Month: April 2016

METODOLOGÍAS DE PRUEBAS DE SEGURIDAD INFORMÁTICA

Posted on

Hoy en día los ataques cibernéticos se producen no sólo en empresas grandes sino también en PYMES en los países como México, Brasil, Estados Unidos, Colombia, Costa Rica, Argentina, UAE, India etc acuerdo con el informe de las empresas de servicios de pruebas de seguridad informática/pruebas de penetración. La seguridad informática es muy fundamental, ya que la pérdida o el robo de datos confidenciales es un riesgo que una empresa, por pequeña que sea, no se puede permitir. Existen las evidencias estadísticas, avaladas por empresa de pentesting; indicando que estos casos son mucho más numerosos en empresas más pequeñas, en dónde la seguridad informática es mínima. Dependiendo del entorno de la empresa, se puede tener diferentes riegos/vulnerabilidades que pueden comprometer a los objetivos empresariales.
Para estar protegido ante cualquier riesgo informático, una empresa tiene dos alternativas. La primera alternativa es tomar la ayuda de expertos de los servicios de pruebas de seguridad informática (pruebas de penetración) y hacer las pruebas de auditoría informática para detectar y solucionar los riesgos. Segunda alternativa es capacitar su equipo de TI con cursos de pruebas de penetración, por lo que su equipo puede entender, detectar, resolver las vulnerabilidades informáticas. El objetivo de los servicios de pruebas de seguridad informática (pruebas de penetración) es la preservación de la confidencialidad, la integridad y la disponibilidad de los sistemas de información. Las pruebas de auditoría informática y cursos de pruebas de penetración forman una parte integral de los servicios de pruebas de seguridad informática (pruebas de penetración).

Las pruebas de auditoría informática usualmente se clasifican en tres clases: pruebas de auditoría informática física, pruebas de auditoría informática lógica o técnica y pruebas de auditoría informática administrativa. Según los expertos de servicios de pruebas de seguridad informática de software (pruebas de penetración), para que las pruebas de auditoría informática sean efectivas, éstas deben estar integradas en una arquitectura de seguridad informática, la cual debe ser conforme con los objetivos empresariales y las posibles vulnerabilidades de acuerdo al impacto que éstas tengan en la empresa. Por lo tanto, una etapa principal en la implementación de la arquitectura de seguridad informática es la etapa de pruebas de auditoría informática. Las empresas pueden implementar eso con la ayuda de los servicios o los cursos.
Según el profesor del curso de pruebas de penetración, los servicios de pruebas de seguridad informática (pruebas de penetración) deben considerar los siguientes pasos:

1. Definir los activos informáticos a probar.
2. Identificar las vulnerabilidades con la ayuda del pentest interno (evaluación interna) y el pentest externo (evaluación externa).
3. Establecer las probabilidades de la ocurrencia de las vulnerabilidades informáticas que puedan comprometer la seguridad de los activos.
4. Calcular el impacto y la prioridad de cada vulnerabilidad detectada durante el pentest interno (evaluación interna) y el pentest externo (evaluación externa).
5. Al terminación de pentest interno (evaluación interna) y pentest externo (evaluación externa), documentar los detalles, impactos, prioridades de las vulnerabilidades informáticas.
6. Trabajar con el equipo del cliente para implementar soluciones de seguridad y resolver las vulnerabilidades informáticas detectadas durante pentest interno (evaluación interna) y pentest externo (evaluación externa).
7. Rehacer pentest interno (evaluación interna) y pentest externo (evaluación externa) otra vez para asegurar la implementación de la arquitectura de seguridad.

A continuación son diferentes tipos de servicios de pruebas de seguridad informática (pruebas de penetración).

PRUEBAS DE SEGURIDAD INFORMÁTICA/PENTESTING DE INFRAESTRUCTURA INFORMÁTICA

Los servicios de las pruebas de seguridad informática/ pruebas de penetración/ pentesting de infraestructura informática están clasificados por tipos de los riesgos informáticos. La infraestructura informática incluye infraestructura inalámbrico, alámbrico y móvil. Existen dos tipos de pruebas de penetración/ pentesting de infraestructura informática.

PENTEST INTERNO (EVALUACIÓN INTERNA)

Pentest interno es también conocido como la evaluación interna. Pentest interno es una evaluación crítica, sistemática y detallada de redes informáticas. Generalmente un pentest interno es realizado por los profesionales de empresa de pentesting, utilizando técnicas establecidas con el objeto de emitir informes y formular sugerencias para el mejoramiento de la seguridad. El pentest interno es la evaluación interna del perfil de seguridad de la empresa desde la perspectiva de un empleado o de alguien que tiene acceso a los sistemas o desde la perspectiva de un hacker que ha obtenido acceso a la red de la empresa. Pentest interno/evaluación interna le permite reducir el riesgo de un ataque por parte de empleados internos e implementar una arquitectura de seguridad en las redes informáticas. Según las recomendaciones de expertos de empresa de pentesting, el servicio de pentest interno/ evaluación interna debe cubrir todos los nuevos tipos de ataques internos y no sólo probar los ataques convencionales. Por otra parte los profesionales de las empresas pueden aprender todo sobre pentest interno/ evaluación interna y nuevos tipos de ataques durante el curso de pruebas de penetración.

PENTEST EXTERNO (EVALUACIÓN EXTERNA)

Pentest externo es también conocido como evaluación externa. Pentest externo es una evaluación crítica, sistemática y detallada de redes informáticas desde afuera. Generalmente un pentest externo es realizado por los profesionales de empresa de pentesting, utilizando técnicas establecidas con el objeto de emitir informes y formular sugerencias para el mejoramiento de la seguridad. El pentest externo es la evaluación externa del entorno de seguridad de una empresa desde la perspectiva de un hacker a través de internet o de alguien que no tiene acceso a los recursos informáticos. Pentest externo/ evaluación externa le permite identificar y solucionar vulnerabilidades informáticas antes que los hackers puedan comprometer la información confidencial. Según las recomendaciones de expertos de empresa de pentesting, el servicio de pentest externo/ evaluación externa debe cubrir todos los nuevos tipos de ataques externos y no sólo probar los ataques convencionales. Por otra parte los profesionales de las empresas pueden aprender todo sobre pentest externo/ evaluación externa y nuevos tipos de ataques durante el curso de pruebas de penetración.

pentest

PRUEBAS DE SEGURIDAD INFORMÁTICA DE SOFTWARE/PENTESTING DE APLICACIONES WEB

Actualmente, muchas empresas manejan software o aplicaciones web que no incluyen las verificaciones de seguridad y un hacker puede robar los datos empresariales fácilmente. Con el servicio de pruebas de seguridad informática de software las empresas pueden verificar y resolver los diferentes tipos de vulnerabilidades que puedan existir en las aplicaciones web. La prueba de penetración de aplicación web, es una evaluación de seguridad informática; comparada con los criterios definidos para la seguridad de aplicaciones. Las pruebas de penetración de aplicaciones pueden ser clasificadas como pruebas manuales de penetración de aplicaciones web y pruebas automatizadas de penetración de aplicaciones web con herramientas. Según las recomendaciones de expertos de empresa de pentesting, el servicio de pruebas de seguridad informática de software debe cubrir todos los nuevos tipos de ataques y no sólo probar los ataques convencionales. Por otra parte los profesionales de las empresas pueden aprender cómo construir una aplicación web segura, cómo hacer auditoria del código, cómo hacer programación segura, cómo hacer pruebas de penetración de aplicaciones web y nuevos tipos de ataques durante el curso de pruebas de penetración.

PRUEBAS DE SEGURIDAD INFORMÁTICA EN LA NUBE

La computación en nube ayuda a las empresas a reducir los gastos en la infraestructura informática, la mejora de la flexibilidad, la fuerza de trabajo globalizado y mucho más. Sin embargo las empresas están muy preocupadas por la seguridad de sus datos y quién más pueda acceder a sus recursos sin su conocimiento. Las pruebas de penetración en el entorno de la nube también se conocen como pruebas de seguridad en la nube. Las pruebas de seguridad informática en la nube incluyen el análisis, evaluación y resolución de las vulnerabilidades informáticas en el entorno de la nube. Con la ayuda de los servicios de pruebas de seguridad informática (pruebas de penetración) en la nube, las empresas pueden aprovechar todos los ahorros que una nube da junto con la seguridad en el entorno de la nube. Además esto ayudaría a los clientes de las empresas, ya que van a sentir confidente en guardar sus datos personales en la nube. Una empresa de pentesting debe trabajar de acuerdo con las mejores prácticas de la industria para la seguridad en la nube y se debe implementar pruebas de penetración según recomendaciones de Cloud Security Alliance (CSA) y Cyber Defense Council (CDC). Según las recomendaciones de expertos de empresa de pentesting, el servicio de prueba de seguridad informática en la nube debe cubrir todos los nuevos tipos de ataques y no sólo probar los ataques convencionales. Por otra parte los profesionales de las empresas pueden aprender cómo asegurar la nube, cómo hacer auditoria en la nube, cómo hacer pruebas de penetración en la nube y nuevos tipos de ataques durante el curso de pruebas de penetración de nube.

PRUEBAS DE SEGURIDAD INFORMÁTICA DE SISTEMAS SCADA, ICS, IACS

Supervisory Control and Data Acquisition (SCADA), Industrial Control Systems (ICS) e Industrial Automation and Control Systems (IACS) son equipos utilizados para el control de los entornos industriales. Estos sistemas se utilizan en el sector energético, el sector manufacturero y la infraestructura crítica como las plantas nucleares, plantas de energía, etc. Las pruebas de penetración de los entornos SCADA, ICS e IACS también se conocen como pruebas de seguridad de la infraestructura crítica. Pruebas de seguridad de la infraestructura crítica implican el análisis, la evaluación y validación de seguridad de la infraestructura crítica usando sistemas SCADA, ICS e IACS. Evaluación de seguridad de sistemas SCADA, ICS e IACS y servicio de pruebas de penetración ayudan a las organizaciones a proteger la infraestructura crítica, ya que puede ser un asunto de seguridad nacional. Una empresa de pentesting, debe trabajar de acuerdo con las mejores prácticas de la industria para las pruebas de seguridad de la infraestructura crítica y debe colaborar con los proveedores de sistema SCADA, ICS e IACS para arreglar las vulnerabilidades descubiertas. Según las recomendaciones de expertos de empresa de pentesting, el servicio de prueba de seguridad informática de sistemas SCADA, ICS e IACS debe cubrir todos los nuevos tipos de ataques y no sólo probar los ataques convencionales. Por otra parte los profesionales de las empresas pueden aprender cómo asegurar sistemas SCADA, ICS e IACS, cómo hacer auditoria de sistemas SCADA, ICS e IACS, cómo hacer pruebas de penetración de infraestructura crítica y nuevos tipos de ataques durante el curso de pruebas de penetración de SCADA, ICS e IACS.

Empresas pueden proteger la infraestructura informática e información confidencial cuando conocen más acerca de las vulnerabilidades y controles de seguridad. Los servicios de pruebas de seguridad informática de software y cursos de pruebas de penetración deben proporcionar una comprensión completa de pruebas de penetración y sus perfiles de seguridad. Deben trabajar con sus clientes para definir y poner en práctica la estrategia correcta de pruebas de seguridad informática de software (pruebas de penetración) e implementar la arquitectura de seguridad.
Deben usar servicios de una empresa con experiencia global en el sector privado y gobierno con los servicios de pruebas de seguridad informática de software y cursos de pruebas de penetración. Con ayuda de capacitación de pruebas de penetración, profesionales de empresas pueden construir una imagen completa de su perfil de seguridad informática y tener una visión clara de cómo estar preparado para enfrentar los riegos informáticos.

fuente:http://www.iicybersecurity.com/pruebas-de-seguridad-informatica-pentest.html

Advertisements

As US drops “cyber bombs,” ISIS retools its own cyber army

Posted on

The Islamic State has been deft in its use of the Internet as a communications tool. ISIS has long leveraged social media to spread propaganda and even coordinate targets for attacks, using an ever-shifting collection of social media accounts for recruitment and even to call for attacks on individuals ISIS leaders have designated as enemies. But the organization’s efforts to build a sophisticated internal “cyber army” to conduct information warfare against the US and other powers opposing it have thus far been fragmented and limited in their effectiveness—and more often than not they’ve been more propaganda than substance.

Now, ISIS is taking another crack at building a more credible cyber force. As analysts from Flashpoint note in a report being published today (entitled “Hacking for ISIS: The Emergent Cyber Threat Landscape”), ISIS earlier this month apparently merged four separate pro-ISIS “cyber” teams into a single group called the United Cyber Caliphate.

“Until recently, our analysis of the group’s overall capabilities indicated that they were neither advanced nor did they demonstrate sophisticated targeting,” said Laith Alkhouri, Director of Research & Analysis for the Middle East and North Africa and a co-founder at Flashpoint. “With the latest unification of multiple pro-ISIS cyber groups under one umbrella, there now appears to be a higher interest and willingness amongst ISIS supporters in coordinating and elevating cyber attacks against governments and companies.”

But interest and willingness doesn’t necessarily equal capability. There’s room for doubt about the authenticity of this group  thanks to mixed messages broadcast over Telegram (ISIS’ preferred secure communications channel for propaganda and recruitment) and Twitter. And ISIS’ hacking efforts so far have been less than sophisticated, with the most recent “wins” being a compromise of the Twitter and YouTube accounts of the US Central Command (CENTCOM) and Newsweek in January 2015.

One trick pony

ISIS’ early efforts to create a hacking unit, the Cyber Caliphate Army, began in the summer of 2014. Led, and possibly consisting entirely of Junaid Hussain, a hacker from Birmingham, England and a former leading member of the black hat “security research group” TeaMp0isoN. Hussain, thenknown as “TriCK,” was arrested in 2012. He joined ISIS shortly after his release, taking the name Abu Hussain al Britani. From the summer of 2014 until Hussain was taken out by a drone strike in August of 2015 the Cyber Caliphate Army claimed responsibility for a number of social media account takeovers, website defacements, and other activities.

Among those were the CENTCOM and Newsweek social media defacements, as well as attacks on sites of the City of Albuquerque, New Mexico and a TV station in Salisbury, Maryland, and the alleged theft of documents from the Tennessee Fusion Center—an intelligence clearing house for local, state, and federal law enforcement run by the Tennessee Bureau of Investigations. The Fusion Center breach allegedly exposed “For Official Use Only” and law enforcement sensitive documents, but these documents may have come from hacked e-mail accounts on Fusion Center mailing lists.

Hussain used his connections to the hacker world in an attempt to bolster ISIS’ otherwise limited cyber capabilities. But aside from a data dump on August 11, 2015 allegedly containing the addresses and contact information for over 1,500 US service members by the “Islamic State Hacking Division”—actually acquired from a hacker in Kosovo—Hussain appears to have been unsuccessful in bringing any of his contacts from his TeaMp0isonN days to ISIS’ cause.

Off-the-shelf hacks

The activities of ISIS “cyber” groups after Hussain’s death have been limited to those typical of small groups of “hacktivists”:  indiscriminate Web defacements, claims of bigger hacks that appear to be based on the work of others, and claims of responsibility for unscheduled system outages. Rabitat Al-Ansar (League of Supporters), a wing of ISIS’ Media Front propaganda collective, claimed to have stolen “American Visa and MasterCard” data in July of 2015—but in actual fact the data appeared to have been obtained from previous breaches off a “carder” forum. Another purported ISIS hacking group, the Sons Caliphate Army, claimed to be behind a Twitter outage in February 2016.

The April “formation” of the United Cyber Caliphate from four other ISIS hacking “brands”—the Sons Caliphate Army, the Caliphate Cyber Army, and groups called the Ghost Caliphate Section and Kalashnikov E-Security Team—may be part of an effort to simplify ISIS hacker recruitment effort in the wake of Hussain’s death. Leveraging publicly available hacker tools, “malware as a service” exploit sites, and other tools and services ISIS can buy off hacker forums such as the jihad-focused Gaza Hacker Web, the UCC could bolt together some attacks capable of creating a bit more propaganda for ISIS and causing damage to “soft” targets.

But it’s unlikely that UCC will be able to counter attacks launched against ISIS by US Cyber Command, the National Security Agency, and other allied nations’ military and intelligence agencies in any meaningful way. And given the questionable nature of some of the claimed successes of its components, combining them may result in more posturing than actual hacking.

Source:http://arstechnica.com/

How To Stay Safe On The Internet — Google Tells 5 Must Know Tips

Posted on

Short Bytes: For unlucky people, the internet could be a dangerous place. Make sure that you follow basic security practices and think twice before sharing some personal information on the web. In this article, I’ll tell you 5 must know internet safety tips from Google. Don’t miss this.

The internet is a place where people visit for various reason. While you might be online for work or watching some cute cat videos, there are others who are looking to harm you via different means.

Very often you might end up losing your personal information and risk your online safety while banking, shopping and chatting with friends.

Experienced internet users know that there are various online risks and they follow various safety measures. Talking about the experience, who could give a better advice that Google.

Here are the 5 must-know tips from Google that tell how to stay safe on the internet:

Tip 1: Think Before You Share

Before sharing something online, make sure that the information isn’t too personal as it could be forwarded, copied and found. Whatever you share, and how much you share, can tell a lot about you. So, be thoughtful.

Tip 2: Protect Your Stuff

One of the basic steps to ensure our online safety is choosing strong passwords. This looks down your devices and accounts, barring unwanted account access.

 

Tip 3: Know & Use Your Settings

Very often people skip the basic security settings while setting up their accounts and ignore the authentication methods. The settings on different sites allow you to select what you share and who you share with. Make sure that you understand these settings and safeguard your posts, videos, profiles and more.

 

Tip 4: Avoid Scams

With more people coming online and taking part in the process of connecting with each other, the online scams are on the rise. If someone offers you some free item or some lottery money, it’s wise to be suspicious. Make sure that you avoid such scams and protect your personal information.

Tip 5: Be Positive

Remember this line — Treat others the way you want to be treated, offline and online!

Make sure that you remain positive and post or comment something if you wouldn’t mind someone doing the same to you.

Source:http://fossbytes.com/

This man hacked Windows 10 to run on in-car display

Posted on

Someone got their Windows 10 Mobile phone to work with their in-car display. Windows 10 Mobile can only work on your car’s display if you possess a little know how regarding your car’s internal system. One car owner by the name of Matthew Johnston possessed an HDMI port in the car’s display, and he was able to hook up a Windows 10 Mobile phone and have it work on that screen.

After he was successfully able to perform the hack, Matthew Johnson quickly went to Twitter and informed the public of his latest feat. Using a Pioneer in-car display, connecting a phone to its HDMI-in port seems to make this hack possible.

Unfortunately, the only drawback to this is that Johnson has reported that the display is not a touchscreen, so he will not be able to access all the features that you get while using a physical Windows 10 Mobile smartphone. However, if the right hardware is present inside vehicles, then you will actually be able to use Windows Continuum.

matthew

Microsoft should really give some thought of branching out its Windows 10 Mobile OS to vehicles the same way that Android and iOS have done. It will take a fair bit of work, but Microsoft’s forte for all these years has always been software.

Source:http://www.techworm.net/

Lock-hackers crack restricted keys used to secure data centres

Posted on

Patented keys have high-quality drawings in plain sight. Bsides Canberra A group of Melbourne lock-pickers have forged a creative method for popping so-called restricted locks by 3D printing keys found on freely-available designs on patent sites.

The feat demonstrated at the BSides Canberra security conference last week is a combination of opportunistic ingenuity and lock-picking mastery, and will be warmly-received by red team penetration testers and criminals alike.

Lock-picking is common within the information security industry, is a staple at hacker conventions, and is becoming an increasingly used skill as part of anything-goes attempts to access controlled areas wherein computers can be found.

Restricted keys are controlled by limiting manufacture to expensive specialist locksmiths who require licences and specific machinery to produce the keys.

Locks using the keys are used across enterprises to secure sensitive areas such as offices and data centres.

Now a Loop security consultant known as “Topy”, and his fellow lockpickers say restricted keys have become skeletons in the security closet.

Their plastic, 3D-printed blank keys are sufficiently strong to be used multiple times without breaking.

With such keys in hand, a lock-picker can obtain the cylinder from a vulnerable lock – say one at the external gate of a targeted facility – to learn the master key pattern which can then be applied to the 3D printed blank restricted key.

“The restricted keys have ‘do not copy’ stamped on them, but unfortunately it doesn’t really mean anything,” Topy told hackers.

“In Melbourne you can’t get restricted keys from locksmiths no matter how nicely you ask them … so we decided to make them ourselves.

“The shape of the keys is patented and that means you can go online and search the database for very high quality images.”

The key blanks are often scalable vector images with precise measurements that allowed Topy and his colleagues to create computer-aided designs of many restricted keys.

Cracking restricted keys enables an attack whereby a restricted lock is removed from a gate – which takes just two well-placed cuts of a rotary tool – and a replacement that accepts any key is inserted. The attack therefore goes undetected.

The lock picker can then extract the original lock’s cylinder and tap out the pins within. Each can be measured and used to build the respective restricted master key.

Topy says master keys are used in scores of businesses, utilities, and government buildings where separate levels of physical access are required for staff with different levels of security clearance.

There are some scenarios in Australia where highly-sensitive master keys can be derived from extremely vulnerable environments, but the details of those attacks are being kept under wraps until the situation can be resolved.

Topy and his colleagues developed the attack in a hired warehouse dubbed HackHouse, and are working on new methods to overcome high-security locks.

His attacks, like many other emerging information security exploits, are not needed to break into many secured areas since businesses and individuals typically buy cheap and easily-poppable locks.

Lock-picking is a staple of security conferences. Hang around and you’ll see ATMS, wafer and tumbler locks and every type of handcuff on the market picked apart.

Even rudimentary lock-pickings skills sometimes aren’t needed to access secure areas, as many organisations use key safes to store master keys. But those safes can be opened using weakly-protected combination locks.

Source:http://www.theregister.co.uk/

¿Cómo crear archivos maliciososde tipo RTF yarchivos indetectables por antivirus?

Posted on

El formato RTF siempre ha sido considerado como bastante seguro en comparación con otros formatos de MS Office. Es cierto que RTF no puede contener macros. Sin embargo, se sabe mucho menos que los documentos RTF pueden contener objetos OLE con contenido potencialmente malicioso. Y más específicamente, objetos OLE  pueden almacenar cualquier archivo, incluyendo los ejecutables y scripts según expertos de hacking ético y análisis de vulnerabilidades informáticas. Si el usuario final hace doble clic en un objeto tal, el archivo incrustado será abierto por el sistema. Esta característica se utiliza activamente para entregar el malware en la vida real, como veremos más adelante.

Según los expertos, al hacer una prueba muy rápida utilizando un simple RTF documento con un objeto OLE que contiene el archivo de prueba EICAR: en VirusTotal, 30 de los 56 motores antivirus detectan el archivo EICAR. Esto puede ser sorprendente como cabría esperar 100% de detección. Sin embargo, después de aplicar todos los trucos descritos en este artículo, sólo 6 motores antivirus de 56 detectan algo sospechoso. Pero fuera de esos 6, solo dos realmente detectan el archivo EICAR correctamente. Para los otros 4 informes, el archivo RTF es malformado o alterada.

Estos trucos descritos pueden utilizarse para ocultar cargas maliciosas que no serán recogidos por la mayoría de gateways de correo electrónico, proxy web y sistemas de detección de intrusos. Y ya han sido utilizados para varias campañas de malware acuerdo con las experiencias de expertos de hacking ético y análisis de vulnerabilidades informáticas. Siguientes son algunas técnicas que usted podría usar para insertar contenido potencialmente malicioso en archivos RTF.

Cabecera RTF incompleta

En lugar de comenzar con “{\rtf1” como se describe en las especificaciones de MS, algunas muestras comienzan con “{\rt0” o “{\rtvpn”. Por ejemplo éste (SHA256: 04beed90f6a7762d84a455f8855567906de079f48ddaabe311a6a281e90bd36f):

malwr

MS Word acepta como documentos RTF, mientras que muchas herramientas de análisis sólo verán archivos de texto y no van a analizar como RTF. Por ejemplo, este es el caso de malwr.com, como se muestra en la siguiente captura de pantalla:

malwr_

Se ve como analizador RTF de MS Word sólo busca “{\rt” para decidir si un archivo es realmente RTF.

Impar número de dígitos hexadecimales
Los datos codificados como bytes en formato hexadecimal deben tener siempre un número par de dígitos hexadecimales. Esto puede parecer obvio, pero si se añade un dígito hexadecimal extra al final de los datos hexadecimales codificados, algunos programas de análisis puede fallar durante la descodificación de los datos. Podrían aprender más de esta metodología durante el curso de hacking ético.

Extra espacio en blanco entre hexadecimal dígitos

Datos codificados en hexadecimal producidos por MS Word está perfectamente alineados, con todos los dígitos hexadecimales agrupados. Sin embargo, según pruebas con MS Word, en realidad permite insertar espacios en blanco (incluyendo el espacio, tabulación, nueva línea, etc.) entre los números hexagonales, e incluso entre los dos dígitos hexadecimales que representan un solo byte.

e44

Palabras de control RTF dentro de los datos codificados en hexadecimal

Acuerdo con las pruebas de  análisis de vulnerabilidades informáticas, mirando en la muestra presentado antes, podemos ver que es una palabra de control adicional “{\object}” ubicada dentro de los datos codificados en hexadecimal.

MS Word simplemente ignora cualquier palabra de control inesperado. Para hacerlo aún más complejo para los programas de análisis, esas palabras de control se pueden tener,por ejemplo “{\ foo {} {\ bar}}”.

010

Los datos binarios dentro de los datos codificados en hexadecimal

Otras muestras de RTF, como este contienen una palabra de control “\ bin”, seguido de un montón de ceros y unos caracteres binarios, justo en el medio de un objeto hexagonal codificado. Aunque las especificaciones no mencionan esa posibilidad para los objetos OLE, se ve como MS Word lo soporta. En la práctica, se permite cualquier combinación de datos hex-codificado y binarios menciona Dan Smith, experto de hacking ético y análisis de vulnerabilidades informáticas.

EF_

Top 5 NoSQL Databases of The Last Year

Posted on

These are the top NoSQL DBMS for year 2015. A database which stores data in form of key-value pair is called a relational database. Alright! let me explain myself.

a relational database stores data as tables with numerous rows and columns.(I think this one is easy to understand).

A key is a column (or set of columns) for a row, by which that row can be uniquely identified in the table.

Rest of the columns of that row are called values. These databases are created and managed by software which are called “Relational Database Management System” or RDBMS, using Structured Query Language(SQL) at its core for user’s interaction with the database.

The following video might be helpful for understanding what I’ve discussed above.

A NoSQL database is one which does not solely depend on SQL for data retrieval and whose structure is different from a relational database, and hence the name NoSQL( Not Only SQL).

And if you also think why that ‘O’ is not capital in NoSQL, then we are similar. Blame the people who named it.

Why use such databases ?

For handling “Big Data”. The development of NoSQL is fueled by development of the World Wide Web. SQL was good for Web 1.0. The evolution of Web from a place where you can only consume stuff and can not interact with the website to a place where a website works as your personal assistant, has created a scenario where a lot of data has to be processed in a very little time.

NoSQL Databases are quicker in contrast of SQL Databases and thus NoSQL Databases are utilized as a part of a Big Data applications.

Types of NoSQL Databases:

1. Document Databases – These Db usually pair each key with a complex data structure which is called a document. Documents can contain key-array pairs or key-value pairs or even nested documents. The “document” is a file which contains information. It may contain data as key value pair or as key document pair where the document may be of one of the two types.

2.Key-value stores – Every single item is stored as a Key-value pair. Key-value stores are the most simple among NoSQL Databases.

3.Wide-column stores – These types of Databases are optimized for queries over large data sets, and instead of rows they store columns of data together.

4.Graph stores – These store information about graphs, networks, such as social connections.

What about the Top 5 list?

Here they are:

1.CouchDB

NoSQL
CouchDB is an Open Source NoSQL Database which utilizes JSON to store information and JavaScript as its query language. CouchDB applies a type of Multi-Version Controlling system for avoiding the lockage of the DB file during writing. It is Erlang. It’s authorized under Apache.

2. MongoDB

NoSQL
MongoDB is the most well known among NoSQL Databases. It is an Open-Source database which is Document oriented. MongoDB is an scalable and accessible database. It is in C++. MongoDB can likewise be utilized as a file system too.

3.Cassandra

NoSQL
Cassandra is a distributed data storage system for handling very large amounts of structured data. Generally these data are spread out to many commodity servers. Cassandra gives you maximal flexibility to distribute the data. You can also add storage capacity of your data keeping your service online and you can do this task easily. As all the nodes in a cluster are same, there is no complex configuration to deal with. Cassandra is written in Java. It supports mapreduce with Apache Hadoop. Cassandra Query Language (CQL) is a SQL-like language for querying Cassandra Database.

4. Redis

NoSQL

Redis is a key-value store. Furthermore, it is the most famous key-value store according to the monthly ranking by DB-engineers.com . Redis has support for numerous languages likeC++, PHP, Ruby, Python, Perl, Scala and so forth along with many data structures like hash tables, hyperloglogs, strings etc. Redis is composed in C language.

5. HBase

NoSQL

HBase is a distributed and non-relational database which is designed after the BigTable database by Google. One of the main goals of HBase is to host Billions of rows X millions of columns. You can add servers anytime to increase capacity. And multiple master nodes will ensure high availability of your data. HBase is composed in Java. It’s authorized under Apache. Hbase accompanies simple to utilize Java API for customer access.

Source:http://www.techworm.net/