Obtenha informações sobre vulnerabilidades e exploits em seus sistemas através do Pompem

O Pompem é uma ferramenta de busca de informações sobre vulnerabilidades relacionadas a diversos sistemas de gestão de conteúdo e softwares de sistema e rede.
Escrito em Python, o programa foi desenvolvido para listar artigos em sites e informações de bancos de dados sobre falhas de segurança conhecidas.

Com base nestas informações, o administrador pode tomar as “medidas cabíveis” para resolver eventuais problemas relacionados à sua plataforma.

O usuário alvo deste tipo de aplicação é o pentester, ou seja, profissionais ligados à área de segurança, cuja atribuição é determinar a força da segurança de sistemas que estejam sob seus cuidados. Ou seja, trata-se de um perfil específico de usuário avançado.

Neste post, vou abordar a instalação mais simplificada, dentro do sistema operacional Debian 10.

Nesta distribuição do GNU/Linux, o Pompem, consta como um pacote na categoria pentest tools e é mantida pelo Debian Forensics.


apt show pompem

Package: pompem
Version: 0.2.0-3
Priority: optional
Section: utils
Maintainer: Debian Forensics 
Installed-Size: 51,2 kB
Depends: python3, python3-requests
Homepage: https://github.com/rfunix/Pompem
Download-Size: 9.928 B
APT-Sources: http://deb.debian.org/debian testing/main amd64 Packages
Description: Exploit and Vulnerability Finder
 Find exploit with a system of advanced search, designed to automate the search
 for Exploits and Vulnerability in the most important databases facilitating
 the work of pentesters, ethical hackers and forensics expert. Performs searches
 in databases: PacketStorm security, CXSecurity, ZeroDay, Vulners, National
 Vulnerability Database, WPScan Vulnerability Database. This tool is essential
 in the security of networks and systems.
 .
 The search results can be exported to HTML or text format.

Como você pode ver, o Pompem é essencial na busca e detecção de exploits e vulnerabilidades — bem como a obtenção de ajuda para solucionar os problemas — em várias categorias de sistemas.

Para iniciar a instalação, use o apt (de novo…):


sudo apt install pompem

Como usar o Pompem

O Pompem é uma forma rápida de obter informações sobre problemas de segurança, já disponibilizadas em sites especializados.
Se você administra um grande servidor ou um blog WordPress, pode obter rapidamente informações voltadas para a sua situação.
Abra um terminal, para fazer algumas experiências.
Use o recurso search (busca) para encontrar dados sobre uma determinada plataforma (Joomla, no exemplo abaixo):


pompem -s "joomla"


+Results joomla
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
+Date            Description                                     Url                                    
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
+ 2018-06-18 | Joomla Jomres 9.11.2 Cross Site Request Forgery | https://packetstormsecurity.com/files/148223/Joomla-Jomres-9.11.2-Cross-Site-Request-Forgery.html 
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
+ 2018-06-14 | Joomla Ek Rishta 2.10 SQL Injection | https://packetstormsecurity.com/files/148189/Joomla-Ek-Rishta-2.10-SQL-Injection.html 
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

...

+ 2018-04-13 | Joomla Convert Forms 2.0.3 CSV Injection | https://cxsecurity.com/issue/WLB-2018040100 
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
+ 2018-04-09 | Joomla com_foxcontact Shell Upload Vulnerability E | https://cxsecurity.com/issue/WLB-2018040066 
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
+ 2018-06-14 | Joomla Ek Rishta 2.10 SQL Injection | https://packetstormsecurity.com/files/148189/Joomla-Ek-Rishta-2.10-SQL-Injection.html 
+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

Minha lista, acima, está com “algumas” linhas cortadas. Se prepare para obter uma relação bem mais extensa, aí.
Como você pode ver, o resultado compreende 3 colunas:

  1. Data da divulgação da vulnerabilidade
  2. Título do post
  3. URL do site, aonde você pode obter mais informações sobre o problema

Ter conhecimento (leitura) de inglês, neste caso, pode ajudar bastante.

Como o RawTherapee lê imagens RAW

O formato de imagens RAW, embora tenha este mesmo nome para todas as marcas e modelos de câmeras, não segue um padrão aberto, como as imagens PNG.
Cada fabricante faz do seu jeito e é possível encontrar câmeras, da mesma marca, que gravam RAW de maneiras diferentes entre seus modelos.

Ao abrir uma imagem RAW, você irá notar que ela tem aparência diferente e, comumente, piorada — escurecida, menos nítida, apagada, sem contraste, com ruído etc.
A versão em JPEG parece uma obra de arte perto da foto “crua”.
Outros softwares podem exibir, inicialmente, uma imagem crua mais bonita do que o RawTherapee.
Até mesmo a sua câmera, pode exibir, no LCD uma imagem melhor…
De acordo com os desenvolvedores do RawTherapee, há 3 possibilidades aqui:

  1. A sua câmera não lhe mostra os dados RAW reais, quando você está clicando e registrando neste formato.
    O software e a CPU da máquina processam a imagem crua de diversas formas, antes de apresentá-la no visor, junto com o histograma.
    O que é feito durante o processamento das imagens RAW, depende de cada modelo.
    Geralmente, inclui ajustes de tons, saturação, nitidez e redução de ruído.
    Algumas máquinas (principalmente as mais baratas) tendem a aplicar algum tipo de correção à distorção da lente e tentar esconder o efeito da vinheta.
    Outras câmeras, corrigem a exposição (para mais ou para menos, a depender do modelo e da marca).

    O RawTherapee mostra a informação real (nua e crua), contida nos arquivos RAW.
    Isto quer dizer que caberá a você escolher e aplicar os ajustes necessários às suas fotos.
    Eventualmente, o programa poderá aumentar a compensação de exposição, o que irá adicionar ruído automaticamente às suas fotos. Fora deste contexto, o RawTherapee não acrescenta ruído às imagens originais.
    O que acontece é que muitas câmeras aplicam redução de ruído nos arquivos JPEG (à sua revelia), para reduzir o problema, surgido após a compensação de exposição.

  2. Todos os arquivos crus de equipamentos DSLR contém arquivos processados JPEG, incluídos com a mesma resolução com que a imagem foi tirada.
    Por isto é uma perda de tempo e de espaço ajustar a câmera para registrar as fotos nos 2 formatos: JPEG e RAW.
    A depender do modelo de câmera, alguns arquivos RAW contém até 3 arquivos JPEG, diferindo apenas na resolução.
    Por isso, quando você tenta abrir um arquivo RAW, em outro tipo de software de visualização de imagens, ele provavelmente estará a te mostrar um dos JPEG preprocessados e embutidos.
    O seguintes softwares de visualização, muito comuns entre usuários Linux, não têm a capacidade de ler imagens RAW: IrfanView, XnView, Gwenview, Geeqie, Eye of GNOME, F-Spot e gThumb.
    O Shotwell tenderá a exibir o JPEG embutido mas, opcionalmente, pode mostrar e alterar imagens RAW.
    Por fim, a imagem JPEG incluída no arquivo RAW, pode ser diferente da que você obteria se fotografasse apenas em JPEG.
    Faça um teste com a sua câmera para ver se isto ocorre aí.
  3. Dentre os development programs (aplicativos que lêem os dados RAW reais), é comum aplicar algum nível de pré-processamento. O Adobe Lightroom é um exemplo disso.
    Este comportamento pode impossibilitar ao usuário pegar um arquivo totalmente intocado, da câmera.
    O RawTherapee, não “mexe” nas imagens antes de apresentá-las a você.
    Ele é projetado para mostrar a imagem real e crua, deixando para você as decisões artísticas que lhe cabem tomar.
    Se você usar o perfil de pós-processamento “neutro” ou “neutral”, vai poder observar uma imagem sem mosaicos (demoseiced), com o balanco de brancos original da câmera, dentro do espaço de cores de trabalho e sem qualquer outra modificação.

Para prover aos usuários um ponto de partida mais agradável, esteticamente, o programa provê uma coletânea de perfis de pós-processamento, a partir dos quais é possível aplicar uma edição mais avançada.
Nenhum destes perfis padrão, contudo, é concebido para imitar o visual obtido da sua câmera, uma vez que cada equipamento difere do outro (nas suas respostas a cores, nas suas sensibilidades à luz etc.)
Isso também não faria muito sentido, se fosse para, no final, você acabar com uma imagem semelhante a que já obteria se fosse registrar suas fotos em JPEG.

Junte fotos para formar um panorama com o Hugin

O Hugin é um programa que permite juntar fotos tiradas em composição, uma ao lado da outra, para formar uma imagem de panorama.
Neste post, explico como fazer download e instalação do programa para Mac, Windows e Linux.

Essencialmente, o Hugin é um frontend GUI para algumas ferramentas CLI de “panoramização” ou “colagem” de fotos.
Ele junta as imagens tiradas de um mesmo local, sobrepondo suas bordas – aonde encontrar pontos em comum, que possam ser “colados”, para completar uma imagem maior.
Mais do que panoramas, o Hugin pode criar imagens em 360º, como mostra a página do Wikipedia, sobre ele.

Instalação do Hugin

Usuários Windows e Mac, podem fazer o download do pacote de instalação no site oficial: http://hugin.sourceforge.net/download/.

O pessoal do Linux, vai encontrar o pacote de instalação na “lojinha” da sua distro.
Debian Ubuntu Instalar programas

Ao buscar por “hugin”, serão encontradas 3 opções (eu instalei todas):
hugin instalação

Pela ordem em que aparecem, na imagem acima:

  1. Hugin Panorama Creator, é o principal programa, cuja função é “costurar” (to stitch) as fotografias, uma ao lado da outra, para formar a imagem panorâmica.
  2. Hugin Batch Processor, é um utilitário que faz processamento em lote. Útil para realizar grande quantidade de tarefas.
  3. Hugin Calibrate Lens, é outro utilitário que tem a tarefa de ajustar as distorções comuns a qualquer lente de câmera.

Como usar o Hugin

panorama com hugin

A primeira coisa a ser feita é carregar as imagens que irão participar da junção.
hugin selecionar arquivos de imagens

O assistente, permite realizar o trabalho todo em 3 passos.
Eventualmente, você vai precisar arrastar ou mover as imagens para obter um encaixe melhor. Usualmente isto não é necessário.
Durante o processo de colagem, o Hugin faz um bom trabalho e corrige, até mesmo, eventuais distorções das lentes das câmeras.
hugin

Por fim, embora o recurso de panorama esteja presente nos aplicativos de câmera padrão da maioria dos celulares atuais e em algumas câmeras semiprofissionais (bridge cameras), é bom poder contar com o recurso no computador.
Na tela grande do PC, é possível ter mais controle sobre a maneira com que se deseja colar as imagens e o resultado final.
Comparado ao recurso interno de panorama da câmera Fujifilm Finepix SL1000 e do aplicativo de câmera do Google, achei melhores as imagens obtidas a partir do Hugin.
Em parte isto se explica pelo fato de que a capacidade de processamento da CPU do notebook é maior e consegue, entre outras coisas, lidar melhor com a vinheta e a distorção das lentes das câmeras.

Mesmo preferindo usar as soluções embarcadas na própria câmera, tenho que reconhecer quando um software externo pode fazer entregar imagens melhores.

Me conta como você costuma fazer suas colagens e fotos panorâmicas, até agora! 😉

Minha segunda câmera, uma Canon EOS Rebel T6, não dispõe do recurso de panorama embarcado. A falta se explica (acredito) pelo fato de ser um modelo de entrada dentre os equipamentos profissionais da Canon. Ou seja, é um produto voltado a uma clientela que prefere fazer este e outros tipos de tarefas em um PC, onde há mais controle e poder de processamento.

Baixe os perfis de pós-processamento (presets) do Stefan Chirila para RawTherapee

O fotógrafo Stefan Chirila é usuário avançado do programa de manipulação de imagens RawTherapee.
Como muitos outros fotógrafos, ele disponibiliza presets (ou perfis de pós-processamento) em seu site.

Na data deste post, são 5 pacotes com dezenas de perfis em cada um, que podem ser facilmente instalados no seu sistema.
Basicamente, você só precisa baixar os pacotes e “desempacotá-los” no local certo.
Depois de desembalados, você pode brincar à vontade com os arquivos.

Usar presets no RawTherapee é muito fácil e, se tiver alguma dificuldade, sugiro dar uma olhada neste post – onde explico melhor.
Segue uma rápida explicação sobre cada pacote (para ajudar a decidir se vai baixar ou não).

  1. CustomChrome1: Pacote de presets básicos ou essentials.
    Com este pacote, Chirila oferece ajustes básicos, que você pode aplicar sobre imagens JPG e, a partir daí, aprender a fazer seus próprios ajustes.

    Baixe aqui: http://www.stefanchirila.com/customchrome_files/set1/customCHROME_1_JPG_essentials-FEB9-2014.zip.

  2. CustomChrome2: Pacote de presets clássicos.
    De acordo com o Stefan, este pacote é inspirado look and feel das imagens, desde o seu começo até os anos 1990 e 2000.
    O autor adverte que seus perfis não têm o objetivo de mimetizar ou representar com exatidão às épocas, como referência.
    Nada impede que você faça seus próprios ajustes sobre cada perfil e, se quiser, grave por cima ou com outro nome, para usar depois.

    Baixe aqui: http://www.stefanchirila.com/customchrome_files/set2/customCHROME2.zip.

  3. CustomChrome3: Pacote Tribute.
    Como o nome sugere, estes presets visam a homenagear os filmes Fujifilm da série professional 400H.
    O filme foi muito comercializado entre os anos 2002 e 2004 (e ainda pode ser encontrado em sites de vendas norte-americanos).
    Pela sua qualidade, era opção popular entre fotógrafos de casamentos.
    Veja, abaixo o vídeo do canal Rediscover Film, com fotos e análises obtidas a partir deste filme.

    Baixe aqui: http://www.stefanchirila.com/customchrome_files/tribute/tribute400h/Tribute400H.zip.

  4. CustomChrome4: Pacote StefanCHROME.
    Trata-se de uma série com os favoritos do autor.

    Baixe aqui: http://www.stefanchirila.com/customchrome_files/stefanCHROME/1/stefanCHROME-I.zip.

  5. CustomChrome5: Pacote Carpathica.
    Esta coletânea é inspirada na visita do autor à Romênia. “Ela apresenta uma combinação de brilho alegria, mas também alguns looks mais escuros. A Romênia é um lugar muito multifacetado, com uma personalidade difícil de colocar em uma caixa.”

    Baixe aqui: http://www.stefanchirila.com/customchrome_files/Carpathica/Carpathica_Presets-Sept22-2017.zip.

Instruções de instalação e uso

Se você usa Linux (como eu), descompacte os pacotes dentro da pasta ~/.config/RawTherapee/profiles. Veja a imagem abaixo.
Pode ser necessário ativar a visualização de arquivos ocultos (Ctrl + H).
nautilus extrair

Usuários Windows devem extrair o conteúdo dos pacotes dentro do diretório %LOCALAPPDATA%\rawtherapee\4.2

Depois de extrair os pacotes, você pode usá-los a partir do RawTherapee, clicando no menu de perfis de pós-processamento.
rawtherapee abrir presets

Por fim, sugiro que você visite o site do autor, para descobrir mais sobre ele, além de verificar se há novidades:
http://www.stefanchirila.com/.

Como concatenar strings na shell do Linux

Concatenar ou juntar cadeias de caracteres (ou, simplesmente, strings), na shell (ou linha de comando) do Linux é um trabalho fácil e descomplicado.
Apenas fique atento a alguns detalhes… e tudo terminará bem. 😉

O procedimento pode ser muito útil dentro de shell scripts ou para uso em arquivos de configuração do Bash.
Você pode concatenar strings dentro do seu .bashrc, para obter resultados ou “hackear” o seu sistema.

Para sermos objetivos, abra um terminal e vamos definir as seguintes variáveis, como exemplo:


variavel1="elias"
variavel2=".praciano"
variavel3=".com"

A concatenação consiste, de maneira resumida, em juntar os valores das 3 strings, acima. Isto pode ser feito assim:


meusite=$variavel1$variavel2$variavel3
echo $meusite

elias.praciano.com

Note que não precisa usar o símbolo ‘$’ ao definir as variáveis. Mas é obrigatório no momento de se referir e fazer operações com elas.