Security on blag

Defcon 20 - CTF Prequals

Mon, 04 Jun 2012 04:50:27 +0000

Null Life 1800 puntos! Lugar 49 de 303 equipos.

CSAW 2011 - Reversing - Python 200

Mon, 26 Sep 2011 06:43:41 +0000

Python - 200 Points

nc csawctf.poly.edu 53080

When we connected to the port it was running a service Haderper:

-----------------------------
| Welcome to Haderper! |
| Please enter your command |
-----------------------------
> help
Haderper v0.1-alpha
Command help:
help - this screen
exec - execute a command
derp - derp a string
underp - underp a string
logout/exit - disconnect
> derp hi
UydoaScKcDAKLg==
> underp UydoaScKcDAKLg==
hi
>

If we decode the base64 string we can see that it looks like a Pickle dump file:

WGSBD2 - Campus Party Valencia 2011

Sun, 17 Jul 2011 07:48:10 +0000

Nuestro equipo NULL Life participó en el CTF de SecurityByDefault.com y logró finalizar de primero todos los retos, ademas de obtener el primer lugar por puntos al finalizar el evento :D

Los miembros del equipo que participaron Daniel (Colombia), g30rg3_x (Mexico), g05u (Perú), emyei (Argentina), Perverths0 (Perú) y snr33 (Perú). Brillo por su ausencia nuestro CISSP, CEH fataku por motivos de su trabajo, o eso dice el xD

Por cierto, esta entrada va desde el iPad obtenida en el CTF de Campus Party Colombia, me la entregaron el dia de ayer, y ya le estamos dando un buen uso. Este ha sido un buen año para NULL Life :D

PlaidCTF 2011 - Division is HARD!!

Thu, 28 Apr 2011 18:04:33 +0000

Esta vez participamos en el PlaidCTF, organizado por el Plaid Parlament of Pwning. Muchos retos, casi 40 para resolverlos en 2 dias, y con una dificultad considerable.

Obtuvimos la posicion numero 42 con NULL Life, aunque nos faltaba un miembro importante del equipo. Nos ubicamos por encima de los otros equipos Colombianos, el ultimo dia del ctf el equipo RICTeam nos logro empatar, pero teniamos un As bajo la manga y los pudimos dejar abajo faltando 5 minutos para terminar el CTF cuando ya poco podian hacer. Pueden ver la tabla de posiciones completa en el sitio de plaidctf.

Firefox 3.6.19 Remote Code Execution

Fri, 15 Apr 2011 06:32:08 +0000

To be disclosed soon.

Nuit Du Hack 2011 Prequals

Mon, 11 Apr 2011 04:32:22 +0000

Nuestro equipo NULL Life participó hace un par de semanas en los prequal de CTF Nuit Du Hack. Logramos finalizar en la posición número 12. Este es el ranking final de los prequals:

Entre los equipos que conozco de este top, esta el equipo fail0verflow, es el grupo que encontró la falla de criptografía en el PS3 :D! holy cactus son los mismos de int3pids, Leet More, smoked chicken y Rdot.Org equipos rusos con bastante potencial.

padocon ctf 2011

Thu, 20 Jan 2011 17:44:59 +0000

Esta vez nuestro equipo *NULL Labs logro la posicion 19 de un total de 351 equipos registrados. Todavia nos falta bastante :) Daniel publicara los writeups pronto.

Me parecio extrano no ver a int3pids en el top pero creo que ellos se enfocaron mas en el ctf de secbydefault.

No pudimos hacer nada para el ctf de securitybydefault por falta de tiempo, pero bueno a quien se le ocurre hacer dos ctf el mismo fin de semana :P

Explotar vulnerabilidad LNK

Tue, 27 Jul 2010 17:40:20 +0000

Gracias al analisis sobre la vulnerabilidad y explotacion de LNK realizado por Daniel, se pudo crear un archivo LNK indetectable por los Antivirus que reproduce esta falla, les recomiendo esta lectura a los que esten interesados en este bug.

Defcon and smpCTF 2010 PreQuals

Mon, 12 Jul 2010 18:16:23 +0000

Este año participé con el equipo de Daniel en los Prequals de Defcon y smpCTF. Fue una gran experiencia, no habia participado en este tipo de eventos hace varios años, desde que deje de resolver los retos de Yashira, logramos quedar en las posiciones 91/266 en Defcon y 30/196 en el smpCTF, por encima de otros equipos de Colombia.

Daniel ya publicó algunos papers sobre Defcon, y pronto colocará los nuevos sobre smpCTF.

Google Wave - Make your friends logout gadget

Fri, 20 Nov 2009 04:04:14 +0000

Adding this gadget to any wave will make people log out when they see it:

http://beford.org/stuff/waveg.xml

The code:

<script type="text/javascript">
top.location="https://wave.google.com/wave/logout";
</script>

Gmail Cross Site Scripting

Sun, 04 May 2008 01:40:13 +0000

El dia de hoy les traigo un pequeño descubrimiento, una vulnerabilidad en el sistema de Presentaciones (para los burros, powerpoint) en linea de Google Mail. El problema es sencillo, y no le tomara mucho tiempo arreglar a los de Mountain View, pero hay algo que me preocupa más. Describire el problema de Gmail rapidamente para poder pasar al detalle del plugin de flash.

Google Slideshows no esta filtrando los hipervinculos de las presentaciones cuyo destino es una URI javascript:, con solo crear un simple enlace, colocarle como destino javascript:alert(1) e insertarlo en la presentacion, es posible ejecutar javascript en el contexto de mail.google.com. Para los que quieran verlo en funcionamiento he preparado un sencillo poc que envia las cookies a un sitio remoto (que no existe), tendrian que enviarse este archivo por correo, y luego verlo en modo de Presentacion desde Gmail.

Cada vez más cerca Firefox 3

Wed, 09 Apr 2008 02:45:51 +0000

Ya se encuentra disponible la beta 5 del que considero es, el mejor navegador libre (no, no he usado nada basado en webkit todavia). Entre las nuevas caracteristicas que vienen con el lanzamiento de esta version sobresalen:

Mejoras en el uso de memoria: Es algo que se puede sentir sin la necesidad de usar algun tipo de benchmarks. Esta clase de progreso ayuda especialmente a escritorios como Gnome, que para ser sinceros es algo mas exigente con respecto al hardware que otras alternativas libres, pero aun asi, es (y probablemente seguira siendo) uno de los Desktop Environments mas usados. Y pone a Firefox a competir directamente con otros como Opera, y Safari.
Interfaz grafica integrada con el Sistema operativo: Me gusta especialmente el trabajo que se ha hecho en la version de Linux, en la cual, Firefox utilizara los iconos del tema de nativo de GTK, para sus barras de herramientas y menues.
Estandares W3: La prueba Acid2 pasada completamente y el resultado de la Acid3 mejora considerablemente con respecto a Firefox 2.
Barra de direcciones inteligente.

Según informacion entregada por Mozilla, la version final estaría disponible para el mes de junio. Jugueteando con el navegador, me di cuenta que existe un problema de seguridad en todas las versiones del Firefox 3, es una regresion de un bug reportado hace mas de 3 años por Michael Krax, el cual afecta las plataformas Windows, personalmente no considero que sea peligroso. Lo reporte a Mozilla, y ya tienen disponible un patch en trunk, el proximo release ya deberia venir con este problema corregido. Un detalle que no me gusta de Firefox 3, es el hecho que la barra de direcciones ahora muestra la URL despues de haberla ‘urldecodeado’, y si somos de los que jugamos con las URLs manualmente, esto puede ser un inconveniente.

Security Bookmarklets

Mon, 28 Jan 2008 23:47:57 +0000

I took a couple of days from my school vacation to write 3 bookmarklets that will help me when auditing web sites, I’d like to share them here because I know that they’ll help some of my friends, and probably one of the two readers of this blog.

[Text2SQLChar](javascript:(function(){ x=prompt(‘Input text:’,’’);l=x.length;t=x.charCodeAt(0);for (i = 1;i<l;i++) t = t +’,’+x.charCodeAt(i);prompt(‘Output: ‘, ‘Char(’+t+’)’); })();) Converts an string into a CHAR() mysql, usefull when magic_quotes is on.
[SQLIncrement](javascript:(function(){url=decodeURI(location);if (url.indexOf(‘select 1’)==-1) { alert(‘Inject a simple 'union select 1' first.’);return; }max=url.substring(url.indexOf(‘select 1’)).split(’,’).length;if (max>1) zx = (max-1)+’,’+max; else zx = ‘select 1’;tmp=url.indexOf(zx);location=encodeURI(url.substring(0, tmp+zx.length)+’,’+(max+1)+url.substring(tmp+zx.length));})()) Increments automatically the number of columns of the injected select query.
[SQLDecrement](javascript:(function(){url=decodeURI(location);if (url.indexOf(‘select 1’)==-1) { alert(‘Inject a simple 'union select 1' first.’);return; }max=url.substring(url.indexOf(‘select 1’)).split(’,’).length;if (max>2) zx = (max-2)+’,’+(max-1); else { if (max==2) zx=‘select 1’; else return; } tmp=url.indexOf(zx);dx = ‘,’+max;location=encodeURI(url.substring(0, tmp+zx.length)+url.substring(tmp+zx.length+dx.length));})()) Decrements automatically the number of columns of the injected select query.
[Increment](javascript:(function(){ var e,s; IB=1; function isDigit(c) { return (‘0’ <= c && c <= ‘9’) } L = decodeURI(location.href); LL = L.length; for (e=LL-1; e>=0; –e) if (isDigit(L.charAt(e))) { for(s=e-1; s>=0; –s) if (!isDigit(L.charAt(s))) break; break; } ++s; if (e<0) return; oldNum = L.substring(s,e+1); newNum = ’’ + (parseInt(oldNum,10) + IB); while (newNum.length < oldNum.length) newNum = ‘0’ + newNum; location.href = L.substring(0,s) + newNum + L.slice(e+1); })();) Allows you to navigate up html files or images that have a number in them.
[Decrement](javascript:(function(){ var e,s; IB=-1; function isDigit(c) { return (‘0’ <= c && c <= ‘9’) } L = decodeURI(location.href); LL = L.length; for (e=LL-1; e>=0; –e) if (isDigit(L.charAt(e))) { for(s=e-1; s>=0; –s) if (!isDigit(L.charAt(s))) break; break; } ++s; if (e<0) return; oldNum = L.substring(s,e+1); newNum = ’’ + (parseInt(oldNum,10) + IB); while (newNum.length < oldNum.length) newNum = ‘0’ + newNum; location.href = L.substring(0,s) + newNum + L.slice(e+1); })();) Allows you to navigate down html files or images that have a number in them.
base64 Firefox only, base64 with no padding

Firefox 2.0.0.10 released

Tue, 27 Nov 2007 05:40:52 +0000

Mozilla Corporation just released Firefox 2.0.0.10 which includes fixes against JAR uri attacks. This issue affected browsers that used Gecko engine, a quick check showed me that only K-meleon browser was also updated, however there are several Gecko based web browsers that need to get fixed: Gecko-based browsers.

Update: Let’s make that, Firefox 2.0.0.11, which also fixes some regressions.

Google Gadgets XSS (IE6/Opera)

Sun, 25 Nov 2007 09:58:23 +0000

There is a recent discussion on ha.ckers.org regarding a possible CSRF that could allow an attacker to inject an evil gadget on someobdy else’s iGoogle page. After checking the format of the xml file used to define the gadgets properties, I noticed a couple of attributes that could be used as point of injections to active content, the thumbnail and screenshot attribute. Only one of them is vulnerable, the screenshot attribute, by using a javascript URI as value you can execute active content on certain browsers such as IE6. This is a poc that shows an alert with the current document.domain value:

Firefox jar: Protocol Vulnerability

Sat, 10 Nov 2007 10:47:45 +0000

I just came across pdp’s finding jar protocol vulnerability on Mozilla Firefox, I think its a big issue, and the fact that it has been on bugzilla (#369814) for way more than ten fuck*ng days is not a good thing.

According to pdp, this issue makes vulnerable to Cross-site scripting applications that allow users uploading compressed ZIP, and JAR files. After a couple of minutes messing around the poc’s, I figured out that sites with open redirect issues are vulnerable too. I’ve created this poc that attacks Gmail, it’s based on my previous post and it will only show your contacts list, it’s not being logged server side or anything (as some people thought that my previous poc did. Credit to tx for discovering the open redirect issue used to exploit Google / Firefox):

Google Vulnerability

Mon, 24 Sep 2007 03:29:26 +0000

Yesterday, I found a new Google.com XSS vulnerability that can be abused to steal information from Gmail accounts, I’ve done responsible disclosure of at least 3 vulns to Google, but since I haven’t got enough ‘motivation’, I’ll go full disclosure now.

The vulnerability exists in Blogspot polls feature, I had already disclosed a vulnerability on this system. The ‘font’ parameter was not being sanitized before being used inside an STYLE tag, so you could inject IE’s expression() and Mozilla’s -moz-binding. They fixed it, however they didn’t check enough the rest of the code, the new XSS is: