FOCA Open Source

En el último Security Innovation Day 2017 realizado hace unos pocos días, hemos presentado muchas novedades, nuevas patentes, nuevas herramientas y nuevas alianzas… sin embargo, algo un tanto especial para nosotros finalmente vió la luz, La FOCA Open Source.

Desde Buenos Aires, y de la mano de José Sperk, miembro del equipo del Laboratorio de ElevenPaths, se realizaron tareas de refactoring para modificar el código de La Foca con el objetivo de poder entregar un código más limpio a la comunidad a la hora de liberarlo. Claramente, la evolución de La Foca original, como comenta nuestro Chairman Chema en su blog, ha hecho que la misma se convierta en una verdadera herramienta de pentesting con muchísimas funcionalidades que hemos tenido que optar por clasificar, tanto para dejarlas dentro del Core, como para pasarlas a modalidad plugin, o directamente eliminarlas por ahora. Siendo así, hemos dejado el Core de La Foca centrado en la búsqueda y análisis de metadatos, junto a los procesos de discovery de equipos y servidores a partir de dicho análisis, y a su vez hemos generado los primeros plugins:

Information Gathering, para obtener información extra de los dominios analizados como por ejemplo información de Whois, DNS, etc…
Git Finder, para encontrar repositorios GIT instalados en los dominios analizados.
SVN Finder, para encontrar repositorios SVN instalados en los dominios analizados.
Certificate Transparency Checker, con el fin de chequear los logs en los que están registrados los certificados SCT del dominio analizado.
SQLinjector, para detectar (no explotar) posibles vulnerabilidades de sqlinjection en los dominios analizados.

Todos estos plugins y los que vayamos subiendo, además de estar dentro del repositorio, están accesibles desde el Market que hemos creado para poder encontrarlos y descargarlos con mayor facilidad.

A todo esto, es interesante mencionar que existe un plugin más que lo hemos dejado vinculado al Core, es el plugin de DNS Snooping, y para animaros a crear nuevos plugins hemos subido un código fuente de ejemplo a nuestro repositorio.

Aquellos que han sido seguidores de La Foca, sabrán que la herramienta guardaba el proyecto en un archivo .foca pero ahora no vais a ser capaces de encontrarlo, dado que en vez de trabajar con estos archivos de proyectos, se ha decidido trabajar sobre una base de datos (SQL Express) con el fin de:

Agilizar el manejo de grandes cantidades de archivos.
Mejorar la estabilidad de la herramienta cuando se ejecutan proyectos complejos.
Permitir guardar estados de proyecto, intercambiar entre proyectos seleccionándolos de la DB, y recuperar proyectos que no han sido terminados de ejecutar desde su último estado.
Permitir compartir información de un proyecto entre analistas, mediante la exportación o importación en formato .json sin tener la obligación de guardar el proyecto. De manera que si un pentester observa algo que le llame la atención, puede pasárselo directamente a otro para que lo continúe como un .json.

Otro de los grandes cambios que hemos aprovechado a realizar está relacionado con los buscadores utilizados y la forma de llamarlos. Antes se utilizaba Bing, Google y Exalead que lo reemplazamos por Duck Duck Go, pero además realizábamos la búsqueda por default en el campo search, a no ser que en la configuración se carguen los datos de la API. Ahora es posible cargar tu propia API Key de Shodan a la herramienta y optimizar más aún los resultados obtenidos.

Acabamos de dar un gran paso generando La Foca Open Source, ahora esperamos ver cómo la comunidad la hace crecer aún más en su funcionalidad y cómo se generan nuevos plugins para compartir entre todos los pentesters.

Claudio Caracciolo

Team Leader of the Chief Security Ambassadors and the BS. AS. Research Office at ElevenPaths

@holesec