gEEK tHE pLANET

Para nadie es extraño que wordpress se ha convertido en el gestor de blogs mas apatecido del “mercado”, como siempre sucede los ataques van dirigidos hacia lo que más se usa, afortunadamente este gestor cuenta con una buena cantidad de desarrolladores que colaboran continuamente y permiten hacer de esta herramienta algo más sólido, sin embargo no podemos fiarnos completamente de esto y dejar la seguridad de nuestro blog de las manos del equipo de desarrollo, en todo momento debemos estar preparados para potenciales ataques, para los que no somos expertos en esto de la programación debemos apoyarnos de una serie de plugins como los que mostraré a continuación:

1. Akismet
   URL: http://akismet.com/
   Descripción: Este plugin funciona por medio de una sistema centralizado que revisa cada comentario, trackback y pingback que llega a tu blog, lo pasa por una serie de filtros y pruebas los cuales determinan si es spam o no, para activarlo en nuestro blog debemos tener una API Key.
2. Wordpress Database Backup
   URL: http://www.ilfilosofo.com/blog/wp-db-backup/
   Descripción: Este plugin funciona tal cual su nombre indica, permite hacer una copia de seguridad de toda tu instalación de WP, permite guardar la copia de seguridad (backup) en tu disco duro, servidor o dirección de correo especificada, sin pensarlo 2 veces este es uno de los primeros plugins que debemos instalar en nuestro blog.
3. Semisecure Login
   URL: http://jamesmallen.net/2007/09/16/semisecure-login/
   Descripción: Con este plugin incrementamos la seguridad en nuestro inicio de sesion, utiliza del lado del cliente encriptación MD5 para la contraseña, es necesario Javascript para permitir la encriptación, cuando no se dispone de Javascript la contraseña es transmitida en texto plano (como siempre), aún este último caso la autenticación es llevaba a cabo.

[Leer mas]

Personalmente no queria actualizar aun mi blog, estaba esperando un par de dias más a que salieran nuevos errores y estos fueran corregidos, pero ahora la actualización es casi obligatoria.

El problema es que Technorati ha decidido no indexar blogs que considere como vulnerables, es decir de 2.3.3 para abajo, al parecer estas versiones están tienen bugs que nunca fueron reportados y que ahora están siendo utilizados por los hackers (black hats y spammers) para inyectar SPAM en los blogs que no se actualizan; también se tiene conocimiento de muchos themes que fueron liberados de manera gratuita, al parecer contienen código malicioso.

Un artículo de Technorati hace especial enfásis en los sitios que utilizan plataformas como wordpress, esto debido a la gran popularidad de este gestor, sin embargo se debe poner especial atención a las actualizaciones que son liberadas de cualquier CMS, así que por su seguridad es mejor que se mantenga al día con respecto a estos temas de mínima seguridad.

De igual manera sucede con los plugins que utilizamos, debemos recordar que estos son programados-diseñados por terceras personas, por lo que tenemos que poner especial atención a las actualizacion, esta nueva versión de wordpress, hace muy fácil este proceso, asi que por favor, visite de vez en cuando la sección de plugins.

Después de la actualización es recomendable activar el plugin Anti-SPAM y actualizar un par de ficheros.

• Parche 1
• Parche 2

Pues no directamente ni mucho menos gracias al equipo de desarrollo de microsoft, sino gracias a un joven hacker perteneciente a un grupo de hacking macedonio, según Loo Flirpa, portavoz del grupo, el código fue hallado en una “training hack” de rutina, antes de ser detenido Flirpa afirmó que los Servidores con Windows son juguetes para niños.

El archivo comprimido pesa alrededor de 4.2gigas y es llamado Ballmers_Balls.zip, aparentemente en referencia al CEO de Microsoft Steve Ballmer.

Para desgracia de microsoft su actuación fue bastante lenta, y minutos antes de lograr cerrar el site que guardaba tan “preciado” código, ya este estaba regado por la red, la magia de los torrents.

Aquí un pequeño trozo del código, fue obtenido y analizado por la gente de PCWorld, al parecer es auténtico.

Leer Más: Hackers “open source” Vista
Noticia vista en: Hackers logran liberar el código fuente de Windows Vista

El desafió de Hacking PWN to OWN celebrado durante la conferencia de seguridad de CanSecWest, finalizó el día 28 de Marzo luego de tres días de intensas pruebas, donde dos han perdido la batalla.

Tres eran los objetivos, todos parchados, típicas configuraciones del cliente con típicas configuraciones de usuario.

Objetivos:

• VAIO VGN-TZ37CN corriendo Ubuntu 7.10
• Fujitsu U810 corriendo Vista Ultimate SP1
• MacBook Air corriendo OSX 10.5.2

El objetivo principal de este concurso es dar a conocer nuevas vulnerabilidades en estos sistemas, con el fin que lo vendedores afectados puedan trabajar en ello.

El primero día no hubieron dados de baja, solo era posible acceder a los equipos a través de la red, las reglas eran bastante estrictas y ninguno de los participantes logró vulnerar alguno de los sistemas.

En el segundo día las reglas cambian, tenian los equipos de manera física y ya los ataques podian ir dirigidos hacia aplicaciones instaladas por defecto (clientes de correo, mensajeria instantánea, navegadores, etc); tan sólo 2 minutos le tomó a Charlie Miller Vulnerar la OSX, la vulnerabilidad es desconocida ya que firman un acuerdo de silencio, pero todos los rumores apuntan hacia Safari.
[Leer mas]

Via Dragonjar me entero de esta mala o malisima noticia para los usuarios que tienen sus blogs alojados en los servidores de Wordpress.

Todos los sitios alojados en Wordpress.com son vulnerables a estos ataques de tipo XSS (Cross-Site Scripting).

Un atacante puede aprovechar estos problemas para ejecutar un script code arbitrario en el navegador de un usuario incauto. Esto podria conllevar a que el atacante pueda robar las cookies de autenticación y así lanzar otros ataques.

La vulnerabilidad puede ser explotada remotamente y se hicieron las pruebas con wordpress 2.3.2.

Esta vulnerabilidad fue descubierta por DoZ, del grupo Hackers Center, han publicado un full disclosure y un Video demostrativo de la vulnerabilidad.