Anonymous contra PROTECT IP

Anonymous contra PROTECT IP: el colectivo busca tumbar la web de la Cámara de Comercio

El colectivo iniciará durante el día de hoy un ataque DDos contra la web de la Cámara de Comercio de Estados Unidos. Un movimiento de protesta contra el proyecto de Ley que gana adeptos en el país conocido como PROTECT IP. El mismo, del que os hemos hablado anteriormente, se trata de un movimiento que tiene como fin defender los derechos de autor en la red elevando la censura a un nuevo nivel.

PROTECT IP propone darle vía libre al gobierno para poder obligar a las ISP y los motores de búsqueda a censurar y bloquear aquellos sitios web que los federales crean que infrinjan las leyes de derechos de autor. El funcionamiento sería el siguiente; si la corte emite una orden contra el titular o propietario del dominio que a su vez ha sido dada por el Departamento de Justicia, el Fiscal General podría “autorizar” u obligar a terceros (ya sean proveedores, motores de búsqueda, procesadores de pagos o proveedores de publicidad) a evitar el acceso al sitio en Internet.

Mini Noticia - Piratas del Caribe 4 número uno en la taquilla de EE.UU.

El film recaudó este viernes U$ 35 millones de dólares, una cifra importante aunque debajo de otros debuts de la franquicia

"Piratas del Caribe 4: Navegando Aguas Misteriosas" debutó este viernes en los cines de Estados Unidos y si bien se ubicó en el puesto número uno en la taquilla de ese país, los números no terminaron de convencer a la industria.

Sony desarrolla una nueva y estupenda tecnología de realidad aumentada

Sony desarrolla una nueva y estupenda tecnología de realidad aumentada

 

Sony ha presentado una nueva tecnología de realidad aumentada conocida como SmartAR. Como podremos ver en el vídeo, lo que necesitamos es un dispositivo con cámara, como puede ser un smartphone por ejemplo, luego SmartAR se ocupará del resto mediante el uso de imágenes en 3D que interactúan si cambiamos el ángulo de la cámara o bien la distancia entre la cámara y el objetivo. Lo mejor es ver el vídeo para poder entender fácilmente de lo que hablamos. 

Computadoras diseñadas para operar en la “nube”

Los ordenadores de Google vienen sin disco duro, no necesitan de antivirus, ni programas instalados.

No se trata de notebooks típicos aseguró este miércoles Google en su blog. Fueron llamados“Chromebook” y en esencia son una versión sin disco duro de un portátil, basados en aplicaciones que se ejecutan desde la web.

Novedades sobre el restablecimiento de PlayStation Network

PlayStation®Network   

Últimas noticias sobre el restablecimiento del servicio de PlayStation Network.

El 7 de mayo de 2011, Nick Caplin, responsable de comunicación de Sony Computer Entertainment Europe, publicó la siguiente información en PlayStation.Blog, en blog.eu.playstation.com:

Anonymous anuncia

Anonymous anuncia que mañana atacará el sitio web del Ministerio de Energía

La iniciativa es en protesta por la construcción de las centrales hidroeléctricas en la Patagonia.

Tras dejar el jueves pasado por varias horas fuera de servicio los sitios Hidroaysen.cl y Colbun.cl, el grupo Anonymous puso en marcha la segunda fase de su operación "Tormenta del Sur"  y convocó a los internautas a atacar el martes 17 de mayo a las 9:30 el sitio del Ministerio de Energía, en protesta por la construcción de las centrales hidroeléctricas en la Patagonia.

En su cuenta de Twitter, el grupo publicó "Objetivo para mañana: Ministerio de Energía. Desde las 9:30. Súmate a la #tormentadelsur para detener HidroAysén!".

PlayStation Network vuelve

PlayStation Network vuelve tras el ataque hacker

Después de haber dejado a sus usuarios varias semanas sin servicio, empieza a recuperar la normalidad

PlayStation Network de PlayStation 3 y PSP ha vuelto a funcionar tras el particular calvario que ha tenido que pasar Sony debido al ataque hacker que sufrieron sus servidores, donde entre otras cosas robaron los datos financieros de las tarjetas de crédito de gran parte de sus usuarios.

La Policía Nacional abre una investigación tras el ataque informático al PP

La red internacional de piratas cibernéticos «Anonymous» se atribuye la autoría de la acción pero indagan quién se esconde detrás

La Policía Nacional ha abierto una investigación para esclarecer la autoría del ataque informático que sufrió la base de datos del Partido Popular de Castelló el pasado viernes, según informaron ayer desde la Subdelegación del Gobierno. El punto de partida será la red internacional de piratas cibernéticos «Anonymous», que se atribuyó la autoría de la acción. Investigan quién puede estar detrás del sabotaje.
La secretaria local del PP castellonense, Carmen Amorós, subrayó ayer que el sistema informático del partido cuenta con todas las medidas de seguridad pero matizó que «frente a un hacker no se puede hacer nada».

Qué es el sistema operativo Neocast ?

Todo web hace una reseña positiva de la aplicacion, ya que maneja una cantidad de software pre instalado, y un gran ambiente KDE, y de fácil instalación, su instalación en igual a la de Open Suse, es completa mente robusto, y funcional, incluso soporta las exigencias de creación de un servidor hosting.

Pagina principal del proyecto:

WWW.SPEEDELECTRONICS.TK  --  WWW.NEOCAST-CENTER.TK  --  WWW.NEOCAST.CO.CC

Anonymous ataca la base de datos del PP

Anonymous ataca la base de datos del PP de Castelló y lanza el bulo de un registro policial en el consistorio

Los 'hackers' enviaron SMS a miles de afiliados alertando de la presencia de la Guardia Civil en el consistorio

NACHO MARTÍN / JORDI RUIZ CASTELLÓ Salieron en defensa de Wikileaks poniendo en jaque a Visa, Mastercard, PayPal y Amazon, atacaron a las SGAE, colapsaron las web del gobierno de Túnez... Ahora, la red internacional de piratas informáticos Anonymous –o alguien en su nombre– ha declarado la guerra al Partido Popular de Castelló.

Sony PSN a punto de volver

Sony PSN a punto de volver, algunos desarrolladores ya podrían acceder

Seguimos a la espera de la resurrección del servicio en línea de Sony, la PlayStation Network, la espera cada día se vuelva eterna, tanto así que algunas personas ya estarían vendiendo o cambiando su PS3 por Xbox 360 (alguno de ustedes hizo algo similar?).

 

Si tomaron alguna decisión apresurada con sus consolas, no los culparía, cualquiera pierde la paciencia después de tanta inactividad y ninguna fecha exacta de retorno. Sin embargo, algunos podrían arrepentirse porque, según información de algunos desarrolladores, el acceso a la PlayStation Network estaría cerca.

SQL Injections - Inyecciones SQL.

Seguridad en Internet.
 

    SQL Injections es una técnica por la cúal un atacante de una página Web es capaz de acceder a nuestra base de datos y ejecutar sentencias SQL sobre ella.
    La técnica se basa en aprovechar las páginas con formularios de toma de datos (logins, busquedas ...) para montar sentencias SQL que se ejecutaran en el servidor aprovechando los errores comunes de programación en los entornos Web. 



    El escenario sobre el que vamos a desarrollar el articulo es una página de login que dará acceso a la zona privada de la Web. Esta página solicitará el nombre de usuario y password de acceso. El código de la página está escrito en ASP, pero debemos tener claro que SQL Injections no es una vulnerabilidad de ASP, sino que cualquier página PHP, JSP, ASP.NET, CGI ... es susceptible de recibir este tipo de ataques.
    El siguiente código html ilustra la página de entrada de datos, la página se guardará con el nombre frmLogin.html:

<html>  <body>   <form name="frmLogin" action="login.asp" method="post">    <table align="center" border="1" >     <tr>      <td align="center" colspan="2"><b> Datos de Acceso </b>      </td>     </tr>     <tr>      <td>Usuario:</td>      <td><input type="text" name="usrtxt" ID="Text1" /></td>     </tr>     <tr>      <td>Password:</td>      <td><input type="text" name="pwdtxt" ID="Text2" /></td>     </tr>    </table>    <p align="center"><input type="submit" value="enviar" ></p>   </form>  </body> </html>

    En este ejemplo hemos dejado el campo password (pwdtxt) como texto normal, para poder ver que es lo que tecleamos.

      Los datos se envian a la pagina login.asp, que recoge los parámetros de la página frmLogin.html, y consulta nuestra base de datos para comprobar si el nombre de usuario y password es correcto. La base de datos podría tener los datos que muestra la imagen.

     El codigo de login.asp sería así:

<%        Option Explicit      Dim strLogin, strPassword, strSQL        Dim connection, rs        strLogin = Request("usrtxt")        strPassword = Request("pwdtxt")        strSQL = " SELECT * FROM USUARIOS " & _                    " WHERE USUARIO='" & strLogin & "' AND " &_          "       PASSWORD='" & strPassword & "'"       Set connection = Server.CreateObject("ADODB.Connection") connection.Open "DRIVER={SQL Server};SERVER=SERVIDOR;" _ & "Database=DBNAME;User Id=USER;password=CLAVE"        Set rs = connection.Execute(strSQL)              If( Not rs.EOF ) Then                        Response.Write("Indentificacion correcta")                    else              Response.Write("Indentificacion INCORRECTA")        End If              rs.Close        connection.Close       Set rs = Nothing        Set connection = Nothing    %>

 
    Esta sería una página totalmente normal que cualquier desarrollador medio podría haber desarrollado. Existen miles de páginas como ésta (y peores) colgadas en Internet, en ocasiones como única "guardia" de datos valiosos.
    El funcionamiento de la página es simple, se conecta a la base de datos, ejecuta la consulta contra la base de datos y nos valida o invalida el acceso. Sencillo.

    Supongamos que el usuario llega a su formulario de identificación, e inserta los datos "Devjoker" como identificación y "secreta" como contraseña. Por tanto, la cadena SQL que ejecutaría la página sería como esta:

 

SELECT * FROM USUARIOS WHERE USUARIO='Devjoker' AND password='secreta'

    Este es el funcionamiento esperado, pero un atacante podría introducir ciertos valores que alteren este comportamiento ....      

    Para entender el ataque hay que tener dos conceptos previos:

• SQL no utiliza comillas dobles para los valores de texto, sino comillas simples.
• Los comentarios en lenguaje SQL se escriben con un doble guíon "--".

    Con estas premisas resulta sencillo "cerrar" la cláusula SQL que creemos que el servidor va a ejecutar mediante los valores que introducimos en la página frmLogin.html.
    En la casilla Login, se escribiría un valor cualquiera, por ejemplo "usuario", y en la casilla Password, escribiríamos lo siguiente : 'or 1=1 --. 
    El formulario de entrada de datos quedaría del siguiente modo:
              Usuario:USUARIO_CUALQUIERA
              Clave:'  OR 1=1 --

    El resultado es que el sistema nos da acceso ...

    ¿Que ha pasado?¿Porque ha dado como válido el usuario y la contraseña si en realidad no lo son?
    Cuando la página login.asp forma su sentencia SQL, concatena los valores que hemos enviado desde frmLogin.html. La primera comilla simple que hemos tecleado en el campo password hace que se cierre la cadena, y se añade una cláusula OR que siempre será cierta (1=1). Además, para prevenir que el sistema dé un error, ya que todavía quedaría una comilla simple sin cerrar, se añade el símbolo del comentario en SQL, que hace que el sistema no haga caso al resto de la cadena SQL.    
 
    La sentencia SQL que finalmente ejecutaría el servidor es:

SELECT *   FROM USUARIOS  WHERE USUARIO = 'usuario'    AND PASSWORD ='' OR 1=1 --'

    Como resultado de la ejecución de esta consulta tendremos acceso a la zona privada. En realidad da lo mismo lo que pongamos en el campo usuario, ya que la segunda condición se cumple siempre y se especifica con un operador OR. 

    El uso de nombres de usuario previsibles, tales como "Admin" o "Administrador" es otra puerta abierta. Si tecleamos "Admin" como usuario, la query quedaría del siguiente modo ...

SELECT *   FROM USUARIOS  WHERE USUARIO = 'ADMIN'    AND PASSWORD ='' OR 1=1 --'

    Si se produce este caso, no solo tenemos acceso al sistema sino que además tendremos privilegios de administrador.
    Pero la peor parte de este tipo de ataques esta por llegar. Algunos gestores de bases de datos son capaces de ejecutar mas de una sentencia SQL, separadas por punto y coma. Por lo que si sabemos cual es el nombre de una tabla podríamos ejecutar sentencias SQL con la intención de borrar los datos o la propia tabla.
    En el siguiente ataque el usuario introduce los siguientes valores:
              Usuario:Pedro
              Clave:' HAVING 1=1 --
    La sentencia SQL que se compone es la siguiente:

SELECT *   FROM USUARIOS  WHERE USUARIO = 'ADMIN'    AND PASSWORD ='' HAVING 1=1 --

    La sentencia SQL que ha quedado formada es incorrecta, por lo que la ejecución fallará y se devolverá el error correspondiente, en nuestro caso seria el siguiente:

Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'USUARIOS.CO_USUARIO' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause.

    El error nos esta informando de que la tabla se llama USUARIOS, por lo que ahora podemos escribir lo siguiente en el formulario de entrada:
              Usuario:Pedro
              Clave:' ; DROP TABLE USUARIOS ; --
    Con esta ejecución el usuario ha conseguido eliminar nuestra tabla de usuarios ...
Como protegerse de este tipo de ataques.
    Para protegerse de este tipo de ataques podemos (y debemos) tomar varias medidas.

• Parametrizar las consultas utilizando comandos preparados. Con esto conseguimos evitar la ejecución de código no deseado. Es la mejor forma de protegernos. En muchos articulos recomiendan "reemplazar" las comillas simples y otros caracteres "peligrosos", pero este método es mucho mas seguro y fácil de implementar.

<% sql = "Select * from USUARIOS where USUARIO=? and CLAVE=?"  set cmd = Server.CreateObject("ADODB.Command")  cmd.ActiveConnection = connection  cmd.CommandText =sql  cmd.Parameters(0).Value = usuario  cmd.Parameters(1).Value = clave  set rs = cmd.Execute() %>

• Conectar a la base de datos con usuarios que solo tengan permisos de lectura, de esta forma el atacante no tendrá permisos de ejecución. Esta es una tarea que debe realizar el DBA, y debemos tener usuarios de solo lectura para aquellas partes de nuestra aplicación que pensemos que pueden ser victimas de ataques.

'Ryan' da un 'golpe de estado' en Anonymous y Comunicado a Sony

'Ryan' da un 'golpe de estado' en Anonymous

'AnonOps.ru' y 'AnonOps.net', sitios utilizados por el grupo para mantener el Anonymous, han sido hackeadas por un usuario indignado con el grupo

'Ryan' da un golpe de estado' en Anonymous ali.- El grupo hackivista Anonymous no pasa por sus mejores momentos. Uno de sus miembros, conocido como 'Ryan'en general pero 'V' durante los cinco meses que ha sido administrador de la red, lanzó "un golpe de Estado organizado" al canal IRC, utilizado por los simpatizantes del grupo para coordinar y discutir sus acciones. El disidente ha atacado los servidores y publicado las direcciones IP de cientos de internautas conectados al mismo. El responsable habría tomado el control de los sitios 'AnonOps.ru' y 'AnonOps.net', utilizados por el grupo para mantener el anonimato. Al entrar en estos sitios aparece el lema "LOL AnonOPs Dead" junto con una lista detallada de direcciones IP y contraseñas.

El ataque a PlayStation Network desconoce de cifras económicas

Una noche más PlayStation Network cierra nuestro día de noticias. Ahora no vamos a tratar cuándo va a volver el sistema -básicamente porque ni Sony se pone de acuerdo- sino que tomamos como punto de inicio otra gran interrogativa que afecta a la compañía nipona de lleno: “¿Cuánto le va a costar económicamente a Sony el ataque cibernético?”

Socios y usuarios de Sony están perdiendo la paciencia

La pesadilla de Sony está lejos de terminar y tanto sus socios como sus usuarios están perdiendo la paciencia tras 23 días sin la red de videojuegos PlayStation Network. La empresa japonesa desactivó la red tras sufrir un ataque de hackers maliciosos que comprometió los datos personales de más de 100 millones de personas.Pero desde entonces la compañía ha prometido reactivar la red en varias ocasiones, sólo para postergar su regreso.En la última actualización Sony prometió que la red conocida como PSN volverá a la vida "pronto" y que los retrasos se deben a que continúan investigando el incidente y reconstruyendo sus sistemas.