Hacking Ethereum Damn Vulnerable DeFi (Part I)

Publicado el Publicada en Análisis de vulnerabilidades, Explotación, Programación

The purpose of this post is to explain how to learn offensive security of DeFi smart contracts in Ethereum blockchain. First challenge was about stop service, named «unstoppable» contract. There’s a lending pool with a million DVT tokens in balance, offering flash loans for free. If only there was a way to attack and stop […]

Hacking Ethereum Smart Contract Ponzi Schemes

Publicado el Publicada en Análisis de vulnerabilidades, Explotación, Programación

Security is the most important consideration when we writing smart contracts. All is public in Ethereum, for example, etherscan which is the main source of checking source code from contracts deployed. Therefore, everything is public anyone can check source code, find issues and make exploits to steal big amount of money in critical cases. Logical […]

Exploit Development – Stack Based Buffer Overflow I

Publicado el Publicada en Análisis de vulnerabilidades, Explotación

Buenos dias!! hace tiempo que no publico nada, y mencionaron hace poco por Twitter una entrada sobre ingeniería inversa de hace unos años y me dije, porque no volver a escribir. Según el CWE-121 Stack-based Buffer Overflow, «A stack-based buffer overflow condition is a condition where the buffer being overwritten is allocated on the stack […]

Pentesting Smart Contract – Introducción

Publicado el Publicada en Análisis de vulnerabilidades, Pentesting

En esta entrada aprenderemos hacer pentesting a Smart Contract. Un «contrato inteligente» de Ethereum es un programa informático que se ha desplegado en la blockchain de Ethereum, donde existirá para siempre. Los contratos inteligentes desplegados representan muchas capacidades como ejecutar código para realizar «transacciones» que se le envían a través de una de las funciones […]

Introducción al Reversing – 0x11 Algoritmo descifrado básico de una función

Publicado el Publicada en Reversing, Threat Intelligence

En este apartado del curso de Reversing tenemos un algoritmo básico de descifrado de una función en C. El binario es un ejecutable ELF. Es interesante siempre una vez aprendido a interpretar código ensamblador de la sintaxis de Intel, ver el pseudocódigo en C y realizar análisis estático del mismo para poder escribir nuestro script […]

Basics of Javascript

Publicado el Publicada en Hacking Web, Pentesting

Buenas! En esta entrada resolveremos el laboratorio de Pentester Academy. El motivo principal es redactar mis notas en la preparación del AWAE y así compartirlas con todo el mundo. El laboratorio consta de 21 retos, solo basta en ir incrementando el número en el enlace para ir haciéndolos. Aun así recomiendo realizar el curso para […]

Introducción al Reversing – 0x10 Baby’s RE from FlareON con amor ❤️

Publicado el Publicada en Reversing, Threat Intelligence

Espectativas Con la resolución de los retos más sencillos baby’s (constan del primer) de todos los flare on, aprenderemos: Crackmes con algoritmos muy básicos. Codificación y decodificación en aplicaciones .NET. Ingeniería inversa de código .NET y en binarios Windows. Sintaxis intel x86. Basics of ASM. Manejo básico de IDA, x64dbg y Ghidra. Identificación de algoritmos […]

Introducción al Reversing – 0xF Keylogger

Publicado el Publicada en Malware, Reversing, Windows

Muy buenas a todos! En esta lección del curso de ingeniería inversa, realizaremos reversing a un keylogger. En esta lección aprenderemos: Nociones de C. Conocimiento de WinAPI y consultar su documentación. Conocimiento sobre Windows Hooks. Conocimiento de hilos. Conocimientos de Sockets y HTTP. Tools usadas: Visual Studio 2019 (código fuente) x64dbg (debugger) Cheat Engine. Wireshark. […]

Introducción SQLi – Ataques UNION y AND boolean-based blind

Publicado el Publicada en Explotación, Hacking Web

En esta entrada hablaremos de esta técnica actualmente muy explotada en diferentes webapps. El software vulnerable que usaremos será Pharmacy Medical Store and Sale Point 1.0. Análisis de la vulnerabilidad Debido a la no sanitización de las consultas usadas en el código fuente, nos permite realizar injecciones de código para poder obtener información de la base de […]