Curso de Posicionamiento Web SEO

En Youpkey hemos comenzado a trabajar cursos de marketing digital, y partimos este año con el curso seo, basado en talleres de aprender haciendo.

Son 9 talleres en los cuales se contemplan todos los aspectos de posicionamiento web SEO más importantes a la hora de realizar estrategias de posicionamiento orgánico.

Al igual que en otras oportunidades, el curso de posicionamiento web SEO se llevará a cabo en Callao 3037.

Está pensado para comenzar en Julio de 2018, pero de acuerdo a la demanda de los asistentes, el mes, el día y la hora se estipularán en base a la selección de los asistentes.

Todos los detalles del curso seo de posicionamiento web, en el siguiente enlace:

Curso de Posicionamiento Web SEO en Google

19 Escáneres de Seguridad para WordPress Puestos a Prueba

El punto de quiebre que pone fin a todas las geniales características de WordPress, es la seguridad informática, ya que al tener cimentados y firmes pilares de tecnología empresarial, nos vamos a cuestionar, siempre, la continuidad del negocio. Y así nace la frase hecha: WordPress no es seguro. Esta frase ausente de análisis técnico, cuyo significado convencional se repite una y otra vez sin alteraciones, representa un error comercial de gran envergadura, ya que un buen profesional de la informática sabe que WordPress sí es seguro, y que el real problema radica en la administración del CMS y el establecimiento de protocolos a través de los que un sitio web, independiente de qué content management system utilice, sea sometido siempre a diversos y periódicos análisis de seguridad. Es lo que se conoce en el rubro de la seguridad informática, como el factor humano.

Al contrario, la tendencia común de un usuario básico o promedio de WordPress, es a buscar plugins que aseguren o escaneen al CMS en su interior, por lo general, después de que han sido hackeados, producto de un sin fín de malas prácticas que de una u otra manera los llevarán a utilizar algún tipo de scanner; por otro lado, están los usuarios más sensatos y precavidos, aquellos que buscan servicios de análisis o de WordPress vulnerability scanner, en primera instancia.

En la senda comercial tenemos la obligación de mantener servicios de terceros que nos ayuden a fortalecer nuestro negocio, sobre todo cuando la capacidad de inversión y contratación de recursos humanos en startups, pequeñas y medianas empresas, tiende a ser limitada. Si tienes la oportunidad de elegir entre un equipo o empresa de pentesting que no puedes pagar, un conjunto de plugins que en vez de facilitar las gestiones, siembran dudas sobre cuál es el mejor, cosechando falta de tiempo y seriedad a causa de sus configuraciones y funcionalidades de pago que sólo se visualizan una vez que dichos plugins están instalados en el CMS, y un servicio de WordPress vulnerability scanner que hace todo de una sola vez, tu elección, será, obviamente un scanner.

Sin embargo, ¿cuál es el nivel de acierto de un WordPress malware scanner? La mejor forma de ponerlos a prueba, es someter sitios web infectados por malware o hackeados. Para ello, usaré una web del Gobierno de Brasil que está infectada:

4 Escáneres de Seguridad para WordPress (NO) Recomendados

Detalles Superficiales, Informes Falsos & API’s Vacías

Desde el apartado oficial para hardening en WordPress.org recomiendan 4 scanners de seguridad:

  1. VirusTotal, de Google

  2. Sitecheck, de Sucuri

  3. Unmaskparasites, de Denis Sinegubko y Sucuri

  4. Redleg AW-Snap, de Safe Browsing APIs (Gooogle)

 

VirusTotal

En VirusTotal la web está listada por phising, aunque sólo es identificada, extrañamente, por 1 de 67 antivirus:

Sitecheck

Con Sitecheck advertimos alerta de update para la versión de WordPress, un oportunista y bien hecho cross selling marketing de firewall, y una referencia a full path disclosure:

Unmaskparasites

Unmaskparasites cumple un rol de inseguridad negligente, ya que entrega reportes de sitios web limpios, engañando además a los usuarios con alusión a infecciones o hackeos que no existen, para finalmente recomendar a Sitechek, el scanner ya descrito que no detecta problemas de seguridad pero sí hace referencias a la venta de firewall:

Redleg AW-Snap

El último de la lista, AW-Snap, que debiera informanos de la infección, sorprendentemente, no reporta alertas de seguridad:

6 WordPress Vulnerability Scanner Alternatives

Espejos Web & Recopilación de Información Inútil

El panorama no es bueno, pero gracias al ejercicio anterior tenemos ahora certeza y convicción de que no debemos confiar en los resultados de estos scanners para WordPress y es mejor probar alternativas:

  1. WordPress Security Scan, de Hacker Target

  2. Wpscans, de Triop AB

  3. Wprecon, de Hacker Target

  4. WordPress Security Scanner, de WP Loop or First Site Guide

  5. WordPress Vulnerability Scanner, de WP Neuron

  6. Online WordPress Scan or Scap WP, de Greg Boggs

WordPress Security Scan

Si bien es cierto podemos recabar información general, la gran diferencia de este scanner versus todos los anteriores, es que por fin logramos obtener datos valiosos sobre seguridad en WordPress, pues enumeró 2 nombres de usuario para ingresar al backend (“admin” y “daniele”):

Wpscans

Lamentablemente, no es posible ahondar mucho sobre este scanner de seguridad para WordPress, ya que ofrece exactamente los mismos detalles que Sitechek by Sucuri:

Wprecon

Sí, es un clon de WordPress Security Scan by Hacker Target, por lo tanto, arroja los mismos resultados, nada nuevo:

WordPress Security Scanner

Como scanner de information gathering y detección de HTTPS headers funciona perfecto, pero está ausente en el plano de las vulnerabilidades:

WordPress Vulnerability Scanner

En pocas palabras, no funciona, cada vez que lo probé mantuvo un loop infinito de scaneo:

Online WordPress Scan o Scan WP

Al igual que Unmaskparasites by Sucuri, el scaneo es superficial, por lo tanto, no es apropiado:

9 Web Vulnerability and Malware Scanners for WordPress

Las Grandes Ligas: Falsos Positivos & Coronación de un Rey

¿Qué hacemos cuando los scanners de seguridad recomendados desde la web oficial de WordPress.org no satisfacen las necesidades reales de análisis para una web hackeada, y los scanners online más conocidos para seguridad de WordPress no detectan vulnerabilidades que están a la vista del ojo humano?

  1. Safe Browsing Site Status, de Google

  2. Web Inspector, de Comodo Security Solutions

  3. Website Malware Scanning, de Foregenix

  4. Rescan, de Revisium

  5. Secapps, de Websecurity

  6. Web Server Security Test de Hig-Tech Bridge or HT Bridge

  7. Acunetix Online, de Acunetix

  8. Scan, de Qualys

  9. Hackmetrix

Safe Browsing Site Status

Tal como vimos con Redleg AW-Snap, éste es la base desde la cual se provee el servicio de las APIs, en consecuencia, el resultado es idénticamente nulo:

Web Inspector

Al oir la marca Comodo, lo primero que viene a mi mente son los certificados SSL, y en base a esa reputación, sorprende que su scanner nada detecte:

Website Malware Scanning

Notificación de update para versión de WordPress, y ausencia en alertas de seguridad:

Rescan

Para mi sorpresa, informa que está en la base de datos de BitDefender, así que deducimos que se alimenta de la API de VirusTotal, sin detectar amenazas o vulnerabilidades:

Secapps

Pese a que usan OWASP Top 10 como estándard, se repite la tendencia por detectar updates de WordPress:

Web Server Security Test

De igual manera que con varios de los scanners ya probados, esta herramienta online está limitada al footpring:

Acunetix Online

A simple vista es un scanner de vulnerabilidades web que promete, pero requiere de muchas horas (días) de scaneo y configuraciones supeditadas al factor técnico de network scan en su plataforma; tu paciencia dará el juego por perdido, y con una probabilidad del 99% buscarás otro scanner, sólo por el factor tiempo:

Scan

Con gran rapidez de scaneo, este servicio online logra competir en las grandes ligas, pero pierde el juego al enumerar una gran cantidad de falsos positivos y vulnerabilidades en WordPress que no son identificadas con precisión y no se pueden comprobar y asociar empíricamente a plugins, themes, web services en WordPress or web legacy applications:

Hackmetrix

Rapidez, precisión, tecnicismo, adaptabilidad y estándard OWASP Top 10, definen al scanner de seguridad web que sin duda alguna se corona como rey. Gracias a su detallismo en la identificación de vulnerabilidades, es posible saber con certeza cuántos y cuáles plugins instalados en WordPress incurren en fallas de seguridad conocidas, entregando información fehaciente y real:

Hackmetrix, incluso es capaz de analizar la seguridad del ISP o el proveedor de alojamiento web:

WordPress es el CMS por esencia: gobiernos, empresas, universidades, organizaciones políticas y sin fines de lucro basan su tecnología web en este gestor de contenidos. Según la empresa Buith With, a la fecha de publicación de este artículo (Mayo de 2018), hay cerca de 20 millones de sitios web usando WordPress que fueron escaneados por su sistema de detección y reconocimiento, volúmen que supera el Top 10 Million que la compañía Q Success utiliza como base estadística en W3 Techs, pero la cifra es mucho mayor, ya que se asevera que más de 60 millones de personas han usado el CMS, y que éste representa el 30% de la Internet global. Esta marcada predilección por WordPress la explica su core intrínsecamente versátil, multiuso y escalable, ya que es posible crear desde un blog simple a cosas tan útiles como una web con carro de compra y pasarela de pago bancaria; WordPress entrega facilidad para crear foros, plataformas e-learning, e innumerables categorías de sitios web.

¿Cuál es la mejor forma de garantizar que todas las características de WordPress se usen con plenitud y grandeza, asegurando al mismo tiempo la continuidad de tu negocio? Hackmetrix es la respuesta.

Qué es y Cómo Funciona HackedAlert.com

Varias personas me han preguntado acerca de qué es y cómo funciona o funcionará HackedAlert.com, así que en vista del interés, trataré de explicarlo en detalle.

No obstante, debo aclarar en primer lugar, que HackedAlert.com es un proyecto de growth hacking, y lo es taxativamente, por lo tanto, si fracasa como idea comercial pese a sus aspectos non profit, lo cerraré y seguiré con otras ideas, ya que de eso se trata: idear, experimentar, y dar vuelta la página en caso de no llegar a buen puerto.

La semilla de HackedAlert.com

El alma de HackedAlert.com se viene gestando desde hace muchos años, en los cuales tenía casi nulos conocimientos de programación o skills más acabados sobre seguridad informática (después de salir de la enseñanza media). Con el paso del tiempo, mientras me introducía en el mundo blackhat, uno de los tantos sitios web que siempre llamaron mi atención fue Zone-h.org, así que me atrevo a decir que es una las primera influencias.

Muchos años después, cuando ya finalmente dejé todo lo relacionado al mundo blackhat (2014), el concepto de lo que quería hacer fue tomando forma. Lo conversé incluso con varias personas, pero ninguna de ellas sintió el proyecto en su corazón como para ayudarme a concretarlo o formar parte del proyecto en ese entonces, cuando la idea era un cúmulo de hipótesis técnicas acerca de cómo construir o programar un script que buscara vulnerabilidades informáticas, las verificara, las almacenara, y posteriormente contactar a los afectados para “ofrecer servicios de ethical hacking”.

Es de marras que a nadie le gusta que un desconocido aparezca hablando acerca de tus defectos, y más encima hable de cobrar por corregirlos; creo firmemente en lo que varias personas me dijeron, en diferentes situaciones y contextos, a modo de consejo: “(…) tenemos comprobado que así no es posible hacer negocios (…)”.

Ya había comprado en 2015 el dominio alertaweb.cl (anteriormente usado por VTR y actualmente disponible en caso de que alguien quiera hacer linkbuilding redireccionando el dominio a otro o creando un nicho de marketing para seguridad informática) e incluso me había contactado con varias personas importantes del mundo de la seguridad para contarles acerca del proyecto “Alerta Web” así que dejé de pagarlo y me olvidé por un tiempo, ya que la idea no tenía pies ni cabeza, como dicen por ahí.

Y así pasaron 2 años, en los que me dediqué casi 100% al growth hacking, y la alta carga de trabajo no me dejaba avanzar. Esto dió espacio para repensar las cosas, en cómo materializaría todo, porque el tiempo se hacía escaso y ni siquiera había programado realmente un script que hiciera el trabajo tal y como yo lo quería.

Manos a la obra

En 2016, cuando ya finalmente tenía frente a mí un script que automatizaba el proceso de búsqueda y almacenamiento de contenidos web puse manos a la obra; no verificaba las fallas, pero era un buen comienzo. Primero, debía verificar un nombre de proyecto que estuviera disponible como dominio y usuario en redes sociales, con el objetivo de crear algo uniforme. Para este fin recomiendo utilizar la herramienta Namecheck https://namechk.com/ super útil cuando se trata de una estrategia que requiere de rapidez y limpieza a la hora de situarse en el mercado de Internet.

Luché durante varias semanas contra la compra y reventa desmedida de dominios premium, hasta que encontré el nombre ideal: “HackedAlert.com”; pero, lamentablemente, Facebook no permite registrar el usuario @HackedAlert y, pese a ello, decidí continuar.

Para el usuario de Twitter utilicé una cuenta que ya había creado anteriormente (la cual ganó más de 1,000 followers por haberla creado en el momento correcto) para experimentar con la suplantación del grupo Guardians of Peace (GOP), y así fue como logré que Kevin Mitnick sea, hasta el momento, uno de los followers estrella de @HackedAlert en Twitter, una vez que cambié el nombre de usuario. Mucha gente que habla de growth hacking olvida utilizar la creatividad, por más sencilla que sea…

El Script PHP Multiuso (sí, PHP)

Y así, sin logo ni consigna, me aventuré a seguir mejorando el script. Estaba seguro de que debía funcionar dentro del sitio web y almacenar todo en la base de datos, pero tratarían de hackear la web así que mejor procesaba todo con alimentación desde archivos XML… No, el script no debía estar alojado en la web bajo ninguna circunstancia, para evitar hackeos. Además, como se trata de un proyecto comercial, no me conviene publicar ni exponer el código fuente, es como si Telepizza publicara la receta de su masa.

Por otro lado, percaté que tenía frente a mí un script que podría utilizar para diferentes objetivos: SEO, Google AdWords, etc. Pensé: “(…) Si no funciona HackedAlert, podré materializar otras ideas (…)“. Incluso, personas ajenas a la seguridad informática mostraron interés en el script, porque podría emular ideas comerciales como MOZ y otros.

En la práctica, el script trabaja con las búsquedas de Google, Bing y Yahoo! y, en el caso de Google, incluso, logra saltar el reCaptcha de Google al realizar busquedas avanzadas de manera reiterativa, porque procesa, en una sola petición o consulta, más de 500 resultados por vez. Estaba feliz. Muy feliz. Extremadamente feliz, porque procesar las búsquedas de Google de manera automatizada para el fin que quisiera teniendo como límite sólo mi imaginación no es reinventar la rueda, pero sí alcanzar de alguna forma a otras empresas que ya lo habían hecho de manera un poco más eficiente.

Bug Bounty Program, 0 Days y otras yerbas

En medio de todo eso, dejé que el proyecto tomara raíces para crecer y madurar (cómo presentarlo, qué mostrar concretamente en el sitio, etc.), y de manera inesperada, comenzaron a llegar preguntas al respecto: “Joshua, ¿cuándo publicarás HackedAlert.com?”, “¿Y qué pasó con HackedAlert.com?”, “¿Cómo funcionará?”, “¿Puedo verlo?”. Pasó de no tener pies ni cabeza, a generar interés.

En este mismo contexto, me debatía en ideas relacionadas a la venta de 0 days, claramente no son lo mismo que las vulnerabilidades informáticas en aplicaciones web, hasta que me topé con el sitio https://www.openbugbounty.org/, en el cual se recomendaban recomenpensas a quienes notificaban fallas de tipo XSS y, motivado por el desafío intelectual de un colega del rubro que me hizo en redes sociales acerca de mi actuar en los aspectos de seguridad, decidí adentrarme y probar con las plataformas de Bug Bounty Program.

De esta manera, saqué de mi baúl algunos problemas de seguridad con la tarjeta Presto de Líder que tenía desde hace mucho tiempo, y los reporté a través de Bugcrowd, y fui recompensado monetariamente por Walmart tras reportar y certificar técnicamente fallas en el sistema de pagos online con XSS, inyección de HTML, fuzzing de tarjetas de crédito, y reenvío de comprobantes de pago por email.

Así mismo, ya conocía a las empresas que comercializaban 0 Days en software y otros aspectos, así que me cuestioné todo, si ellos pueden vender y comprar, y yo mismo había logrado vender las fallas de Walmart a través de Bugcrowd bajo la figura de un programa de Bug Bounty, ¿por qué no puedo hacerlo yo, ya que no existen programas de recompensa a nivel gubernamental y privado en Latam?

Otros proyectos de comercialización de vulnerabilidades informáticas que puedo catalogar como influencias,

  • https://www.zerodium.com/
  • https://0day.today/
  • http://www.zerodayinitiative.com/

Gobiernos (Estados), Empresas, y Non Profit

En toda la información que he visto procesada, identifiqué 3 categorías: Gobiernos, Empresas, y organizaciones que no son monetizables. De esta manera, en HackedAlert.com se pondrán a la venta las vulnerabilidades en aplicaciones web de la mayoría de los Gobiernos o Estados de Latam, relegando a las empresas para contacto privado en esta primera etapa “beta”, mientras que todas las organizaciones consideradas como non profit, recibirán apoyo y soporte sin costo para sobrellevar los problemas de seguridad que tengan.

En cuanto lo considere necesario, también se abrirá la venta de vulnerabilidades del sector privado.

Actualización Julio 2018: la base de datos de #HackedAlert no está a la venta, pero sí es posible reclamar información en formato de informe y otros similares.

Pastelero a tus pasteles

No serán publicados los nombres de los ministerios y tampoco el detalle de las fallas; se dará un tiempo razonable de 30 días a contar de la publicación del sitio y/o la notificación formal que será enviada vía email para que cada Gobierno reclame la información correspondiente a su país, y después de eso, la venta será totalmente abierta, es decir, podrán ser adquiridas por cualquier persona o ente.

Actualización Julio 2018: progresivamente serán notificados todos los países que estén listados en la base de datos de #HackedAlert por medio de sus CERT, CSIRT o departamentos gubernamentales correspondientes, en el caso de los organismos estatales; por otro lado, la comunicación con entidades privadas se desarrollará dentro del curso del proyecto.

Reclamación y venta de la manera más fácil

Olvídense de registro de usuarios y uso de contraseña, quiero entregar el mayor nivel de seguridad y confianza a quienes realicen el proceso de reclamación y/o compra. Sólo será posible llevar a cabo esto a través de email cifrado con cuenta free de Protonmail.com y de cuentas de email que usen los MX de este mismo proveedor.

Actualización Julio 2018: de momento, al contrario de lo descrito arriba, sólo es posible acceder al sitio web con usuario y contraseña, con el objetivo de resguardar la información frágil. La información de cada activo digital será entregada sólo a las empresas que reclamen los datos y que estén directamente relacionadas con el asset.

Formatos de entrega

Tendremos dos formatos de entrega de información para el proceso de reclamación y compra: informes de estado e informes de auditoría; el primero, corresponde a todo lo que ha sido vulnerado y que no está listado en sitios como Zone-h.org, y el segundo, a la comprobación de la brecha de seguridad y entrega de información.

How much?

El avalúo de cada cosa será realizado acorde al mercado, es decir, en base a la comercialización que se hace de todo dentro del mundo de los Bug Bounty Program, por lo tanto, no habrá especulación.

Full disclosure e Inbound Marketing

Con el objetivo de captar tráfico y ayudar a la comunidad en general a obtener libre conocimiento acerca de problemas de seguridad públicos, se hará uso del full disclosure como vía.

Es necesario que el mundo conozca las fallas informáticas que aquejan a empresas, gobiernos y otras organizaciones, sin necesidad de realizar una POC, porque muchas de ellas son públicas pero no conocidas, porque nadie las destaca.

Así mismo, se publicarán de manera gradual y constante, los hackeos a sitios web que tienen relación con el aspecto non profit de HackedAlert.com para ayudar a esas organizaciones a conocer sus problemas, corregirlos a la brevedad y hacer uso del soporte sin costo que prestaremos como ayuda para ese mismo fin.

Hall of Fame & Venta de Brechas de Seguridad

Quiero contribuir a la comunidad de la manera más correcta posible, así que quienes encuentren vulnerabilidades informáticas en HackedAlert.com serán publicados como ethical hackers recomendados.

Además, quienes quieran comercializar vulnerabilidades informáticas web que no estén listadas en la base de datos de HackedAlert.com y comprueben que no hayan hecho mal uso, tendrán las puertas abiertas del proyecto para monetizar. Actualización Julio 2018: por el momento, no aceptamos información de terceros para el proyecto.

Por otro lado, tengo pensado crear un programa de recompensas propio de HackedAlert.com, pero sólo se podrá materializar si el proyecto en sí se monetiza, obvio.

Es de amplio conocimiento que en Latam no existe una cultura de seguridad real por parte de los gobiernos y el sector privado: cuando alguien encuentra un problema de seguridad y el profesional notifica el problema, no es tomado en cuenta, la fallas no son corregidas, y un extenso etcétera en donde ni siquiera las empresas o representantes de las instituciones dan las gracias por el favor, y en el peor de los casos, son llevados ante la ley, tal como pasó con Gino Rojas Tilleman y Chilecompra. Pónganse la mano en el corazón: ¡quien les notifica un problema de seguridad está haciendo el trabajo por ustedes!

Cuenta regresiva

Por todo lo anterior, realicé un prelanzamiento de HackedAlert.com en Mayo de 2017, y una presentación del proyecto en Agosto de 2017.

Ahora, todo se vuelve más inmediato, y por esta razón será lanzado dentro de Enero 2018. El día y la hora no están definidos, pero será pronto, muy pronto.

Para terminar, quiero agradecer de todo corazón a quienes me apoyaron revisando el código fuente del script, a las cientos de personas que se registraron en el formulario de aviso para el lanzamiento, a quienes creyeron en la idea y me apoyaron de buena fé; gracias también a quienes se empeñaron en chaquetear, porque como pueden ver, acá estoy aún. Soy incansable.

¡Feliz 2018 a tod@s!

 

 

 

 

SEO 2018 en Chile

¿Estás buscando los factores SEO para 2018? Revisa esta lista de factores SEO que se implementarán dentro de poco.

AMP
Esta información te ayudará a implementar tu SEO para 2018

Cómo elegir Hosting para SEO, PBN o Nichos Comerciales

Éste es uno de los primeros artículos que comenzaré a publicar en base a los pasos comerciales que mi vida ha comenzado a dar. De un tiempo a esta parte, tanto el marketing digital que realizaba ha evolucionado 100% al growth hacking y, además, es hora de devolver al mundo lo que he aprendido, al mismo tiempo que marco el sendero para continuar de aquí al infinito…

En fin, a la hora de realizar labores de growth hacking, es importante crear estrategias de crecimiento en base a recursos y canales de baja inversión pero… ¡Con un alto retorno! Uno de ellos es el SEO. Pero cuando hablo de SEO olvídense de las tonteras demodé que utilizan falsos gurús y consultores SEO de poca monta: ¡EL CONTENIDO NO ES EL REY!

Así, entonces, uno de las tantas estrategias SEO eficaces para captar tráfico y generar conversiones en el menor tiempo posible, es la generación de nichos en Internet a modo de PBN, pero sin la compra de dominios expirados. Sí, olvídense de la compra de dominios expirados, porque necesitamos posicionar diversos dominios, captar tráfico y generar conversiones de manera “orgánica”, no en base a PR y linkbuilding. Éste es el verdadero SEO modo vikingo, ese que genera ventas sin usar backlinks. Me cago en los backlinks. Hago dinero con SEO sin los putos backlinks.

Sin embargo, a la hora de desarrollar este tipo de estrategias que rayan en el SEO blackhat (por favor, si lo haces, asesórate por alguien con skills avanzados, no me hago responsable por penalizaciones en Google o malos resultados), nos topamos con problemas relacionados al hosting: tus nichos no deben estar alojados en el mismo servidor y evitar el uso de la misma dirección IP, aunque éstas últimas sean diferentes pero correlativas, no sirven. Por lo tanto, ¿cómo puedo identificar al proveedor de hosting correcto? Veamos.

Proveedores de Hosting para Nichos & SEO

En el caso de mi tierra natal (Chile), existe una amplia variedad de proveedores de hosting que en realidad son revendedores de hosting de otras compañías. Al buscar la palabra “hosting” en Google.cl, al 31 del 5 de 2017, Google ofrece los siguientes resultados por categoría,

Posicionamiento Orgánico SEO

  1. bluehosting.cl
  2. hosting.cl
  3. mejorhosting.cl
  4. inc.cl
  5. hostingnet.cl
  6. hostname.cl
  7. solucionhost.cl
  8. unhosting.cl
  9. benzahosting.cl
  10. hostingplus.cl

Posicionamiento Orgánico en Google Maps

  1. hostname.cl
  2. hosting.cl
  3. hostingnet.cl

Anuncios de Pago con Google Adwords

  1. cpanelhost.cl
  2. 10mejoreshosting.cl
  3. rackeo.cl
  4. benzahosting.cl

La prueba de fuego, ¿quiénes son realmente? Elige bien tu hosting para Nichos y SEO

Bluehosting.cl

  1. Dominio: Bluehosting.cl
  2. NIC: BlueHosting Ltda. Chan Chun Feng Diaz
  3. DNS: fortdns.com
  4. IP: 186.64.112.82
  5. Proveedor: Zam Ltda.
  6. Recomendación: Búsquenlo en Reclamos.cl o en Internet, es horrible, no hagan tal de contratar hosting allí.

Hosting.cl

  1. Dominio: hosting.cl
  2. NIC: cristian casamayor
  3. DNS: hosting.cl
  4. IP: 190.96.85.224
  5. Proveedor: GTD Internet Manquehue S.A
  6. Recomendación: Excelente perfil. Recomendado.

Mejorhosting.cl

  1. Dominio: mejorhosting.cl
  2. NIC: Mejor Hosting Seminario 688, Ñuñoa, Santiago, 7770266, Chile +56.28401940
  3. DNS: supdns.net
  4. IP: 139.162.226.200
  5. Proveedor: Linode
  6. Recomendación: Tras buscar en Internet, tiene lazos con Hostname.cl, por lo que es altamente probable que se trate de un nicho de Internet de esa comapañía. Prueba de ello es que en el registro de NIC Chile figura el mismo número de teléfono que la empresa inc.cl, de la cual podemos ver sus datos más abajo, empresa ligada 100% a Hostname Ltda.

Inc.cl

  1. Dominio: Inc.cl
  2. NIC: INC Internet Limitada, Seminario 688, Ñuñoa, Santiago, 7770266, Chile +56.28401940
  3. DNS: inc.cl
  4. IP: 190.110.123.64
  5. Proveedor: Servicios Informáticos Hostname Ltda
  6. Recomendación: Si no es la misma empresa que Mejorhosting, se trata de un revendedor. Ésto queda al descubierto al ver cómo las empresas de hosting que ocupan los dos primeros lugares del ranking en Mejorhosting.cl, son Inc.cl y Hostname.cl

Hostingnet.cl

  1. Dominio: hostingnet.cl
  2. NIC: HOSTINGNET E.I.R.L.
  3. DNS: hnc.cl
  4. IP: 138.117.149.15
  5. Proveedor: Soc. Comercial Wirenet Chile Ltda.
    Recomendación: Al parecer, se trata de un revendedor de la empresa Wirenet Chile, por lo tanto, recomiendo contratar directamente con esta empresa, y no con Hostingnet.cl

Hostname.cl

  1. Dominio: hostname.cl
  2. NIC: SERVICIOS INFORMATICOS HOSTNAME LIMITADA
  3. DNS: hostname.cl
  4. IP: 190.110.123.69
  5. Proveedor: Servicios Informáticos Hostname Ltda
  6. Recomendación: Tal como pudimos ver gracias a los datos de Mejorhosting.cl e Inc.cl, la compañía detrás de aquellos sitios web es Hostname Ltda. La recomendación es contratar directamente con ellos.

Solucionhost.cl

  1. Dominio: solucionhost.cl
  2. NIC: SOCIEDAD COMERCIAL ZAM LIMITADA Chan Chun Feng Diaz
  3. DNS: fortdns.com
  4. IP: 186.64.112.81
  5. Proveedor: Zam Ltda.
  6. Recomendación: Se trata, nuevamente, de Zam Ltda, más conocido como Bluehosting (Bluehosting.cl). Búsquenlo en Reclamos.cl o en Internet, es horrible, no hagan tal de contratar hosting allí.

Unhosting.cl

  1. Dominio: unhosting.cl
  2. NIC: Pablo Ignacio Vuscovich Sánchez
  3. DNS: hnc.cl
  4. IP: 138.117.149.15
  5. Proveedor: Soc. Comercial Wirenet Chile Ltda.
  6. Recomendación: Sí, como pueden ver, Unhosting.cl utiliza los mismos DNS y dirección IP que Hostingnet.cl y tienen en común el mismo proveedor: Soc. Comercial Wirenet Chile Ltda. Saque sus propias conclusiones.

Benzahosting.cl

  1. Dominio: benzahosting.cl
  2. NIC: SERVICIOS DE DATACENTER DATANETWORKS LIMITADA
  3. DNS: benzahosting.cl
  4. IP: 131.72.236.5
  5. Proveedor: Gonzalez Ulloa Juan Carlos
  6. Recomendación: Aparentemente no es un revendedor, aunque me quedan dudas. En fin, contrate acá.

Hostingplus.cl

  1. Dominio: hostingplus.cl
  2. NIC: Carlos Fernando Caro Rodriguez
  3. DNS: hostingplus.cl
  4. IP: 190.110.122.134
  5. Proveedor: Servicios Informáticos Hostname Ltda
    Recomendación: Otro nicho o revendedor de la compañía Hostname Ltda. La recomendación es ir directamente con el proveedor de origen.

Cpanelhost.cl

  1. Dominio: cpanelhost.cl
  2. NIC: MKTWEB SERVICIOS INFORMATICOS SPA
  3. DNS: cpanelhost.cl
  4. IP: 190.107.177.237
  5. Proveedor: Gtd Internet S.A.
  6. Recomendación: No se dejen engañar, existen muchas formas de enmascarar técnica y comercialmente hablando, el verdadero proveedor de hosting de una empresa. De esta manera, revisando los registros y configuraciones de Cpanelhost.cl, podemos ver cómo varios nombres de servidor (por ejemplo, del srv1.cpanelhost.cl al srv19.cpanelhost.cl, respectivamente) muestran a Sociedad Comercial Wirenet Chile Ltda como proveedor. Entonces, Cpanelhost.cl es un revendedor. Se recomienda contratar directamente con Wirenet Chile.

10mejoreshosting.cl

  1. Dominio: 10mejoreshosting.cl
  2. NIC:Bárbara Bobadilla y Chan Chun Feng Diaz
  3. DNS: fortdns.com
  4. IP: 186.64.112.93
  5. Proveedor: Zam Ltda.
  6. Recomendación: Aquí advertimos a Bluehosting.cl, pero esta vez publicando anuncios con Google AdWords. Ya lo dije más arriba, no hagan tal de botar su dinero a la basura contratando hosting con esta empresa.

Rackeo.cl

  1. Dominio: rackeo.cl
  2. NIC: Rackeo SpA
  3. DNS: fortdns.com
  4. IP: 186.64.112.84
  5. Proveedor: Zam Ltda.
  6. Recomendación: Para mi sorpresa, no sólo un anuncio de Google AdWords de la empresa Bluehosting.cl, sino que dos. ¡No contraten hosting en Rackeo.cl!

Proveedores Confiables en Chile de Hosting para SEO

Ahora que ya tenemos los datos reales de quiénes venden hosting y revenden hosting en Chile a través de Google, tanto por SEO, Google Maps (SEO también) y Google Adwors, con una de las keywords más competitivas del mercado en Internet (“hosting”), podemos listar a los proveedores en los que eventualmente podríamos depositar nuestra confianza y dinero para una campaña SEO modo vikingo, en la cual nuestros dominios o nichos, no compartan las mismas cadenas de direcciones IP,

  1. Hosting.cl
  2. Hostname.cl
  3. Wirenetchile.com (no está en la lista de sitios web posicionados en Google en la primera página por la keyword “hosting”, pero es uno de los principales proveedores de los revendedores de hosting en Chile)
  4. Benzahosting.cl

Si bien es cierto no puedo recomendar fielmente contratar hosting en estos proveedores porque siempre las empresas tienen reclamos y aristas técnicas o comerciales relacionadas a sus servicios, redujimos 14 “empresas”, a sólo 4, excluyendo a revendedores y compañías de pésima reputación.

Ahora ya estás listo para elegir el hosting de tu empresa, o el hosting para tu campaña SEO basada en nichos. Asegúrate antes de contratar, que tengan Cpanel y la posibilidad de usar certificados SSL, o aspectos como qué porcentaje de alojamiento en sus servidores es de hosting compartido.

Es de vital importancia el hosting para campañas SEO, ya que los motores de búsqueda como Google, identifican fácilmente si tu sitios o sitios están alojados en los mismos servidores y utilizando las mismas cadenas de IP, catalogando su nicho de sitios SEO como una granja de enlaces. Capisci?

3 Horas de Ataque desde E Sign Chile o E Sign Latam

Mientras realizaba la implementación de seguimiento de usuarios para el proyecto de un cliente X, me fui a revisar el registro de las visitas a mi blog y, en vez de sentir sorpresa o enojo con lo que vi, me reí.

¿Qué motivos tiene una conocida empresa de seguridad informática para visitar mi blog?

En medio de los cientos de registros de direcciones IP, nombres de host, y peticiones GET (y otros detalles, por supuesto), entre los cuales figuran visitas desde diversas redes del Gobierno de Chile y sus ministerios, bancos, conexiones VPN y demás, el dia 9 de Mayo de 2017, se registró una visita desde la siguiente dirección IP, a eso de las 14:46 PM:

  • Dirección IP 200.111.181.67 asignada al nombre de host salida.e-sign.cl (probablemente “salida” a Internet desde la red corporativa de la empresa E Sign Chile)

E Sign Chile e-sign.cl o E Sign Latam esign-la.com

Esta dirección IP es utilizada por la empresa E Sign Chile o E Sign Latam, la cual es conocida, entre otras cosas, por proveer certificados digitales para facturación electrónica en el Servicio de Impuestos Internos (SII), etc.

Intento de SQL Injection desde E Sign Chile

No sé si fue algo realizado por la empresa o por alguien sin autorización pero, según constanta en los registros, a los pocos minutos después, un ataque automatizado de inyección SQL comenzó a realizarse ejecutando diversos parámetros de inyección por método GET.

Pregunta: ¿realmente pensaron que mi blog estaría publicado, tal como y como es (con defectos y virtudes), con una vulnerabilidad de SQL Injection o que un intento de hackeo no sería registrado? Craso error.

3 Horas de Pentesting no Autorizado o Intento de Hackeo desde la Red Corporativa de E Sign Chile o E Sign Latam a mi Blog

Entonces, curiosamente, usando la misma dirección IP durante más de 3 horas (200.111.181.67), fue lanzado un ataque (infructuosamente imbécil e inútil) automatizado que ejecutó más de 1,000 peticiones a las URLs del blog, de este tipo,

  • 09 May 2017
  • 17:14:37
  • 200.111.181.67
  • 95.141.32.146
  • attachment_id/=-1%2f**%2fOR%2f**%2f1%3d1) (…)

Por razones obvias de espacio, no pondré acá más de 1,000 peticiones a mi blog, pero lo que sí llama mi atención, es el nivel de imbecilidad técnica para realizar un intento de ataque como este, ya que pese a que usaron por más de 3 horas la misma dirección IP, no fueron capaces de configurar bien los proxies que se suponían enmascararían la red desde la cual se estama automatizando este proceso de ataque, dejando así un registro de los siguientes proxies,

  • ns390656.ip-188-165-248.eu
  • 95.141.32.146
  • chicago230.sitevalley.com
  • ks4002936.ip-142-4-208.net

¿En serio? ¿Una empresa de seguridad informática que cuando realiza un ataque informático ilegal, no sabe configurar bien un grupo de proxies?

No estoy seguro de qué tipo de inyección SQL trataron de realizar, pero se asemeja, de alguna forma, al CVE-2011-0701 (año 2011). ¿En serio creyeron que mi blog sería vulnerable a un CVE publicado hace más de 7 años?

Mala Reputación de E Sign Chile

Me fui a buscar el nombre de E Sign Chile en Reclamos.cl y, al parecer, tienen cerca de 2,000 reclamos acumulativos desde el año 2013.

Ahora que lo pienso bien, fue una buena elección no comprar el certificado digital para mi autenticación en el Servicio de Impuestos Internos (facturación de mi micro empresa).

Denuncia de E Sign Chile a la Brigada del Cibercimen de la Policía de Investigaciones PDI

Si algo he aprendido, es que la Brigada del Cibercrimen de la PDI, casi no se mueve si no es bajo la orden de un tribunal y, si hago un mea culpa, no soy la persona más indicada para solicitar su ayuda a través de una denuncia, después de haber bloqueado por allá en los años 2013 o 2014, las cédulas de identidad y los permisos de conducir de Jaime Jara, Andrés Godoy, y un miembro de la Brigada del Cibercrimen de Valparaíso, del cual ya no recuerdo su nombre.

Ganarse la animadversión de los ex “cabecillas” de la Brigada del Cibercrimen de Santiago, no es chiste. Pero esa ya es otra historia, que alguna vez contaré…

Lo que sí puedo contar acerca de esto, es que los “grupos” Anonymous Chile y ChileanH, no habrían podido bloquear la cédula de identidad de Nelly Diaz y otros personajes, si no fuera por mí (me preguntaron hace años atrás cómo lo había hecho, y le expliqué a uno de ellos).

E Sign Chile Vulnerable a Ataques BEAST

Si bien es cierto los ataques BEAST no son considerados alarmantes en sumo grado, es una vulnerabilidad de relacionada al uso de los certificados SSL que, si realiza de buena forma, permite por ejemplo, capturar datos en texto plano.

¿Cómo es que, de manera ridícula, una empresa que comercializa certificados digitales de seguridad, sea vulnerable a un ataque basado en su propio certificado digital SSL?

Contradictoriamente, E Sign Chile sí es vulnerable a un CVE publicado por allá en el año 2011…

Conclusiones Acerca del Ataque Realizado por E Sign Chile o E Sign Latam a mi Blog

No contrataría un servicio de ethical hacking con ellos, porque, ni siquiera son capaces de configurar bien un proxy cuando realizan ataques informáticos ilegales. Con esto, se ganaron una mala fama que nadie les quitará.

Me da absolutamente lo mismo la PDI, no recurriré a ellos porque me parece ridículo, de niñita. Desde niño resuelvo mis problemas solo, así que, ¿hace falta que añada algo más?

Lammers.

Cómo robar contraseñas de las Tarjetas Presto de Líder

Si hay algo que es delicado en seguridad informática, son todos los aspectos relacionados al dinero, como las transancciones, el almacenamiento, resguardo y protección del dinero. En ese sentido, he visto y hecho muchas cosas…

Ahora bien, en Chile se conocen múltiples casos de robo, fraude, estafa, etc. Uno emblemático, es el de Banco BCI (Banco de Crédito e Inversiones), en donde robaron 1.000 millones de pesos de las cuentas corrientes de la SOFOFA, DHL y Salfa, y que se dio a conocer en octubre de 2015.

En términos prácticos, es fácil robar una cuenta bancaria cuando se trata de phishing y hoax, pero, ¿penetrar el sistema informático de un banco? ¿Desarrollar una botnet bancaria? ¿Hacer que los cajeros automáticos expulsen dinero? Hazañas informáticas que sólo unos pocos pueden contar, aunque sean catalogados de delito, son habilidades intelectuales que no todos tienen, aunque obviamente lo ideal es que se usen para el bien.

Pagos Online con Tarjeta Presto Líder de Walmart

Se supone que uno debe confiar en las plataformas que procesan las transacciones online, pero nada es perfecto, siempre cometen errores: ley universal, ningún sistema es seguro, todos son quebrantables de alguna manera. En fin, cosa extraordinaria que me tocó, fue realizar unos pagos en el año 2014, a través de la plataforma online de “Lider, Servicios Financieros”, tal como reza en la página web de la Tarjeta Presto de Líder.

Mientras realizaba una de las transferencias, me percaté de que la confirmación del pago es estática, por lo tanto, podía consultar el comprobante de pago cuantas veces yo quisiera, incluso sin estar logueado en el sistema. Curiosamente, hoy (en 2016, más de dos años después), aún es posible consultar dichas URLs:

Tarjeta Presto de Líder

Reenvío de Comprobantes de Pago con Tarjeta Presto Líder de Walmart

Tal como se aprecia en la imagen, es posible ingresar un email cualquiera y enviar el comprobante de pago a nuestro antojo, cuantas veces queramos, a las direcciones de email que seleccionemos:

Tarjeta Presto de Líder

Tarjeta Presto de Líder

Tarjeta Presto de Líder

Posible Fuzzing de los Comprobantes de Pago de la Tarjeta Presto de Líder

Si pudiéramos entender todos los aspectos que permiten generar el valor final, hipotéticamente, podríamos crear valores masivos para encontrar las URLs de otros comprobantes de pago. Veamos:

URL: https://subdominio.presto.cl/valor/valor/valor.aspx?valor=20140718151106166917

  • Fecha del Pago: 20140718
  • Hora del Pago: 15:11:43 (1511)
  • Monto del Pago: 19026 (no aplica)
  • ID de la Transacción: 166917 (166917)
  • ID aislada: 06 (¿qué significa?)

En fin, no me voy a dar el trabajo de crear un excel con todo esto, tal como en otras investigaciones...

XSS (Cross-site Scripting)

Como si fuera poco, es posible realizar diversos tipos de injección,

Tarjeta Presto de Líder

Inyección de HTML & Robo de Contraseñas de la Tarjeta Presto de Líder

Sin ir más allá, con la ayuda Luis Jara, es posible inyectar HTML; inyección con la que podemos engañar a todos los clientes de la Tarjeta Presto de Líder, para pedirles que nos den sus datos de acceso y, posteriormente, realizar algún intento para “vaciar sus cuentas”, y todo, desde la misma página web oficinal de Presto,

Tarjeta Presto de Líder

Si van a realizar compras en diciembre, tengan mucho cuidado lo hacen a través de la Tarjeta Presto de Líder y su sitio web oficial (https://www.presto.cl), y recuerden que siempre, no porque aparezca Luis Jara en la publicidad, todo es color de rosa.

Ten cuidado, que no te roben tus contraseñas.

Ejército Nacional Bolivariano SQL Injection Full Disclosure

Emails y Contraseñas del Ejército Nacional Bolivariano

Siguiendo la misma línea del artículo acerca de la Fuerza Aérea de Venezuela, el trasfondo de todo es cuestionar la seguridad o las políticas de seguridad que una institución militar tiene. En el caso del Ejército Nacional Bolivariano, el contexto es muy especial, ya que se trata de la fuerza armada de uno de los Gobiernos socialistas más controversiales de la historia.

Por lo general, se muestran al mundo como gobiernos libertarios, humanistas, y militarmente fuertes, intrépidos, tecnológicos y vanguardistas pero, la realidad nos enseña otra cosa. ¿Qué tipo de ciberguerra la República Bolivariana de Venezuela es capaz de responder? ¿Cuál es el nivel de sus equipos humanos para publicar y mantener de manera segura, bajo líneas militares obvias, algo tan sencillo como el sitio web y el servidor oficial de su intitución?

Ejército Nacional Bolivariano

En este caso particular, vemos una gran cantidad de aplicaciones web en desuso:

Ejército Nacional Bolivariano

Ejército Nacional Bolivariano

Ejército Nacional Bolivariano

Ejército Nacional Bolivariano

Ejército Nacional Bolivariano

A esto debemos agregar un listado completo de directorios, el cual permite navegar y revisar en detalle cada uno de los archivos y aplicaciones web para lograr encontrar alguna vulnerabilidad:

Ejército Nacional Bolivariano

SQL Injection Método Post Ejército Nacional Bolivariano

Finalmente, tras revisar algunas de las aplicaciones web en desuso, es posible encontrar variadas formas de inyección SQL. En nuestro caso, realizamos una prueba, la cual nos permite obtener todas las bases de datos del servidor, incluyendo, los usuarios, emails, y contraseñas del Ejército Nacional Bolivariano y el Ministerio de Defensa de Venezuela:

Ejército Nacional Bolivariano

Para mayor detalle, vemos a grosso modo, cómo de manera muy sencilla, es posible penetrar en el servidor web del ejército:

Estas vulnerabilidades fueron reportadas el CERT del Gobierno de Venezuela, así como al Ejército Nacional Bolivariano.