¿Sabías que puedes inyectar código JavaScript en la web de una startup, en este post lo haremos, es muy fácil, ya que no han leído nuestro post sobre cómo hackear una página web? usando cross site scripting, lo que ellos no saben es que acabo de tomar el control de todos los exploradores web de sus usuarios.
Con esto conoceremos sus datos de conexión, acceder a sus webcam, ver absolutamente todo lo que escriben, y obtener usuarios y contraseñas de Facebook, y antes de que te lances de cabeza a hacer esto mismo, no intentes esto en casa, lo que voy a mostrarte hoy en unos pocos pasos es cómo puedes hackear a prácticamente cualquier persona, recuerda que esto es ilegal, las herramientas que vamos a ver hoy las utilizan los hackers éticos para poder mejorar la infraestructura de las empresas y esto también te va a servir a ti para que les puedas enseñar a otras personas de que ellos pueden perder prácticamente todos sus datos en Internet en cualquier momento
Y sobre todo que tú también podrías caer en este hackeo si es que no tienes cuidado, ¿y entonces estás listo para hackear el explorador web?
Antes de continuar, puedes leer este post o ver y escuchar esta información en formato de video en nuestro canal de Youtube, te dejamos el link por si prefieres este formato. 😃 👍
¿Cómo realizremos este hack?
Hola mundo, y bienvenidos a este post. El hackeo que veremos hoy será una combinación de cross-site scripting y también la herramienta de penetración testing beEF, aunque este hackeo también se puede realizar solamente con beEF si es que no sabes lo que es cross site scripting, antes de continuar con la lectura, te recomendamos leer el post ¿Cómo hackear una página web? | cross site scripting
BeEF viene de Browser Explotation Framework, la forma de cómo este trabaja es que te proporciona un archivo de JavaScript, con el cual tú puedes enganchar casi cualquier explorador web, este script JavaScript lo puedes incluir en alguna web que construiste tú o en otro caso también en una web víctima en la cual tú inyectaste código JavaScript mediante cross site scripting y si algún usuario llega a ejecutar este script, se jodieron, les puedes sacar absolutamente todo.
BeEF se puede instalar en Linux, por lo que vamos a necesitar una distribución de Linux para poder trabajar con él, pero esto toma tiempo, luego tocaría desplegar una web falsa en el caso que no hagamos el ataque de cross-site scripting y también tendríamos que configurar el certificado de SSL y, por supuesto, no fallar en el intento.
Afortunadamente, vamos a poder utilizar esta herramienta en unos cuantos segundos y con solamente un par de clicks, gracias al patrocinador de este post «Linode«. Este te va a entregar a de 100 dólares este crédito, los cuales vas a poder utilizar en los servicios del linode y todo esto dentro de los primeros 60 días, luego de haber creado una cuenta en línea, además tu web va a tener certificado SSL, lo cual va a hacer que esta sea mucho más creíble.
Pero te lo vuelvo a repetir esta herramienta es para que la utilicen los hackers éticos que técnicamente es en el único hacker en el cual tú te puedes convertir, no hackees a nadie, y ya que estás advertido claro que puedes jugar con esto, puedes mostrarles todo a: tus amigos, amigas, hermanos, hermanas, primos, tíos, tías, abuelos, padre, madre, hijos, gato, perro, a quien tú quieras. Pero esto es con el objetivo de enseñarles lo fácil que es que los puedan hackear online y para que también sean un poco más desconfiados.
Si no conocen el origen de un link, no lo abran, y si es una web de un emprendimiento, desconfía un poco, pero no del emprendimiento, sino de que esta web ya podría haber sido hackeada, y ya basta de hablar, ahora les voy a mostrar cómo se realiza este hacking.
Preparación y configuración para usar Linode
Así que lo primero es ir al explorador web e ingresamos a: www.linode.com/holamundo
Pinchamos acá y aquí es donde nosotros vamos a obtener el crédito de los 100 dólares y nos creamos una cuenta:
Ya que estamos adentro pinchamos aquí en create y luego aquí donde dice Linode:
Luego nos venimos aquí a esta sección de marketplace:
y aquí nosotros vamos a instalar beEF:
Este que aparece acá lo seleccionamos aquí nos va a pedir que ingresemos una contraseña esto lo vamos a utilizar para ingresar al panel de administración y aqui nos está pidiendo que ingresemos un correo electrónico:
luego de eso tenemos que crear:
- Nuestro usuario de sudo,
- Tenemos que agregarle una contraseña a nuestro usuario de sudo
- La clave SSH la podemos dejar en blanco.
- Disable root access Key la dejaremos en no.
- Y todo lo demas lo vamos a dejar en blanco.
Aquí nos está preguntando que seleccionemos una imagen yo voy a dejar seleccionado Ubuntu
Y después seleccionar una región en este caso yo voy a elegir Sídney
Luego de eso debemos seleccionar un plan, yo me voy a ir acá donde dice shared CPU,
y aquí yo voy a elegir un nano porque es el más barato luego tenemos que indicarle un nombre yo voy a decir que se va a llamar solamente beef
Y aquí tenemos que indicarle una contraseña de usuario root, acuérdate de esta contraseña de usuario root porque la vamos a necesitar después,
Venimos al final vamos a dejar todo tal cual como se encuentra y no vamos a agregar nada, ni tampoco vamos a cambiar ninguna selección, solamente vamos a pinchar acá donde dice Create Linode.
Y ahora esta parte es sumamente importante, aquí lo que nos dice «provisioning» eventualmente van a cambiar a «ready«, pero beEF toma mucho tiempo en instalar aproximadamente como unos 5 minutos, así que aprovechen de darse un break tenés una vuelta estira las piernas, vayan por un café, hagan la cosa que quieran pero vuelvan después de 5 minutos, una vez que esto cambie a «ready«.
Aquí ya me cambió el running así es que voy a aprovechar de ingresar ahora inmediatamente a esta máquina virtual, para eso me voy aquí donde dice access SSH access y voy a pinchar aquí en este botón esto es para poder copiar el comando que tengo que ejecutar en la terminal.
Aplicando los comandos para obtener el endpoint
Aquí ya me encuentro en mi hermosa y sensual termina, voy a pegar el comando, presionamos «enter»» aquí me está preguntando sí que nosotros vamos a confiar en esta máquina, yo le voy a indicar yes.
Y aquí nos estaba pidiendo la contraseña de root esta es la que yo te dije que tenía que acordar después.
Y ya está ahora nos encontramos dentro del servidor ahora vamos a escribir el siguiente comando ls y vamos a presionar enter aquí debiese aparecer un archivo que se va a llamar beef.info, este es el que contiene la URL en la cual nosotros nos vamos a conectar al panel de administración, así que vamos a darle un poco más de tiempo unos cinco minutos hasta que este archivo aparezca.
y aquí como pueden ver este archivo ya apareció, beef.info
Ahora vamos a escribir cat beef.info y presionamos enter.
Iniciando el hacking
Aquí nos está indicando que la instalación ha sido completada con éxito, y también nos está indicando un endpoint con el cual nosotros podemos acceder al panel de administración, este es el que nos interesa a nosotros, aquí ustedes sencillamente copian en este link y después no pegan en su explorador.
Tenemos que ingresar el usuario y contraseña de beEF nosotros los ingresamos cuando estábamos creando nuestra máquina, el username es beef, luego ingresamos la contraseña de beEF, y pinchamos en login y ya nos encontramos dentro.
Ahora lo que necesitamos es una víctima, afortunadamente BeEF, ya nos ha creado un sitio web con el cual nosotros podemos ingresar y empezar a jugar inmediatamente. Para eso nosotros lo que haremos será copiar este link que aparece acá, para eso nosotros clic derecho y colocamos copy link address.
Y ahora vamos a necesitar un explorador web, y cuál no sea tan seguro, porque fíjense en qué es lo que ocurre cuando yo intento abrir esta web directamente con Chrome voy a crear una nueva pestaña, voy a pegar y presiono enter. Miren lo que está pasando, Chrome está haciendo lo suficientemente buena onda en avisarme de que el sitio web al cual yo estoy intentando acceder contiene malware.
Ahora veamos qué ocurre cuando intentamos utilizar un explorador web el cual no sea tan seguro como, por ejemplo, una versión más antigua de Chrome, Internet Explorer, o exploradores web los cuales se encuentran dentro de máquinas antiguas que no han sido actualizadas a las últimas versiones
Afortunadamente yo tengo uno acá, este explorador web se llama minbrowser es un explorador web bastante mínimo y bastante agradable a la vista, pero fíjense en qué es lo que ocurre cuando yo intento ingresar a esta misma web, me dejo entrar y no me entrego absolutamente ningún warning, si yo intento ingresar a una de estas páginas con un explorador web que no se encuentre dentro de las últimas versiones porque Chrome tampoco te mostraba este error antes lo más probable es que sea víctima de un hackeo.
Esta es la razón por la cual es sumamente importante que mantengamos siempre nuestros exploradores web actualizados a la última versión, y en este caso a pesar de todo lo que me gusta mis browser no utilizamos miembros vamos a cerrar minbrowser.Y de todas maneras vamos a intentar ingresar con Chrome vamos a pinchar acá donde dice details
Y luego vamos a pinchar acá donde dice: «visit this unsafe site», pinchamos y como podemos ver vemos exactamente lo mismo que veíamos con minbrowser.
Aplicando Social Engineering
Ahora que ya ingresamos, y ahora fijense en lo que esta ocurriendo, aqui a la izquierdo me esta mostrando que antes yo tenia enganchado un explorador web, que ahora me aparece como offline, pero fíjese ahora en este que aparece acá arriba este es el explorador web que yo tengo acá, este es Chrome, voy a seleccionarlo:
Y fíjense en toda la información que me está entregando me está indicando así que tengo websockets y es que tengo web workers, la IP, las dimensiones del monitor, la marca del computador, entre otras cosas, pero ahora vamos a ir a lo interesante y vamos a pinchar aquí donde dice commands
Y fíjense en todas las alternativas que me está mostrando para que yo pueda realizar un hackeo vamos a vernos acá donde dice social engineering:
Y vamos a pinchar acá donde dice «fake notification bar (Chrome)» y aquí en la descripción me está diciendo mostrar una falsa barra de notificaciones, el objetivo de esta barra de notificaciones es que el usuario le de click para que él luego descargue un archivo el cual nosotros le podemos indicar el cual en este momento se llama dropper.exe, pero nosotros podemos apuntarlo a cualquier URL de cualquier servidor que nosotros también hayamos hosteado.
Y de esa manera hacerlo e instalar algún software malicioso, ya que nosotros también le podemos indicar algún texto el cual al usuario le dé un poco más de confianza y como pueden ver el texto que nos está indicando ahora es de que se necesitan más plugins, ahora vamos a pinchar aquí donde dice execute y si nos devolvemos a Chrome fíjense en qué es lo que nos está mostrando «adicional plugins are required to display all the media on this page».
Lo más probable que tú no vayas a caer en esto, pero probablemente tú conoces a alguien que puede caer en esto, y si esta persona llegase a pinchar acá él va a descargar el software el cual tú lo indica este que descargará e instalará.
Aplicando Google Fishing
Ahora, vamos a ver otra funcionalidad, que la verdad es que es bastante entretenida, vamos a venir acá donde dice Google Fishing.
Lo vamos a pinchar y nos venimos acá inmediatamente a donde dice excecute:
Pinchamos en viene que fue lo que ocurrió, llegamos ahora a la web de gmail, pero no es la web de gmail nosotros seguimos estando dentro de la misma URL, en la cual estábamos antes que tiene certificado de SSL, por lo que usuarios por ejemplo también browser van a ver que esta web tiene un candadito, y que todo funciona perfecto.
Ahora vamos a ingresar un par de datos acá, y voy a pinchar aquí donde dice «sign in«, y yo quiero que está haciendo es que me está redireccionando a gmail, pero si vuelvo a cada beEF y pincho acá voy a poder ver el detalle de qué fue lo que el usuario escribió, y aquí pueden ver que tengo el nombre de usuario y también tengo la contraseña,
Aplicando Pretty Theft
Hay muchos otros ataques que nosotros podemos realizar con beEF como por ejemplo acá nosotros podemos detectar en qué redes sociales el usuario ha iniciado sesión, de esta manera nosotros podemos presumir donde el usuario ya tiene cuentas en redes sociales, y para que nos sirve esto podemos venir nuevamente aquí a social engeniring pinchamos aquí donde dice pretty theft
Y aquí nos da un listado con un montón de opciones de diálogo en los cuales le podemos decir al usuario que su sesión ha caducado, y que necesitamos nuevamente su usuario y contraseña, lo más probable que tú ya hayas visto esto antes,
Vamos a dejar seleccionado Facebook y vamos a pinchar aquí en «execute» y fíjate en lo que está ocurriendo nos está indicando que nuestra sesión terminó, y que tenemos que ingresar nuevamente usuario contraseña
Quizás tú no caes en esto, pero seguro que conoces a alguien que caería en esto; coloco mi usuario y contraseña, y pincho en login; nbos devolvemos a BeEF y aquí tenemos todo lo que el usuario ingresó:
Hay muchos ataques que podemos realizar con BeEF podemos por ejemplo analizar toda la red interna que tiene el usuario, también qué tipo de router se está utilizando el usuario para poder conectarse Internet, y así enviarles ataques que ya son conocidos, no me crees, ve aquí esta carpeta de «Exploits» y aquí tienes un listado de un montón de reuters a los cuales tú les puedes realizar un ataque desde el mismo explorador web del usuario
Todos estos tipos de ataques por supuesto que se pueden automatizar, y ahora la parte importante yo no voy a tener montado un sitio falso, para poder realizar un hackeo entonces como yo podría llegar a vulnerar una web, lo vamos a hacer de la manera fácil nos venimos acá nuevamente al explorador web, click derecho inspeccionar, y esta es la línea que nosotros necesitamos el siguiente:
La podemos copiar y ahora solamente necesitamos en la web de una empresa víctima a la cual nosotros le podamos ingresar este script de JavaScript.
Como pudimos ver, es muy fácil vulnerar la privacidad de un usuario en Internet, si la web no es muy segura podemos realizar un montón de operaciones como las que te acabo de mostrar en este post, con los usuarios si es que un jeque quisiera robar criptomonedas lo que él podría hacer es perfectamente hacerte descargar un «script» que este detecte cuando alguien copie una billetera electrónica, y cuando este la vaya a pegar para poder enviar criptomonedas en lugar de pegar la billetera electrónica que él copió, pegue la del hacker, por esta misma razón no descargues e instales software de sitios que puedan parecer poco seguros, actualiza siempre tu explorador a las últimas versiones, ya que estos suelen ser más seguros y no abras links que no conoces.
Sé un poco paranoico y puedes utilizar esta herramienta para poder mostrarle a las personas que tú conoces lo fácil que es hackear los, y así puedes aprovechar de educarlos también
Este fue un post cargado de mucha información, y si quieres seguir aprendiendo de otros hackeos de los que podrías ser víctima te dejaremos otros post adicionales donde puedes seguir aprendiendo de estas tácticas:
- Los hackeos más comunes: serás víctima de al menos uno
- ¿Cómo hackear una página web? | SQL Injection
- ¿Cómo hackear una página web? | cross site scripting
Y esto ha sido todo de este post, si te ha encantado, ¡golpea al botón de me gusta!, dejanos un comentario, y visita nuestra Academia Hola Mundo, donde encontrarás todos los cursos para formarte como un desarrollador o desarrolladora.
Y para no perderte nada, no olvides suscribirte a este blog, seguirnos en todas las redes como Youtube, Twitter e Instagram, y por último, te invitamos a escuchar nuestra música «Hola Beats«, diseñada para ayudarte a concentrarte y acompañarte en tu aprendizaje o trabajo, la puedes encontrar en Spotify, Apple Music, Amazon Music, Youtube Music y Deezer.
¡Hasta la próxima!, y chao mundo
Deja un comentario