Global Logfile of

(IN)security

1
Using SHODAN to change the
world.
 Who the hell…
Éireann Leverett Beng : Ingeniería de
Software e Inteligencia Artificial MPhil :
Ciencias de la Computación Avanzada ... y
tengo algo de sopa de letras de mi
nombre. Estoy aquí principalmente porque
yo solía SHODAN para encontrar decenas
de miles de dispositivos del sistema
industriales directamente conectados a
internet. No se trata de eso. Esto es sobre
el uso SHODAN para la investigación
empírica de la informática , las métricas
2
de seguridad , y la mitigación.
 GR33TZ
Shawn Merdinger, Bob Radvanovsky, Ruben Santamarta,
Mike Davis, Michael Milvich, Reid Wightman, Alexandre
Dulanoy, Morgan Marquis-Debois, Shailendra Fuloria, Arthur
Gervais,
Colin Cassidy, Ben Miller, Billy Rios, Terry McCorkle,
Carlos Hollman

And of course:

John Matherly
@achillean

www.shodanhq.com/promo/hacklu

3
 Filtrar el océano de
datos

4
 Lista de Filtros
o Freetext o Before/After
o Host o Geo
o Net o Hostname
o City o Org (ASN)
o Country o Title
o Port o ISP
o OS o Assigned
o peered
o HTML

5
 Hackea los filtros!
El filtro por país es
ISO-3166-2
Lo cual no es TLD or Country
Y tiene algunas sorpresas
como A0. A1. A2
AQ
Derribar AQ! Los terroristas
malditos!
(Antarctica)
6
 Los Filtros
indocumentados !
ORG
http://www.shodanhq.com/search?q=org%3A%22Akamai+Technologi
es%22

Title
http://www.shodanhq.com/search?q=title%3A%22Test%22

Coming Soon:
ISP
HTML

7
 SSL/TLS Filtros
 Cert Version
 Cert Bits
 Cert Issuer
 Cert Subject
 Cipher Name
 Cipher Bits
 Cipher Protocol

8
 Configuración de la API
(Linux)
• sudo apt-get install python-
setuptools easy_install shodan
• easy_install –U shodan

9
 Inspiración de Dorks!
A lo largo de este taller voy a caer
consultas de inspiración para
mantener las cosas interesantes .
Usted puede tener una copia de las
diapositivas , por lo que no se asuste
y se anota . He elegido
cuidadosamente las preguntas que no
sólo le dicen 'aquí es un dispositivo ",
pero sugieren algún otro problema o
pregunta de investigación interesante
1 ...
 Surveillence/Censorship
Dorks
1. http://www.shodanhq.com/search?q=port%3A137%20calea
2. http://
www.shodanhq.com/search?q=C7200-ADVIPSERVICESK9_LI-M
3. http://www.shodanhq.com/search?q=Blue+Coat+PacketShaper

1
 Errores comunes de
codificación
Pasos de páginas de resultados
Partidos no son todos los datos; use
host.get()
Expresiones regulares (Groups)
filtros de red múltiples
Compruebe sus codificaciones antes de
deserialización
Exploits puede ser alcanzado
No se olvide de buscar tanto Metasploit y
explotar DB (Utilizan diferentes API calls)

1
 Por suerte ... I HAZ
plantillas de código !!!

1
 comedia consultas

1. http://www.shodanhq.com/search?q=%22I%27m+a+te
apot.%
22
2. http://www.shodanhq.com/search?q=port%3A23+Nyanc
at

1
 El almacenamiento de los
datos
Deserializar los datos si desea
analizarlo más tarde.
Me PIckle en python
Mire sus codificaciones.
Por ejemplo, desea mantener los
dispositivos, pero volver a
ejecutar búsquedas de exploits

1
 Estado plenitud!
• Configuracion de estado:
1. http://www.shodanhq.com/search?q=%
22Default%3A+admin%2Fpassword%22
2. http://www.shodanhq.com/search?q=PUBLICLY-KNOWN+CREDENTIAL
S

• Estado de ejecución:
1. http://www.shodanhq.com/search?q=%5Cx04Host

1
 fuentes complementarias
de información
• ERIPP
• Team Cymru IP to ASN
Lookup
• Rwhois
• DNS && rDNS
• Google hacks

1
 Network Oddities:
http://www.shodanhq.com/search?q=255.255.255
.255

1
 El trabajo con los CERT

Alguno de ustedes sabe más de esto que

yo ...
Mi experiencia es que sea paciente,
mantener diálogo, y preguntar lo que
les ayudaría.
Trate de enseñarles lo que haces, y
luego dejarlos solos.

1
 Espacios reservados
1. http://www.shodanhq.com/search?q=net%3A0.0.0.0%2F8
2. http://www.shodanhq.com/search?q=net%3A10.0.0.0%2F8
3. http://www.shodanhq.com/search?q=net%3A127.0.0.0%2F8
4. http://www.shodanhq.com/search?q=net%3A169.254.0.0%2F16
5. http://www.shodanhq.com/search?q=net%3A172.16.0.0%2F12
6. http://www.shodanhq.com/search?q=net%3A100.64.0.0%2F10

2
 DISCUSIÓN DE TIEMPO!

2
 La mirada fija en el vacío
1. http://
www.shodanhq.com/search?q=net%3A192.0.0.0%2F
24
2. http://
www.shodanhq.com/search?q=net%3A198.18.0.0%2
F15
3. http://www.shodanhq.com/search?q=net%3A240.0.0
.0%2F4

2
 Los informes se preparan para
CERTs
De-duplicados IPs
 añadir ASNs
 usar CSV
 Añadir los correos electrónicos de abuso
 añadir Exploits
 Intercambiar keys
Obtener a firmar keys luego

2
 dispositivos
1. http://www.shodanhq.com/search?q=SMSLockSys
2. http://www.shodanhq.com/search?q=port%3A23+swi
tch

2
 Servicios

1. http://www.shodanhq.com/search?q=port%3A23+%
22list+of+built+in+commands%22
2. http://
www.shodanhq.com/search?q=port%3A23+Anonymous+ftp+is+still+avail
able

2
 SSL/TLS
1. http://www.shodanhq.com/search?q=cipher_protocol%3ATLSv1+cipher_name%3ANULL-SHA
2. http://www.shodanhq.com/search?q=cipher_protocol%3ATLSv1+cipher_name%3ANULL-MD5

2
 ID de sesión de
Investigación!
http://www.shodanhq.com/search?q=PHPSESSID%3D
http://www.shodanhq.com/search?q=+AIROS_SESSIONID%3D
http://www.shodanhq.com/search?q=JSESSIONID%3D

2
 Las ideas generales
• Perfil de una ISP/ASN/Country
• Examinar el estado de la
vigilancia
• Comparación de los países
• Comparación de SSL
• Unicidad de los
identificadores de sesión
•
•
2
 conclusiones
Oddities de red
oddities de acogida
Estado config
Estado en tiempo de
ejecución
política del Estado
Ubicación de conexión o tipos
tipos de cifrado

2
 Conclusions
SHODAN es para algo más que la
búsqueda de Boxen fresco. Usted
puede investigar a escala, a bajo
precio.
Piense en la investigación de toda la
cosa y dar salida a las métricas que
nos ayudará a todos.
A continuación, vaya a enfriar lugares y
hablar de ello!
3
Thanks for coming (if you
did)!
Email: eireann (.) leverett [AT] ioactive (dot) co
(dot) uk
Twitter: @blackswanburst
PGP: C97C1513