Відео

Gracias por compartir tus conocimientos :)

Excelente video! una pregunta, esto solo se aplica a máquinas virtuales o también a máquinas físicas que usan linux?

Excelente explicación 🙌

Useless video👎... Video Not in english

Vamossss!!!!

Ya con este video ya tienes un nuevo seguidor, muy bien explicado.

Genial video. Si sospecho que he sufrido un robo de cookies que puedo hacer para mitigar? Saludls

buen vídeo

Gran contenido compi!!!

JAJAJJAJAJA me ha encantado el canal, es el primer video que veo y ya tienes subscriptor!!!! se ma quemao la tortilla compaee xDDDDD

El atributo "HttpOnly" en las cookies HTTP es esencial para mejorar la seguridad de las aplicaciones web al mitigar el riesgo de robo de cookies y proteger los datos del usuario. Este atributo impide que las cookies sean accesibles desde scripts del lado del cliente, como JavaScript, limitando su accesibilidad únicamente a las solicitudes HTTP. Esto proporciona una capa adicional de defensa contra ataques, especialmente los de tipo Cross-Site Scripting (XSS), donde los atacantes inyectan scripts maliciosos en páginas web para robar cookies o realizar acciones no autorizadas. Cuando un servidor web envía una cookie al navegador de un usuario, esta se almacena generalmente como un archivo de texto en el dispositivo del usuario y puede contener información sensible como ID de sesión, preferencias de usuario o tokens de autenticación. Sin el atributo "HttpOnly", estas cookies son accesibles tanto para los scripts del lado del cliente como para los del servidor, lo que aumenta el riesgo de que un atacante las robe y secuestre sesiones. Al habilitar el atributo "HttpOnly", se restringe el acceso de las cookies a los scripts del lado del cliente. Esto significa que incluso si un atacante logra inyectar un código malicioso en una página web, no podrá leer ni manipular los datos de la cookie. Esto reduce significativamente la superficie de ataque y protege mejor la información del usuario. Por ejemplo, en una aplicación de banca en línea, después de que un usuario inicia sesión, el servidor establece una cookie de sesión con el token de autenticación. Si la cookie no está marcada con "HttpOnly", un atacante que inyecta un script malicioso en la página puede robar la cookie y acceder a la cuenta del usuario. Sin embargo, si la cookie está marcada con "HttpOnly", el script malicioso no podrá acceder a la cookie, evitando el acceso no autorizado. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/05/httponly-session-hijacking-xss.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #HttpOnly #Hijacking #script #PoC

Grandeeee!!!!

Como siempre articulo que vale oro. Gracias por compartirlo compi

LDAP son las siglas de Protocolo Ligero de Acceso a Directorio, o en inglés (Lightweight Directory Access Protocol). Se trata de un conjunto de protocolos de licencia abierta que son utilizados para acceder a la información que está almacenada de forma centralizada en una red. Este protocolo se utiliza a nivel de aplicación para acceder a los servicios de directorio remoto. Un directorio remoto es un conjunto de objetos que están organizados de forma jerárquica, tales como nombres, claves, direcciones, etc. Estos objetos estarán disponibles por una serie de cliente conectados mediante una red (interna o LAN), y proporcionarán las identidades y permisos para esos usuarios que los utilicen. De forma general, estos directorios se utilizan básicamente para contener información virtual de usuarios, para que otros usuarios accedan y dispongan de información acerca de los contactos que están aquí almacenados. Además es capaz de comunicarse de forma remota con otros directorios LDAP. De esta forma se crea una base de datos de información descentralizada y completamente accesible Las inyecciones LDAP son un tipo de ataque en el que se aprovechan las vulnerabilidades en las aplicaciones web que interactúan con un servidor LDAP. La inyección LDAP funciona mediante la inserción de comandos LDAP maliciosos en los campos de entrada de una aplicación web, que luego son enviados al servidor LDAP para su procesamiento. Si la aplicación web no está diseñada adecuadamente para manejar la entrada del usuario, un atacante puede aprovechar esta debilidad para realizar operaciones no autorizadas en el servidor LDAP. y llegar a acceder a información de usuarios o recursos que no debería tener acceso, realizar cambios no autorizados en la base de datos del servidor LDAP o realizar operaciones maliciosas en la red, como lanzar ataques de phishing o instalar software malicioso en los sistemas de la red. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/05/inyecciones-ldap-explicacion-y-poc.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #LDAP #INJECTION #InyeccionesLDAP #PoC

Estas pruebas de concepto en entornos controlados son muy útiles para aprender y entender con la práctica. Puede que sean máquinas fáciles para expertos pero para estudiantes y principiantes es una gran herramienta. Muchas gracias por tomarse el tiempo de crear las maquinas y compartirlas con los writeup. Saludos.

El ataque de truncamiento SQL, conocido también como SQL Truncation, es una táctica empleada por atacantes para manipular consultas SQL de manera maliciosa en una base de datos. Es decir en la configuración de la base de datos en la que una entrada se trunca (elimina) al agregarse a la base de datos debido a que supera la longitud máxima definida. El sistema de gestión de la base de datos truncará cualquier valor recién insertado para que se ajuste al ancho del tamaño de columna designado. Imaginemos una situación común en la que una aplicación web tiene un campo de entrada limitado, como el de correo electrónico, y no realiza una validación adecuada de los datos ingresados. Uno de los campos requeridos es la de correo electrónico, limitada a 17 caracteres en la base de datos. Si el usuario “info@curiosidadesdehackers.com” ya está registrado, intentar crear otra cuenta con la misma dirección sería bloqueado. Pero, si un atacante intenta registrar”info@curiosidadesdehackers.com a”, que tiene 18 caracteres, el sistema lo truncaría a “info@curiosidadesdehackers.com” debido a su límite de longitud. ¿Qué sucede con los espacios? Estos serán eliminados automáticamente, lo que significa que “info@curiosidadesdehackers.com a” se convertirá nuevamente en “info@curiosidadesdehackers.com”. Así, el atacante podría registrarse con una dirección similar y potencialmente cambiar la contraseña del usuario existente. Si la base de datos considera los espacios como caracteres válidos entre las entradas y no realiza ningún recorte antes de almacenar los valores, un atacante puede crear cuentas duplicadas de un usuario existente ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/02/ataque-de-truncado-sql-sql-truncation.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #sqltruncation #sql #PoC

Gracias por compartir. Tengo una duda, después de ganar acceso y tener la sesion de meterpreter puedo abrir la shell de windows pero estándo ahí no sabría como descargar el .txt, Desde meterperter sé que se puede con el comando download pero desde la shell de windows lo puedo copiar ni bajar. Gracias, saludos.

Buen video y Nuevo sub

Miy gráfico todo, si hay diferencia con las api me gustaría ver como se explotan

Bien explicado!!! Estas haciendo vídeos muy chulos, sigue así.

excelente vídeo.

Grandeeeee

Pedazo de vídeo!!

Brutalllll!!! A seguir dando caña

Los ataques de deserialización representan una amenaza significativa en el ámbito de la seguridad informática. Estos ataques se aprovechan de las debilidades en los procesos de serialización y deserialización de objetos en aplicaciones que utilizan la programación orientada a objetos (POO). La serialización, un proceso esencial en la transferencia de datos, convierte un objeto en una secuencia de bytes que puede almacenarse o transmitirse a través de una red. Por otro lado, la deserialización es la acción inversa, donde una secuencia de bytes se convierte de nuevo en un objeto. Los ataques de deserialización se producen cuando un atacante puede manipular los datos durante este proceso, lo que puede resultar en la ejecución de código malicioso en el servidor. Estos ataques pueden manifestarse en diversas aplicaciones, incluyendo aplicaciones web, móviles y de escritorio. Los atacantes pueden explotar estas vulnerabilidades de diferentes maneras: • Alterando el objeto serializado antes de su transmisión a la aplicación, lo que puede inducir errores en la deserialización y permitir la ejecución de código malicioso. • Enviando un objeto serializado malicioso que se aproveche de una vulnerabilidad en la aplicación para ejecutar código dañino. • Llevando a cabo un ataque de “man-in-the-middle” para interceptar y modificar el objeto serializado antes de su llegada a la aplicación. Estos ataques representan una seria amenaza, ya que podrían permitir a un atacante tomar el control completo del servidor o de la aplicación objetivo. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/05/ataques-de-deserializacion-explicacion.html💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #deserelizacion #deserelization #PoC

en mac existe algun bypass?

también sigue funcionando con sethc.exe de igual manera

En hora buena, que buen video, voy a probarlo en el 10 haber como me va, saludos chaval desde Bogota.

Buenísimo vídeo, sigue así crack!!

Gran video y gran plataforma!!!!

Buenísimo vídeo compañero!! Se agradece un montón!! Se vendrán colaboraciones bien potentes!!

Muy buen video!!!!!

Estas a tope!!!!!

Buen vídeo .!!

Pedazo de resolución y de máquina!! Se aprende mucho :)

A

Videazoooo!!!!! Grandeeee

Hostia pues no sabía esta , muy bien explicado tio un saludo

Grande crackkk!!!!

Las inyecciones NoSQL representan una amenaza significativa para la seguridad de las aplicaciones web que dependen de bases de datos NoSQL como MongoDB, Cassandra y CouchDB. Estas vulnerabilidades ocurren cuando los atacantes pueden introducir datos maliciosos en consultas de bases de datos, que luego son ejecutadas sin la debida validación o sanitización por parte de la aplicación. Al igual que las inyecciones SQL, las inyecciones NoSQL explotan vulnerabilidades específicas de las bases de datos NoSQL. Sin embargo, su enfoque difiere al aprovechar consultas basadas en documentos en lugar de tablas relacionales. En una inyección NoSQL, los atacantes pueden manipular consultas de base de datos para obtener información confidencial o realizar acciones no autorizadas. La falta de validación de datos en consultas a bases de datos NoSQL permite a los atacantes realizar estas manipulaciones. A diferencia de las inyecciones SQL, que se dirigen a bases de datos relacionales, las inyecciones NoSQL explotan la falta de validación en consultas a bases de datos NoSQL. Esta falta de validación significa que los atacantes pueden ejecutar consultas de manera no autorizada y acceder a datos sensibles sin restricciones. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/04/inyecciones-nosql-explicacion-y-poc.html💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #NoSQL #inyecionNoSQL #Mongodb #PoC

👏👏👏

Grande!!!!!

Grande compi!!!!!

El abuso de las API (interfaz de programación de aplicaciones) es una preocupación cada vez mayor para las empresas y organizaciones que dependen de las API para proporcionar acceso a sus servicios y datos. El abuso de las API puede adoptar muchas formas, desde el acceso no autorizado y las filtraciones de datos a los ataques DDoS y el spam. Para evitar el abuso de las API, es esencial implementar medidas de seguridad de API sólidas. Cuando nos referimos al abuso de APIs, estamos hablando de la explotación de debilidades en las interfaces de programación de aplicaciones (APIs), las cuales facilitan la comunicación y el intercambio de datos entre diferentes aplicaciones y servicios en una red. Un ejemplo práctico de API es la integración de Google Maps en una aplicación de transporte. En lugar de crear su propio sistema de mapas, la aplicación puede utilizar la API de Google Maps para mostrar la ubicación del vehículo y la ruta hacia el destino del usuario. La API de Google Maps proporciona una serie de funciones y protocolos que permiten a la aplicación de transporte comunicarse con los servidores de Google para acceder a los datos necesarios y mostrar el mapa y la ruta. Además, la API se encarga de adaptar la visualización del mapa y la ruta a diferentes dispositivos y navegadores, permitiendo que la aplicación de transporte se concentre en su funcionalidad principal. Los endpoints de una API pueden aceptar varios métodos de solicitud, como GET, POST, PUT, DELETE, entre otros. Los atacantes pueden utilizar herramientas de fuzzing para enviar una gran cantidad de solicitudes a un endpoint en busca de vulnerabilidades. Por ejemplo, podrían realizar solicitudes GET para listar todos los recursos disponibles o enviar solicitudes POST para agregar o modificar datos. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/04/explotacion-de-apis-explicacion-y-poc-12.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #JWT #API #APIs #PoC

Gran video compi!!!! Enhorabuena y a seguir dando caña

Buenísima iniciativa compañeros!! Le daremos caña a esas máquinas ;)

La técnica de ataque conocida como Prototype Pollution se vale de debilidades presentes en la forma en que se implementan los objetos en JavaScript. Este método se emplea para alterar la propiedad “prototype” de un objeto en una aplicación web, brindando al atacante la capacidad de ejecutar código malicioso o manipular la información de la aplicación. En el contexto de JavaScript, la propiedad “prototype” se utiliza para definir las características y funciones de un objeto. Los atacantes aprovechan esta particularidad del lenguaje para modificar las características y funciones de un objeto, logrando así tomar el control de la aplicación. El ataque de Prototype Pollution se materializa cuando un atacante altera la propiedad “prototype” de un objeto en una aplicación web. Este acto puede llevarse a cabo manipulando datos transmitidos mediante formularios o solicitudes AJAX, o introduciendo código malicioso en el código JavaScript de la aplicación. Una vez que el objeto ha sido manipulado, el atacante puede ejecutar código malicioso en la aplicación, manipular datos o incluso tomar el control de la sesión de un usuario. Un ejemplo ilustrativo sería la modificación de la propiedad “prototype” de un objeto de autenticación de usuario para permitir el acceso a una cuenta sin requerir una contraseña. Las consecuencias de la explotación del ataque Prototype Pollution pueden ser graves, ya que los atacantes pueden asumir el control de la aplicación o comprometer los datos de los usuarios. Además, debido a que este tipo de ataque se basa en vulnerabilidades en la implementación de objetos en JavaScript, su detección y corrección pueden resultar desafiantes. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/01/vulnerabilidad-de-contaminacion.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #prototypepollution

¿Soy yo o no tiene audio el vídeo?

Session Puzzling es una vulnerabilidad a nivel de aplicación que ocurre cuando la variable de sesión de la aplicación se utiliza para más de un propósito. Otro nombre para la sesión Puzzling es la sobrecarga de variables de sesión. El atacante intenta acceder a los puntos de entrada de la aplicación.La creación de objetos de sesión puede iniciarse de manera indirecta mientras se explotan las Session Puzzling y luego explotarse, accediendo a un punto de entrada como servicios web, páginas web, llamadas a procedimientos remotos, etc. La Session Puzzling permite a los atacantes eludir la autenticación, suplantar a usuarios legítimos, elevar privilegios, eludir restricciones de flujo e incluso ejecutar ataques adicionales. A esto de le suma Session Fixation y Session Variable que afectan a la manera en que se gestionan las sesiones en las aplicaciones web. Session Fixation ocurre cuando un atacante establece un identificador de sesión válido para un usuario y espera a que este inicie sesión. Una vez que el usuario lo hace, el atacante puede acceder a su sesión y llevar a cabo acciones maliciosas en su nombre. Esto puede lograrse engañando al usuario para que utilice un enlace con un identificador de sesión válido o aprovechando una debilidad en la aplicación para establecer el identificador de sesión. Session Variable, por otro lado, es un tipo específico de ataque deSession Fixation donde el atacante envía una gran cantidad de datos a la aplicación web con el fin de saturar las variables de sesión. Si la aplicación no valida adecuadamente la cantidad de datos que pueden almacenarse en estas variables, el atacante puede sobrecargarlas con datos maliciosos, causando problemas de rendimiento. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/03/vulnerabilidad-session-puzzlingsession.html 💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #JWT #cookie #sessionpuzlling #PoC

Los ataques XSS pueden acarrear consecuencias graves tanto para las empresas como para los usuarios individuales. Por este motivo, resulta fundamental que los desarrolladores web implementen medidas de seguridad adecuadas para prevenir este tipo de vulnerabilidades. Estas medidas pueden incluir la validación de los datos de entrada, la eliminación del código HTML peligroso y la restricción de los permisos de JavaScript en el navegador del usuario. Los ataques de Cross-Site Scripting (XSS) implican la inserción de código malicioso en sitios web, a menudo considerados seguros. Este tipo de ataque ocurre cuando los ciberdelincuentes insertan scripts dañinos en el contenido de un sitio web comprometido, que luego se incorpora al contenido dinámico enviado al navegador del usuario. El navegador del usuario, al no discernir la naturaleza maliciosa de los scripts, los ejecuta. Esta ejecución posibilita que los scripts accedan a cookies, tokens de sesión y otra información sensible almacenada por el navegador y utilizada en el sitio afectado. Además, los atacantes pueden propagar malware, modificar el contenido de sitios web y llevar a cabo ataques de phishing para obtener credenciales de usuario. Dado que JavaScript se ejecuta en el navegador del usuario, los detalles de la sesión del usuario autenticado pueden ser robados, permitiendo a los atacantes dirigirse a los administradores del sitio y causar daños. Dependiendo de cómo se inyecte el código, el contenido malicioso puede no estar presente en la página web en sí, sino que solo aparece temporalmente durante el ataque, lo que puede dar la impresión de que el sitio está en peligro cuando no es así. Los ataques de XSS pueden desencadenarse de varias formas, como la ejecución automática al cargar la página o al pasar el cursor sobre elementos específicos, como hipervínculos. ARTÍCULO COMPLETO ➡️💢 www.curiosidadesdehackers.com/2024/03/vulnerabilidad-cross-site-scripting-xss.html💢 #ciberseguridad #cybersecurity #privacidad #pentesting #hacking #hacker #ciberataque #privacidad #CrossSiteScripting #XSS #PoC