# Repaso examen 2ª evaluación
https://github.com/jesusninoc/ClasesISO/blob/master/2018-01-08.md

## Posibles preguntas

- Crear un sistema para realizar instalaciones de programas en Linux desde PowerShell
  - El sistema tiene que comprobar si hay que realizar instalaciones al arrancar el sistema operativo

- Crear un sistema que da de alta usuarios en el sistema operativo
  - El sistema tiene que ser una tarea programada

- Ejercicios de expresiones regulares
  - Windows PowerShell Escritura de expresiones regulares https://technet.microsoft.com/es-es/library/2007.11.powershell.aspx
  - Grep and Regular Expressions https://ryanstutorials.net/linuxtutorial/grep.php

- Ejemplos de preguntas rápidas
  - ¿Cómo bloqueas un programa en Windows para que no pueda ejecutarlo un usuario?
  - ¿Qué contiene el fichero ntuser.dat?

- Script OWASP
  - WordPress username enumeration with PowerShell https://jesusninoc.com/wp-json/wp/v2/users/
  - WordPress https://www.jesusninoc.com/wordpress/

-----------------------

# Seguridad

## Acercarse al objetivo

- Analizar Whois (whois)
  - Whois https://docs.microsoft.com/en-us/sysinternals/downloads/whois
  - Whois XML https://hexillion.com/samples/WhoisXML/?query=jesusninoc.com
  - Whois JSON https://hexillion.com/samples/WhoisXML/?query=jesusninoc.com&_accept=application%2Fvnd.hexillion.whois-v2%2Bjson
- Conocer la IP por resolución DNS (nslookup)
- Recorrer el rango de IP
  - Recorrer direcciones IP https://www.jesusninoc.com/2017/07/06/recorrer-direcciones-ip/
- Pedir todos los registros DNS que pueda (set type=any)
- Concretar el objetivo contra una IP
- Analizar puertos (nmap)
- Buscar vulnerabilidades
- Una vez tomado el control
- Netcat o a nuestro modo
- Colocar un FTP cuanto antes (no vale \\localhost\c$)
- REALIZAR ATAQUE DESDE UN ORDENADOR INTERMEDIO
- Tomar control con Kaht2
- Conectarse entre ordenadores de los que se ha tomado el control
- Analizar información con Zoomeye https://www.zoomeye.org/

## Ataque paso a paso

- Colocar cmd o nc en la carpeta del servidor y ponerlo en modo ejecución para poder ejecutar comandos remotos desde navegador
- Desde el otro ordenador se podrá:
  - Usar nc
  - Listar procesos
  - Servicios listados
  - Matar procesos
  - Ejecutar comandos
  - Cambiar claves del registro por ejemplo activar el acceso remoto
  - Borrar logs del sistema

## Fallos posibles

- Firewall sin configurar
- Nombres de equipos que se autodefinen "ventas"
- Colocar acceso remoto (analizar puerto y darse cuenta)
- Detectar si se produce ataque con herramientas de monitorización de red
- Eliminar el rastro, ficheros logs

## Análisis forense

- Realizar dump cada cierto tiempo para ver en qué trabaja el usuario
- Analizar dump
- Qué hace el usuario?
- Más evidencias de dónde accede
- Realizar dump de Notepad y otros programas
- Extraer images de dmp

## Crear un fichero de volcado de memoria de un proceso de forma gráfica
https://www.jesusninoc.com/2016/10/14/crear-un-fichero-de-volcado-de-memoria-de-un-proceso-de-forma-grafica/

## Crear un fichero de volcado de memoria de un proceso
https://www.jesusninoc.com/2016/03/04/crear-un-fichero-de-volcado-de-memoria-de-un-proceso/

## Extract all the jpgs found in chrome.dmp (dump file)
https://www.jesusninoc.com/2016/10/15/extract-all-the-jpgs-found-in-chrome-dmp-dump-file/

## mysqldump: A Database Backup Program
https://www.jesusninoc.com/2014/11/25/mysqldump-database-backup-program/

## Other links

* http://ins3cure.blogspot.com.es/2012/08/extract-images-from-process-memory-dumps.html
* http://www.dfrws.org/2006/challenge/submission.shtml
* http://www.techipick.com/forensics-memdump-extractor

## Volcado de memoria de procesos

### Crear un fichero de volcado de memoria de un proceso
https://www.jesusninoc.com/2016/03/04/crear-un-fichero-de-volcado-de-memoria-de-un-proceso/
### Crear un fichero de volcado de memoria de un proceso y detectar DLL
https://www.jesusninoc.com/2017/10/22/crear-un-fichero-de-volcado-de-memoria-de-un-proceso-y-detectar-dll/

## mimikatz
mimikatz is a tool I've made to learn C and make somes experiments with Windows security.
It's now well known to extract plaintexts passwords, hash, PIN code and kerberos tickets from memory. mimikatz can also perform pass-the-hash, pass-the-ticket or build Golden tickets.

https://github.com/gentilkiwi/mimikatz

### Mimikatz on Windows 10
https://astr0baby.wordpress.com/2018/01/30/running-latest-x64-mimikatz-on-windows-10/

## Cargar en memoria y ejecutar un payload de ejecución de comandos arbitrarios en PowerShell
https://www.jesusninoc.com/2017/02/16/cargar-en-memoria-y-ejecutar-un-payload-de-ejecucion-de-comandos-arbitrarios-en-powershell/

## Converting PowerShell to Batch
http://community.idera.com/powershell/powertips/b/tips/posts/converting-powershell-to-batch

## Formas de descargar y ejecutar ficheros desde un servidor en PowerShell
https://www.jesusninoc.com/2016/11/15/formas-de-descargar-y-ejecutar-ficheros-desde-un-servidor-en-powershell/

## Bypasses UAC by abusing the App Path key for control.exe (only tested on Windows 10)
https://www.jesusninoc.com/2017/03/22/bypasses-uac-by-abusing-the-app-path-key-for-control-exe-only-tested-on-windows-10/

## Generate-Macro
This Powershell script will generate a malicious Microsoft Office document with a specified payload and persistence method.
https://github.com/enigma0x3/Generate-Macro
