java y luego se inyectó unas dlls en C a través de paquetes Java. Para reírse. Por supuesto mostró que mientras, SQL Server 2005 había tenido 3 vulnerabilidades en 5 años y SQL Server 2008 lleva exactamente 0.
Leo Nve Y Christian Martorella
La verdad es que me salté esta charla, por motivos de cansancio y porque ya había visto parte en la Ekoparty, porque Leo me ha contado mucho de ella tras hablar con él en Argentina, en la CONFidence en Polonia y aquí, y porque estoy moviendo hilos para que hagan esa charla en el próximo Asegúr@IT. De todas formas, triunfaron y salieron en la revista Forbes como ya puse en mi twtiter.
Mike Kershaw
Mike es un tipo genial, simpatico, agradable y freak… como muchos de nosotros. En su apariencia de jugador de rol metalero se ha picado una tool que muchos seguro que conocéis Kismet. Fuimos a su charla y nos vimos un recorrido completo de cómo atacar redes WiFi desde L2 hasta la capa aplicación. Repasó como aplicar otros trucos conjuntamente para comprometer completamente un equipo. Muy interesante, así que le he pedido hacer una entrevista que veréis publicada por aquí.
HD Moore
La cuarta charla que elegí para ver fue la última y literalmente la última que le echaron del escenario por enrollarse mucho y fuimos los últimos en salir sin ver las últimas 10 diapos ;). La charla fue la historia de Metasploit, desde su primera versión en Perl, “El Visual Basic para Linux”, hasta que llegó a Rapid7 con … "y hasta aquí puedo leer que se firmaron los NDA". Como eligieron Ruby para susituir Perl… “Ok, nos va a llevar más de 1 año reprogramar todo.. .¿Qué lenguaje os parece divertido?” o el mal rollo cuando una empresa les comercializó Metasploit debido a la licencia tan permisiva que tenían. Nada técnico, todo muy divertido e historiador.
Por lo demás, todo estuvo tranquilo, polite y fácil. La gran mayoría, como es de esperar en Washington DC era personal militar y gubernamental y algunos de nuestros chistes no hicieron mucha gracia, pero cuando les hablamos de España, les pedimos perdón por La Macarena y Alejandro Sanz, les enseñamos a pedir otra cerveza y a correr en San Fermines si tenían 2 big balls… parece que sí les hizo gracia ;)
Saludos Malignos!
PD: Ya puedes acceder a muchas de las presentaciones y Whitepaper en la siguiente URL: Blackhat DC 2010 material
9 comentarios:
Para seguir esta línea de eventos importantes, podías hacer un poder y pasarte de nuevo por la Xtrelan este año xD
Supongo que tendrás la maligno-agenda chunga de hojas en blanco pero si tienes un hueco acuerdate de Extremadura.
Un saludo y si finalmente te animas me prometo una Cervecita.
Bambuka.
Muy interesante Chema.
¿Jet-lag viajando a Washington? Hay algo que no cuentas.
¿Cómo es que no fuiste a esta charla: 'Internet Explorer turns your personal computer into a public file server'? Parece muy relevante para este blog. ¿O no?
Pues si que parece que estuvo interesante la BH DC. A ver si tengo tiempo y me miro las diapositivas.
Qué tal la acogida de Foca 2? Me imagino que bien.
Vas a dar alguna conferencia por Bélgica, Países Bajos, Norte de Francia u Oeste de Alemania? Si la respuesta es afirmativa estaría encantado de ir.
Cuando es el Asegur@IT?
NaCl u2
@Rigolox, vamos a la Troopers 2010 en Hilderberg durante Marzo de este año.
Saludos!
"David Litchifield y su Hacking Oracle [ponga aquí su versión]"
Me encanta el título:-)
Menudo crá es el amigo Litchfield, por cierto, el link a su charla de la web de BH está mal :_( a ver si lo encuentro por ahí...
Un saludo. Buen finde.
Manolo.
Como le fue a la foca 2.0...
vacano que tengas tantas posibilidades de desplazamiento y eventos grandes de seguridad informatica...
por mi parte esperar el campus party en colombia para deleiternos un poco..
Buena elección la del David Litchifield. Tal vez el mayor talón de aquiles.
Saludos.
@Anonimo, no esta mal, lo han quitado por el zero day que tenia. No se habla de otra cosa en intennnnnne. :)
@bambuka, pues nada, si mi invitan haré por intentar sacar fecha e ir ;)
@Anónimo, la charla de IE me pilló en mal momento horario, pero tuve el placer de intercambiar unas palabras con el speaker de Core en el ascensor.
@Rigolox Selmineos, allí hablamos de CSPP, la FOCA 2.0 no se la enseñamos... ;)
@Mikelats, Oracle no debe querer mucho a Litchfield :P
Publicar un comentario