Muchas gracias, la explicación fue excelente y me fue de gran ayuda a la hora de resolver la maquina Unified en HTB y poder entender como funcionaba esta vulnerabilidad.
Excelentes explicaciones...tengo casi 2 semanas de venir viendo el contenido de este Canal . Profesor Pereira muchas gracias por su tiempo. No se cómo alguien se puede aburrir y solo ver 5 minutos.. ? Este contenido es oro. Saludos desde Costa Rica 🇨🇷
Vine del ruido que generó esta vulnerabilidad y mira el video y el canal que me encuentro. ¡Sigue adelante! Cuentas con un aliado más. ¡No había encontrado una motivación para volver al ruedo en ciberseguridad!
Le diría que ha sido una excelente explicación pero le mentiría. Ha sido una explicación por encima de la excelencia, así que lo dejaré por hyper-excelente. Gracias
felicitaciones Maestro.. he visto varios videos explicativos y este creo que es el mejor. si le sirve este tip: echo | base64 -d y se evita buscar una web.. saludos y gracias.
Me gusta mucho la manera de enseñar de éste docente , usa buenos ejemplos siempre , por si acaso no tuviera cursos en Udemy sobre ethical Hacking , le iría súper bien , saludos desde bolivia
Muy buen video y mas para esa gente, que se creen que poniéndose linux que claro no es tan usado como windows en la sociedad, ya estan a salvo de virus y todo tipo de ataques y vulnerabilidades, te felicito y te mando un saludo desde Barcelona.
@@kcireorenom8430 a lo que me vengo a referir es que la gente que no entiende como tu o yo piensan que si ponen linux o mac estan libres de virus y ya...
Por eso me encanta este canal, por el cuidado al explicar y el tiempo que se toma en los videos sin guardarse nada...de los escaneres para validar si existe la vulnerabilidad cual es el mas completo y confiable? Podrias hacer un paso a paso de como usarlo! Gracias!
MUY BUENA EXPLICACIÓN,!!!!! Agradecido totalmente. Tengo una pregunta... en este caso el ataque fue dentro de la misma red LAN ¿Se podrá aplicar el ataque en distintos segmentos de red?
ver muchos videos y canales realmente son malos soy de pocos recursos es una mescla autodidacta concatenando empírico concatenando intuición su conocer es humano espero hacerme entender BUEN TIEMPO MI LIDER.
que pena que no consiga solucionar el error de mi debian con virtual box, y no pueda seguir la practica en windows,aun asi lo apunte todo paso a paso, gracias profesor
Pues, depende del tipo de proyecto, en muchos casos, basta con que actualices la dependencia en el pom y hacer un mvn update para refrescar los cambios.
Yo tengo una pregunta y es por qué da igual el puerto que se indique en el parámetro -p al ejecutar el exploit? Es decir, ¿cómo sabe la víctima cuando recibe el comando malicioso por parte del atacante que tiene que hacer un 200 ok a dicho puerto?
Porfavor saquenme de una duda ¿eso quiere decir que sería fatal si empiezo a crear una aplicación en Java? ¿Mi aplicación se verá afectada de alguna u otra forma?
Profe, buenas. Si tengo una app con Log4j "1", ¿está en estos momentos vulnerable al exploit o solo aplica para Log4j2? ¡Y muchas gracias por el video! se entiende muy bien.
Profesor ,a la fecha en el video anterior tuvo 11k vistas y 785 likes. En este donde ya expone la practica 5.3k vistas y 384 likes. Me pregunto: Que esperaban los que vieron el primer video sobre la vulnerabilidad ?..Que iban a hacer saltar efectivo de un cajero automatico? jajaj
David . Soy estudiante de ingeniería informática te escribi en el viedo anterior sobre un problema que tengo al utilizar la herramienta de ingeniería social seoolkit . Ya que me estoy vasando en esta herramienta para un proyecto universitario . Pero tengo un problema es en el momento de realizar un ataque es que una ves clono la pagina y copio la Ip de mi PC no cargar en google crome . De hecho abri los puertos de mi ruten el puerto 80 y no carga que estoy haciendo mal.
3 ปีที่แล้ว
Cuando dices que el Apache Tomcat es una versión vulnerable no es correcto ya que Tomcat no utiliza Log4J. Si te fijas en el código de la aplicación vulnerable que utilizas es ella quien en su propio código hace uso del log4j como demostración, pero ni Tomcat ni SpringBoot utilizan esa libreria. De todos modos gracias por el video que es muy educativo.
Me refería a la aplicación que instalé que es vulnerable por diseño para poder mostrar la explotación; y Apache tomcat si puede usar Log4j en vez de usar JULI que viene por defecto; tomcat.apache.org/tomcat-8.0-doc/logging.html; gracias por tu comentario; saludos.
3 ปีที่แล้ว +4
@@DavidPereira Correcto, Tomcat puede utilizar log4j pero no esta configurado así por defecto. Perdona si te he entendido mal pero no queria que se entre en panico con todas las instalaciones de Tomcat que deben estar instaladas. Gracias por tu respuesta.
@ Muchas gracias a ti por mencionarlo, es posible que yo no lo haya explicado con la necesaria diferenciación y se pueda interpretar como tú dices. Voy a tratar de incluir una tarjeta en el video con el texto o ponerlo en el detalle del video; Saludos, y gracias por tu amabilidad.
Très bonne clarification, ça me permet d'avoir une vision différente, merci... humm, avez-vous trouvé des scripts de recherche pour localiser les ( log4j),?.
Yo lo que entendí es la explotación de la vulnerabilidad pero lo que me gustaría es que explicaran el exploit, ¿Cuál es la vulnerabilidad? ¿Qué le pasa a ese servidor para que de repente ejecute comandos de un cliente en su propia maquina ?
Honestamente no veo un aporte de tu autoria en donde tu expliques que es el exploit en realidad, solo copias y pegas las instrucciones del repositorio. Eso cualquiera lo podemos hacer. Batallas con las dimensiones de las ventanas, te fallan comando. Creo que debes poner más calidad en lo que haces y dejar de repetir lo que bien se puede leer.
Muchas gracias, la explicación fue excelente y me fue de gran ayuda a la hora de resolver la maquina Unified en HTB y poder entender como funcionaba esta vulnerabilidad.
Super entendible para alguien que es desarrollador pero no tiene conocimientos profundos en ciberseguridad. Muchas gracias!
Excelentes explicaciones...tengo casi 2 semanas de venir viendo el contenido de este Canal . Profesor Pereira muchas gracias por su tiempo. No se cómo alguien se puede aburrir y solo ver 5 minutos.. ? Este contenido es oro. Saludos desde Costa Rica 🇨🇷
Como siempre info de primera, muchas gracias por compartir. Saludos
Esto lo vi en Una noticia en Google entendio un poco pero gracias a este video este mas
Vine del ruido que generó esta vulnerabilidad y mira el video y el canal que me encuentro. ¡Sigue adelante! Cuentas con un aliado más. ¡No había encontrado una motivación para volver al ruedo en ciberseguridad!
Le diría que ha sido una excelente explicación pero le mentiría. Ha sido una explicación por encima de la excelencia, así que lo dejaré por hyper-excelente. Gracias
Por poco me hacias salirme del video.
@@nirvana427 Menos mal que parece que te gusta investigar por ti mismo y no fiarte del comentario hasta no leerlo todo. Saludos
Muchisimas gracias profe por la explicación! me ayudo mucho
felicitaciones Maestro.. he visto varios videos explicativos y este creo que es el mejor.
si le sirve este tip:
echo | base64 -d
y se evita buscar una web.. saludos y gracias.
Muchas gracias por el fabulo video profe. Sin duda en este video me quito el sombre frente a usted.
David muchas gracias por tu explicación en verdad eres el thanos de la seguridad informática
Man, sos un crack. Una explicación genial y bastante conveniente. Saludos desde Europa!
super buena explicación saludos desde México
Que buena explicación para entender de la vulnerabilidad que se habla por todos lados.
Gracias 😁
Excelente y muchas Gracias David, gracias por compartir tu conocimiento.
Magistral. Muchas gracias por ser tan didáctico.
ni hack5 pudo dar mejor explicacion que este profe tan pro , gracias profe por la explicacion muy buen material!
Me gusta mucho la manera de enseñar de éste docente , usa buenos ejemplos siempre , por si acaso no tuviera cursos en Udemy sobre ethical Hacking , le iría súper bien , saludos desde bolivia
Muchas gracias Andrés; tenemos cursos en nuestra plataforma propia; si estás interesado puedes escribir a info@secpro.co saludos.
No seas *** como que Udemy por eso el tiene su propia plataforma
Primero ve a la playa xddd
Excelente video gracias Maestro saludos desde Cuba
espectacular el video. Muchas gracais
Muy buen video y mas para esa gente, que se creen que poniéndose linux que claro no es tan usado como windows en la sociedad, ya estan a salvo de virus y todo tipo de ataques y vulnerabilidades, te felicito y te mando un saludo desde Barcelona.
Que tiene que ver Linux .. están vulnerando un SERVIDOR TOMCAT que puede ser montado en cualquier sistema operativo con JAVA.
Si es verdad pero para mi en lo personal prefiero linux que la mierda de windos
@@hugogonzalez2608 Si yo tambien
@@kcireorenom8430 a lo que me vengo a referir es que la gente que no entiende como tu o yo piensan que si ponen linux o mac estan libres de virus y ya...
Super. Un fantástico video explicativo de la vulnerabilidad.
muchas gracias por la explicación a detalle, muy claro!
Hola Profe muchisimas gracias por el material esta buenisimo
Buenísimo el video, se agradece siempre la manera de explicar atenta!
Me agrado! ME quedo claro la prueba de vulnerabilidad.
Gracias por la información
Muchas gracias David por tu buen hacer, un saludo.
Gracias Profe, como siempre usted transmitiendo la información de manera clara
Eres un crack maestro ;)
muy buen video! excelente explicación
Interesante contenido y genial explicación. Sinceramente agradecido Maestro Pereira. Muchas gracias de nuevo.
Por eso me encanta este canal, por el cuidado al explicar y el tiempo que se toma en los videos sin guardarse nada...de los escaneres para validar si existe la vulnerabilidad cual es el mas completo y confiable? Podrias hacer un paso a paso de como usarlo! Gracias!
Amo tus vídeos
Muy bien explicado!
Excelente contenido Maestro
Excelente explicación maestro, felicitaciones!!
Excelente !!!
Excelente explicación
Enseñas muy bien gracias 😁
Muchas Gracias por compartir el conocimiento!!
Gracias Amigo
genial video
Interesante contenidos saludos
Master, no conocía su página, super interesante sus opcione, sobre todo la de 150 usd la vdd lo vale :D
MUY BUENA EXPLICACIÓN,!!!!!
Agradecido totalmente. Tengo una pregunta... en este caso el ataque fue dentro de la misma red LAN
¿Se podrá aplicar el ataque en distintos segmentos de red?
hola.
buen contenido..pero este video , viene con lupa de regalo, pues se aprecia muy pequeño..
gracias
Saludos,
Como mitigar este tipo de ataque?
Hola Tengo una pregunta esto seria ssrf (Server-side request forgery)? gracias
Una consulta soy nuevo en esto??
Puedo usar la máquina metasploitable para hacer este ejercicio...
Hola, si, puedes usarla. Saludos.
Muy buen video yo no encontraba documentación nd mas que en ingles
ver muchos videos y canales
realmente son malos
soy de pocos recursos es una mescla autodidacta concatenando empírico concatenando intuición
su conocer es humano espero hacerme entender
BUEN TIEMPO MI LIDER.
Exelente video !
Como actualizo mi servidor a la versión más reciente log4j??. Algún manual paso a paso??. Saludos profe David.
Cómo en pienso en la ciber seguridad
22:17 "mantengase sanos y nunca paren de beber..." felices fiestas!
Jajajajaja!!! Esa frase hubiera estado mejor!!!!
que pena que no consiga solucionar el error de mi debian con virtual box, y no pueda seguir la practica en windows,aun asi lo apunte todo paso a paso, gracias profesor
Que bueno el video
Como actualizo mi servidor a la última versión de log4j??. Algún manual paso a paso??. Saludos profe. David.
Pues, depende del tipo de proyecto, en muchos casos, basta con que actualices la dependencia en el pom y hacer un mvn update para refrescar los cambios.
Yo tengo una pregunta y es por qué da igual el puerto que se indique en el parámetro -p al ejecutar el exploit? Es decir, ¿cómo sabe la víctima cuando recibe el comando malicioso por parte del atacante que tiene que hacer un 200 ok a dicho puerto?
POr que estamos hablando de un sitio web, usando Apache que normalmente escucha por el puerto 80 o el 443. Saludos.
La buena parce!
Porfavor saquenme de una duda ¿eso quiere decir que sería fatal si empiezo a crear una aplicación en Java? ¿Mi aplicación se verá afectada de alguna u otra forma?
Ok pero no veo la relación entre este ataque y las librerías de java log4j
Muy buen video! ¿podrías explicar como conseguir una reverse shell? He probado varias en netcat pasando el comando a Base64 pero funcionan
Profe, buenas. Si tengo una app con Log4j "1", ¿está en estos momentos vulnerable al exploit o solo aplica para Log4j2?
¡Y muchas gracias por el video! se entiende muy bien.
Amigo versiones 1 por lo que lei todas estan vulnerables
Muito bom
de igual en el proceso del los videos no los adelanto ni los corto es mas vivo el proceso completo arigato
Profesor ,a la fecha en el video anterior tuvo 11k vistas y 785 likes.
En este donde ya expone la practica 5.3k vistas y 384 likes.
Me pregunto: Que esperaban los que vieron el primer video sobre la vulnerabilidad ?..Que iban a hacer saltar efectivo de un cajero automatico? jajaj
David . Soy estudiante de ingeniería informática te escribi en el viedo anterior sobre un problema que tengo al utilizar la herramienta de ingeniería social seoolkit . Ya que me estoy vasando en esta herramienta para un proyecto universitario . Pero tengo un problema es en el momento de realizar un ataque es que una ves clono la pagina y copio la Ip de mi PC no cargar en google crome . De hecho abri los puertos de mi ruten el puerto 80 y no carga que estoy haciendo mal.
Cuando dices que el Apache Tomcat es una versión vulnerable no es correcto ya que Tomcat no utiliza Log4J.
Si te fijas en el código de la aplicación vulnerable que utilizas es ella quien en su propio código hace uso del log4j como demostración, pero ni Tomcat ni SpringBoot utilizan esa libreria.
De todos modos gracias por el video que es muy educativo.
Me refería a la aplicación que instalé que es vulnerable por diseño para poder mostrar la explotación; y Apache tomcat si puede usar Log4j en vez de usar JULI que viene por defecto; tomcat.apache.org/tomcat-8.0-doc/logging.html; gracias por tu comentario; saludos.
@@DavidPereira
Correcto, Tomcat puede utilizar log4j pero no esta configurado así por defecto.
Perdona si te he entendido mal pero no queria que se entre en panico con todas las instalaciones de Tomcat que deben estar instaladas.
Gracias por tu respuesta.
@ Muchas gracias a ti por mencionarlo, es posible que yo no lo haya explicado con la necesaria diferenciación y se pueda interpretar como tú dices. Voy a tratar de incluir una tarjeta en el video con el texto o ponerlo en el detalle del video; Saludos, y gracias por tu amabilidad.
Très bonne clarification, ça me permet d'avoir une vision différente, merci... humm, avez-vous trouvé des scripts de recherche pour localiser les ( log4j),?.
Vous pouvez utiliser ces scripts :github.com/anchore/grype oui github.com/anchore/syft
Yo lo que entendí es la explotación de la vulnerabilidad pero lo que me gustaría es que explicaran el exploit, ¿Cuál es la vulnerabilidad? ¿Qué le pasa a ese servidor para que de repente ejecute comandos de un cliente en su propia maquina ?
que permite ejecución de código arbitrario en una consulta
¿porqué permite ejecución de código arbitrario en una consulta?
@@truniolado Esa es la falla según entiendo
Honestamente no veo un aporte de tu autoria en donde tu expliques que es el exploit en realidad, solo copias y pegas las instrucciones del repositorio. Eso cualquiera lo podemos hacer. Batallas con las dimensiones de las ventanas, te fallan comando. Creo que debes poner más calidad en lo que haces y dejar de repetir lo que bien se puede leer.
lol usar base 64 decode online en vez de echo "cadena en base64" | base64 -d ?
sorry men, no presto atencion a aquellos que no usan bash.
Me pareció más entendible hacerlo así en ese momento; hay muchas maneras de obtener un resultado; no todas se entienden con la misma facilidad.
Muy bien explicado, gracias por compartir.
excelente explicación