Hace unos días terminó la Honeycon 2017 en la que tuve ocasión de colaborar como voluntario de la organización. En la cabecera de este post una foto de familia de algunos de los voluntarios que estuvimos el Sábado por la mañana.
Ya he escrito anteriormente sobre la asociación Honey y el curso de «Introducción al Hacking Ético» al que asistí hace ya unos meses. En esta ocasión voy a escribir sobre el taller al que tuve ocasión de asistir, a ratos, porque estuve entrando y saliendo todo la mañana ;-). Si queréis leer un crónica de todo el congreso podéis leer esta fantástica entrada en el blog de la asociación: HoneyCon 17.
El taller, «Usando internet like a Pro«, fue impartido por Angelucho, quien nos hizo un recorrido muy interesante sobre herramientas, recomendaciones de uso, mejores prácticas, etc… de navegación por Internet. A continuación algunas de mis notas:
Cuando llegué al taller éste ya había empezado y estabann hablando de la red Tor y cómo navegar a través de ella, para ello nos recomendó instalarlos Tor Browser, lo instalé pero no tuve mucho tiempo de probar, queda apuntado para probar en el futuro.
Luego pasamos a algunas recomendaciones sobre el uso de Google. Primero para explorar el servicio de alertas de google. siguiendo la recomendación del ponente he creado una alerta para cuando aparece mi nombre completo.
Otras recomendaciones relativas a nuestra actividad en la web fueron la de no estar logados cuando realicemos búsquedas (si queremos mantener cierto anonimato claro), o desactivar la localización. Para convencernos de ésto último bastó con echar un vistazo a la página «location history» de Google (mientras escribo esta entrada he borrado (aparentemente) el historial de ubicaciones, toda mi actividad registrada en google y pausado todos los controles de actividad de mi cuenta).
A continuación nos explicó como hacer búsquedas en google de forma más eficiente: símbolos » «, – , *, y comandos como: filetype, ext, link, cache, related, inurl, etc… me pareció muy interesante. También nos habló de los Google Dorks, combinaciones de operadores de búsqueda especiales que se utilizan para extraer información valiosa o sensible desde Google, y luego investigando un poco más he encontrado enlaces como Google Hacking Database, donde aparecen un gran número de ellos.
Continuamos con algunas herramientas útiles que podríamos utilizar mientras navegamos por internet, como son:
- httprack.com, para copiar el contenido completo de un site web.
- egarante.com, para capturar y certificar digitalmente un contenido de la web antes de que éste desaparezca.
También hablamos de los metadatos, sobre todo los relacionados con las imágenes, EXIF, que se suben a internet y cómo a través de estas imágenes se puede obtener información tan sensible como por ejemplo la localización (coordenadas GPS) de dónde se hizo, fecha, etc… Para ver dichos metadatos podemos utilizar el propio explorador de windows de nuestro PC, vamos a «propiedades de la foto» y luego en el tab «detalles«, o páginas on-line buscando exif online, por ejemplo verexif.com. Es importante en cualquier caso que si somos nosotros los que publicamos una foto debemos revisar los metadatos y en caso necesario editarlos e incluso borrarlos, esto se puede hacer tanto desde el propio explorer: «quitar propiedades e información personal», como desde las páginas on-line.
Otra de las cosas que hicimos con las imágenes es hacer búsquedas inversas para determinar si una foto que está publicada en internet, o que nos hemos descargado, es auténtica, ha sufrido alguna alteración, se ha publicado en algún otro sitio, etc… Para ello podemos hacer dos cosas:
- En Chrome, hacer clic con el botón derecho y pulsar sobre «buscar imagen en Google» o
- utilizar tineye.com, ésta herramienta tiene la ventaja de que también funciona con fotos offnet o indicando la URL de la foto en cuestión, útil si utilizamos otro navegador y no tenemos la opción del botón derecho.
Finalmente hablamos un poco de OSINT, o investigación a través de fuentes abiertas, como una forma de investigar más sobre los contenidos públicos, y vimos algunas herramientas que se pueden utilizar para ello, como twipho.net o geosocialfootprint.com, que son ejemplos de herramientas que te puedes encontrar en páginas dedicadas íntegramente a OSINT como toddington o inteltechniques.
Para acabar la mañana, y justo antes de irnos a comer, una demostración espectacular del proyecto sCAN para luchar contra la violencia de genero:
Blog personal de José Carlos Martín 