Ocupado

Siento mucho no poder escribir tan a menudo como me gustaría. Unas veces, es el tiempo. Otras, investigar algo me lleva bastante más de la cuenta. Otras... Otras, es cuestión de ponerse. Y eso que ahora mismo tengo casi 19 posts en borradores: recordatorios para saber que tengo que escribir sobre ellos, algunos antiguos que tengo que repasar, otros que no es sólo escribir sino también ver cómo se hacen...

Esta semana entera, en los huecos que he tenido libres, me he puesto a hacer un reto hackín que me ha costado más de la cuenta. Y no he podido acabarlo. Menos mal que no ha sido un análisis de un escenario real, si no, se me caía el pelo... Y la cara de vergüenza.

El reto en sí mismo es el de Guy, Where is the info?

Supongo que os lo contaré cuando escriba los datos que obtuve, cómo los obtuve, y los datos que en mi opinión estaban ahí... y cómo no los obtuve a pesar de pegarme mucho, mucho, mucho con ellos. Lo que tengo que pensar es si lo hago en un post entero o lo divido en varios. Sólo decir que el informe que he creado (he ido creando a medida que iba haciendo cosas), tiene... tiene... unas 15 o 16 páginas, y si no me equivoco, he llegado a las 25 capturas. Pero no os creáis, que hay tareas que están duplicadas por hacerlas desde distintos caminos. O unas ayudaban por un lado, pero no por otro, y viceversa. No se, ya veré. En cuanto vea la solución, podré saber dónde metí la pata, que tendría que haber hecho, qué no debería de haber hecho. O por qué me obcequé en tirar hacia un lado y no miré otro camino.

Supongo que todas esas observaciones serán muy útiles para los que se encuentren con algún caso o reto similar.

Además, también podré hablar de herramientas que no conocía y que he descubierto gracias a este reto.

Vamos, que si consigo ponerme un buen rato a escribir distintos artículos, posiblemente tenga publicaciones para rato.

LSP: La ingeniería informática

A través del colegio de ingenieros técnicos en informática de la comunidad de Madrid, primero, y después por @JoseSelvi :

Jose Selvi (@JoseSelvi) twitteó a las 0:58 p.m. on jue, abr 18, 2013: ¿Estudiaste Ingeniería en Informática en España? Quizá esto te interese: http://t.co/UHp1EkboPv (https://twitter.com/JoseSelvi/status/324839433796984832) Obtén la aplicación oficial de Twitter en https://twitter.com/download

me entero de que se va a hacer una ley que regula los servicios profesionales. A falta de poder leer el borrador que me han adjuntado desde el colegio, según he podido leer, afectará a las ingenierias. Pero no a todas. Se han olvidado de las de informática.

Por lo tanto, se están realizando movimientos para que no quede fuera.

Simplemente para el que le pudiera interesar y no se hubiese enterado.

¡Ay! ¡La memoria!

Voy a hablar de la memoria. Pero, en este caso, no se trata de la RAM. Ni tampoco, de la "memoria externa" (como muchas veces se oye a la gente nombrarla, [incluso puede que nosotros también]). Voy a hablar de nuestra memoria. Ésa en la que almacenamos conocimientos. Ésa en la éstos se pierden. Ésa en la que tenemos memorizadas (ya estamos con las redundancias) las contraseñas. Y, por supuesto, se olvidan. 

Y ese es el problema. Una contraseña muy manida. Esa contraseña que no sabrías escribirla en un papel, pero que la tecleas en el ordenador en un segundo. No dos, ni tres. Uno. Sólo un segundo para ponerla en el ordenador. Pero, después, si quieres escribirla no eres capaz.¿Por qué escribirla? Eso ya es otra historia, otra discusión de si es idóneo o no... Eso es otro cantar. 

Pues ahí me surgió el problema ayer martes. Estaba en el ordenador y de repente, quise poner la contraseña del administrador para hacer lo que fuera y no era capaz de ponerla. Era imposible. Lo peor de todo es que se me había olvidado una pequeña porción. Suficiente con tal de que baile una nota... Quiero decir, una tecla, una letra, un carácter especial, un número... Cualquier cosa que pongas, va a fallar. Y, claro, estás ahí, con tu usuario mortal y no puedes hacer un montón de cosas que necesitas. Es más. Nunca me había dado cuenta de lo mucho que dependo de ser administrador hasta ayer. La cantidad de cosas que hago elevando privilegios sin darme cuenta. Para que luego digan que es un coñazo. A lo mejor es que hay que acostumbrarse. Pero, lo dicho. No podía elevar. Alguna solución debía de tener. Porque las pruebas que hice fueron infructuosas. 

Mi primera solución fue pensar: Bueno. Me suena que tengo el Windows Credential Editor. Lo lanzo, y tirando millas. Así veo la contraseña en claro sin problema. Pues no. No podía ser porque para lanzarlo había que ser, como mínimo, Administrador. Y no podía ser admin porque no tenía la contraseña del todopoderoso usuario. 

Siguiente idea: lanzar el Kon-boot. Tenía la imagen en el disco, pero no encontraba el disco, y  tampoco busqué mucho. Por lo que tiré que quesera, y tosté uno. Lo lancé dos veces... sin éxito. Me dije. Tate, a ver si por culpa de forzar el introducir el nombre de usuario y contraseña ha hecho que no se pueda utilizar. Pero, estábamos en las mismas. No podía utilizar el gpedit para realizar el cambio en Usar siempre incio clásico. Por lo que se me ocurrió buscar qué clave del registro manipulaba esta sección. 

¿Qué podía hacer para cambiarlo? Pues lanzar un disco de arranque y cambiar la clave en modo offline. Por lo tanto, cogí un disco de arranque de Kaspesky, y mientras se arrancaba, me puse a buscar desde otro ordenador la clave del registro en cuestión. Ésta era:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DontDisplayLastUserName

Cuyo valor podía ser 1 (uno, para activado) ó 0 (cero, para desactivado). Y, por supuesto, lo tenía puesto a uno. Por lo que lo cambé a cero. Es más, me llamó la atención de que estaba totalmente en minúsculas. Aún así, a Windows eso no le afecta. 

Ya de paso, exporté la rama SAM que me ofrecía. De todas formas, también quise mirar si me acordaba dónde se guardaban los ficheros de la SAM directamente en disco. Pero buscando en el disco duro no lo encontré y no me dio por buscarlo en desde el otro equipo. Total, ya con el cambio realizado, volví a reiniciar.

Una vez reiniciado, y lanzando el kon-boot otra vez... Nada. No funcionó. Y lo intenté dos o tres veces. Mientras que me rebanaba el cerebro para ver qué podía hacer, y mientras que desde el otro ordenador intentaba ver si estaba haciendo algo mal para que Kon no funcionase, me acordé. Sí, me acordé de la contraseña. Esa parte que me estaba haciendo la vida imposible para no poder elevar privilegios, vino de la misma manera que se fue. 

Ahí fue cuando hice la prueba. En efecto, me había acordado de verdad. Y, ya por curiosidad, me fui al WCE para probar lo bien que funcionaba en mi equipo. Pero eso, ya será otra historia, en otro momento. 

¿Qué hubiera hecho si no me hubiese acordado? Posiblemente:

- Tirar de alguna herramienta de recuperación de contraseñas (lease, de crackeo, si es así como lo quieres llamar) y poner una regla para que buscase las combinaciones posibles teniendo en cuenta que sabía un buen trozo de la contraseña. 

- Tirar de sethc.exe y lanzarme una consola en el inicio. Después, ya como System, entrar y mirar la contraseña. 

A lo mejor lo de las reglas me hubiese costado un poco más de configurar, pero lo hubiese sacado de todas formas. 

Ahora me está surgiendo una duda: ¿A cuántos de vosotros os ha sucedido esto de olvidaros durante un buen rato de la contraseña? ¿Cuántos la habéis recuperado porque "ha regresado"?¿A cuántos os "ha regresado" después de haberla reseteado?¿Algunos habéis tenido que utilizar alguna técnica de estas para recuperarla, ya sea con éxito o sin él?

Posiciones posturales

La verdad, "posiciones posturales" parece un tanto redundante. ¿No? Incluso, posiblemente, "posturales" puede que ni exista.

Resulta que estos días en mi empresa nos han dado una formación global de cómo funciona por dentro, en la que nos han reunido a mucha gente, para que la conozcamos, hagamos talleres agrupados en distintas mesas, con un portavoz...

Uno de los talleres era sobre riesgos laborables. Y, además de hablar sobre la luz, la posición de la silla, los ordenadores, temperatura... Que si nos quejamos sobre alguna cosa al respecto... Como decía. Además de todo eso, una de las diapos tenía embebido este vídeo:



Como podréis comprobar, no está nada mal. Y son consejos que muchas veces, aún sabiéndolos, las malas posiciones son las que nos parecen más cómodas. Pero, a la larga, las que más lesiones nos producen.

Aún así, menuda sorpresa me he llevado al buscar este vídeo, que tenían otro sobre móviles:



Algunos son obvios, como por ejemplo, lo de conducir con el móvil en la mano. O agarrarlo con el cuello. O ejercitar el pulgar de la mano con el que lo estás agarrando. No es tan obvio lo de andar por la calle con el móvil. Ahí no hay ningún peligro de caerse, tropezarse, cruzar la calle por donde no se debe o cuando está en rojo. Todo eso no es obvio, por eso lo hacemos muchos.

Phishing v2

Acabo de leer desde Flu el siguiente post: ¿Phishing 2.0?, que, a su vez, lo vieron en otro blog. En resumen, la idea es que aún poniendo en un enlace la dirección buena, al tag también se le sumaría un parámetro onclick cuya función sería la encargada de redirigir ala URL que el atacante tenga preparada. La verdad, debieron de publicarlo hace unas semanas, pero eso de ir acumulando feeds ... Para que hace unos minutos dijera que no había podido escribir nada! P.D: Si no se ve el enlace, en cuanto pueda, lo pongo. Esto de Escribir desde el móvil a veces lo complica.

Posts post-puestos y algo más

Ya se que llevo casi dos semanas y media sin publicar. La cosa es que estaba a puntito de publicar algo y en el último momento me he rajado. No estaba todo lo bien que me hubiera gustado, así que... He decidido darle un buen repaso y ya lo terminaría dejando bien cuadradito.

Aún así, para aprovechar un poco que apenas estoy escribiendo nada, vamos a hacer un pequeño sondeo: si descubrieseis un sitio de venta de bases de datos como, por ejemplo, de e-mails, y que se encuentra fuera de España: ¿Hasta qué punto publicaríais un post en el que se juega con este sitio?¿Qué parte sí y qué parte no? Es más, y ahora que lo pienso: ¿Lo denunciaríais al Grupo de Delitos Telemáticos de la Guardia Civil o al BIT (Brigada de Investigación Tecnológica) aunque no se encuentre en España? El tema está en si publicar la URL, parte de ella. No publicar nada... Publicar algo sin mostrar la dirección para "no destapar el pastel" (que, posiblemente, mucha gente ya conozca). Por supuesto que no habrá ninguna novedad con lo que publique.

Bueno, eso. Espero que se entienda a qué me refiero.

Lo dicho. Siento mucho no haber podido postear con más frecuencia. A ver si encuentro un hueco para hacer todos los posts que tengo a hora mismo en mente, que son muchos.

Arreglando Sandboxie, que está kaputt.

En algún momento creo que ya os he hablado de Sandboxie (por ejemplo, aquí). Y, recientemente, también os he hablado de verifier y de cómo resolví un problema que tenía con el equipo. Bueno, pues en este proceso, y sin darme cuenta, sandboxie dejó de funcionar. Y, para resumir, todo este proceso tuvo algo que ver en que su panel de control, SbieCtrl.exe, sólo me pusiera mensajes parecidos a:

- SBIE1114 No es posible encontrar el servicio de sistema Zw, motivo 36
- SBIE1108 No se pudo analizar el procedimiento NTDLL.ZwCreateToken
- SBIE1103 El controlador de Sandboxie (SbieDrv) version 3.76 no ha conseguido iniciarse
- SBIE9153 No es posible iniciar el controlador (SbieDrv)
- SBIE1102 El controlador de Sandboxie (SbieDrv) se está descargando

Te encuentras con estas cosas (que  me salen después de haber estado trasteando un buen rato), y dices: ¿Qué hago? Pues empiezas a investigar. Si lo primero que has visto, antes de obtener estos mensajes, es que   puede tenga que ver con el servicio en sí mismo, SbieSvc, se intenta lanzar de diversas maneras, desde utilizando el comando sc, hasta yendo a la consola de administración de servicios de Windows.

Claro. Estos mensajes que estoy mostrando me han ido saliendo después de, incluso, haber reinstalado todo el programa con una desinstalación de por medio, porque una actualización no sirvió de nada.

Y, si se mira el autoruns de sysinternals, se puede ver que sí se deberían de estar cargando en el inicio.

Por lo que, si volvemos a la parte en la que iniciamos el servicio, que se encuentra parado, desde la consola de servicios, podremos ver cómo se empieza a arrancar, y a los pocos segundos, se para. Ahí se lanzan las alertas. ¿Y si miro en el visor de eventos de Windows a ver qué me sale? Si miramos en los registros de sistema, podremos ver que están exactamente las mismas líneas que nos muestra el panel de control. Al iniciar una de las primeras búsquedas, nos encontraremos que el registro

SBIE1114 Cannot find Zw system service, reason 36

nos indica que la razón 36 se produce cuando en un sistema 64 bits se está utilizando el driver verifier manager con SbieDrv.

Como ya dije en su momento, qué casualidad que no usé sandboxie después de haberlo activado. Por lo tanto, voy a lanzar esta herramienta y eliminaré la configuración actual (acordaros de elevar privilegios y de reiniciar).

Una vez reiniciado, ya tendremos otra vez sandboxie funcionando. Evidentemente, si has reinstalado entero, tendrás que volver a configurar las cosas de nuevo.