Desde Agosto del 2018 creo que “ya ha llovido”, entonces ¿por qué traigo esta entrada? Bueno, no quería pasar por alto hablar de esta certificación que tan interesante me ha parecido y de la que he aprendido bastante.
Todo esto arrancaba a finales de septiembre del 2016, cuando mostraba mi interés por esta certificación CPHE de la empresa española The Security Sentinel. Después del primer correo intercambiado con estos señores, muy amablemente se me ofrecía un bono de 10% de descuento y pues no dude la verdad en adquirirlo.
El curso para la certificación CPHE consiste en 8 módulos o semanas en donde se abarca el siguiente temario:
- Semana 1: Introducción, Arquitectura de Redes y Linux
- Semana 2: Recolección de Información y Escaneo del Objetivo
- Semana 3 y 4: Explotación, Pivoting y Post-explotación
- Semana 5: Auditorias Wifi y Passwords Craking
- Semana 6: Malware (Modding desde 0)
- Semana 7: Análisis Forense
- Semana 8: Hacking Web y Auditorias a dispositivos Móviles
Se trata del curso de nivel inicial que ofrece esta empresa The Security Sentinel y que posteriormente puedes dar continuidad a tu formación accediendo al curso CHEE, que es de nivel avanzado.
A día de hoy creo que la empresa ya ofrece el curso para que puedas comprarlo por módulos, es decir que si te interesa, pero por ejemplo, no quieres tener la primera semana por que la dominas, no te interesa o cualquier otra razón, ahora puedes armarte el curso solo con las semanas que te interesen. Me parece un método acertado, sin embargo si tus nociones son básicas, te aseguro que este curso será una apuesta segura y te vendrá muy bien.
Por último hablando de esta parte, debo resaltar la dinámica de avance del curso, ya que te marcas tu mismo el ritmo que quieras seguir, en mi caso creo que me lo tomé con bastante calma. Como parte del aprendizaje de cada módulo ellos te proponen el desarrollo de algunas prácticas y al realizarlas puedes enviarlas a tus tutores y ellos dentro de un tiempo prudente (normalmente respondían con agilidad), te responden con algunos comentarios o sugerencias para poner en marcha, algo que me pareció un valor.
Referente al examen ya propiamente dicho, me pareció éste una pasada. Para mí fue el primer examen práctico que afrontaba y como tal me lo tomé como cualquier consultoría que estuviera realizando, además justamente lo realice en el mes de Agosto, mes en que estoy plagado de servicios en ejecución a través de la empresa Moebius Security en la cual me encuentro y represento. Pero bueno, me organicé en lo personal para estar libre un fin de semana y sacar adelante esta prueba.
En Julio solicité mi examen del CPHE y la gente de The Security Sentinel en función a su política me respondió lo siguiente:
La convocatoria del examen CPHE se celebra el primer viernes de cada mes. La convocatoria consiste en la auditoría de dos máquinas virtuales, cuyos enlaces de descarga os remitimos con el correo electrónico el día de la convocatoria. Dispones de una semana para realizar la auditoría y la realización de los informes con las pruebas de concepto de las vulnerabilidades que has encontrado en dicho proceso de auditoría. El proceso dura una semana, teniendo como fecha tope hasta el próximo viernes a las 23:59.
Fue el 3 de Agosto que me llegaron las 2 máquinas virtuales comentadas, una con GNU/Linux y otra con Windows, además de un conjunto de instrucciones en donde se me indicaba que básicamente debía de realizar un pentesting a cada máquina y presentar 2 informes (ejecutivo y técnico) por cada máquina objetivo. Asimismo se definía la regla básica: “Las máquinas no deben tocarse (no se deben realizar modificaciones de usuarios, ni de configuraciones), solo encenderlas y buscar en la red.”. La idea principal del examen es que tu simules estar en una red interna de alguna institución.
El desarrollo del examen me llevó al menos 12 horas aproximadamente, arranqué a eso de las 10 de la mañana y al finalizar el día estaba consiguiendo máximos privilegios en mi última máquina.
Bajo la metodología revisada en el curso titulada como “ciclo de la auditoría de seguridad ofensiva”, la cual trata de las siguientes 5 etapas:
Realicé mi informe y fui recopilando toda la información necesaria, tomando capturas de pantalla de todos aquellos resultados de relevancia. La verdad que me lo pasé bastante bien. La primera máquina a la que conseguí acceder fue en la que corre GNU/Linux, aprovechando una vulnerabilidad identificada con una herramienta que acababa de estrenar como es: WPLchecker, la cual les invito encarecidamente a probar.
Conseguí en primer lugar acceso a través de un usuario sin privilegios, posteriormente y empleando lo que se conoce como “pensamiento lateral”, conseguí descubrir la contraseña del usuario root, en este punto me alegró hacerlo de esta manera ya que no siempre en la vida real te van a funcionar los ataques automatizados o la ejecución de determinado exploits, sin embargo aquellas configuraciones defectuosas (o descuidadas) son más probable que se den por parte de los usuarios que administren los sistemas (capa 8). El resultado que me encantó ver fue el siguiente:
La segunda máquina ya me costó algo más. Después de unas buenas horas intentando atacar el sistema por distintas vías, no fue hasta el uso de un determinado exploit que me permitió acceder a él. Luego escalé privilegios y una vez ya en el sistema me dispuse a buscar la bandera (flag) del reto. Éste fue el resultado:
La semana siguiente ya fue tiempo para terminar de elaborar los informes técnicos y trabajar en métricas y recomendaciones para los informes ejecutivos.
El día 14 de Agosto recibía el siguiente correo por parte del equipo de The Security Sentinel que me alegró el día:
Antes de finalizar con esta entrada quiero agradecer a los que fueron mis tutores durante el tiempo que estuve cursando este curso de certificación CPHE: Francisco Sanz (@fsanz_moya) y Juan Luis Romero, gracias por responder a todas mis prácticas enviadas y las pistas de mejora.
Ahora con ganas me voy a por el CHEE, espero pronto tenerles novedades!