Primeira Atividade Prática [2.0]


#41

Exercício Prático 01

Na minha faculdade existem varias redes wifi disponíveis para que os alunos usem para diversos fins, e isto pode ser facilmente utilizado para um attack man in the middle por meio de conseguir informações muito valiosas, como é uma universidade grande, pode-se ter acesso aos dispositivos de diversos alunos já que muitos costumam conectar na rede.


#42

Exercício Prático 1

Eu sempre gostei muito da área de tecnologia, desde pequeno (uns 5 anos) eu usava pra caramba o computador, e como meu pai é professor de TI, ficava horas perguntando pra ele como funcionava um computador, os sistemas, programas.

A única vez que um “ataque” meu deu certo foi o seguinte:
Na biblioteca da escola em que estudo há alguns computadores para os alunos fazerem trabalhos, etc.
Apesar de eu gostar muito de programação, não sei muita coisa sobre hacking (por isso estou fazendo o curso), então um dia tive vontade de fazer um pentest nos PCs da escola pra ver se tinha alguma senha de alunos.
Como eu disse, não sei quase nada sobre hacking, então usei o “famoso” laZagne pra ver se tinha alguma senha (sim, scriptkid mesmo… kk)
Eu realmente não achei que fosse dar certo, mas funcionou! Consegui diversas senhas de contas do Google, Outlook, Facebook, entre outras.
Depois que consegui os dados, salvei tudo num pendrive (o mesmo que eu usei pra levar o script) e fui pra casa. Eu com certeza não usaria aqueles dados pra fazer mal a ninguém, então criei um email aleatório e enviei mensagens para as pessoas que eu tinha conseguido alguma senha, e avisava sobre essa vulnerabilidade, aconselhando a pessoa a trocar a senha, etc. (só pra não acharem que era falso, colocava a senha do cara no email pra dar um susto tbm… rsrs). Inclusive alguns até responderam agradecendo.
Depois disso, no outro dia em que fui à escola, desconectei todas as contas dos computadores e limpei histórico, cache, etc. pra alguma outra pessoa não conseguir acessar aquelas informações (porque nunca se sabe se alguém mal intencionado pensaria em procurar por esses dados também…).

Esse foi mais um dos acontecimentos que me levou a pensar sobre segurança online, o poder da informação, e me fez querer saber ainda mais sobre hacking.

Muito obrigado por compartilhar seu conhecimento conosco, Bruno! Tenho grandes expectativas para esse curso!


#43

Presto Serviço para algumas empresas na área de Infra e fui indicado para fazer um trabalho em uma empresa que passava por dificuldades em estabilidade na rede.
Na recepção já percebi um WIFI totalmente aberto, ate ai tudo bem se estivesse isolado do restante de rede!!!
Ao fazer um primeiro levantamento de como era a infra da empresa notei que não utilizavam AD e sim Workgroup, pelo porte da empresa isso já era muito estranho!!!
Pedi para a pessoa que estava me acompanhando abrir as unidades de rede e vi que os compartilhamentos estavam completamente sem segurança.
Como minha intenção não era pegar este trabalho e sim apontar oque deveria ser feito pela empresa prestadora de serviço terceirizada disse que iria montar um plano de adequação e encaminharia posteriormente.
Cheguei no carro, abri meu note e conectei no WIFI, minha surpresa (kkk nem tanto!!!) acessei todos os dados da empresa, Pastas do RH, Financeiro, etc…
Falta de segurança total!!!
Copiei alguns arquivos sem dados confidenciais, e anexei ao plano de melhorias que deveriam fazer. Indiquei a empresa de um amigo e tudo foi resolvido!


#44

Gostaria de compartilhar duas experiências.
1° - Confidencialidade
Descobri uma falha no website de uma famosa Universidade do RJ que permitia acessar todos os trabalhos/provas entregues pelos alunos. A falha em resumo era pelo fato do código fonte da página exibir o ID de cada aluno e o endereço dos arquivos utilização deste ID, não criptografado.

2° - Disponibilidade
Um certo dia estava em um grande cliente da área de e-comerce prestando serviços de redes e para fazer um teste com um equipamento ativei um servidor DHCP portable. Em alguns minutos o telefone do suporte começa a tocar sem parar, até diretor ligou! Derrubei toda a rede da empresa milhonaria.:scream::grin:


#45

Primeira atividade pratica!

Ja fiz invasao pela tecnica de SQLMAP. Ha varios tutoriais na internet, e facilmente consegui acesso aos dados de uma empresa, ao banco de dados, tabelas, usuarios e senhas. Ha muito empresa que nao tem ideia do risco que estao correndo.

Outra tecnica foi de me logar em rede wifi aberta, pegar o ip do gateway, e tentar acesso com usuarios e senhas padroes. Tambem ha muitos roteadores sem seguranca alguma por todo o lado.


#46

Exercício Prático 1
Há pouco tempo um parente meu contratou um sistema para usar em seu escritório e me pediu ajuda para acessá-lo, já que queria fazê-lo de um computador com uma distribuição Linux que comprou sem saber que não vinha com Windows. O sistema era acessado via conexão remota em um Windows Server. Antes de criar um bash script para que ele pudesse abrir a tela de login somente com um duplo clique, testei o comando que fazia a conexão. Nesse teste acabei por passar o comando sem indicar as informações de acesso que a empresa deu ao meu parente. Ao fazer isso a tela de login abriu mostrando, como por padrão, o login do administrador, só esperando que a senha de acesso fosse digitada. E, pelo tipo de login, não duvido nada que se eu tentasse em algum momento teria acertado tal senha.


#47

Trabalhei em uma empresa de tecnologia que distribuía sinal por wiffi, a famosa “internet via rádio”, em determinado momento me foi passada a informação de que todas as antenas conectadas a rede usam o mesmo usuário e senha para acesso, ou seja, caso alguém descobrisse um usuário e senha, conseguiria entrar em qualquer uma das antenas e com isso invadir a rede. Invadindo a rede teria acesso a centenas de dados completos para qualquer tipo de cadastro em qualquer lugar, pois as pessoas para se cadastrar precisa passar todos seus dados pessoais e isso focava armazenado em um cadastro.


#48

Primeira atividade prática…

No início do ano, fuçando o Facebook, me deparei com uma postagem da minha irmã… Pra minha surpresa era o compartilhamento da página pessoal de um cara (Ps: Ela é casada…rs). Tirei um print e mandei pra ela, para que me explicasse quem era e o porquê do compartilhamento…

Para minha surpresa, ela disse não ter aberto o Facebook fazia alguns dias… Pensei, foi hackeado!!!
Sempre me interessei na área da SI, mas por incrível q possa parecer, não tinha nenhuma ideia do q poderia ser feito… Com isso não ajudei muito… hehe
Mas isso aconteceu com minha irmã, uma pessoa bem próxima a mim, e fiquei imaginando quantas pessoas passam por isso diariamente… Minha pretensão é sugar o máximo de informações no Técnicas de invasão e poder ajudar bastante gente!! :innocent:

E vamos em frente!!


#49

primeira atividade prática…

No início do ano passado, eu estava em casa quando meus amigos me ligaram e mandaram mensagem avisando que meu facebook foi hackeado, quando eu entrei no meu perfil vi q meu nome e minha bio tinham sido alteradas, e provavelmente foi alguem mal intencionado de meu próprio convivio pois o nome foi mudado para mandar uma indireta a alguem q eu tive problemas no passado.
eu consegui voltar tudo ao original, e felizmente isso não voltou a acontecer

primeira missão concluida kkkk :stuck_out_tongue_winking_eye:


#50

Entrega - Atividade Prática 1:

Estou terminando ainda o Ensino Médio, então não tenho tantas experiências profissionais que me possibilitaram ver mais de perto casos maiores da quebra de um dos Pilares, mas vamos lá. Dentro da minha escola, temos um servidor e banco de dados disponibilizados para que cada grupo de alunos,cada um com uma conta de acesso diferente, possa desenvolver um projeto de TCC, que consiste basicamente no desenvolvimento de um software de gerenciamento.
Durante uma das apresentações finais de um dos grupos, 2 alunos invadiram o banco de dados e alteraram a estruturação do banco de dados da equipe que estava iniciando a apresentação. Toda parte que envolvia conexão com o banco de dados serviu apenas para gerar exceções no sistema, os alunos inicialmente ficaram sem reação, com tudo dando errado no meio da apresentação final e após esclarecido o que havia acontecido, a apresentação teve de ser remarcada.

Aproveitando a oportunidade, não podemos esquecer daqueles famosos SMS pedindo para você entrar na sua conta do banco por exemplo ou para receber alguma coisa, ou alterar alguma informação, com aquele link de acesso totalmente suspeito.


#51

Exercício Prático 1

No lugar que eu estudava, a wifi era bloqueada aos alunos. Um dia eu e meus amigos achamos um notebook conectado na rede, usando ele nos conseguimos descobrir a senha e usar a wifi.


#52

bom ja tive acesso a varias operadoras usando internet gratis usando vpn junto com proxs e etc muito da hora enfim foi uma experincia fantastica


#53

Imaginem alterar o próprio salário!
Eu trabalhei com contrato temporário numa empresa e tive um desentendimento com um dos chefes.
Me bateu um espírito Robin Hood e tentei fazer justiça pelo computador. :imp:

Fui em frente: qualquer computador da rede da empresa conseguia acessar o C: de qualquer outro computador conectado. Copiei vários arquivos de outros setores: tabelas de custos, tabelas de salários, investimentos, lista de fornecedores, lista de clientes, projetos, metas e etc… Depois, alterei discretamente as fórmulas das tabelas, números em geral, protegi parte das tabelas com senhas, alterei telefones de clientes etc… :smiling_imp: :smiling_imp: :smiling_imp: :smiling_imp: :smiling_imp:

O caos foi instaurado na mesma semana: a empresa começou a dar pane, mas pensei nos funcionários que dependiam da sobrevivência empresa :sweat:, fui diretamente à diretoria e expliquei para ela:

  • Olha, eu alterei os arquivos da empresa, mas vim aqui com a intenção de dizer que prezo pelo bem desta e dos funcionários daqui. O fato de que consegui fazer isso só mostra uma falha de segurança absurda: eu poderia ter deletado permanentemente tudo. :sweat:

ela me respondeu irritadíssima:

  • Você vai se demitir? Ou quer que eu te processe? Você está sendo filmado no seu setor e aqui admitindo… (silêncio)… Mas vamos fazer diferente, você devolve os arquivos e a gente segue teu contrato até o fim do ano como se nada tivesse acontecido.

Cabis baixo, com medo, devolvi os arquivos e terminei meu contrato. Recentemente, passei em frente à empresa e notei que ela não estava lá, procurei na internet e ela sumiu.

MORAL DA HISTÓRIA:

Se forem cuidar de segurança, cuidem da própria também.
Se forem dar uma de herói ou justiceiro da empresa, façam de uma maneira correta.


#54

Atividade Prática: Módulo Concepção

Tive duas experiências com a quebra de um dos pilares da Segurança da Informação:

  • A primeira experiência, ocorrida em 2011, aconteceu quando eu não tinha computador. Meu acesso à Internet se restringia a um aparelho Samsung GT-M2510, pré-pago e com aplicações em Java. O que aconteceu foi que, enquanto eu navegada pela Internet, meus créditos acabaram. Na época, como era de costume, fiquei decepcionado, até porque eu não tinha renda financeira. Então, pensei: “o que aconteceria se eu ficasse tentando conectar e desconectar a rede a partir da aplicação de Internet móvel?” Curiosamente, fiz isso, até que, felizmente, a rede se conectou via GPRS, mesmo sem possuir qualquer saldo em créditos, e eu consegui acessar a Internet. Inicialmente, pensei que tinha sido uma falha momentânea da operadora de celular, que era a Claro. Mas, com o passar do tempo, eu conseguia diariamente me conectar à Internet, repetindo o mesmo processo que, às vezes, levava em torno de cinco a dez minutos. Em resumo, aproveitei uma vulnerabilidade da operadora para acessar a Internet através do navegador padrão e das aplicações em Java do próprio dispositivo, como, por exemplo, eBuddy, eMessenger e Opera-Tim.

  • A segunda experiência, referente à quebra de um dos pilares da Segurança da Informação, aconteceu porque a minha vizinha precisava acessar urgentemente a Internet para pedir dinheiro emprestado para pagar o aluguel, porque, caso o pagamento não fosse efetuado, ela e sua família seriam despejadas. Então, rapidamente, ofereci o login e a senha da minha rede Wi-Fi. Mas, como se não bastasse o problema em questão, a vizinha percebeu que o sinal do meu Wi-Fi não alcançava sua casa. Assim, decidi fazer brute force com Aircrack-ng na primeira rede Wi-Fi vulnerável que aparecesse disponível em sua casa. Em seguida, obtive êxito, então passei os dados de login e senha para que ela pudesse se conectar à Internet para resolver seu problema.


#55

Bom dia, quando eu tinha por volta dos 11~12 anos, eu e uns amigos jogávamos um game chamado Tibia, alguns amigos meus iam em lan house onde muita gente jogava também e botavam key looggers nos PC pra pegar os logins e senhas do pessoal, agora paro e me pergunto, se um guri de 12 anos faz isso pra jogar um game, imagina alguém “bem instruído” na parte de quebra de informação, o que ele poderia fazer com tanta informação de tantas pessoas que frequentam as lan house’s.


#56

Há algum tempo fiz um curso em uma escola muito conhecida mundialmente e tive muitas informações de como o sistema de segurança da informação deles funcionava, apesar de tantos recursos e formas para impedir ataques e até travessuras dos alunos, a maior falha de qualquer sistema é o ser humano. Durante meu tempo na escola percebi certos padrões e comportamentos dos funcionários e professores que tinham acessos privilegiados e muitos deles atarefados e/ou memória ruim, anotavam suas senhas ou salvavam em seus navegadores. Foi dessa forma que consegui acesso a rede exclusiva da escola, utilizada por funcionários e que tinham poucos restrições de uso. Acredito que se tivesse explorado melhor está vulnerabilidade conseguiria sem problemas um acesso a base de dados da central da escola que fica na capital.


#57

Exercicio Pratico 1
Já tive em varios lugares que disponibilizam wifi aos visitantes, porem ja em muitos deles tive acesso ao modem ou roteador com senhas padroes de fabricas que nao foram alteradas. Entrei facil no modem onde podia ver todos os dispositivos conectados a essa rede. Claro que só fui até ali, pois ética em nosso meio deve estar acima de tudo. Valeu


#58

Bom dia! Então, vamos lá.

Trabalhei em uma empresa, onde a segurança da informação não era levado a sério, na verdade não existia. Como era da parte de infra, fui chamado para resolver um problema onde usuários relatavam problemas de comunicação com os servidores da empresa. Constatei que realmente estavam perdendo muitos pacotes dentro da LAN. Foram feitos testes em switches, cabos, atualizações de firmwares e etc… Até que então, tirei um final de semana para isolar toda a rede e testar. Depois de muitos testes, descobri que um funcionário do departamento de desenvolvimento, levou modem adsl para sua mesa, espetou ele na rede e simplesmente o deixou lá em teste. O mesmo começou gerar DHCP na rede e para piorar na mesma classe que estava configurado os Switches L3.

A parte engraçada, quando bati o ponto e localizei o modem, abri a janela do 7º andar e joguei bendito modem… Fui questionado pelo usuário kkkk

Mas é isso … Acho que nesse relato foram quebrados 2 pilares de uma vez só (integridade e disponibilidade)

Obs. O modem tbm kkk


#59

Primeira atividade prática:

Recentemente tive algumas experiências com quebra dos pilares de segurança da informação, irei enumerá-las.

1. Há alguns anos, eu jogava um dos jogos online mais jogados do mundo. Em 2014 houve uma invasão nos servidores desse jogo que resultou na indisponibilidade do servidor por semanas além de alguns milhares de dólares em prejuízo.

2. Recentemente, comecei a trabalhar com desenvolvimento web, e tive problemas com informações vazadas pelos bancos de dados que desenvolvi. Por falta de conhecimento na área, tive enormes problemas pra contornar a situação. Desde então, decidi me aprimorar na área de redes e de segurança da informação.


#60

Exercício Prático 1
Boa tarde.
Já passei por varios problemas com relação a isso vou contar duas:
1 - Trabalhava em uma agencia de publicidade na área web. Um certo dia, chagamos e todos os sistemas estavam fora, o que aconteceu? O servidor era configurado pela empresa na digital ocean hospedando todos os sites de clientes, mas quem configurou deixou um text com todas as senhas do servidor. Alguém provavelmente com google hacking encontrou este arquivo e apagou todos os site hospedados()sorte deles que havia um back up.
2 - Aconteceu comigo ao ter configurado de forma simples um servidor para um blog que eu tinha em wordpress. Um belo dia um amigo me liga perguntando se eu era muçulmano agora, pois meu site tinha coisa escritas em árabe e tocava uma musica estranha. Resumindo, o site foi hackeado por algum cara do oriente médio. Tive que reinstalar tudo, sorte que ele não derrubou minha base de dados.

Tenho mais várias histórias que vivi nisso mas essas são as que lembrei de primeira.