31/03/2017

Skype lây lan ransomware bên trong quảng cáo của ứng dụng

Hãy cẩn thận khi bấm vào các quảng cáo trong Skype, bởi bạn có thể bị mất toàn bộ dữ liệu quan trọng.
Một số người dùng Skype cho biết các quảng cáo bên trong ứng dụng nhắn tin này có thể làm lây lan ransomware, tấn công thiết bị và dữ liệu của người dùng để tống tiền. Các ransomware giả mạo dưới các quảng cáo định dạng Flash và đánh lừa người dùng.
Nếu vô tình bấm vào các quảng cáo này, nó sẽ kích hoạt việc tải xuống một file ứng dụng HTML. Ứng dụng này được thiết kế trông giống như một ứng dụng an toàn, nhằm mục đích nâng cấp trình Flash.
Tuy nhiên nếu tải về, ransomware sẽ có cơ hội tấn công máy tính của người dùng. Chúng sẽ khóa và mã hóa các tập tin trong máy tính, bắt người dùng trả tiền chuộc để có thể lấy lại các dữ liệu quan trọng.
Chuyên gia an ninh mạng Ali-Reza Anghaie của Phobos Group cho rằng các ransomware giả mạo quảng cáo trong Skype cùng loại với các đợt tấn công gần đây của chiến dịch Locky Ransomware. Locky từng là mối đe dọa ransomware nguy hiểm nhất vào năm 2016, tấn công các máy tính dựa trên JavaScript và không cần sự hỗ trợ từ bất kỳ ứng dụng nào khác.
Microsoft vẫn chưa có phản hồi gì về vụ việc này. Trước khi Microsoft có hướng giải quyết, chúng ta nên cẩn thận khi bấm vào các quảng cáo trong ứng dụng Skype và tuyệt đối không tải về hay cài đặt bất kỳ file được yêu cầu nào.
Tham khảo: zdnet

29/03/2017

Website bộ Ngoại giao Hàn Quốc bị tin tặc Trung Quốc tấn công.

Bộ Ngoại giao Hàn Quốc cho biết trang web của cơ quan này vừa trải qua một số cuộc tấn công mạng có nguồn gốc từ Trung Quốc.
"Một số vụ tấn công từ chối dịch vụ bắt nguồn từ Trung Quốc đã xảy ra trên các trang web, trong đó có cả của Bộ Ngoại giao", phát ngôn viên Cho June-hyuck thông báo.
Ông Cho cho biết các biện pháp phòng vệ được thực hiện ngay lập tức chống lại các cuộc tấn công mạng và chưa có thiệt hại nào được ghi nhận.
Theo Yonhap, bộ Ngoại giao Hàn Quốc đã lập tức triển khai một nhóm phản ứng đặc biệt và phân phát tài liệu hướng dẫn cho các phái đoàn ngoại giao của nước này tại Trung Quốc.
Phát ngôn viên Bộ Ngoại giao Hàn Quốc Cho June-hyuck. Ảnh: Yonhap.
Tháng trước, trang web tiếng Trung của tập đoàn bán lẻ Hàn Quốc Lotte và một số trang web khác của thương hiệu này cũng bị tấn công tương tự, gây thiệt hại nặng nề về doanh thu.
Các cuộc tấn công xảy ra trong bối cảnh Trung Quốc tăng cường các hành động trả đũa đối với việc triển khai hệ thống đánh chặn tên lửa của Mỹ ở Seoul hay còn gọi là THAAD.
Trung Quốc đã kịch liệt phản đối việc triển khai THAAD mà nước này cho là sẽ ảnh hưởng đến lợi ích an ninh quốc gia.

28/03/2017

Malaysia tăng cường an ninh mạng.

Ngày 26/3, Bộ Quốc phòng Malaysia thông báo sẽ đưa vào hoạt động hệ thống phòng chống các cuộc tấn công mạng vào tháng 10/2017.
Phát biểu với báo giới, Bộ trưởng Bộ Quốc phòng Malaysia Hishammuddin Hussein cho biết, với hệ thống đã được phát triển từ 2 năm trước, Malaysia sẽ được tăng cường khả năng đối phó với các cuộc tấn công mạng. Đây cũng được giới thiệu là hệ thống phòng thủ mạng tốt nhất Đông Nam Á.
Ông Hishammuddin Hussein nhấn mạnh, tấn công mạng có thể khiến nền kinh tế đi xuống và các ngân hàng sẽ là mục tiêu của tin tặc. Tấn công mạng hiện là nguy cơ toàn cầu vì bất cứ quốc gia nào cũng là mục tiêu của các hacker.

27/03/2017

Tại sao cần mã hóa mật khẩu ? Và các kiểu mã hóa thường gặp.

Lotte, Vietnamwork lộ tài khoản và mật khẩu người dùng và thấy bảo rất nguy hiểm vậy nguy hiểm ở mức nào và liệu người dùng đổi mật khẩu ở Lotte, VNW thì còn có an toàn không?. 

Theo tôi thì CỰC KỲ NGUY HIỂM bởi lẽ thứ nhất là người dùng đã bị lộ thông tin cá nhân và có thể bị dùng thông tin đó cho mục đích ko hay nào đó như spam chẳng hạn. Nhưng nguy hiểm nhất vẫn là bị lộ mật khẩu vì thói quen người dùng thường dùng chung mật khẩu cho nhiều trang web do đó nếu lộ ở trang Lotte thì những đối tượng xấu có thể đơn giản chạy con crawler sang các trang khác với email/tài khoản + password trong đống dữ liệu đó và người dùng có thể mất nhiều thứ hơn.
Mật khẩu trong database đã được băm.
Ok! nói đến đây thì chắc hẳn ai cũng biết để đảm bảo an toàn chúng ta cần mã hóa mật khẩu. Nếu bạn nào hay code Rails mà để ý khi chúng ta dùng gem Devise để đăng nhập thì trong db sẽ không có trường mật khẩu mà thay vào đó là trường mật khẩu mã hóa (encrypted_password) với nội dung ví dụ “$2a$10$H3pCAbs2zO1lY5ZtOKe6a.cmBZ0f9axdaNakzvyjzyDpDwDtTdicO” và giả sử mật khẩu người dùng là "abc123". Thì đây chính là đoạn mã Hash của mật khẩu "abc123" đó. Khi người dùng đăng nhập lại thì mật khẩu họ nhập vào sẽ bị mã hóa thành chuỗi kí tự như trên và so sánh với encrypted_password đã lưu trong db để xác thực mật khẩu đúng hoặc sai. Điều này đạt được là dựa vào đặc tính cơ bản của mã hóa hash này đó là tính 1 chiều ( là khả năng không bị dịch ngược đoạn encrypted_password thành password) và tính duy nhất tức là từ 1 đoạn mã text đầu vào thì chỉ cho ra 1 đoạn mã output duy nhất. Ngoài ra còn có rất nhiều các đặc tính khác mà tôi sẽ nói ở sau đây, đồng thời tôi sẽ lý giải tại sao dùng hash mà không phải các thuật toán mã hóa khác.

Các Định nghĩa cơ bản của mã hóa cho anh em dev

Hỏi: Mã hóa là gì?
Đáp: Mã hóa là sử dụng các thuật toán để đảm bảo an toàn nội dung cho một đối tượng nào đó.

Hỏi: Chọn lựa phương pháp mã hóa như nào là hợp lý?
Đáp: Có thể đoan giản dựa vào 2 yếu tố :
         - Lượng thông tin cần mã hóa.
         - Mục đích việc mã hóa:
                     .Tính bảo mật – Confidentiality?
                     .Tính toàn vẹn – Integrity?
                     .Tính xác thực – Authenticity?
                     .Chống chối từ (đại khái là đảm bảo thông tin gửi đi từ nguồn nào xác thực mà ko thể chối cãi) Non-repudiation? Deniability? (These two are opposites.)


Note: đừng bao giờ tự sáng tạo kiểu mã hóa của riêng mình khi bạn chưa nắm rõ.
Như tôi đã nói ở trên các phương pháp mã hõa cần đảm bảo rất nhiều các yếu tố do đó chỉ nên viết phương pháp mã hóa khi bạn là chuyên gia và chứng minh là nó đủ tốt để dùng, còn không thì hãy cứ dùng những cái đã có sẵn vì nó đã đủ tốt và kiểm tra kĩ lưỡng để sử dụng rồi.

Sơ đồ chung của các phương pháp mã hóa. 

Các mã hóa thường dùng như sha256, MD5, BLAKE2 … Ưu điểm của phương pháp này đó là tốc độ nhanh, mã hóa theo 1 chiều và không thể giải mã ngược lại. Tuy nhiên ở mã hóa MD5 tính bảo mật lại khá yếu do size oupt sinh ra bé nên người ta có thể tính toán ra 1 đoạn mã tương tự có thể sinh ra ouput giống với input gốc (các bạn tự liên hệ risk khi dùng MD5 mã hóa password lưu trong db và để lộ db).

Tác dụng của phương pháp này chủ yếu là dùng để xác thực tính toàn vẹn của file / mesage (khi bạn down load các file lớn trên mạng về máy thì thường có thêm 1 đoạn mã MD5 cái này là để bạn check lại mã MD5 sinh ra với file bạn down về và với dữ liệu gốc, nếu đoạn mã MD5 là giống nhau tức là file bạn down về giống với file gốc còn nếu sai thì tức là trong lúc tải file về bạn đã bị mất mát dữ liệu).


Secret Key Cryptography / Mã hóa bằng khóa bí mật


Đây là kiểu mã hóa mà input vào ngoài dữ liệu còn có thêm 1 đoạn mã key bí mật mà không bị public ra bên ngoài

Keyed Hash Functions

Đây là kiểu mã hóa dùng hàm hash nhưng có thêm 1 giá trị key nhằm tạo ra 1 message_authentication
1 trong phương pháp hay dùng đó là HMAC:
Phương pháp này thì được đánh giá an toàn hơn hash thường vì có key bí mật và chỉ ai có key thì mới có thể tính toán được đoạn mã xác thực sau khi mã hóa ngược lại đoạn nội dung và so sánh với mã xác thực đi kèm nhằm đảm bảo tính toàn vẹn của dữ liệu nhận được.
Secret Key Encryption – mã hóa key bí mật
Đơn giản mà nói thì đây là kiểu mã hóa dùng một key bí mật mà đảm bảo dùng key này ta có thể mã hóa dữ liệu (plain text) thành 1 đoạn mật mã (ciphertext) và đồng thời có thể khôi phục được duy nhất toàn bộ dữ liệu từ đoạn mã hóa kia.
Tuy nhiên kiểu đơn giản (như kiểu ECB mode) như này thì sẽ không an toàn cho 1 số trường hợp ví dụ khi bạn mã hóa 1 đoạn (16bytes) các ký tự giống nhau thì đoạn mã hóa trả ra cũng sẽ bị lặp lại.
Do đó mã hõa dùng key bí mật hiện đại ngày nay ngoài 2 trường trên người ta đã thêm 1 trường mới là vecto khởi tạo IV (Initialization Vector) hoặc nonce (1 số ngẫu nhiên dùng 1 lần). Trong mã hóa này thì trường key sẽ cần bảo mật 2 trường IV, nonce thì sẽ lưu trong đoạn mã gửi đi.
Authenticated Secret-Key Encryption – Mã hóa key xác thực
Đây là phương pháp kết hợp 2 cách trên. Đó là luôn mã hóa bằng key kết hợp với việc dung 1 key khác để xác thực nội dung đoạn mã hõa thông qua tính toán ra giá trị MAC dựa vào giá trị đoạn mã hóa truyền vào
Việc mã hóa này đảm bảo tính an toàn đó là đoạn mã chỉ có thể được giải mã đúng khi dùng đúng key và tính toàn vẹn, xác thực của nội dung đoạn mã nhận được.

Public Key Cryptography / Mã hóa bằng public key

Để mô tả 1 các đơn giản các bạn có thể xem ở hình sau:
như các bạn thấy ở đây nó khác so với dùng 1 key bí mật ở phần trên, ở đây ta dùng tới 4 key
Đầu tiên là 2 key bí mật của từng người mà ko được chia sẻ cho bất cứ ai (lưu ý ko được chia sẻ cho bất cứ ai)
và 2 key public tương ứng với 2 key bí mật, 2 key public này được thông báo tới bất cứ ai
Với điều kiện dựa vào private key ta có thể tính toán ra được public key tuy nhiên chiều ngược lại là ko được ta không thể dựa vào public key để tính ra giá trị của private key, điều này đảm bảo tính bảo mật của private key là chỉ duy nhất người tạo ra key biết.
Phương thức hoạt động của kiểu mã hóa này đó là 2 người sẽ trao đổi public key cho nhau.
Sau đó khi A muốn gửi dữ liệu sang bên B thì A sẽ gửi dữ liệu bị mã hóa bới public key của B (key đã được chia sẻ ở bước trước) sang B, sau đó B sẽ dùng private key của mình để giải mã dữ liệu.
Tính bảo mật dữ liệu ở đây được đảm bào là nhờ dữ liệu sau khi được mã hóa bằng public key của B thì chỉ có dùng private key của B mới giải mã được, mà khóa private B được giữ bởi duy nhất B nên không ai có thẻ giải mã được đoạn mã hóa bằng publib key B.
Khi B gửi dữ liệu sang A thì cũng dùng các tương ứng là mã hóa dữ liệu bằng public key của A.
Ngoài ra phương pháp này còn có chữ kí số dựa vào 1 phần nội dung dữ liệu được mã hóa bằng private key, người nhận dữ liệu sẽ dùng public key của người gửi đã chia sẻ trước đó để kiểm tra lại chữ kí và so sánh với dữ liệu nhận được.
OK đây là nhưng kiến thức cơ bản, giờ chúng ta quay lại 1 chút về câu hỏi mở đầu, là việc mã hóa mật khẩu
chúng ta sẽ tìm hiểu sâu hơn thông qua việc đặt vấn đề ngược cho phương pháp mã hóa mật khẩu mà hiện chúng ta đang sửa dụng
Hỏi: Mã hóa mật khẩu sử dụng hàm hash (thường dùng bcrypt), vậy tại sao lại dùng hàm hash để mã hóa mà không phải dùng cách khác như dùng mã hóa bằng secret key, publickey …
Đáp: chúng ta chỉ sử dụng hàm hash cho mật khẩu mà không phải các phương pháp khác vì lý do cơ bản nhất đó là tính không thể dịch ngược điều đó đảm bảo thông tin mật khẩu chính xác bạn lưu trên máy chủ là khổng thể bị tra lại trên dữ liệu, cho dù là admin quản lý hoặc các hacker chiếm được quyền điều khiển hệ thống hay khi xảy ra sự cố như lộ db ra ngoài (như vụ Lotte ở phần mở đầu) thì các đối tượng xấu vẫn không thể nào biết được mật khẩu thực sự bạn sử dụng, từ đó hạn chế được các tổn thất chỉ ở 1 vùng dữ liệu bị chiếm dụng mà thôi.
Tuy nhiên hash password khác Hash cơ bản vì nó cần đảm bảo thêm nhiều điều kiện để đảm bảo tính an toàn
Lời kết
Đây chỉ là những kiến thức cơ bản của mã hóa, hi vọng là các bạn đã có thêm những kiến thức mới về bảo vệ an toàn thông tin.
Theo: Techtalk via viblo

26/03/2017

How a VPN protects you on Public Wi-Fi?

Why using a VPN while surfing Internet on Public Wi-Fi can be a lifesaver

Public Wi-Fi has become a lifeline for people on the go or professionals that travel for work, whether it’s in the airport, hotel, or cafes. But convenience and connectivity can come at a price. Public Wi-Fi networks, especially free ones, are not secure and can be easily tampered with. Users on these networks should be wary that their browsing habits or login information could be open season.
There are several steps you can take to be safer on public Wi-Fi.

Best practices

It’s pretty common for a Wi-Fi network to ask for some personal details before letting you log on. This is typically seen in coffee shops and airports where the network requests an email address and possibly other contact details, sometimes even phone numbers. Consider using a second throwaway email account for signing up to Wi-Fi so your regular email doesn’t get inundated with updates and promotional emails from coffee shops.
Take special care when selecting a public Wi-Fi spot too. You may open up the connections to find a dozen options available, many with similar names. Make sure you are connecting to the official network provided by the business or location you are in. It’s easy for eavesdroppers to create fake networks with legitimate-looking names that will only be used for snooping on your browsing or stealing your data.
Having said that, just because the network is the official one offered by the business does not mean it’s fully safe. It can still be infiltrated by malicious actors. There is a litany of unscrupulous software out there that makes snooping on open Wi-Fi very easy as well as carrying out man in the middle attacks (MITM), where data is intercepted and altered in transit before hitting its destination. Programs like Wireshark and copycat software are unnervingly easy to access and use for intercepting unsecured traffic on public networks. You need to have your wits about you at all times when logging on.
Once you’re connected, you should be careful with what sites you visit and stick to the ones that are secure or are at least more secure than others.
There is also an onus on websites to make their pages more secure for users regardless of where they are.
If you’re unsure about how protected a site is, check its address bar to see if it is using HTTPS (Hypertext Transfer Protocol Secure). HTTPS is a more robust version of HTTP where the communication has been encrypted with Transport Layer Security (TLS). This is usually illustrated by a green padlock symbol in the address bar, though that may depend on what browser you are using. Be wary of each site you visit on public Wi-Fi and stick to the ones you know are making a strong effort at security.
Without protection, your login information, financial information, and personal data like photos and documents can be potentially at risk. You should also have two-factor authentication enabled on your accounts. This creates a two-step process for signing in; first with your regular password and then a one-off code that is sent to your mobile device by SMS. This creates yet another barrier for snoopers that are trying to break into your accounts.
These are simple best practices that you should adhere to but there is still much more to do. Public Wi-Fi is very convenient but it is still a long way off from being truly efficient yet safe.

Take no chances, use a VPN

For greater protection, users should turn to a VPN (virtual private network) for a more rounded protection.
It will not provide 100% security – nothing does – but coupled with the best practices listed above, you will have a much better chance of staying secure.
VPNs have many uses, from accessing geoblocked content to hiding your real IP addresses but added protection on public Wi-Fi is another primary reason that people may use VPN services. Think of it as your frontline defenses against any attacks or breaches online.
A VPN will take your internet traffic and funnel it through its own encrypted servers, adding a protective layer to your browsing that otherwise wouldn’t exist. This is especially important when accessing sites that don’t use HTTPS. In general, we would advise against logging into sensitive accounts like online banking or using payment cards on public Wi-Fi, but if you do, you should definitely be connected to a VPN.
Also, the operators of a public Wi-Fi hotspot have control over what sites can be accessed. You have likely found yourself in a café and clicked a link of a YouTube video, only to find that it is blocked. Being connected to a VPN while on the hotspot can help overcome these kinds of restrictions using the same methods that VPN users employ for working around geoblocks.

What VPN will you need?

The VPN market is flooded with providers offering different subscription services and free services. We recommend that you opt for a paid service with a good reputation. You get what you pay for after all.
Each VPN provider promises greater protection than its competitors and sometimes these promises can be pretty lofty and maybe even unrealistic.
There are several things to consider when choosing a VPN. Firstly, using public Wi-Fi is just one aspect that makes VPNs popular.
What encryption do they use? The standard you should expect is 256-bit encryption. For example, ExpressVPN, which is one of the more popular VPN providers out there, uses 256-bit encryption to protect its users’ traffic and browsing habits. It also provides a 24 hour support helpline for users as well as live chat features – ideal for people on the go after they encounter any problems.
Not all VPNs can offer the same features but plenty of services make big promises so it can be easy to be duped. Along with strong encryption protocols and helpful customer support services around the clock, a VPN needs to have the right amount of servers in the optimum locations that make sense for you. Lag can still be an issue when connecting to a far flung server. You may want to connect to a server in another country to hide your own details but not experience any slowdowns in your connectivity. You’ll need to pick a server nearby.
IPVanish is another popular VPN option for travellers and regular public Wi-Fi users. It has unlimited bandwidth and 24/7 customer services but no live chat feature. Its connections are generally reliable but if you find yourself with technical issues in an airport, you may be waiting a couple of hours for help.
Your VPN connection needs to be stable. Wi-Fi is usually quite patchy so you want a VPN that doesn’t drop off too easily. If your VPN connection ever breaks, your personal data could be exposed immediately.
To get around this, some VPN providers have a feature called a “kill switch”. The kill switch is like a safety net for when things go wrong. If your VPN connection drops off, it will take matters into its own hands. Instead of switching back to the regular internet connection (which is usually the case), the VPN kill switch will kill off the internet connection entirely. The kill switch takes no chances.
Several VPN providers have kill switch features including Private Internet Access, HideMyAssVPN, and TorGuard. If you are already using a VPN that doesn’t have a kill switch there are ways around this. VPNetMon is a free software that will close certain programs you are running if the VPN connection drops off. Similarly, VPN Watcher is a freemium monitoring tool for your VPN connections. These are convenient options but if you are buying a VPN service for the first time, we would recommend that you choose one with a kill switch built in from the beginning.
With all the risks now known, using public Wi-Fi may sound like a nightmare but it doesn’t have to be that way. Your approach to public Wi-Fi doesn’t need to be any different from your general approach to good personal online security. Stay wary of risks at all time, be suspicious of links, and employ the right software like VPNs to guard against threats.

25/03/2017

Google loại bỏ hàng loạt mã độc quảng cáo ra khỏi Play Store

Với sự tăng trưởng của thị trường di động, mã độc quảng cáo (Adware) trở thành một trong những mối đe dọa phổ biến nhất. Adware thường được sử dụng để đẩy quảng cáo hiển thị trên màn hình của người dùng nhằm mục đích kiếm tiền.
Vấn đề càng trở nên phức tạp do Adware dần được trang bị với những mục đích khác như thu thập thông tin cá nhân từ thiết bị di động, thông tin vị trí, số hiệu thiết bị, danh bạ và dữ liệu trình duyệt.
Tuy nhiên, rủi rỏ trên Android cao hơn các nền tảng khác do Android cấp nhiều quyền hơn cho ứng dụng. Mặc dù Google đã nỗ lực loại bỏ các ứng dụng đe dọa tiềm năng trên Play Store trong nhiều năm qua và thêm các cơ chế kiểm tra mã độc, Adware vẫn dễ dàng tìm được cách tấn công hàng triệu người dùng.
Trong động thái mới nhất giúp hệ sinh thái Play Store an toàn hơn, Google đã rà soát một lượng lớn mã độc quảng cáo và một mạng ma ảo lây nhiễm trên thiết bị Android của người dùng thông qua ứng dụng từ Play Store.
Kĩ sư của Google đã phát hiện lưu lượng quảng cáo đáng ngờ thường xuyên gửi tới người dùng. Mặc dù các ứng dụng đã được làm rối và chống phân tích mã nguồn, Google vẫn có thể tìm ra một mạng lưới nhà phát triển phát tán mã độc tới người dùng. Google cũng đã cập nhật hệ thống kiểm tra ứng dụng của mình để có thể phát hiện các mối đe dọa tốt hơn.

THN

21/03/2017

Telnet Cisco bị lỗi 0-day trên 300 thiết bị Switch

Cisco đang cảnh bảo về lỗ hổng Zero-Day trên IOS/ IOS XE ảnh hưởng đến hơn 300 thiết bị Switch của Switch.
Các công ty đã xác định được mức độ nguy hiểm cao của lỗ hổng này trong tài liệu phân tích “vault 7” được WikiLeaks công bố với khoảng 8761 tài liệu vào tuần trước. Tài liệu này nói rõ chi tiết các công cụ hacking và thủ thuật Hack của cơ quan tình báo CIA.
Lỗ hổng này nằm trong phần mã xử lý của giao thức Cluster Management Protocol (CMP) trong Cisco IOS và Cisco IOS XE.
Lỗ hổng này được khai thác với tên gọi (CVE-2017-3881) có thể cho phép Hacker từ xa không cần phải thực hiện chứng thực, có thể tấn công và gây khởi động lại thiết bị hoặc thực thi các mã độc từ xa trên thiết bị để thực hiện tấn công leo thang đặc quyền (elevated privileges) để chiếm quyền kiểm soát thiết bị. Theo như Cisco đã nói.
Giao thức CMP đã được thiết kế để truyền tải thông tin xung quanh các Switch trong Cluster Switch bằng Telnet hoặc SSH.
Lỗ hổng này nằm trong cấu hình mặc định của các thiết bị Cisco, ngay cả khi người dùng không thực hiện cấu hình bất kì dòng lệnh nào trong Cluster. Lỗ hổng này có thể bị khai thác trong quá trình đàm phán một phiên Telnet trên IPv4 hoặc IPv6.
Theo các nhà nghiên cứu Cisco, lỗi này xảy ra trong các kết nối telnet trong CMP do 2 yếu tố:


  • Giao thức này đã không hạn chế việc sử dụng các tùy chọn Telnet cụ thể để chỉ cho phép giao tiếp nội bộ giữa các thành viên trong Cluster. Thay vào đó, nó cho phép và xử lý lệnh qua bất kì kết nối telnet nào với một thiết bị bị ảnh hưởng.
  • Việc xử lý không chính xác các tùy chọn của Telnet trên CMP.



Các nhà nghiên cứu cho biết, để khai thác lỗ hổng này. Hacker có thể gửi các options telnet trên CMP khi thiết lập một phiên Telnet với một thiết bị Cisco được cấu hình Telnet.
Việc khai thác này cho phép Hacker có thể thực hiện các mã độc từ xa và kiểm soát hoàn toàn thiết bị hoặc reload lại thiết bị.
Disable Telnet On Vulnerable Models — Patch is not Available Yet!
Lỗ hổng này ảnh hưởng đến 264 thiết bị Catalyst Switches, 51 Ethernet Switches và 3 thiết bị khác bao gồm: Catalyst Switches, Embedded Service 2020 switches, Enhanced Layer 2/3 EtherSwitch Service Module, Enhanced Layer 2 EtherSwitch Service Module, ME 4924-10GE switch, IE Industrial Ethernet switches, RF Gateway 10, SM-X Layer 2/3 EtherSwitch Service Module và Gigabit Ethernet Switch Module (CGESM) for HP.
Các bạn có thể kiểm tra danh sách các thiết bị Cisco bị ảnh hưởng bởi lỗ hổng này tại đây: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170317-cmp
Hiện tai, lỗ hổng này chưa được vá và cho đến khi có các bản vá lỗi bảo mật thì Cisco khuyến cáo chúng ta nên vô hiệu hóa chức năng Telnet trên các thiết bị Switch và chuyển qua sử dụng SSH để an toàn hơn.
Cisco sẽ cập nhập công cụ IOS Software Checker tool của mình ngay khi có các bản vá sớm nhất.

20/03/2017

Một nhóm hacker thực hiện thành công "Vượt ngục máy ảo VMWare", nhận 105.000 USD tiền thưởng

Theo lời các chuyên gia bảo mật Việt Nam, nếu được bán trên chợ đen, cách tấn công vượt ngục máy ảo này có thể có giá hàng triệu USD.
Các thí sinh tại cuộc thi hack Pwn2Own năm nay vừa làm nên một thành công đáng kinh ngạc. Bằng cách lợi dụng lỗi trên trình duyệt kiên cố của Microsoft, Edge, họ đã "vượt ngục" (escape) ra khỏi máy ảo VMWare Workstation mà nó đang chạy trên đó. Nhóm thực hiện được cách tấn công này sau đó đã được thưởng 105.000 USD, phần thưởng cao nhất từng được trao trong cuộc thi này cho đến nay.
Theo một tweet từ ban tổ chức cuộc thi vào sáng thứ Sáu vừa qua, các thành viên thuộc nhóm bảo mật Qihoo 360 đã thực hiện một cuộc tấn công bằng cách khai thác lỗi tràn bộ nhớ heap trong trình duyệt Edge, một loại lỗi phức tạp trong nhân Windows và một lỗ hổng không khởi tạo bộ nhớ đệm trong máy ảo VMWare.
Kết quả là nó tạo ra “một cuộc vượt ngục hoàn toàn ra khỏi máy ảo.”
Giám đốc điều hành của Qihoo360, Zheng Zheng cho biết qua email. “Chúng tôi sử dụng một lỗi engine bên trong Microsoft Edge để giành quyền thực thi code bên trong sandbox của Edge, và chúng tôi sử dụng một lỗi trong nhân Windows 10 để thoát khỏi nó và gây tổn thương hoàn toàn cho máy khách. Sau đó, chúng tôi khai thác một lỗi giả lập phần cứng bên trong VMWare để thoát ra từ hệ điều hành máy khách sang hệ điều hành máy chủ host. Tất cả đều chỉ bắt đầu từ việc kiểm soát một website.”
Các máy ảo là thành phần rất quan trọng cho bảo mật của mọi cá nhân và các doanh nghiệp lớn. Trong môi trường máy chủ hosting, chúng được sử dụng như một container (môi trường được đóng gói) để ngăn chặn dữ liệu và hệ điều hành của một khách hàng, bị truy cập bởi các khách hàng khác khi chia sẻ cùng một máy chủ vật lý.
Các máy ảo như Vmware Workstation bị hack vào ngày thứ Sáu vừa qua cũng được sử dụng trên máy tính desktop để cô lập các nội dung không đáng tin cậy. Đó là vì nếu hệ điều hành trên máy ảo đó tổn thương khi trình duyệt bị khai thác hoặc các cuộc tấn công tương tự, hacker vẫn không thể truy cập vào dữ liệu hoặc tài nguyên hệ điều hành trên máy tính chủ.
Hãy thử tưởng tượng rằng, chiếc máy chủ host như một khách sạn vậy, và mỗi khách hàng là một người đến thuê trọ trong khách sạn đó. Lỗi VMWare này giống như việc vị khách trọ nào đó lợi dụng sơ hở của khách sạn, ăn trộm được chùm chìa khóa của khách sạn để vào bất kỳ phòng nào, bất kỳ khu vực nào trong khách sạn mà họ muốn. Đồng nghĩa với việc họ chiếm được cả khách sạn đó dễ dàng.
Trong trường hợp thực tế, nó sẽ cho phép hacker có thể nhìn thấy hoạt động của mọi máy ảo trong mạng máy chủ đó.
Nhìn chung, bất kỳ phương pháp tấn công nào có thể phá vỡ loại máy ảo đang được sử dụng rộng rãi đều sẽ gây ra ảnh hưởng vô cùng to lớn. Phương pháp tấn công được trình diễn trong ngày thứ Sáu vừa qua càng làm mọi người ấn tượng hơn khi nó hoạt động bằng cách khai thác Edge, vốn được các chuyên gia bảo mật xem như một trong những trình duyệt khó bị khai thác nhất.
Thông thường, cách khai thác code từ xa như vậy sẽ đòi hỏi phải có 2 hay nhiều lỗ hổng hơn để kết hợp tấn công. Đòi hỏi này là lý do tại sao nhóm Qihoo lại kết hợp việc khai thác lỗi tràn bộ nhớ heap với việc hack nhân Windows.
Phần mô tả cách tấn công đưa ra một kịch bản, trong đó các trang web độc hại không chỉ gây tổn thương cho máy ảo của khách truy cập, mà còn nhắm vào máy chủ host mà máy ảo đang chạy trên đó. Trong cuộc thi Pwn2Own vào năm ngoái, các thí sinh đã không chọn VMWare để khai thác vì trên thực tế, lỗ hổng này đáng giá hơn rất nhiều số tiền thưởng 75.000 USD khi rao bán trên chợ đen vào thời điểm đó.
Nhóm bảo mật Qihoo360 đã thành công trong việc tấn công "Vượt ngục máy ảo VMWare". 
Cuộc tấn công thành công vào ngày thứ Sáu vừa qua còn cho thấy, không một hệ điều hành hay ứng dụng nào hoàn toàn miễn nhiễm với những cuộc tấn công.
Dino Dai Zovi, đồng sáng lập và là CTO của Capsule8, công ty cung cấp các biện pháp bảo vệ theo thời gian thực cho các cơ sở hạ tầng hiện đại, cho biết. “Một máy ảo chỉ như một lớp cách ly bằng phần mềm có thể có các lỗ hổng trong nó, cho phép những cuộc tấn công có thể vượt qua. Các lớp cách ly như vậy, bao gồm sandbox, máy ảo hóa và các container đều chỉ làm gia tăng thêm công việc cho kẻ tấn công, nhưng nó không hoàn hảo. Những người phòng thủ luôn phải giả định rằng những lớp cách ly này có thể bị vượt qua khi kẻ tấn công có đầy đủ sức mạnh của mình.”
10 năm trước, khi cuộc thi Pwn2Own lần đầu tiên được tổ chức, Dai Zovi cũng chính là người đạt giải thưởng với số tiền lên tới 10.000 USD. Anh giành chiến thắng nhờ vào một cách khai thác để nắm hoàn toàn quyền điều khiển một chiếc MacBook Pro.
Tuy nhiên, nếu bây giờ có ai muốn khai thác cách tấn công này vào VMWare thì có lẽ đã hơi muộn. Sau khi cách tấn công Thoát khỏi VMWare được trình diễn tại cuộc thi Pwn2Own vào sáng thứ Sáu vừa qua, VMWare đã nhanh chóng fix lại lỗ hổng này trên hệ thống của mình. Điều này cũng có nghĩa các khách hàng của họ sẽ không phải lo lắng gì về điều này.
Tham khảo Arstechnica

18/03/2017

Cảnh báo mã độc giả mạo Google Chrome lừa người dùng “dâng” tài khoản ngân hàng cho hacker

Phần mềm độc hại mới giả mạo trình duyệt web phổ biến Google Chrome để đánh lừa người dùng.
Giới tội phạm đã tạo ra một ứng dụng chứa mã độc được ngụy trang rất giống với trình duyệt Chrome khiến nạn nhân không hề nghi ngờ gì mà còn tự nguyện cung cấp chi thiết thẻ tín dụng của họ.

Phần mềm độc hại có tên “Betaling – Google Chrome” được MalwareHunter phát hiện và cảnh báo hôm 10/3. Trình duyệt giả mạo này sử dụng biểu tượng chính thức của Chrome, biểu tượng khóa https, thanh điều hướng và bố cục tương tự thiết kế của trình duyệt Google.
Tuy nhiên, vẫn có những khác biệt cơ bản giữa Google Chrome và Betaling. Người dùng nên chú ý để tự bảo vệ mình.
Loại phần mềm này chủ yếu nhắm mục tiêu người dùng Hà Lan nên có giao diện bằng tiếng Hà Lan. Theo đó, nghĩa của từ “Betaling” là “Thanh toán”. Cửa sổ trình duyệt Betaling không thể thay đổi kích thước hoặc thu nhỏ xuống thanh Taskbar. Khi khởi động, nó đồng thời mở ra một trang có mẫu yêu cầu người dùng nhập chi tiết thanh toán.
Theo blog chuyên về bảo mật BleepingComputer, nạn nhân sẽ bị “dụ” để cung cấp thông tin của mình rồi gửi cho một địa chỉ email AOL.
Tình trạng lừa đảo tương tự đối với Gmail cũng bị phát hiện hồi đầu năm. Hacker gửi một email có chứa hình ảnh nhiễm mã độc dưới dạng PDF. Khi nhấp vào đó, trình duyệt sẽ mở ra tab mới có giao diện giống với phần đăng nhập của Gmail. Nếu nạn nhân nhập thông tin tài khoản, hacker dễ dàng chiếm quyền kiểm soát email.


15/03/2017

VFOSSA cảnh báo nguy cơ mất an toàn thông tin khi dùng điện thoại IP

Theo Câu lạc bộ phần mềm tự do nguồn mở (VFOSSA), với một điện thoại IP đặt ngay trên bàn, người sử dụng có thể bị theo dõi, lấy cắp nội dung đàm thoại, thậm chí còn bị nghe lén khi không có đàm thoại bất cứ lúc nào.

 Tổ chức WikiLeaks mới đây đã công bố trên website của mình hàng loạt tài liệu, tiết lộ rằng cơ quan tình báo Mỹ CIA đang sở hữu một chương trình theo dõi ngầm mà qua đó, cơ quan này khai thác được hàng tá điểm yếu trong nhiều sản phẩm công nghệ phổ biến. 
Liên quan đến vấn đề an toàn thông tin của các sản phẩm công nghệ, nhất là điện thoại thông minh, VFOSSA vừa phát ra thông tin cảnh báo người dùng về vấn đề an ninh, an toàn thông tin khi sử dụng điện thoại IP.
Trong thông báo này, từ kết quả nghiên cứu tìm hiểu, VFOSSA đưa ra nhận định, với một điện thoại IP đặt ngay ở trên bàn, bất cứ lúc nào, người sử dụng có thể bị theo dõi, lấy cắp nội dung đàm thoại và thậm chí là còn bị nghe lén khi không có đàm thoại.
Theo các chuyên gia VFOSSA, không giống như các điện thoại truyền thống, điện thoại IP (IP Phone, còn gọi là điện thoại Internet) sẽ không hoạt động nếu chỉ cắm vào mạng mà chưa được lập trình cấu hình đúng. Việc lập trình điện thoại IP được biết đến như là việc cấp phép sử dụng.
Thông tin cấu hình cơ bản cho một điện thoại IP gồm tên đăng nhập (hay số máy nhánh), mật khẩu và địa chỉ IP của máy chủ tổng đài. Khi đăng nhập/đăng ký thành công điện thoại IP mới có thể thực hiện được cuộc gọi thông qua tổng đài. Ngoài ra còn có các thông tin cấu hình nâng cao khác như địa chỉ IP máy chủ lưu firmware mới nhất để điện thoại IP tự động tải về và cập nhật; địa chỉ IP của máy chủ lưu tệp cấu hình chi tiết của điện thoại.
Về vụ theo dõi quy mô lớn của CIA nhắm và các điện thoại thông minh, theo phân tích của chuyên gia VFOSSA, dựa theo nguyên lý: “Cài đặt chuyển hướng tới một máy chủ cấp phép chỉ định”. Để cấp phép sử dụng điện thoại tự động trong môi trường Internet, phương thức cài đặt chuyển hướng tới một máy chủ cấp phép chỉ định hay được sử dụng.
Cụ thể, 4 bước cấp phép sử dụng điện thoại IP gồm: Bước 1, điện thoại IP được nhà sản xuất cài đặt sẵn, trước khi xuất xưởng, trỏ một địa chỉ máy chủ HTTP được đặt trên Internet. Khi điện thoại IP khởi động, bản tin SUBSCRIBE sẽ được chuyển trực tiếp tới máy chủ HTTP này; Bước 2, khi nhận được bản tin SUBSCRIBE máy chủ HTTP sẽ chuyển hướng tới máy chủ cấp phép sử dụng chứa thông tin cấu hình; Bước 3, thông tin cấu hình của điện thoại IP được lưu sẵn trên máy chủ cấp phép. Sau khi tiếp nhận yêu cầu từ máy chủ HTTP, máy chủ cấp sẽ gửi thông tin cấu hình cho điện thoại IP; Bước 4, điện thoại IP nhận được thông tin cấu hình và đăng ký với tổng đài.
Mô hình nguyên lý hoạt động 4 bước cấp phép sử dụng điện thoại IP (Ảnh VFOSSA cung cấp)
Hiện trên thị trường Việt Nam, có một số điện thoại thoai IP phổ biến được nhắc đến là Grandstream, Yealink, Fanvil... và với việc kiểm tra các điện thoại IP Grandstream (các dòng GXP, GXV, GAC), nhóm chuyên gia VFOSSA đã phát hiện phần lớn các điện thoại IP được cấu hình mặc định (khi xuất xưởng) trỏ tới một máy chủ đặt trên Internet và máy chủ này có thể được phục vụ cho việc theo dõi.

Chụp màn hình cấu hình mặc định điện thoại IP Grandstream khi xuất xưởng của NSX (Ảnh VFOSSA cung cấp)

Nhóm chuyên gia VFOSSA cho hay, nguyên lý để kích hoạt theo dõi được thực hiện một cách tinh vi, cụ thể: sửa thông tin cấu hình điện thoại với các thông số theo ý muốn như bật ghi âm, khóa điện thoại tạm thời... và lưu thông tin cấu hình này trên mayschur cấp phép sử dụng; gửi thông tin cấu hình qua  bản NOTIFY tới điện thoại IP đang có mạng để ra lệnh cho điện thoại IP cập nhật cấu hình mới ở Bước 1 nêu trên.
Như vậy, điện thoại IP sau khi cập nhật thông tin cấu hình xong đương nhiên trở thành phương tiện phục vụ cho mục đích theo dõi như nghe lén, lấy nội dung thàm thoại ghi âm… theo chủ ý của người theo dõi. “Người theo dõi có thể chủ động bật/ tắt chế độ theo dõi thông qua nghiệp vụ ở Bước 1, 2 nêu trên”, nhóm chuyên gia VFOSSA cho hay. 
Để tránh bị theo dõi và bị đánh cắp nội dung đàm thoại từ bên ngoài khi điện thoại IP đặt ngay trên bàn làm việc của người sử dụng, chuyên gia an ninh hệ thống CNTT Phạm Ngọc Bắc khuyến cáo người sử dụng cần tiến hành kiểm tra xem điện thoại IP hiện mình đang sử dụng mục “Maintenance” hay “Upgrade” có trỏ mặc định với máy chủ cấp phép sử dụng nào không? Nếu có, ngay lập tức loại bỏ các địa chỉ này. Sau đó, người dùng cần lưu cấu hình, khởi động lại máy điện thoại IP và kiểm tra xem có các thông tin mặc định đã hoàn toàn loại bỏ chưa.
“Nếu chưa, đồng nghĩa với việc bạn nên ngay lập tức tắt nguồn, ngưng sử dụng điện thoại IP này nếu không muốn tiếp tục bị theo dõi”, chuyên gia Phạm Ngọc Bắc cho biết.
Đồng thời, chuyên gia này cũng một lần nữa lưu ý, với bất kỳ điện thoại IP nào khi đưa vào sử dụng, người dùng cần ngay lập tức cấu hình hạn chế điện thoại IP chỉ kết nối được tới địa chỉ của máy chủ tổng đài.

13/03/2017

Một số lệnh Linux hữu ích cho Penetration Testing


What version of the system?
cat /etc/issue
cat /etc/*-release
cat /etc/lsb-release
cat /etc/redhat-release
What is its kernel version?
cat /proc/version
uname -a
uname -mrs
rpm -q kernel
dmesg | grep Linux
ls /boot | grep vmlinuz
what is the environment variables?
cat /etc/profile
cat /etc/bashrc
cat ~/.bash_profile
cat ~/.bashrc
cat ~/.bash_logout
env
set
Is there a printer?
lpstat -a
What services are running? What kind of service has what user rights?
ps aux
ps -ef
top
cat /etc/service
Which services have root privileges? These services you look at those loopholes, to re-check!
ls -alh /usr/bin/
ls -alh /sbin/
dpkg -l
rpm -qa
ls -alh /var/cache/apt/archivesO
ls -alh /var/cache/yum/
Service settings, there is any wrong allocation? Are there any (vulnerable) plugins?
cat /etc/syslog.conf
cat /etc/chttp.conf
cat /etc/lighttpd.conf
cat /etc/cups/cupsd.conf
cat /etc/inetd.conf
cat /etc/apache2/apache2.conf
cat /etc/my.conf
cat /etc/httpd/conf/httpd.conf
cat /opt/lampp/etc/httpd.conf
ls -aRl /etc/ | awk ‘$1 ~ /^.*r.*/
What are the work plans on the host?
crontab -l
ls -alh /var/spool/cron
ls -al /etc/ | grep cron
ls -al /etc/cron*
cat /etc/cron*
cat /etc/at.allow
cat /etc/at.deny
cat /etc/cron.allow
cat /etc/cron.deny
cat /etc/crontab
cat /etc/anacrontab
cat /var/spool/cron/crontabs/root
What are the plain text user names and passwords that may be on the host?
grep -i user [filename]
grep -i pass [filename]
grep -C 5 “password” [filename]
find . -name “*.php” -print0 | xargs -0 grep -i -n “var $password”
NIC (s), the system which? Which network is it connected to?
/sbin/ifconfig -a
cat /etc/network/interfaces
cat /etc/sysconfig/network
What are the network configuration settings? What kind of server in the network? DHCP server? DNS server? Gateway?
cat /etc/resolv.conf
cat /etc/sysconfig/network
cat /etc/networks
iptables -L
hostname
dnsdomainname
Other users host communication with the system?
lsof -i
lsof -i :80
grep 80 /etc/services
netstat -antup
netstat -antpx
netstat -tulpn
chkconfig –list
chkconfig –list | grep 3:on
last
Cache? IP and / or MAC address?
arp -e
route
/sbin/route -nee
Packet may sniff it? Can see what? Monitor traffic
# tcpdump tcp dst [ip] [port] and tcp dst [ip] [port]
tcpdump tcp dst 192.168.1.16 80 and tcp dst 10.0.0.15 21
How to port forwarding?
# fpipe
# FPipe.exe -l [local port] -r [remote port] -s [local port] [local IP]
FPipe.exe -l 80 -r 80 -s 80 192.168.1.7
#ssh
# ssh -[L/R] [local port]:[remote ip]:[remote port] [local user]@[local ip]
ssh -L 8080:127.0.0.1:80 [email protected].1.7 # Local Port
ssh -R 8080:127.0.0.1:80 [email protected].1.7 # Remote Port
#mknod
# mknod backpipe p ; nc -l -p [remote port] < backpipe | nc [local IP] [local port] >backpipe
mknod backpipe p ; nc -l -p 8080 < backpipe | nc 10.1.1.251 80 >backpipe # Port Relay
mknod backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc localhost 80 | tee -a outflow 1>backpipe # Proxy (Port 80 to 8080)
mknod
backpipe p ; nc -l -p 8080 0 & < backpipe | tee -a inflow | nc
localhost 80 | tee -a outflow & 1>backpipe # Proxy monitor (Port 80 to 8080)
who are you? Which id login? Who is logged in? Who else is here? Who can do what?
id
who
w
last
cat /etc/passwd | cut -d: # List of users
grep -v -E “^#” /etc/passwd | awk -F: &#039;$3 == 0 { print $1}’ # List of super users
awk -F: ‘($3 == “0”) {print}&#039; /etc/passwd # List of super users
cat /etc/sudoers
sudo -l
What can be found in sensitive documents?
cat /etc/passwd
cat /etc/group
cat /etc/shadow
ls -alh /var/mail/
What interesting files are in home / directorie (s)? If you have permission to access
ls -ahlR /root/
ls -ahlR /home/
Are there any passwords, scripts, databases, configuration files, or log files? Password The default path and location
cat /var/apache2/config.inc
cat /var/lib/mysql/mysql/user.MYD
cat /root/anaconda-ks.cfg
What has the user done? Is there any password? Do they have anything to edit?
cat ~/.bash_history
cat ~/.nano_history
cat ~/.atftp_history
cat ~/.mysql_history
cat ~/.php_history
You can find what kind of user information
cat ~/.bashrc
cat ~/.profile
cat /var/mail/root
cat /var/spool/mail/root
Private key Can information be found?
cat ~/.ssh/authorized_keys
cat ~/.ssh/identity.pub
cat ~/.ssh/identity
cat ~/.ssh/id_rsa.pub
cat ~/.ssh/id_rsa
cat ~/.ssh/id_dsa.pub
cat ~/.ssh/id_dsa
cat /etc/ssh/ssh_config
cat /etc/ssh/sshd_config
cat /etc/ssh/ssh_host_dsa_key.pub
cat /etc/ssh/ssh_host_dsa_key
cat /etc/ssh/ssh_host_rsa_key.pub
cat /etc/ssh/ssh_host_rsa_key
cat /etc/ssh/ssh_host_key.pub
cat /etc/ssh/ssh_host_key
Which users can write configuration files in / etc /? Ability to reconfigure services?
ls -aRl /etc/ | awk ‘$1 ~ /^.*w.*/’ 2>/dev/null # Anyone
ls -aRl /etc/ | awk ’$1 ~ /^..w/’ 2>/dev/null # Owner
ls -aRl /etc/ | awk ‘$1 ~ /^…..w/’ 2>/dev/null # Group
ls -aRl /etc/ | awk ’;$1 ~ /w.$/’ 2>/dev/null # Other
find /etc/ -readable -type f 2>/dev/null # Anyone
find /etc/ -readable -type f -maxdepth 1 2>/dev/null # Anyone
What can be found on /var/?
ls -alh /var/log
ls -alh /var/mail
ls -alh /var/spool
ls -alh /var/spool/lpd
ls -alh /var/lib/pgsql
ls -alh /var/lib/mysql
cat /var/lib/dhcp3/dhclient.leases
Any hidden configuration / files on the site? Profile and database information?
ls -alhR /var/www/
ls -alhR /srv/www/htdocs/
ls -alhR /usr/local/www/apache22/data/
ls -alhR /opt/lampp/htdocs/
ls -alhR /var/www/html/
What’s in the log file? (What can help with “local file inclusion”?)
http://www.thegeekstuff.com/2011/08/linux-var-log-files/
cat /etc/httpd/logs/access_log
cat /etc/httpd/logs/access.log
cat /etc/httpd/logs/error_log
cat /etc/httpd/logs/error.log
cat /var/log/apache2/access_log
cat /var/log/apache2/access.log
cat /var/log/apache2/error_log
cat /var/log/apache2/error.log
cat /var/log/apache/access_log
cat /var/log/apache/access.log
cat /var/log/auth.log
cat /var/log/chttp.log
cat /var/log/cups/error_log
cat /var/log/dpkg.log
cat /var/log/faillog
cat /var/log/httpd/access_log
cat /var/log/httpd/access.log
cat /var/log/httpd/error_log
cat /var/log/httpd/error.log
cat /var/log/lastlog
cat /var/log/lighttpd/access.log
cat /var/log/lighttpd/error.log
cat /var/log/lighttpd/lighttpd.access.log
cat /var/log/lighttpd/lighttpd.error.log
cat /var/log/messages
cat /var/log/secure
cat /var/log/syslog
cat /var/log/wtmp
cat /var/log/xferlog
cat /var/log/yum.log
cat /var/run/utmp
cat /var/webmin/miniserv.log
cat /var/www/logs/access_log
cat /var/www/logs/access.log
ls -alh /var/lib/dhcp3/
ls -alh /var/log/postgresql/
ls -alh /var/log/proftpd/
ls -alh /var/log/samba/
#
In which directories can be written and executed? Several “common” directories: /tmp directory, /var /, / dev / shm directory
find / -writable -type d 2>/dev/null # world-writeable folders
find / -perm -222 -type d 2>/dev/null # world-writeable folders
find / -perm -o+w -type d 2>/dev/null # world-writeable folders
find / -perm -o+x -type d 2>/dev/null # world-executable folders
find / ( -perm -o+w -perm -o+x ) -type d 2>/dev/null # world-writeable & executable folders
Any “problem” files?
find / -xdev -type d ( -perm -0002 -a ! -perm -1000 ) -print # world-writeable files
find /dir -xdev ( -nouser -o -nogroup ) -print # Noowner files
What development tools / languages / support are installed?
find / -name perl*
find / -name python*
find / -name gcc*
find / -name cc
How do I upload a file?
find / -name wget
find / -name nc*
find / -name netcat*
find / -name tftp*
find / -name ftp
Theo: Kali