Como saber mi IP en Linux


En general cuando queremos ver nuestra IP pública visitamos algunos de esos sitios en donde directamente nos lo muestra en pantalla, pero la verdad yo quería algo más sencillo. Estaba cansado de tener que ejecutar el navegador y dirigirme a un sitio web simplemente para obtener es información.

Como todos saben GNU/Linux tiene una comunidad muy grande y ante cualquier problema o duda todos nos ayudamos, por lo tanto procedí a buscar alguna solución. En uno de los sitios indicaban ejecutar un comando que funcionaba muy bien, simplemente con ejecutarlo me mostraba mi IP pública.

Esto siginificaba que yo debía abrir una terminal y ejecutar el comando, pero yo quería algo más fácil, así que escribí un pequeño y sencillo script en Bash en donde simplemente hacen doble click se muestra mostraba su IP pública.

Así es, adiós a abrir navegadores y visitar sitios, adiós a abrir la terminar e insertar un código.

Aquí se los dejo para quien lo que quiera usar!


Como bajar videos de YouTube

Si buscas una herramienta con la que descargar vídeos de múltiples plataformas quizá ya conozcas algunas populares como jDownloader. Pero la existencia de una aplicación tan potente no quita que haya alternativas a tener en cuenta, y una de las más interesantes es YouTube-dl, que lleva años permitiéndonos descargar vídeos de prácticamente cualquier web.

Es un programa libre y de código abierto, y entre las cientas de páginas que soporta están YouTube, Facebook, Twitter, Instagram o Vine. No hace falta instalarlo, lo que hace que no deje ningún rastro en el ordenador y sea fácil de llevar en un USB. De hecho, lo único que necesitaremos para usarlo es poner dos direcciones en la línea de comandos de nuestro sistema operativo.

Vale, sí, tener que utilizar la línea de comandos puede hacer que parezca un programa enfocado a los usuarios avanzados, pero no es necesariamente así. Es verdad que tiene varias decenas de comandos para que se puedan configurar las descargas de mil y un maneras, pero estos no serán necesarios para realizar descargas básicas de forma sencilla.

YouTube-dl es multiplataforma, y tiene versiones para GNU/Linux, Mac OS X y Windows. Hoy vamos a enseñaros cómo utilizar el programa de forma sencilla, y como este pequeño tutorial va enfocado a usuarios noveles vamos a utilizar el sistema operativo de Microsoft por ser el más utilizado.

Antes de utilizarlo:

Python


Antes de que podáis usarlo casi automáticamente primero tendréis que dar dos o tres pasos previos. El primero nos lo adelantan claramente sen su web, y es que necesitaremos descargar y tener instalado el intérprete Python, el cual encontraremos en su página web. Descargar e instalar, nada más necesitaremos saber de él.

A continuación nos descargaremos el propio YouTube-dl desde su web. Su versión para Windows es un archivo .exe, y si hacéis click sobre él veréis que lo único que hace es ejecutar una ventana y cerrarse. No es que se haya descargado mal, es que para utilizarlo ni siquiera necesitaremos ejecutar el archivo .exe.

Para que el proceso sea más sencillo es recomendable llevar youtube-dl.exe a la carpeta en la que vayamos a descargar los vídeos. Tendremos que escribir su nombre en la línea de comandos, por lo que también vendría bien cambiárselo por otro más corto, como por ejemplo ydl.exe. En cualquier caso y para no confundirnos, en hoy utilizaremos su nombre por defecto.

Cómo se utiliza YouTube-DL: dos comandos y listo

Captura De Pantalla 710


En mi prueba el ejecutable está en el escritorio, y ahí se bajarán los vídeos, por lo que la dirección a la que ir desde el símbolo de sistema será Desktop.

El vídeo de prueba será uno de XatakaTV, cuya dirección es https://www.youtube.com/watch?v=M41k0SSfqa8. Una vez tenemos esto claro, es tan sencillo como:
  • Abrir el Símbolo de sistema de Windows.
  • Escribir cd Desktop para ir al escritorio, que es donde tenemos el ejecutable
  • Escribir youtube-dl.exe https://www.youtube.com/watch?v=M41k0SSfqa8.
Y ya está, sólo con escribir el nombre del programa junto a la dirección del vídeo será suficiente, y en el caso de YouTube la aplicación descargará el vídeo en su máxima resolución por defecto. Como veis en la captura, también he descargado sin problemas vídeos de Facebook, Instagram o Twitter sólo con escribir la URL del post en el que está.

En la lista de páginas soportadas veréis los clásicos Youtubes del porno como PornHub, tiendas online como Steam, gran cantidad de páginas web y medios digitales, y muchas otras redes sociales que soportan vídeo. Las instrucciones para instalar el programa en sistemas UNIX como GNU/Linux o Mac OS X las tenéis en su web.

Como veis, el programa es muy fácil de utilizar una vez lo tenemos todo en su sitio y lo hemos renombrado para que sea más rápido de escribir. De hecho me parece más rápido de utilizar que el propio jDownloader, ya que tras copiar la URL del vídeo, con YouTube-dl tendremos que pegarla en la línea de comandos mientras que en jDownloader tendremos que ir a la pestaña del capturador y hacer click derecho para que empiece a descargarlo.

Por cierto, quienes queráis sacarle aún más partido al programa, en su página de GitHub tenéis un pequeño índice con los comandos que necesitaréis para usarlo con proxy, elegir vídeos con búsquedas o en listas de reproducción, elegir el formato o el tamaño en el que se descarga el vídeo o descargaros también los subtítulos.

WhatsApp agrega cifrado a sus comunicaciones


Si usas la versión más reciente de WhatsApp, puedes estar tranquilo de que tu comunicación está segura y que ningún par de ojos curiosos la podrá ver... ni siquiera el gobierno.

En una entrevista con la revista Wired, Brian Acton y Jan Koum, fundadores de la aplicación de mensajería móvil más utilizada a nivel mundial, confirmaron junto al investigador y criptógrafo Moxie Marlinspike, que ha añadido cifrado end-to-end a su servicio.

Este cifrado extremo a extremo ha comenzado a activarse a todos los usuarios. Cuando nos registramos en WhatsApp se intercambian una serie de claves con los servidores, de manera que quedamos autenticados ante él. Utilizando dichas claves, cada vez que iniciamos un chat, una llamada o cualquier otra comunicación, se genera una clave única por cada elemento de manera que todo el tráfico queda cifrado extremo a extremo y permanece cifrado incluso en los propios servidores de WhatsApp, impidiendo que estas puedan ser descifradas.



Si abres WhatsApp en este momento, deberás ver en tu conversación un mensaje de que este cifrado ya está activo. Según explica Acton y Koum a Wired, el cifrado es del tipo end-to-end encryption, lo que quiere decir que ni siquiera los empleados de WhatsApp pueden leer la información enviada a través de la App.

WhatsApp también lanzó un micrositio en donde explica de forma simple y, para los interesados de forma detallada y con términos de seguridad informática, todo lo referente al cifrado en la comunicación a través de WhatsApp. El cifrado llega para la aplicación de WhatsApp en Android, iOS, BlackBerry, Windows Phone e incluso para esos teléfonos viejitos móviles --pero no inteligentes-- de Nokia.

Para llevar a cabo este cifrado se utilizan los siguientes elementos:

  1. Claves públicas:
    • Identity Key Pair: Una clave de larga duración Curve25519, generada en el momento de la instalación.
    • Signed Pre Key: Una clave de duración media Curve25519, generada durante la instalación, firmada por la Identity Key Pair y que cambia con el tiempo.
    • One-Time Pre Keys: Una lista de claves Curve25519 de un solo uso, generadas durante la instalación y reemplazadas según sea necesario.

  1. Claves de sesión:
    • Root Key: Una clave de 32-bytes utilizada para crear las Chain Keys.
    • Chain Key: Una clave de 32-bytes usada para crear las Message Keys.
    • Message Key: Una clave de 80-bytes usada para cifrar todo el tráfico de las comunicaciones
      • 32 bytes se utilizan para la clave AES-256.
      • 32 bytes para la clave HMAC-SHA256
      • 16 bytes para un IV
Podemos ver más información técnica sobre este cifrado en el siguiente PDF.

"WhatsApp no tiene forma de colaborar con órdenes de cortes demandando acceso a cualquier mensaje, llamada, foto o video viajando en el servicio", explica Wired. En el micrositio referente a seguridad en WhatsApp, la aplicación explica: "El cifrado de extremo a extremo en WhatsApp está disponible cuando tú y las personas a las que les envías mensajes están usando las últimas versiones de WhatsApp. [...] El cifrado de extremo a extremo de WhatsApp asegura que sólo tú y el receptor puedan leer lo que es enviado, y que nadie en el medio; ni siquiera WhatsApp lo puedan hacer".

WhatsApp utiliza el cifrado de código abierto Textsecure, creado por la compañía sin fines de lucro Open Whisper Systems y que revuelve los mensajes; la única forma de ordenar los mensajes es con una llave que cambia con cada nuevo mensaje y que se almacena únicamente en los teléfonos dentro de la conversación. Cada llave es único para cada mensaje enviado.



Si no recibes el mensaje en la conversación (como en la imagen), ve a la información de cada conversación y debajo de los archivos multimedia enviados, mensajes destacados y notificaciones, aparece un apartado llamado Cifrado, en donde aparece un candado en tono azul y dice que los mensajes y llamadas están cifrados. WhatsApp también da la opción de escanear un código QR para confirmarlo.

El cifrado completo y de punto a punto en WhatsApp llega a penas unas semanas después de que la aplicación de mensajería entrara en el ojo de investigaciones del gobierno de Estados Unidos, pues agencias gubernamentales estaban investigando formas de brincar el cifrado del app.

Sin embargo se debe tener en cuenta que mientras se aclama que este cifrado es verdaderamente privado y seguro, esta afirmación no es realmente correcta: los metadatos no son secretos. El gobierno podría, por ejemplo, exigir conocer con quien se comunicó un usuario en particular, si lo hizo así y con qué frecuencia. Incluso puede ser capaz de decir desde dónde se realizó la conversación.

Es decir que el nuevo cifrado es sin duda una inflexión en cuanto a seguridad de los contenidos de las conversaciones, pero WhatsApp todavía no es una plataforma segura, privada y a prueba de ordenes judiciales y gubernamentales.

Los inicios de WhatsApp y el cifrado se remontan a 2014, cuando WhatsApp agregó cifrado en Android; en agosto de 2015 iOS recibió el mismo cifrado y en marzo se comenzó a cifrar los chats grupales. Sin embargo, a partir de hoy toda comunicación a través de WhatsApp ya es segura.

SQL Injection Cheat Sheet


Sin duda uno de los ataques más conocidos e importantes en el mundo del Hacking y PenTest son las inyecciones SQL, esto se debe a que la gran mayoría de sistemas usan los gestores de Bases de Datos SQL y a que en el pasado por faltas en protocolos de seguridad existía una cantidad muy elevada de sistemas y sitios webs vulnerables a  este tipo de ataques. A pesar de que la seguridad ya es un tema que se toma en serio, aun existen muchos sistemas vulnerables a estos ataques y las SQLi siguen siendo la primera carta bajo la manga de muchos hackers.
 
Existen un sin fin de herramientas que ayudan a la explotación de una vulnerabilidad de este tipo, pero estas herramientas no son infalibles y en muchos casos no pueden ser usadas, entregan falsos negativos o hacen mucho ruido por la cantidad de consultas que hacen (en algunos casos generan incluso DoS).
 
Si te interesa el mundo del Hacking y PenTest tienes que aprender de Bases de Datos y SQL para luego entender e indagar sobre las Inyecciones SQL, es por ello que les dejo un pequeño y muy completo Cheat Sheet de SQL Injection.
 
En el Blog de Netsparker han actualizado uno de los mejores Cheat Sheet de SQL Injection que se podían encontrar en la web. En él se puede encontrar diferentes tipos de técnicas para verificar un SQLi, como también sintaxis de ataques dependiendo del Gestor de Bases de Datos como del lenguaje en el cual esté programada la aplicación vulnerable. Aquí les dejo el índice de contenidos:
    1. Line Comments
    2. Inline Comments
    3. Stacking Queries
    4. If Statements
    5. Using Integers
    6. String Operations
    7. Strings without Quotes
    8. String Modification & Related
    9. Union Injections
    10. Bypassing Login Screens
    11. Enabling xp_cmdshell in SQL Server 2005
    12. Finding Database Structure in SQL Server
    13. Fast way to extract data from Error Based SQL Injections in SQL Server
    14. Blind SQL Injections
    15. Covering Your Tracks
    16. Extra MySQL Notes
    17. Second Order SQL Injections
    18. Out of Band (OOB) Channel Attacks

Hackean planta potabilizadora en el Reino Unido.


Cada vez queda más claro que este es un mundo que depende enormemente de la seguridad informática para casi todos los aspectos de la vida en sociedad, eso al menos lo vivieron en Reino Unido, donde según un informe han logrado saltarse la seguridad de una planta depuradora, con preocupantes consecuencias.

Esta no es la primera vez que sucede ya que en diciembre de 2015 Ucrania se quedo sin energía eléctrica después del ataque de un malware y también hubo otro ataque contra la red de energía eléctrica de Israel.

Según el informe "Data breach digest" de Verizon [PDF], un grupo de hacktivistas ha logrado entrar en la seguridad de una planta depuradora de Reino Unido, sin revelar nunca la planta en cuestión, hecho con el cual accedieron al control entero de la planta durante un tiempo, pudiendo recabar archivos y ejecutar algunas acciones.

Entre las actividades realizadas por el grupo se encuentran el recabar datos de dos millones y medio de consumidores, una acción relativamente común, pero destaca que fueron capaces de dar la orden de apertura y cierre de válvulas para alterar la concentración de químicos añadidos con los que tratan el agua para que sea apta para consumo general, algo que por suerte no varió en la potabilidad del agua.

Verizon dice que el ataque fue posible porque la compañía de agua estaba usando sistemas operativos de más de una década de edad (estamos adivinando ¿Windows XP?), y porque toda la red IT se basaba en un solo servidor antiguo de IBM con aplicaciones en AS/400, lanzado en 1988.



Este servidor se utilizaba para conectar la red IT interna de la empresa y también los sistemas de tecnología operacional (OT) que controlaba la planta de tratamiento de agua, que gestiona el abastecimiento de agua y medición y, lo mejor de todo, sólo un empleado en toda la compañía era capaz de lidiar con este antiguo AS/400.

Los atacantes violaron el sistema de la empresa explotando una vulnerabilidad en el sistema de pagos accesible desde la web. Los investigadores dicen que aunque tuvieron acceso a registros de más 2,5 millones de clientes, por suerte nunca trataron de utilizar la información de las cuentas.

Al final, la empresa fue capaz de identificar y revertir cambios de flujo y de productos químicos, por lo que se minimizó el impacto, pero podría haber sido mucho peor.

Esto ha mostrado lo débiles que es la seguridad informática de las infraestructuras más importante, y no es la primera vez que ocurre, pues hace poco pasó un suceso parecido en Alemania donde destrozaron los altos hornos de una fundición.