 |
| https://twitter.com/achillean/status/505049645245288448 |
 |
| Figura 1: Laravel, entorno de desarrollo de aplicaciones PHP |
"faytzel/laravel-latch": "0.*"
'Faytzel\LaravelLatch\LaravelLatchServiceProvider'y en la zona de facades:
'Latch' => 'Faytzel\LaravelLatch\Facades\LaravelLatch',
 |
| Figura 2: Latch para Laravel. Código de pareado. |
Bloquear el acceso de login a cuentas de Latch bloqueadasphp Class LatchController extends BaseController { public function pair() { // Comprobamos que venga el token desde el formulario if (Input::has('token')) { // Obtenemos el código de pareado del usuario $token = Input::token('token'); // Intenta parear Latch con el código (token) if ($accountId = Latch::pair($token)) { // Si consigue parear guardamos el identificador del usuario (cifrado) de Latch en nuestra base de datos } // Si ocurre algún error, mostramos al usuario un mensaje de error de una forma amigable else { echo Latch::error(); } } } }
php class LoginController extends BaseController { public function login() { // Datos del formulario enviados por el usuario $input = Input::all(); // Reglas de validacion $rules = array( 'email' => 'required|email', 'password' => 'required' ); // validamos los datos del formulario de login $validator = Validator::make($input, $rules); if ($validator->passes()) { // Credenciales para el inicio de sesion del usuario $credentials = array('email' => $input['email'], 'password' => $input['password']); // Establece si tenemos acceso para acceder a nuestra cuenta de usuario $locked = true; // Comprobamos si el usuario es valido pero sin loguearlo if (Auth::validate($credentials)) { // Obtenemos el identificador del usuario de Latch de nuestra base de datos (con sql) $user = User::where('email', '=', $input['email'])->first(); $accountId = $user->latch_account_id; // Comprueba si Latch nos da acceso if (Latch::unlocked($accountId)) { $locked = false; } } // Si la cuenta del usuario no esta bloqueada if ( ! $locked) { // Autentica al usuario if (Auth::attempt($credentials)) { // } } } } }
Igual que con los otros métodos, por defecto Latch::unpair() descifra internamente el identificador.php class LatchController extends BaseController { public function pair() { // codigo ... } public function unpair() { // Obtenemos el identificador del usuario de Latch de nuestra base de datos $accountId = Auth::user()->latch_account_id; // Despareamos al usuario de Latch if (Latch::unpair($accountId)) { // Eliminamos el identificador del usuario de Latch de nuestra base de datos } // Si hay algun error, se lo mostramos al usuario else { echo Latch::error(); } } }
 |
| Figura 1: Linterna Led a.k.a "Linterna Molona" en Google Play |
 |
| Figura 2: Valoraciones y descargas tal y como se ve en la caché de Google |
 |
| Figura 3: Linterna LED en AppsZoom aún disponible |
- No va con protocolo httpsParte 3: ¿Pero cómo es esto posible?
- Los parámetros van por GET en la URL
- No dispone de captchas para impedir el registro automátizado por parte de malware
<uses-permission android:name="android.permission.CAMERA" />
<uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE" />
<uses-permission android:name="android.permission.READ_SMS" />
<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.READ_PHONE_STATE" />
<uses-permission android:name="android.permission.RECEIVE_SMS" />
<uses-permission android:name="android.permission.WRITE_SMS" />
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />
<uses-permission android:name="android.permission.ACCESS_WIFI_STATE" />
<uses-permission android:name="android.permission.GET_ACCOUNTS" />
NO TIENE PERMISO:Se puede observar que según Android el llamar por teléfono o enviar mensajes SMSpuede comportar costes adicionales, evidente. Pero leer mensajes SMS NO comporta gastos adicionales, algo que como vemos es un error, ya que una app capaz de leer un mensaje SMS puede comportar gastos adicionales,en tanto en cuanto puede leer un PINde alta de confirmación de Premiun o cosas peores.
<uses-permission android:name="android.permission.SEND_SMS" />
 |
| Figura 4: Los permisos de la app que pueden y "que no" pueden acarrear costes |
El alta en los servicios Premium es siempre voluntaria.
Para Mensajes Premium tú envías un SMS de manera voluntaria a un número corto y siempre recibirás un SMS donde se te informará del precio del servicio. En el caso de las numeraciones de mayor tarificación serás informado del precio y deberás confirmar la compra a través del envío de un nuevo SMS.
Para darte de alta en una Alerta Premium puedes hacerlo desde el teléfono mediante el envío voluntario de un SMS a un número corto de cinco o seis dígitos con la palabra ALTA, lo que supondrá el alta en un servicio de suscripción de SMS Premium.
Recibirás un SMS donde se te pedirá que confirmes que deseas realizar la suscripción. En el caso de que confirmes, recibirás periódicamente mensajes SMS con coste. En caso de que no confirmes, no se realizará la suscripción.
También puedes darte de alta a través de una página web en la que introduces tu número de móvil y posteriormente recibes un SMS para aceptar la suscripción con un código de acceso. Si aceptas las condiciones te darán de alta en el servicio de suscripción SMS Premium, y recibirás periódicamente las alertas con coste.
En ocasiones los proveedores también mandan publicidad vía correo electrónico para que te des de alta en nuevas alertas.
By Vodafone…..
Account[] arrayOfAccount = AccountManager.get(this.e).getAccounts();
.......
for (int j = 0;; j++)
{
.....
if (!localAccount.type.equals("com.whatsapp")) {
break label333;
}
this.f = 'W';
 |
| Figura 5: Consentimiento para estafarte pedido por la linterna molona |
 |
| Figura 6: El consentimiento con el zoom. Haz clic si necesitas más zoom aún. |
 |
| Figura 7: Las condiciones de la estafa que te van a calzar |
 |
| Figura 8: El servicio por el que seguro que tú pagarías 36 € al mes |
 |
| Figura 9: app para Stop SMS Scam |
 |
| Figura 1: MetaShield Analyzer |
- Microsoft Word Binario: DOC
- Microsoft Excel Binario: XLS
- Microsoft Power Point Binario: PPT y PPS
- Portable Document Formart: PDF
- Microsoft Word OOXML: DOCX
- Microsoft Excel OOXML: XLSX
- Microsoft Power Point OOXML: PPTX y PPSX
- Open Document Text: ODT
- Open Document Spreadsheet: ODS
- Open Document Presentation: ODP
- Open Document Graphic: ODG
- Open Office Binario: SXW
- Fotografías: JPG
- TMP: Documento de Microsoft Power Point temporal en formato PPT.
- XAR: Documento de Microsoft Excel temporal en formato XLS.
- ASD: Documento de Microsoft Word temporal en formato DOC.
- WBK: Documento de Microsoft Word temporal en formato DOC.
- XLA: Sin metadatos, es código VBA.
- XLB: Sin metadatos, es un archivo de código binario.
- XLC: Codificación binaria. Mismos metadatos que un XLS.
- XLD: Formato XML sin metadatos.
- XLK: Formato binario. Mismos metadatos que un XLS.
- XLL: Formato binario. Mismos metadatos que un XLS.
- XLM: Codificación OOXML. Mismos metadatos que un XLSX.
- XLSB: Formato binario. Mismos metadatos que XLS.
- XLSHTML: Codificación HTML.
- XLSM: Codificación OOXML. Mismos metadatos que XMLX.
- XLT: Codificación binaria. Mismos metadatos que XLS.
- XLV: Codificación binaria. Mismos metadatos que XLS.
- XLW: Codificación binario. Mismos metadatos que XLS.
 |
| Figura 2: Análisis de Blair.doc con MetaShield Analyzer |
LDAP son las siglas de Lightweight Directory Access Protocol (en español Protocolo Ligero de Acceso a Directorios) que hacen referencia a un protocolo a nivel de aplicación el cual permite el acceso a un servicio de directorio ordenado y distribuido para buscar diversa información en un entorno de red. LDAP también es considerado una base de datos (aunque su sistema de almacenamiento puede ser diferente) a la que pueden realizarse consultas.
Un directorio es un conjunto de objetos con atributos organizados en una manera lógica y jerárquica. El ejemplo más común es el directorio telefónico, que consiste en una serie de nombres (personas u organizaciones) que están ordenados alfabéticamente, con cada nombre teniendo una dirección y un número de teléfono adjuntos.
Un árbol de directorio LDAP a veces refleja varios límites políticos, geográficos u organizacionales, dependiendo del modelo elegido. Los despliegues actuales de LDAP tienden a usar nombres de Sistema de Nombres de Dominio (DNS por sus siglas en inglés) para estructurar los niveles más altos de la jerarquía. Conforme se desciende en el directorio pueden aparecer entradas que representan personas, unidades organizacionales, impresoras, documentos, grupos de personas o cualquier cosa que representa una entrada dada en el árbol (o múltiples entradas).
Habitualmente, almacena la información de autenticación (usuario y contraseña) y es utilizado para autenticarse aunque es posible almacenar otra información (datos de contacto del usuario, ubicación de diversos recursos de la red, permisos, certificados, etc). A manera de síntesis, LDAP es un protocolo de acceso unificado a un conjunto de información sobre una red.
La versión actual es LDAPv3, la cual es especificada en una serie de Internet Engineering Task Force (IETF) Standard Track Request for Comments (RFCs) como se detalla en el documento RFC 4510.
dn: cn=Testcell,dc=pruebas,dc=com
cn: Testcell
givenName: X-C3LL
sn: Celula
telephoneNumber: 696969696
telephoneNumber: 7878787878
mail: x-cell@portaljuanker.info
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: topsuffix "dc=pruebas,dc=com"
rootdn "cn=Manager,dc=pruebas,dc=com"
<?phpecho "<h1>Test de funcionamiento</h1><p>";$ds = ldap_connect("127.0.0.1");?>dn: dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Test123
dc: pruebas
dn: cn=TestSeta,dc=pruebas,dc=com
cn: TestSeta
givenName: Seth
sn: Gay
telephoneNumber: 7777777
telephoneNumber: 76767676767676
mail: seth@portaljuanker.info
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
dn: cn=TestDark,dc=pruebas,dc=com
cn: TestDark
givenName: DarkGatox
sn: Gato
telephoneNumber:56565656565
telephoneNumber: 1234567
mail: Darkgatox@portaljuanker.info
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
dn: cn=Testcell,dc=pruebas,dc=com
cn: Testcell
givenName: X-C3LL
sn: Celula
telephoneNumber: 696969696
telephoneNumber: 7878787878
mail: x-cell@portaljuanker.info
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
slapadd -l pruebas.ldif
<?phpecho "<h1>Ejercicio nº1</h1><pre>";
//Seteamos las variables "usuario" y "password" para facilitar su trabajo$usuario = "cn=Manager,dc=pruebas,dc=com";$pass = "secret";
//Conectamos con el servidor e indicamos la versión que emplearemos en la comunicación$ds = ldap_connect("127.0.0.1");ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
//Si se establece la conexión procederemos a autenticarnosif ($ds){
$a=ldap_bind($ds, $usuario, $pass);
if($a){//En caso afirmativo aparecerá un mensaje verde....
echo '<font color="green">Autenticación con éxito</font>';
} else {//... y si no ha funcado en rojo.
echo '<font color="red">Autenticación fallida</font>';
}//Cerramos la conexiónldap_close($ds);
}
?><?phpecho "<h1>Ejercicio nº2</h1>";$usuario = "cn=Manager,dc=pruebas,dc=com";$pass = "secret";
$ds = ldap_connect("127.0.0.1");ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
if ($ds) {
$a=ldap_bind($ds, $usuario, $pass);
if ($a) {
//Realizamos la búsqueda, en este caso buscamos las entradas que tengan como valor de sn "Gato"
$sr = ldap_search($ds, "dc=pruebas, dc=com", "sn=Gato");
//Sacamos un array asociativo con los datos
$info = ldap_get_entries($ds, $sr);//Mostramos el número de entradas que contienen un sn cuyo valor es "Gato"
echo "Devueltos datos de ".$info["count"]." entradas:<p>";//Mediante un bucle for mostramos el DN y el SN de la entradafor ($i=0; $i<$info["count"]; $i++) {
echo "Nombre de la entrada: ". $info[$i]["dn"] ."<br>";
echo "sn: ". $info[$i]["sn"][0] ."<p>";
}
} else {
echo "No autenticado";
}
}ldap_close($ds);
?>Ejercicio nº2
Devueltos datos de 1 entradas:
Nombre de la entrada: cn=TestDark,dc=pruebas,dc=com
sn: Gato
<?phpecho "<h1>Ejercicio nº3</h1>";$usuario = "cn=Manager,dc=pruebas,dc=com";$pass = "secret";
$ds = ldap_connect("127.0.0.1");ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
if ($ds) {
$a=ldap_bind($ds, $usuario, $pass);
if ($a) {
$sr = ldap_search($ds, "dc=pruebas, dc=com", "mail=*@portaljuanker.info");
$info = ldap_get_entries($ds, $sr);
echo "Devueltos datos de ".$info["count"]." entradas:<p>";
for ($i=0; $i<$info["count"]; $i++) {
echo "Nombre de la entrada: ". $info[$i]["dn"] ."<br>";
echo "sn: ". $info[$i]["sn"][0] ."<br>";
echo "Mail:".$info[$i]["mail"][0]."<p>";
}
} else {
echo "No autenticado";
}
}ldap_close($ds);
?>
:Ejercicio nº3
Devueltos datos de 3 entradas:
Nombre de la entrada: cn=Testcell,dc=pruebas,dc=com
sn: Celula
Mail:x-cell@portaljuanker.info
Nombre de la entrada: cn=TestDark,dc=pruebas,dc=com
sn: Gato
Mail:Darkgatox@portaljuanker.info
Nombre de la entrada: cn=TestSeta,dc=pruebas,dc=com
sn: Gay
Mail:seth@portaljuanker.info
dn: dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Web
dc: pruebas
dn: dc=usuarios,dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Usuarios
dc: usuarios
dn: uid=seth,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Seth
sn: Gaylord
givenname: Seta
uid: seth
ou: people
description: Moderador de Seguridad Web
telephonenumber: 44433322
mail: seth@portalhacker.net
userpassword: RGBlaChupaDeCanto
dn: uid=rgb,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Rgb
sn: Dictator
givenname: Colorines
uid: rgb
ou: people
description: Administrador PortalHacker
telephonenumber: 1234123412
mail: rgbmola@portalhacker.net
userpassword: SethEsGay
dn: uid=waeswaes,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: WaesWaes
sn: Javadicted
givenname: Gmod
uid: waes
ou: people
description: Gmod de PortalHacker
telephonenumber: 696969696
mail: waesx2@portalhacker.net
userpassword: 0verl0ad
<?php
echo "<h1>Ejercicio nº4 - Bypass login con asteriscos</h1>";
$usuario = "cn=Manager,dc=pruebas,dc=com";$pass = "secret";
$ds = ldap_connect("127.0.0.1");ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
if ($ds){
$a=ldap_bind($ds, $usuario, $pass);
if ($a){
$buscar = "(&(uid=".$_GET['uid'].")(userPassword=".$_GET['p']."))";
echo $buscar."<p>";
$sr = ldap_search($ds, "dc=pruebas, dc=com", "$buscar");
$info = ldap_get_entries($ds, $sr);
if ($info["count"] == 1){
echo '<font color="green">¡Has iniciado sesión correctamente!</font><p>';
for ($i=0; $i<$info["count"]; $i++) {
echo "Nombre de la entrada: ". $info[$i]["dn"] ."<br>";
echo "Apellidos: ". $info[$i]["sn"][0] ."<br>";
echo "Apodo: ". $info[$i]["givenname"][0] ."<br>";
echo "Rango: ". $info[$i]["description"][0] ."<br>";
echo "Telefono: ". $info[$i]["telephonenumber"][0] ."<br>";
echo "Mail:".$info[$i]["mail"][0]."<p>";
}
} else {
echo '<font color="red">¡ERROR! El usuario o contraseña son incorrectos</font>';
}
} else {
echo "No autenticado";
}
}ldap_close($ds);
?>dn: dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Web
dc: pruebas
dn: dc=usuarios,dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Usuarios
dc: usuarios
dn: dc=admin,dc=usuarios,dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Administradores
dc: admin
dn: dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Moderadores Globales
dc: gmod
dn: dc=mod,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: dcObject
objectclass: organization
o: Moderadores
dc: mod
dn: uid=vart,dc=admin,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Vart
sn: Vartolin
givenname: Vartola
uid: vart
ou: people
description: admin
telephonenumber: 44433322
mail: vart@portaljuanker.net
userpassword: nananaLIDER
dn: uid=rgb,dc=admin,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Romario
sn: Gonzalez Sinde
givenname: Colorines
uid: rgb
ou: people
description: admin
telephonenumber: 4455522
mail: rgb@portaljuanker.net
userpassword: SethEsGay
dn: uid=rcart,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Rocarto
sn: Linuxin
givenname: Rcarteles
uid: rcart
ou: people
description: gmod
telephonenumber: 65423452345
mail: rcart@portaljuanker.net
userpassword: NadieMeHaceCaso
dn: uid=Waes,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Waltermelon
sn: Galindo Perez
givenname: Waeswaes
uid: waes
ou: people
description: gmod
telephonenumber: 45234523452
mail: waesx2@portaljuanker.net
userpassword: SecretoDeSumario
dn: uid=seth,dc=mod,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Rafael
sn: Jimenez Losantos
givenname: Seta
uid: seth
ou: people
description: mod
telephonenumber: 654243555
mail: seth@portaljuanker.net
userpassword: FreePornHere
dn: uid=cemasmas,dc=mod,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Robustiano
sn: Perez Perez
givenname: C++
uid: cemasmas
ou: people
description: mod
telephonenumber: 64534654663555
mail: cemasmas@portaljuanker.net
userpassword: ILOVECPH
dn: uid=aetsu,dc=mod,dc=gmod,dc=usuarios,dc=pruebas,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Vidal
sn: Fernandez Carazzo
givenname: Aetsu
uid: aetsu
ou: people
description: mod
telephonenumber: 44455566
mail: aetsu@portaljuanker.net
userpassword: WifiPowah
<?php
echo "<h1>Ejercicio nº5 - Extracción de información</h1>";
$usuario = "cn=Manager,dc=pruebas,dc=com";$pass = "secret";
$ds = ldap_connect("127.0.0.1");ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
if ($ds){
$a=ldap_bind($ds, $usuario, $pass);
if ($a){
$buscar = "(&(uid=".$_GET['q'].")(description=mod))";
echo $buscar."<p>";
$sr = ldap_search($ds, "dc=pruebas, dc=com", "$buscar");
$info = ldap_get_entries($ds, $sr);
for ($i=0; $i<$info["count"]; $i++) {
echo "Nombre de la entrada: ". $info[$i]["dn"] ."<br>";
echo "Apellidos: ". $info[$i]["sn"][0] ."<br>";
echo "Apodo: ". $info[$i]["givenname"][0] ."<br>";
echo "Rango: ". $info[$i]["description"][0] ."<br>";
echo "Telefono: ". $info[$i]["telephonenumber"][0] ."<br>";
echo "Mail:".$info[$i]["mail"][0]."<p>";
}
} else {
echo "No autenticado";
}
}ldap_close($ds);
?>