Unidos a esta nueva sección, en la cual finalmente estaremos realizando nuestras prácticas.
Para comenzar, vamos a ir a Google y buscar por Twitter por su son los creadores de tweets y ellos
tienen una academia en la cual podemos realizar diferentes ataques a aplicaciones web mientras hacemos
uso de esta herramienta diseñada por ellos.
Para comenzar, vamos a entrar entonces en este primer enlace que tengo después de mi búsqueda.
Luego les voy a solicitar que acá se creen una cuenta para poder ingresar a la parte de Academy.
Es bastante sencillo.
Yo voy a ingresar en mi cuenta, ustedes ingresen, continuaba con el video.
Bueno, finalmente ingresado a mi cuenta y luego de ingresar me dirigí hacia la parte de Academy, después
de estar en este lugar, lo que haremos es bajar y buscar los laboratorios de autenticación porque estará
haciendo ataques a páginas de autenticación.
Entonces vamos a seguir bajando y vamos a ocupar estos laboratorios que están en primero.
En esta ocasión vamos a ir un poco más abajo.
Y vamos a detenernos en este laboratorio de acá.
Entonces, para comenzar el laboratorio vamos a decir acceder al laboratorio.
Lo abrimos.
Vamos a esperar a que cargue.
Ahora vamos a ir hacia Accounts Lobby.
Bien, qué ocurre?
Nosotros vamos a intentar de hackear una cuenta.
Y qué pasa?
Yo ni siquiera conozco un usuario válido y tampoco conozco una contraseña que sea válida entonces para
comenzar.
Yo voy a intentar encontrar a un usuario que sea válido y una vez que tenga un usuario existente voy
a intentar adivinar cuál es su contraseña y para ello voy a hacer uso de un ataque de fuerza bruta utilizando
estos candidatos para usuario y estos candidatos para contraseñas que ya me están proveyendo.
Entonces veamos como sello de que esta técnica de adivinar un usuario si va a servir.
Si nosotros probamos a ingresar un usuario llamado o la contraseña al azar.
Veamos lo que ocurre, dice Usuario invalido.
Ojo, me está diciendo que es el usuario el que está equivocado ahorita y eso es malo, porque esto
me va a ayudar a mí, a poder estar probando con varios usuarios al azar hasta que eventualmente yo
no recibo este mensaje, sino que posiblemente reciba un mensaje que decía contraseña inválida y luego
de eso, entonces solamente restar, lograr saber cuál es la contraseña.
Bueno, lo que vamos a hacer ahorita es adivinar uno de los usuarios válidos y para ello vamos a ir
a abrir nuestra lista de usuarios que nos están proveyendo acá.
Vamos a copiar esto.
Confiamos y ahora el otro que vamos a ser.
Es encender Foxy Proxy.
Ver que el Intercept esté encendido y volver a hacer esto de ingresar un usuario y una contraseña.
Podemos ver que automáticamente Bersuit acaba de interceptar nuestra petición.
Entonces ahora nosotros vamos a ocupar esta pequeña pestaña que ustedes ven llamada Intruders para enviar
esta petición a Intruders y empezar nuestro ataque, podemos hacerlo utilizando click derecho y luego
cento Intruders o simplemente podemos presionar control y acabo de presionar.
Controlé y si se pillan?
Intruders está en color naranja.
Bueno, ya no lo está, pero sí lo estuvo por un momento.
Eso es porque acaba de recibir esta petición acá.
Bueno, aquí no se ve, pero es porque la petición la encuentra en la parte de posesione en que está
la petición.
Pueden ver exactamente la misma?
Entonces ahora vamos a limpiar estas cositas que ustedes ven color celeste y estos símbolos y añadir
solamente el campo de Soini del campo de Cernan contiene el usuario que acabo de ingresar.
Vamos a decir añadir, porque orita el ataque de fuerza bruta va a ser sobre el Newswire, si se fijan
en que hay diferentes tipos de ataques, pero ahorita que estén utilizándose es este ataque de aquí,
es el ataque más sencillo, por así decirlo.
Y bueno, ahora vayamos a Payload.
Y en Pilots veamos de que aquí hay diferentes tipos, nos vamos a ocupar una lista simple porque lo
que tenemos a la mano no una lista de usuarios.
Entonces por eso vamos a dejarlo seleccionado como lista simple.
Luego aquí podemos trabajar con los datos que van a estar en la lista simple y veamos que aquí está
la opción para pegar.
Entonces vamos a pegar.
Todos los usuarios acabamos de copiar.
Como pueden ver, dice que payload hay un total de 100.
Eso quiere decir que si en nombre de usuario.
Por otra parte, yo quiero ir a opciones.
Y voy a ir a la parte de Gleb en Mazz en esta parte de acá lo que voy a hacer es borrar todo esto con
Cleaver y vamos añadir lo siguiente este mensajito de invadir Concerning ya van a ver para qué.
Ahorita no le van a encontrar mucho sentido, pero que empiece, van a ver lo útil que es esto.
Decimos añadir ya tenemos todo listo, así que vamos a decir comenzar ataque.
Como pueden ver acá, el ataque acaba de empezar.
Aquí estamos probando con el usuario root y podemos ver también que aquí hay una pequeña columna que
sin usa Arnheim y como usuario root inbal en Giussani está marcado.
Eso quiere decir que la respuesta que yo tengo al empezar este usuario yo in Vallet Journey.
Lo que quiero decir con esto es lo siguiente si hacemos clic en root.
Y luego vamos hacia Responsa, vamos a poder ver de que hay un lugar en la respuesta que dice invadir
gestioné como pueden ver acá, nosotros podríamos llevarnos esto y mostrarlo en el navegador para que
vean que sí es cierto que dicen en ViewSonic.
Como pueden ver en YouTube Arnheim al haber hecho el usuario Root, entonces aquí sigo obteniendo más
usuarios que son inválidos y para no estar aquí en la parte de abajo, sino que con el fin de obtener
usana que sí es válido, vamos a hacer lo siguiente.
Dar clic acá click acá es para que donde hay una casilla que no esté marcada esa casilla se muestre
primero.
Finalmente, luego de 81 intentos, he encontrado un usuario válido.
Un pequeño consejo de que no estén esperando a que el usuario aparezca a ustedes mismos, que me parece
a mi Bersuit.
Bueno, la Academia de Bersuit está diseñada de una manera muy excelente, de forma que no se pueden
copiar.
El usuario que fue válido para mí no va a ser el usuario válido para ustedes.
O al rato, tal vez si lo he perdido, van cambiando el usuario y las contraseñas que son válidos para
que así no pueda haber copia directa.
Y quienes vienen a practicar acá tengan que hacerlo ejercidos por su cuenta si quieren desarrollar la
resolución completa de laboratorio.
Entonces, ahora que hemos finalizado esto, ya tengo mi usuario BALIO.
Voy a cerrar esto y lo que vamos a hacer es regresar a Intruders en la pestaña de Posiciones.
Voy a limpiar esto y ahora voy a escribir acá Argentina, que fue el usuario válido que encontré.
Vamos a seleccionar.
Hola!
Pero ahora del lado de Password antes lo hicimos de lado y.
Entonces añadimos en la parte de Paidos vamos a limpiar todo esto.
Y ahora vamos a buscar las contraseñas para copiarlas y pegarlas.
Casi olvidada.
Cuando estén trabajando tengan cuidado con tener el Intercept encendido, si no lo van a utilizar.
En nuestro caso, como ya no lo van a usar, lo vamos a pagar para que así todas las páginas carguen
con normalidad.
Ahora, si vamos a copiar y pegar las contraseñas y copiar Intruders, pegamos por acá en Options.
Vamos a hacer lo siguiente vamos a limpiar y vamos a añadir algo nuevo y esto nuevo que vamos a añadir
va a ser.
El mensaje de error que obtenemos al ingresar una contraseña incorrecta vean lo que va a pasar.
Tengo un usuario correcto, pero voy a ingresar una contraseña que seguramente es incorrecta.
Obtenga un mensaje que dice incorrecto password.
Entonces vamos a copiar este mensaje para pegarlo acá.
Y lo añadimos.
Luego vamos a comenzar con el ataque.
Así que esperemos se vean acá hay muchas contraseñas que ya están siendo incorrectas.
Tenemos que tener paciencia al momento en que encontremos una casilla que no esté marcada.
Otra de las cosas que va a pasar tienen que ver con el Estado.
Nos tiran un estado de 200.
Y recuerden que el 200 es hockey y suele mostrarnos una respuesta así en página HTML completa bien bonita,
mientras que cuando se encuentra una contraseña correcta, es decir, cuando nos estamos bloqueando,
el estado que solemos tener es un 302 de redireccionamiento.
Y van a ver cómo cambia el estado también.
Así que sigamos esperando.
Recuerdan aquí clic para que aparezca en primero casilla que no esté marcada.
También me gustaría hablarle un poco acerca del método post que ya vimos antes y le pongo un ejemplo.
Qué pasa si ustedes visitan @facebook.com sin haberse logueado?
Ustedes lo que van a encontrar es la página Longhi.
Mientras tanto, si ustedes visitan @facebook.com, una vez que hace Lobiano, ustedes van a ver su
página de inicio de Facebook.
Y a qué se debe esto?
Que cuando ustedes están @facebook.com con la página de login y mandan su correo y su contraseña, ustedes
van a hacer un cambio dentro del servidor, por así decirlo, porque el servidor lo que va a hacer ahora
es mandarlo de regreso, algo distinto al que ustedes visiten @facebook.com.
Una de las cosas que mantiene relación con el 302 que vamos a recibir.
Por qué nosotros lo que estamos haciendo es mandar por post nuestras credenciales y el servidor las
revisa y se van a la perfección.
Excelente.
Ahora te voy a mandar a tu página de inicio en la cual ya estás logueado y por tanto te va a parecer
algo diferente a lo que te saldría, sino que lo viada.
Como pueden ver.
Finalmente hemos encontrado la contraseña correcta y hemos obtenido un estado de 302 redireccionamiento.
Entonces ahora vamos a detener el ataque y nos vamos a guiar con nuestras nuevas credenciales, si es
que venimos hacia la parte de acá y mi turno es Argentina y mi contraseña es Yoshua y vamos hacia adentro.
Tuvo un pequeño problema con lo del toque SSF.
No se preocupen de esto, vamos a hablar más adelante.
Si obtuvieron este error, solamente copian la pega en una nueva pestaña y se intentan guiar nuevamente
Argentina y suerte.
Con esto deberíamos estar dentro.
Excelente.
Como pueden ver, ya estamos dentro.
Y para finalizar el laboratorio lo que vamos a hacer es clic en mi account.
Perfecto, hemos finalizado el laboratorio, cosas que pudimos aprender en este laboratorio es que la
enumeración de usuarios puede ser muy peligrosa.
Los sitios web no deberían permitir que un atacante se entere si lo que está mal es la contraseña o
si lo que está mal es el usuario.
Definitivamente, los sitios web deberían intentar dar mensajes que digan algo como tu contraseña o
tú usuarios.
Son incorrectos, de manera que el atacante no sepa cuál de los dos es.
Si no puede intentar hacer enumeración de usuarios y espero que este ataque haya gustado, en el próximo
video estaremos haciendo un ataque por medio de las cookies.
Vamos a ver como una mala implementación de Cuquis te permite robarte la sesión de otras personas,
así que te veo en el próximo video.