Cambiar el User-Agent en PowerShell
1 | iwr "https://jesusninoc.com" -UserAgent "Mozilla/5.0 (iPhone; CPU iPhone OS 6_0 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) Version/6.0 Mobile/10A5376e Safari/8536.25" |
Abrir Firefox con el tamaño 1×1
1 2 3 | $urlni="https://www.jesusninoc.com" cd "C:\Program Files (x86)\Mozilla Firefox\" .\firefox.exe $urlni -width 1 -height 1 |
Abrir URL en PowerShell cambiando el User-Agent
1 | (Invoke-WebRequest "https://jesusninoc.com" -UserAgent "Mozilla/5.0 (Windows NT 6.3; WOW64)").Content |
Seguridad informática con PowerShell
Introducción Confidencialidad
1 2 3 4 5 | #Habilitar BitLocker Enable-BitLocker -MountPoint "f:" -RecoveryPasswordProtector -UsedSpaceOnly -Verbose #Deshabilitar BitLocker Disable-BitLocker -MountPoint "f:" |
Integridad
1 2 3 4 5 6 7 | #Calcular hash para un archivo Get-FileHash D:\power\fichero.txt -Algorithm MD5 Get-FileHash D:\power\fichero.txt -Algorithm SHA1 Get-FileHash D:\power\fichero.txt -Algorithm SHA256 Get-FileHash D:\power\fichero.txt -Algorithm SHA384 Get-FileHash D:\power\fichero.txt -Algorithm SHA512 Get-FileHash D:\power\fichero.txt -Algorithm RIPEMD160 |
Seguridad física Analizar el hardware de los equipos de la empresa
1 2 3 4 5 6 7 8 9 10 11 | $credenciales=Get-Credential 1..254 | %{ (Get-WmiObject Win32_AutochkSetting -ComputerName ('192.168.1.'+$_) -Credential $credenciales).SettingID (Get-WmiObject Win32_BaseBoard -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Manufacturer (Get-WmiObject Win32_BIOS -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Version (Get-WmiObject Win32_Bus -ComputerName ('192.168.1.'+$_) -Credential $credenciales).DeviceID Get-WmiObject Win32_Processor -ComputerName ('192.168.1.'+$_) -Credential $credenciales Get-WmiObject Win32_SystemEnclosure -ComputerName ('192.168.1.'+$_) -Credential $credenciales Get-WmiObject Win32_Battery -ComputerName ('192.168.1.'+$_) -Credential $credenciales Get-WmiObject Win32_Printer -ComputerName ('192.168.1.'+$_) -Credential $credenciales } |
Ver dispositivos conectados (móviles, almacenamiento USB, etc.)
1 2 3 4 5 6 | Get-PnpDevice | Where-Object { $_.class -EQ 'USBDevice' } | Select-Object FriendlyName Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*\' | Where-Object { $_.FriendlyName } | Select-Object FriendlyName Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\*\*\' | Where-Object { $_.FriendlyName } | Select-Object FriendlyName Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB\*\*\' | Where-Object { $_.FriendlyName } | Select-Object FriendlyName Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR\*\*\' | Where-Object { $_.FriendlyName } | Select-Object FriendlyName |
Seguridad lógica Ver información sobre usuarios y grupos (usuario que ha iniciado sesión)
1 | [System.Security.Principal.WindowsIdentity]::GetCurrent() |
Crear usuarios y grupos (procedimiento de creación)
1 2 3 4 5 6 7 8 9 10 11 | #Es necesario abrir PowerShell como administrador #Crear un usuario local con contraseña en Windows 10 con PowerShell 5.1 $pass=ConvertTo-SecureString "11234aaa@@€dsf" -asplaintext -force New-LocalUser usuario -Password $pass #Crear un grupo local en Windows 10 con PowerShell 5.1 New-LocalGroup grupo #Añadir usuarios a un grupo local en Windows 10 con PowerShell 5.1 Add-LocalGroupMember -Member usuario -Group administradores |
Analizar el software de los equipos de la empresa
1 2 | #Programas instalados Get-Package |
Analizar los programas que están instalados en los equipos de la empresa y ver la relación que tienen con los procesos y servicios
1 2 3 4 | #Mostrar los procesos que se están ejecutando en relación con los servicios (solo llamadas WMI y más información) (Get-WmiObject -Class Win32_Service | Where-Object State -EQ 'Running') | %{ Write-Host $_.Name,$_.ProcessId,$_.State,(Get-WmiObject -Class win32_process | Where-Object ProcessId -EQ $_.ProcessId | select name, Path, ExecutablePath, CommandLine) } |
Analizar los programas que están instalados en los equipos de la empresa y ver la relación que tienen con […]
Artefactos
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 | #Shellbags #Más información https://digital-forensics.sans.org/blog/2011/07/05/shellbags Get-ChildItem HKCU:\Software\Microsoft\Windows\Shell Get-ChildItem HKCU:\Software\Microsoft\Windows\ #Registros HIVE Get-ChildItem HKLM:\SAM Get-ChildItem HKLM:\SECURITY Get-ChildItem HKLM:\SOFTWARE Get-ChildItem HKLM:\HARDWARE #Información sobre programas ejecutados (Prefetch) Get-ChildItem C:\Windows\Prefetch #Información sobre navegadores Get-ChildItem C:\Users\user\AppData\Local\Microsoft\Windows\History Get-ChildItem C:\Users\user\AppData\Local\Mozilla\Firefox\Profiles #Ficheros temporales Get-ChildItem C:\Windows\Temp #Ficheros temporales de los usuarios Get-ChildItem C:\Users\user\AppData\Local\Temp #Información sobre el hardware Get-ChildItem C:\Windows\Inf #Información sobre USB Get-ChildItem HKLM:\SYSTEM\ControlSet001\Enum\USB Get-ChildItem HKLM:\SYSTEM\ControlSet001\Enum\USBSTOR Get-ChildItem HKLM:\SYSTEM\CurrentControlSet\Enum\USB Get-ChildItem HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR Get-ChildItem 'HKLM:\SOFTWARE\Microsoft\Windows Portable Devices\Devices' Get-ChildItem 'HKLM:\SYSTEM\ControlSet001\Control\DeviceClasses' #Información acerca de las acciones de instalación durante la instalación Get-Content C:\Windows\setupact.log #Información sobre los errores de instalación durante la instalación Get-Content C:\Windows\setuperr.log |
Cambiar el User-Agent
1 2 3 | $useragent='Mozilla/5.0 (Windows NT; Windows NT 6.2; es-ES) WindowsPowerShell/5.0' $url='www.jesusninoc.com' Invoke-WebRequest -Uri $url -UserAgent $useragent |
Conectar con una URL en Java cambiando el User-Agent
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 | import java.io.BufferedReader; import java.io.IOException; import java.io.InputStreamReader; import java.net.URL; import java.net.URLConnection; public class UserAgent { public static void main(String[] args) throws IOException { URL url = new URL("http://www.jesusninoc.com"); String inputLine; URLConnection hc = url.openConnection(); hc.setRequestProperty("User-Agent", "Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10.4; en-US; rv:1.9.2.2)"); BufferedReader br = new BufferedReader(new InputStreamReader(hc.getInputStream())); while ((inputLine = br.readLine()) != null) { System.out.println(inputLine); } br.close(); } } |
Información en los logs sobre denegación de servicio con DoSHTTP
Con DoSHTTP se hace una denegación de servicio que podemos ver en los logs del servidor
1 2 | 2009-11-21 13:54:40 192.168.1.36 192.168.1.34 GET /index.asp |14|800a0046|Permiso_denegado 500 Mozilla/6.0+(compatible;+MSIE+7.0a;+Windows+NT+5.2;+SV1) - 2009-11-21 13:54:40 192.168.1.36 192.168.1.34 GET /index.asp |14|800a0046|Permiso_denegado 500 Mozilla/6.0+(compatible;+MSIE+7.0a;+Windows+NT+5.2;+SV1) - |
Acceso del motor de Alexa a los tres días debido a Alexa Toolbar
Cuando se navega por una web utilizando la barra de Alexa, después de tres días Alexa recorre esa web como se puede ver en los siguientes logs:
1 2 3 4 | 2009-11-12 13:53:29 192.168.1.34 GET /re.asp 404 Mozilla/5.0+(Firefox/3.5.5 2009-11-12 13:53:37 192.168.1.34 GET /r/re.asp 200 Mozilla/5.0+(Firefox/3.5.5 2009-11-15 19:28:02 192.168.1.34 GET /re.asp 404 ia_archiver+(+https://www.alexa.com/site/help/webmasters;+crawler@alexa.com) 2009-11-15 19:28:10 192.168.1.34 GET /re/re.asp 200 ia_archiver+(+https://www.alexa.com/site/help/webmasters;+crawler@alexa.com) |
Vulnerabilidad explotada WebDAV
Si intentamos acceder a una carpeta protegida con “Autenticación de Windows integrada” y no conocemos el usuario y el password obtenemos esta respuesta del servidor:
1 | HTTP 401.2 - Unauthorized: Logon failed due to server configuration Servicios de Internet Information Server |
Y en el servidor obtenemos esta entrada:
1 | 2009-05-28 20:45:09 192.168.1.34 192.168.1.33 GET /php - 401 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1) - |
Explotando la vulnerabilidad en WebDAV, obtenemos acceso:
1 | 2009-05-28 17:37:42 192.168.1.34 192.168.1.33 GET /p/hp/password.txt - 200 cadaver/0.23.2+neon/0.28.0 - |
Logramos ver el contenido de password.txt. Para explotar la vulnerabilidad hemos modificado Cadaver.