Es dificil tener un blog y que las ideas dejen de fluir, pero es no tener un tema completo/concreto del cual realizar una entrada, por eso titulé así este post, va a ser un "salpicado" de información y nada más.
Anexo, mitos & verdades sobre Hotmail:
En realidad es sobre Msn Messenger, es mucha la gente que veo que ingresa a páginas que supuestamente te dicen quie te blockeo de MSN Messenger, lamento cortar el mambo diciendo que hace rato que el protocolo MSNP no admite esta función, el protocolo para explicarlo es las reglas que realiza y comandos que envia y recibe el MSN cuando iniciamos sesión. Lo que si se puede saber es quien te borró del MSN y eso es lo que hacen esas páginas y también un programa que desarollé hace rato y tubo varias correciones: As Paranoic
Sobre el programa, si ustedes inician sesión en el mismo sepan que si en ese momento estan usando el MSN Messenger u otro cliente este se va a cerrar su sesión alegando que iniciaron sesión desde otra ubicación, no se asusten, es el AS Paranoic, y a diferencia de esas páginas el AS Paranoic no va a cambiar su nick ni modificar nada.
Rapidshare y el cable modem:
Esta información no se si seguirá vigente pero a mi y unos amigos me funcionó, es fácil si tenes speedy bajar de rapidshare una vez alcanzado el límite, desconectás de internet un toque y listo, pero que pasa con las personas que tienen cablemodem (Fibertel,Ciudad, etc ) ?.
Es fácil, el IP de dichos ISP es dinámico pero no cambia frecuentemente como el de speedy, cada vez que uds se conectan, para lograr que se cambie su IP solo deben usar este programa Mac Address Changer ese programa les permitirá cambiar su dirección Mac, un ID unico de cada placa de ethernet (red), deben desconectarse, usar el programa, cambienle un numero solo a su Mac y listo, vuelvan a conectarse. Al tener ahora una Mac diferente se solicitará un IP nuevo al ISP y listo, rapidshare.
La Mac esta compuesta por 6 dulplas de numeros en hexadecimal (48 bits) cambien cuanlquier numero de la misma con el programa y listo.
Espero siga funcionando.
Fotolog
Hace rato me da vueltas en la cabeza la idea de hacer alguna tool para Fotolog, ni bien me acuerde termino/perfecciono una que ya tengo.
La idea de saber quien nos tiene en favoritos es bastante util, pero es algo pago. El año pasado un blogger habia echo una tool online que nos permitía saberlo, el alegaba, con una teoría acertada, haber obtenido de cada flog sus favoritos, teniendo de respaldo una base de datos con los datos de todos los flogs. Que el mismo había creado obvio, haciendo peticiones HTTP, con un programa que si se piensa es muy simple, pero es algo ineficiente, es dificil imaginar la cantidad de flogs nuevos que se crean por dia, pero en fin.
Una forma que supuse, para saber quien nos tiene en favoritos es buscar en google o yahoo, con las sintaxis del buscador:
site:fotolog.com nuestro_usuario
ejemplo: site:fotolog.com buskapina
Osea tienen que poner eso en el input de busqueda de Google o Yahoo y listo, saldran algunas de las personas que nos tienen en sus favoritos.
Virus
Pregunta típica, "puede un virus ejecutarse solo???", la respuesta NO.
Y ahora no tan así, un Virus no deja de ser un programa echo en un lenguaje de programación, mismo lenguaje que puede ser el que use para hacer el programa que mencioné arriba o que usaron para hacer el Word, no es que hay un lenguaje para virus cuyas instrucciones son "send to all mail list", "delete important info", etc.
Un Virus no deja de ser un programa que necesita el doble click para ejecutarse.
Igualmente muchas fallas de windows procovaron que los virus se ejecuten solos.
Un virus para ejecutarse solo al arranque de windows no tiene más que hacer que escribin en la entrada Run del Current Version de Windows en el registro y listo, pero esta habrá sido realizado si antes nosotros ejecutamos el virus accidentalmente, así que tengan cuidado con programas (archivos ".exe",".bat",".pif",".vbs", extensiones poco vistas como adjuntos normales ,etc), no bajen este tipo de archivos si les llegan por mail lo mas probable que sean virus, ojo que también pueden venir compresos como archivos ".zip" o ".rar" sin mencionar más.
Y si les llega a pasar y no tienen los huevos (???) para tocar el registro y el msconfig, actualizen su antivirus, no el AVG que no borra nada, busquensé algun crackeadito por ahí, reinicien su PC y entrando en modo a prueba de fallos ( F8 mientas la Pc carga ) , pasen el antivirus.
Por que en modo a prueba de fallos ?, por que Windows carga con lo básico, y esto evita la ejecución a los virus que escribieron en el inicio, y en situaciones normales Windows no nos dejaría borrar por encontrarse en ejecución.
Como curiosidad destaco al viejo virus Bubbleboy (echo por un argentino ... no, no por diego maradona ), que fue uno o el primer virus que se auto -ejecutaba con solo previsualizar el mensaje en nuestra casilla de email, gracias a las fallas del Outlook, este y una gran camada de virus tubo repercusiones masivas.
Bueno sinceramente fue corto, pensé que tendría más cosas para escribir pero no.
El próximo post seguramente comento alguna proyecto que tenga en mente.
Así que será hasta la próxima.
Saludos!
domingo, 24 de junio de 2007
domingo, 17 de junio de 2007
hotmail: mitos & realidades
Siempre quise escibir sobre Hotmail, específicamente los mitos y demás que giran en torno a "se puede hackear una cuenta de Hotmail", "se puede obtener una contraseña de Hotmail" ?
La respuesta es no, no se puede sacar de un sombrero, y la respuesta es si, se puede obtener por otros medios.
Por ahi me apresuro al decir que si, pero primero repasemos los no.
No hay forma de que utilizando un programa,un algoritmo o un bug en el servidor de Hotmail, explotable para conseguir la contraseña de una cuenta, partamos por el pensamiento lógico de que si se pudiese, como es internet, no sería una sola persona la que lo sabría y dicho secreto hubiese sido ya difundido públicamente,en lo que internet respecta. Nadie conservaría su cuenta si estubiese en manos de todos poder conseguir contraseñas ajenas.
De echo si hubiese una forma de obtener la contraseña de alguien, esta seria indescifrable, por que ?. Por que Hotmail no guarda nuestras contraseña en su "base de datos" asi en lo que se llama "texto limpio", me explico, si mi contraseña es "televisor" en la base de datos de Hotmail no figura como "televisor" sino que se encuentra encriptada, a grandes rasgos "codificada".
Pero hay diferentes formas de codificación, hay algunas que estan echas para ser revesibles, en el mejor de los casos "televisor" codificada de manera reversible seria, por ejemplo, "88uuut" y esta ultima decodificada sería "televisor".
No es el caso de Hotmail, este utiliza un algortimo de codificación que no tiene reversión, y entonces como hace Hotmail para saber que la contraseña que ingresamos es correcta ?.
Fácil, el algoritmo utilizado que sino me equivoco es el MD5 al momento de comparar lo que ingresamos, compara los bits de la contraseña encriptada. Para darle más vueltas al asunto no es que "televisor" en MD5 va a ser siempre "88uuut" ( en MD5 las cadenas encriptadas son más largas,utiliza 128 bits ), sino que cambia !, iniciamos una vez es "88uuut", iniciamos por segunda vez es "zzz887sd" y así sucesivamente. Esto da a entender que ni siquiera los de Hotmail saben como es nuetra contraseña, por que piensan que cuando vamos a "recuperarla" por medio de la "pregunta secreta", nos pide que ingresemos una nueva ?.
Ok hasta ahí el por qué no.
Pero que formas hay por las cuales se puedan obtener nuestras contraseñas?
Hay muchas, algunas más ingeniosas que otras o más ocultas, mas producidas, etc.
Vamos a listarlas con su explicación:
1) Troyanos, un troyano es un programa que nos pueden enviar via Msn Messenger y una vez que lo ejecutamos simulando ser un servicio de Windows, por ejemplo, abre una puerta por la cual el "atacante" o la persona que lo envió podría acceder a nuestra pc, y dependiendo las características del troyano podría utilizar y aprovechar nuestra pc a gusto.
Con este programa en nuestra pc, el atacante podría gaurdar las teclas que presionamos
( keyloggers ) y de esta forma esperar que ingresemos en Hotmail y tipeemos nuestra contraseña y capturarla antes de que sea procesada por Hotmail.
Cabe destacar que la encripcion a MD5 se realiza una vez que apretamos "Iniciar Sesión" y Hotmail procesa el password, hasta ese momento se encuentra en "texto limpio".
2) Keylogger, a veces no es necesario que nos envien un troyano, si utilizamos Hotmail en una pc pública de una facultad y un cyber, que no esten correctamente protegidos con Antivirus o Freezadores, alguien podría dejar un Keylogger corriendo en esa pc y capturar contraeñas de más de una persona que incie sesión en esa pc.
3) Fakes, falsamente conocidos como "exploits", los fakes son codigos Html y páginas que simulan ser la tipica página de incio de sesión de Hotmail, nos inducen por medio de tentadoras ofertas o postales a que iniciemos nuestra sesión de correo ahí, con el unico objetivo de capturar nuestra contraseña y mostrarnos alguna postal falsa en el mejor de los casos, para mejorar el discimulo o reenviarnos a la verdadera web de Hotmail.
Está técnica es muy utilizada, más que nada por lo fácil de su empleo, no hay que saber nada de nada, por que en Internet hay muchos "lanzadores", así se conocen sus plataformas, que solo requieren que pongamos el mail de la victima y nuestro mail para que envién la contraseña capturada, en algunos casos se puede conocer desde la misma web.
Como protección es recomendable saber que Hotmail nunca nos pedirá nuestra contraseña, ni via mail ni nada, a no ser que la misma no se encuentre ingresada. Pero nunca van a recibir un mail de Hotmail de "poné tu clave o cerramos tu cuenta", "Hotmail cerrará si no pones tu clave", y diferentes ganchos.
Segunda medida, fijarse en la barra de dirección ( donde tipeamos las url, www.gooole.com, por ejemplo ), fijarnos si no es sospechosa la dirección, por ejemplo: www.h0tmail.com ( notese en vez de "o" hay un "0" ), y diferentes webs con nombres malisciosos o malformados.
Antes cualquier duda, si les pasa eso, abran otra ventana de su navegador y escriban ahí www.hotmail.com e ingresen normalmente, si tienen dudas de el mail recibido.
Estos fakes suelen venir dizfrasados de postales, asi que si reciben una que al ingresar les pide su contraseña de Hotmail, no la pongan!.
4) Ingeniera social, se considera de las formas más efectivas de todas. Esta lisa y llanamente conseguir la contraseña pidiendosela directamente a la persona, por medio de la obtención de datos de la misma.
Por ejemplo, por experiencia se podría decir que las mujeres eligen fechas y documentos. Tener en cuenta que dar datos sin importancia a otra persona puede ser de riesgo, si nuestra pregunta secreta fuese "nombre de mi mascota favorita", cualquier persona que lo sepa podria cambiar nuestra contraseña, y si no la supiese, sería un dato muy fácil de averiguar.
Intenten que sus preguntas secretas sean dificiles o sin sentido, y que la respuesta no sea nada que ver a la pregunta, anotenlá en un papel o cosas así, asi evitan esta forma fácil de robo de contraseñas, que genera situaciones de contraseñas inretornables.
Como dato extra, si sufren este tipo de "ataque" prueben poniendo "123456" de contraseña, en el caso que se las hayan cambiado. Por una cuestión de practicidad el "atacante" podría haberla puesto por la fácilidad de acceso que tiene esa combinación de números en el teclado, en el caso de que el atacante haya probado varias respuestas a nuestra pregunta.
Un caso conocido fue el del celular de Paris Hilton, cuya pregunta secreta era "Nombre de mi mascota", conocido por todos "tinkerbell" se podría haber buscado en google, o mirado televisión. Los atacantes accedieron a la agenda de Paris obteniendo números como los de Madona, Eminem, etc. todos publicados en internet.
Ha habido grandes casos de fraudes y obtención de datos por medio de la ingeniería social.
Por último voy a dar algunos consejos:
Usar contraseñas que combinen dígitos y no utilizar fechas, documentos, nombre de artistas, bandas, etc. O utilizarlos de una manera inteligente, combinando números y letras.
Por ejemplo: nuestra contraseña es "televisor" fácilmente podría ser más segura si utilizamos un sistema memotécnico fácil, reemplazando algunas letras por su parecido en números:
Quedando "televisor" = "t3l3v150r", al momento de ser tipeada es díficil de comprender.
Bueno creo que es todo, espero lo disfruten y les sirva, cualquier duda o pregunta ... comments.
La respuesta es no, no se puede sacar de un sombrero, y la respuesta es si, se puede obtener por otros medios.
Por ahi me apresuro al decir que si, pero primero repasemos los no.
No hay forma de que utilizando un programa,un algoritmo o un bug en el servidor de Hotmail, explotable para conseguir la contraseña de una cuenta, partamos por el pensamiento lógico de que si se pudiese, como es internet, no sería una sola persona la que lo sabría y dicho secreto hubiese sido ya difundido públicamente,en lo que internet respecta. Nadie conservaría su cuenta si estubiese en manos de todos poder conseguir contraseñas ajenas.
De echo si hubiese una forma de obtener la contraseña de alguien, esta seria indescifrable, por que ?. Por que Hotmail no guarda nuestras contraseña en su "base de datos" asi en lo que se llama "texto limpio", me explico, si mi contraseña es "televisor" en la base de datos de Hotmail no figura como "televisor" sino que se encuentra encriptada, a grandes rasgos "codificada".
Pero hay diferentes formas de codificación, hay algunas que estan echas para ser revesibles, en el mejor de los casos "televisor" codificada de manera reversible seria, por ejemplo, "88uuut" y esta ultima decodificada sería "televisor".
No es el caso de Hotmail, este utiliza un algortimo de codificación que no tiene reversión, y entonces como hace Hotmail para saber que la contraseña que ingresamos es correcta ?.
Fácil, el algoritmo utilizado que sino me equivoco es el MD5 al momento de comparar lo que ingresamos, compara los bits de la contraseña encriptada. Para darle más vueltas al asunto no es que "televisor" en MD5 va a ser siempre "88uuut" ( en MD5 las cadenas encriptadas son más largas,utiliza 128 bits ), sino que cambia !, iniciamos una vez es "88uuut", iniciamos por segunda vez es "zzz887sd" y así sucesivamente. Esto da a entender que ni siquiera los de Hotmail saben como es nuetra contraseña, por que piensan que cuando vamos a "recuperarla" por medio de la "pregunta secreta", nos pide que ingresemos una nueva ?.
Ok hasta ahí el por qué no.
Pero que formas hay por las cuales se puedan obtener nuestras contraseñas?
Hay muchas, algunas más ingeniosas que otras o más ocultas, mas producidas, etc.
Vamos a listarlas con su explicación:
1) Troyanos, un troyano es un programa que nos pueden enviar via Msn Messenger y una vez que lo ejecutamos simulando ser un servicio de Windows, por ejemplo, abre una puerta por la cual el "atacante" o la persona que lo envió podría acceder a nuestra pc, y dependiendo las características del troyano podría utilizar y aprovechar nuestra pc a gusto.
Con este programa en nuestra pc, el atacante podría gaurdar las teclas que presionamos
( keyloggers ) y de esta forma esperar que ingresemos en Hotmail y tipeemos nuestra contraseña y capturarla antes de que sea procesada por Hotmail.
Cabe destacar que la encripcion a MD5 se realiza una vez que apretamos "Iniciar Sesión" y Hotmail procesa el password, hasta ese momento se encuentra en "texto limpio".
2) Keylogger, a veces no es necesario que nos envien un troyano, si utilizamos Hotmail en una pc pública de una facultad y un cyber, que no esten correctamente protegidos con Antivirus o Freezadores, alguien podría dejar un Keylogger corriendo en esa pc y capturar contraeñas de más de una persona que incie sesión en esa pc.
3) Fakes, falsamente conocidos como "exploits", los fakes son codigos Html y páginas que simulan ser la tipica página de incio de sesión de Hotmail, nos inducen por medio de tentadoras ofertas o postales a que iniciemos nuestra sesión de correo ahí, con el unico objetivo de capturar nuestra contraseña y mostrarnos alguna postal falsa en el mejor de los casos, para mejorar el discimulo o reenviarnos a la verdadera web de Hotmail.
Está técnica es muy utilizada, más que nada por lo fácil de su empleo, no hay que saber nada de nada, por que en Internet hay muchos "lanzadores", así se conocen sus plataformas, que solo requieren que pongamos el mail de la victima y nuestro mail para que envién la contraseña capturada, en algunos casos se puede conocer desde la misma web.
Como protección es recomendable saber que Hotmail nunca nos pedirá nuestra contraseña, ni via mail ni nada, a no ser que la misma no se encuentre ingresada. Pero nunca van a recibir un mail de Hotmail de "poné tu clave o cerramos tu cuenta", "Hotmail cerrará si no pones tu clave", y diferentes ganchos.
Segunda medida, fijarse en la barra de dirección ( donde tipeamos las url, www.gooole.com, por ejemplo ), fijarnos si no es sospechosa la dirección, por ejemplo: www.h0tmail.com ( notese en vez de "o" hay un "0" ), y diferentes webs con nombres malisciosos o malformados.
Antes cualquier duda, si les pasa eso, abran otra ventana de su navegador y escriban ahí www.hotmail.com e ingresen normalmente, si tienen dudas de el mail recibido.
Estos fakes suelen venir dizfrasados de postales, asi que si reciben una que al ingresar les pide su contraseña de Hotmail, no la pongan!.
4) Ingeniera social, se considera de las formas más efectivas de todas. Esta lisa y llanamente conseguir la contraseña pidiendosela directamente a la persona, por medio de la obtención de datos de la misma.
Por ejemplo, por experiencia se podría decir que las mujeres eligen fechas y documentos. Tener en cuenta que dar datos sin importancia a otra persona puede ser de riesgo, si nuestra pregunta secreta fuese "nombre de mi mascota favorita", cualquier persona que lo sepa podria cambiar nuestra contraseña, y si no la supiese, sería un dato muy fácil de averiguar.
Intenten que sus preguntas secretas sean dificiles o sin sentido, y que la respuesta no sea nada que ver a la pregunta, anotenlá en un papel o cosas así, asi evitan esta forma fácil de robo de contraseñas, que genera situaciones de contraseñas inretornables.
Como dato extra, si sufren este tipo de "ataque" prueben poniendo "123456" de contraseña, en el caso que se las hayan cambiado. Por una cuestión de practicidad el "atacante" podría haberla puesto por la fácilidad de acceso que tiene esa combinación de números en el teclado, en el caso de que el atacante haya probado varias respuestas a nuestra pregunta.
Un caso conocido fue el del celular de Paris Hilton, cuya pregunta secreta era "Nombre de mi mascota", conocido por todos "tinkerbell" se podría haber buscado en google, o mirado televisión. Los atacantes accedieron a la agenda de Paris obteniendo números como los de Madona, Eminem, etc. todos publicados en internet.
Ha habido grandes casos de fraudes y obtención de datos por medio de la ingeniería social.
Por último voy a dar algunos consejos:
Usar contraseñas que combinen dígitos y no utilizar fechas, documentos, nombre de artistas, bandas, etc. O utilizarlos de una manera inteligente, combinando números y letras.
Por ejemplo: nuestra contraseña es "televisor" fácilmente podría ser más segura si utilizamos un sistema memotécnico fácil, reemplazando algunas letras por su parecido en números:
Quedando "televisor" = "t3l3v150r", al momento de ser tipeada es díficil de comprender.
Bueno creo que es todo, espero lo disfruten y les sirva, cualquier duda o pregunta ... comments.
sábado, 16 de junio de 2007
begin
He vuelto a las tierras de blog, a pesar de que mi anterior estadía fue corta. Para variar gracias a mi vieja cuenta de blog, datando del 2004 [ ahhh que vejez ], pude obtener mi cuenta de gmail cuando era mas beta que ahora, je, y luego de un tiempo dieron 5 invitaciones, que difícil fue elegir a quien delegar dichos obsequios.
En fin, aca estoy de nuevo, creo que motivado por ver otros blogs [ ej: arcelot blog´s ], creo que es una buena forma de comentar mis proyectos y cosas que van surgiendo, más que nada apuntando a la programación aunque después la idea se va a ir deformando.
Ya como bitácora utilizaba mi fotolog pero a veces no me daban ganas de esciribir, por que en fotolog rara vez leen el captio de las fotos.
Bueno sin más, enjoy it :)
En fin, aca estoy de nuevo, creo que motivado por ver otros blogs [ ej: arcelot blog´s ], creo que es una buena forma de comentar mis proyectos y cosas que van surgiendo, más que nada apuntando a la programación aunque después la idea se va a ir deformando.
Ya como bitácora utilizaba mi fotolog pero a veces no me daban ganas de esciribir, por que en fotolog rara vez leen el captio de las fotos.
Bueno sin más, enjoy it :)
Suscribirse a:
Entradas (Atom)