Tag Archive for ingeniería inversa

Auditando Aplicaciones en Android

Vamos a ver algunos ejemplos de controles que se llevan a cabo en un Pentesting de Aplicaciones en Android. Lo más importante en un proceso de auditoría será el hacer uso de una metodología, de tal forma que podamos llevar a cabo una serie de pasos de manera ordenada.

Os propongo que hagamos uso de la metodología OWASP, concretamente en su apartado de OWASP Mobile Security Project podemos encontrarnos con muchos recursos: herramientas, guía de desarrollo seguro, plantilla de controles, guía de testing de Apps… Centrándonos en esta última podemos dividir nuestra auditoría en tres partes: recopilar información, análisis estático y análisis dinámico. Read more

De camino al Buffer Overflow (III)

Hoy Lunes, retomamos la Parte III de la saga de artículos “De camino al Buffer Overflow”. Esta vez, desbordaremos de forma interesante una variable de la pila, la cual nos permitirá alterar el flujo normal del programa. Simplemente y como de costumbre, espero que os guste y que sea de vuestro interés.

Antes que nada, se facilitan los enlaces correspondientes a las entradas previas:

De camino al Buffer Overflow – Parte I

De camino al Buffer Overflow – Parte II

Para iniciar la explicación nos respaldaremos del siguiente código:

#include <stdio.h>

#include <stdlib.h>

#include <string.h>

 void func1(char *arg) {

            char name[32] = {0};

            strcpy(name, arg);

            printf(“Hi %s\n”, name);

}

 int main(int argc, char *argv[]) {

            if ( argc != 2 ) {

                        printf(“Use: %s YourName\n”, argv[0]);

                        exit(0);

            }

             func1(argv[1]);

             printf(“End of program\n”);

            return 0;

}

Fuente: sevillasecandbeer.org

Fuente: sevillasecandbeer.org

Read more

De camino al Buffer Overflow (II)

Volvemos en Hacking-Etico.com con esta segunda entrega de “De camino al Buffer Overflow” para abrir el apetito este fin de semana. Se trabajarán en profundidad los conceptos de la primera, disponible en este enlace, con lo cual recomiendo su relectura para no obviar algún detalle que se nos pueda pasar por alto, especialmente información relacionada con los registros ESP y EBP.

Para iniciar la explicación, nos respaldaremos del siguiente código:

int add(int x, int y) {

            int sum;

            sum = x + y;

            return rum;

}

func1() { add(3, 4); }

Fuente: sevillasecandbeer.org

Fuente: sevillasecandbeer.org

Read more

Navaja Negra & ConectaCON 2015 – Here we go!

Del próximo 1 al 3 de octubre tendrá lugar en Albacete la 5ª edición del congreso Navaja Negra, en esta ocasión organizada de forma conjunta con nuestros amigos de Jaén, ConectaCON. Un evento que por sus características y particularidades se ha convertido en uno de los eventos de referencia en el ámbito de la seguridad en nuestro país.

En mi caso, es la primera vez que acudiré, por motivos laborales no he podido hacerlo antes, por lo que las ganas son tremendas. Además este año me he encontrado con la grata noticia de que mi taller de introducción debugging e ingeniería inversa ha sido uno de los seleccionados, lo que es un orgullo para mi y un auténtico reto, así que a darlo todo.

Lo dicho, si no tienes nada mejor que hacer, acércate por Albacete estos días y disfruta de charlas y talleres de seguridad, además de muy buenos ratos, buen ambiente y risas aseguradas.

Navaja Negra & ConectaCON, here we go!