Muchas gracias, la explicación fue excelente y me fue de gran ayuda a la hora de resolver la maquina Unified en HTB y poder entender como funcionaba esta vulnerabilidad.
Excelentes explicaciones...tengo casi 2 semanas de venir viendo el contenido de este Canal . Profesor Pereira muchas gracias por su tiempo. No se cómo alguien se puede aburrir y solo ver 5 minutos.. ? Este contenido es oro. Saludos desde Costa Rica 🇨🇷
Le diría que ha sido una excelente explicación pero le mentiría. Ha sido una explicación por encima de la excelencia, así que lo dejaré por hyper-excelente. Gracias
felicitaciones Maestro.. he visto varios videos explicativos y este creo que es el mejor. si le sirve este tip: echo | base64 -d y se evita buscar una web.. saludos y gracias.
Me gusta mucho la manera de enseñar de éste docente , usa buenos ejemplos siempre , por si acaso no tuviera cursos en Udemy sobre ethical Hacking , le iría súper bien , saludos desde bolivia
Vine del ruido que generó esta vulnerabilidad y mira el video y el canal que me encuentro. ¡Sigue adelante! Cuentas con un aliado más. ¡No había encontrado una motivación para volver al ruedo en ciberseguridad!
MUY BUENA EXPLICACIÓN,!!!!! Agradecido totalmente. Tengo una pregunta... en este caso el ataque fue dentro de la misma red LAN ¿Se podrá aplicar el ataque en distintos segmentos de red?
Por eso me encanta este canal, por el cuidado al explicar y el tiempo que se toma en los videos sin guardarse nada...de los escaneres para validar si existe la vulnerabilidad cual es el mas completo y confiable? Podrias hacer un paso a paso de como usarlo! Gracias!
Muy buen video y mas para esa gente, que se creen que poniéndose linux que claro no es tan usado como windows en la sociedad, ya estan a salvo de virus y todo tipo de ataques y vulnerabilidades, te felicito y te mando un saludo desde Barcelona.
@@kcireorenom8430 a lo que me vengo a referir es que la gente que no entiende como tu o yo piensan que si ponen linux o mac estan libres de virus y ya...
ver muchos videos y canales realmente son malos soy de pocos recursos es una mescla autodidacta concatenando empírico concatenando intuición su conocer es humano espero hacerme entender BUEN TIEMPO MI LIDER.
Profe, buenas. Si tengo una app con Log4j "1", ¿está en estos momentos vulnerable al exploit o solo aplica para Log4j2? ¡Y muchas gracias por el video! se entiende muy bien.
que pena que no consiga solucionar el error de mi debian con virtual box, y no pueda seguir la practica en windows,aun asi lo apunte todo paso a paso, gracias profesor
Yo tengo una pregunta y es por qué da igual el puerto que se indique en el parámetro -p al ejecutar el exploit? Es decir, ¿cómo sabe la víctima cuando recibe el comando malicioso por parte del atacante que tiene que hacer un 200 ok a dicho puerto?
Pues, depende del tipo de proyecto, en muchos casos, basta con que actualices la dependencia en el pom y hacer un mvn update para refrescar los cambios.
Porfavor saquenme de una duda ¿eso quiere decir que sería fatal si empiezo a crear una aplicación en Java? ¿Mi aplicación se verá afectada de alguna u otra forma?
Profesor ,a la fecha en el video anterior tuvo 11k vistas y 785 likes. En este donde ya expone la practica 5.3k vistas y 384 likes. Me pregunto: Que esperaban los que vieron el primer video sobre la vulnerabilidad ?..Que iban a hacer saltar efectivo de un cajero automatico? jajaj
Como actualizo mi servidor a la versión más reciente log4j??. Algún manual paso a paso??. Saludos profe David.
2 года назад
Cuando dices que el Apache Tomcat es una versión vulnerable no es correcto ya que Tomcat no utiliza Log4J. Si te fijas en el código de la aplicación vulnerable que utilizas es ella quien en su propio código hace uso del log4j como demostración, pero ni Tomcat ni SpringBoot utilizan esa libreria. De todos modos gracias por el video que es muy educativo.
Me refería a la aplicación que instalé que es vulnerable por diseño para poder mostrar la explotación; y Apache tomcat si puede usar Log4j en vez de usar JULI que viene por defecto; tomcat.apache.org/tomcat-8.0-doc/logging.html; gracias por tu comentario; saludos.
2 года назад+4
@@DavidPereira Correcto, Tomcat puede utilizar log4j pero no esta configurado así por defecto. Perdona si te he entendido mal pero no queria que se entre en panico con todas las instalaciones de Tomcat que deben estar instaladas. Gracias por tu respuesta.
@ Muchas gracias a ti por mencionarlo, es posible que yo no lo haya explicado con la necesaria diferenciación y se pueda interpretar como tú dices. Voy a tratar de incluir una tarjeta en el video con el texto o ponerlo en el detalle del video; Saludos, y gracias por tu amabilidad.
David . Soy estudiante de ingeniería informática te escribi en el viedo anterior sobre un problema que tengo al utilizar la herramienta de ingeniería social seoolkit . Ya que me estoy vasando en esta herramienta para un proyecto universitario . Pero tengo un problema es en el momento de realizar un ataque es que una ves clono la pagina y copio la Ip de mi PC no cargar en google crome . De hecho abri los puertos de mi ruten el puerto 80 y no carga que estoy haciendo mal.
Très bonne clarification, ça me permet d'avoir une vision différente, merci... humm, avez-vous trouvé des scripts de recherche pour localiser les ( log4j),?.
Yo lo que entendí es la explotación de la vulnerabilidad pero lo que me gustaría es que explicaran el exploit, ¿Cuál es la vulnerabilidad? ¿Qué le pasa a ese servidor para que de repente ejecute comandos de un cliente en su propia maquina ?
Honestamente no veo un aporte de tu autoria en donde tu expliques que es el exploit en realidad, solo copias y pegas las instrucciones del repositorio. Eso cualquiera lo podemos hacer. Batallas con las dimensiones de las ventanas, te fallan comando. Creo que debes poner más calidad en lo que haces y dejar de repetir lo que bien se puede leer.
Super entendible para alguien que es desarrollador pero no tiene conocimientos profundos en ciberseguridad. Muchas gracias!
Muchas gracias, la explicación fue excelente y me fue de gran ayuda a la hora de resolver la maquina Unified en HTB y poder entender como funcionaba esta vulnerabilidad.
Excelentes explicaciones...tengo casi 2 semanas de venir viendo el contenido de este Canal . Profesor Pereira muchas gracias por su tiempo. No se cómo alguien se puede aburrir y solo ver 5 minutos.. ? Este contenido es oro. Saludos desde Costa Rica 🇨🇷
Le diría que ha sido una excelente explicación pero le mentiría. Ha sido una explicación por encima de la excelencia, así que lo dejaré por hyper-excelente. Gracias
Por poco me hacias salirme del video.
@@nirvana427 Menos mal que parece que te gusta investigar por ti mismo y no fiarte del comentario hasta no leerlo todo. Saludos
felicitaciones Maestro.. he visto varios videos explicativos y este creo que es el mejor.
si le sirve este tip:
echo | base64 -d
y se evita buscar una web.. saludos y gracias.
David muchas gracias por tu explicación en verdad eres el thanos de la seguridad informática
Que buena explicación para entender de la vulnerabilidad que se habla por todos lados.
Gracias 😁
Muchas gracias por el fabulo video profe. Sin duda en este video me quito el sombre frente a usted.
Me gusta mucho la manera de enseñar de éste docente , usa buenos ejemplos siempre , por si acaso no tuviera cursos en Udemy sobre ethical Hacking , le iría súper bien , saludos desde bolivia
Muchas gracias Andrés; tenemos cursos en nuestra plataforma propia; si estás interesado puedes escribir a info@secpro.co saludos.
No seas *** como que Udemy por eso el tiene su propia plataforma
Primero ve a la playa xddd
Esto lo vi en Una noticia en Google entendio un poco pero gracias a este video este mas
ni hack5 pudo dar mejor explicacion que este profe tan pro , gracias profe por la explicacion muy buen material!
Como siempre info de primera, muchas gracias por compartir. Saludos
Excelente y muchas Gracias David, gracias por compartir tu conocimiento.
Vine del ruido que generó esta vulnerabilidad y mira el video y el canal que me encuentro. ¡Sigue adelante! Cuentas con un aliado más. ¡No había encontrado una motivación para volver al ruedo en ciberseguridad!
Muchisimas gracias profe por la explicación! me ayudo mucho
Man, sos un crack. Una explicación genial y bastante conveniente. Saludos desde Europa!
Magistral. Muchas gracias por ser tan didáctico.
Excelente video gracias Maestro saludos desde Cuba
super buena explicación saludos desde México
MUY BUENA EXPLICACIÓN,!!!!!
Agradecido totalmente. Tengo una pregunta... en este caso el ataque fue dentro de la misma red LAN
¿Se podrá aplicar el ataque en distintos segmentos de red?
Por eso me encanta este canal, por el cuidado al explicar y el tiempo que se toma en los videos sin guardarse nada...de los escaneres para validar si existe la vulnerabilidad cual es el mas completo y confiable? Podrias hacer un paso a paso de como usarlo! Gracias!
Gracias Profe, como siempre usted transmitiendo la información de manera clara
Una consulta soy nuevo en esto??
Puedo usar la máquina metasploitable para hacer este ejercicio...
Hola, si, puedes usarla. Saludos.
muchas gracias por la explicación a detalle, muy claro!
Hola Profe muchisimas gracias por el material esta buenisimo
espectacular el video. Muchas gracais
Super. Un fantástico video explicativo de la vulnerabilidad.
Muchas gracias David por tu buen hacer, un saludo.
Me agrado! ME quedo claro la prueba de vulnerabilidad.
Saludos,
Como mitigar este tipo de ataque?
Muy buen video y mas para esa gente, que se creen que poniéndose linux que claro no es tan usado como windows en la sociedad, ya estan a salvo de virus y todo tipo de ataques y vulnerabilidades, te felicito y te mando un saludo desde Barcelona.
Que tiene que ver Linux .. están vulnerando un SERVIDOR TOMCAT que puede ser montado en cualquier sistema operativo con JAVA.
Si es verdad pero para mi en lo personal prefiero linux que la mierda de windos
@@hugogonzalez2608 Si yo tambien
@@kcireorenom8430 a lo que me vengo a referir es que la gente que no entiende como tu o yo piensan que si ponen linux o mac estan libres de virus y ya...
Buenísimo el video, se agradece siempre la manera de explicar atenta!
Interesante contenido y genial explicación. Sinceramente agradecido Maestro Pereira. Muchas gracias de nuevo.
ver muchos videos y canales
realmente son malos
soy de pocos recursos es una mescla autodidacta concatenando empírico concatenando intuición
su conocer es humano espero hacerme entender
BUEN TIEMPO MI LIDER.
Hola Tengo una pregunta esto seria ssrf (Server-side request forgery)? gracias
Gracias por la información
Amo tus vídeos
Excelente explicación maestro, felicitaciones!!
hola.
buen contenido..pero este video , viene con lupa de regalo, pues se aprecia muy pequeño..
gracias
muy buen video! excelente explicación
Eres un crack maestro ;)
Excelente explicación
Muchas Gracias por compartir el conocimiento!!
Excelente contenido Maestro
Profe, buenas. Si tengo una app con Log4j "1", ¿está en estos momentos vulnerable al exploit o solo aplica para Log4j2?
¡Y muchas gracias por el video! se entiende muy bien.
Amigo versiones 1 por lo que lei todas estan vulnerables
Enseñas muy bien gracias 😁
Excelente !!!
que pena que no consiga solucionar el error de mi debian con virtual box, y no pueda seguir la practica en windows,aun asi lo apunte todo paso a paso, gracias profesor
Muy buen video yo no encontraba documentación nd mas que en ingles
Yo tengo una pregunta y es por qué da igual el puerto que se indique en el parámetro -p al ejecutar el exploit? Es decir, ¿cómo sabe la víctima cuando recibe el comando malicioso por parte del atacante que tiene que hacer un 200 ok a dicho puerto?
POr que estamos hablando de un sitio web, usando Apache que normalmente escucha por el puerto 80 o el 443. Saludos.
Muy bien explicado!
Como actualizo mi servidor a la última versión de log4j??. Algún manual paso a paso??. Saludos profe. David.
Pues, depende del tipo de proyecto, en muchos casos, basta con que actualices la dependencia en el pom y hacer un mvn update para refrescar los cambios.
Gracias Amigo
genial video
de igual en el proceso del los videos no los adelanto ni los corto es mas vivo el proceso completo arigato
Interesante contenidos saludos
22:17 "mantengase sanos y nunca paren de beber..." felices fiestas!
Jajajajaja!!! Esa frase hubiera estado mejor!!!!
Muy buen video! ¿podrías explicar como conseguir una reverse shell? He probado varias en netcat pasando el comando a Base64 pero funcionan
Porfavor saquenme de una duda ¿eso quiere decir que sería fatal si empiezo a crear una aplicación en Java? ¿Mi aplicación se verá afectada de alguna u otra forma?
Profesor ,a la fecha en el video anterior tuvo 11k vistas y 785 likes.
En este donde ya expone la practica 5.3k vistas y 384 likes.
Me pregunto: Que esperaban los que vieron el primer video sobre la vulnerabilidad ?..Que iban a hacer saltar efectivo de un cajero automatico? jajaj
La buena parce!
Master, no conocía su página, super interesante sus opcione, sobre todo la de 150 usd la vdd lo vale :D
Muito bom
Que bueno el video
Exelente video !
Como actualizo mi servidor a la versión más reciente log4j??. Algún manual paso a paso??. Saludos profe David.
Cuando dices que el Apache Tomcat es una versión vulnerable no es correcto ya que Tomcat no utiliza Log4J.
Si te fijas en el código de la aplicación vulnerable que utilizas es ella quien en su propio código hace uso del log4j como demostración, pero ni Tomcat ni SpringBoot utilizan esa libreria.
De todos modos gracias por el video que es muy educativo.
Me refería a la aplicación que instalé que es vulnerable por diseño para poder mostrar la explotación; y Apache tomcat si puede usar Log4j en vez de usar JULI que viene por defecto; tomcat.apache.org/tomcat-8.0-doc/logging.html; gracias por tu comentario; saludos.
@@DavidPereira
Correcto, Tomcat puede utilizar log4j pero no esta configurado así por defecto.
Perdona si te he entendido mal pero no queria que se entre en panico con todas las instalaciones de Tomcat que deben estar instaladas.
Gracias por tu respuesta.
@ Muchas gracias a ti por mencionarlo, es posible que yo no lo haya explicado con la necesaria diferenciación y se pueda interpretar como tú dices. Voy a tratar de incluir una tarjeta en el video con el texto o ponerlo en el detalle del video; Saludos, y gracias por tu amabilidad.
Cómo en pienso en la ciber seguridad
Ok pero no veo la relación entre este ataque y las librerías de java log4j
David . Soy estudiante de ingeniería informática te escribi en el viedo anterior sobre un problema que tengo al utilizar la herramienta de ingeniería social seoolkit . Ya que me estoy vasando en esta herramienta para un proyecto universitario . Pero tengo un problema es en el momento de realizar un ataque es que una ves clono la pagina y copio la Ip de mi PC no cargar en google crome . De hecho abri los puertos de mi ruten el puerto 80 y no carga que estoy haciendo mal.
Très bonne clarification, ça me permet d'avoir une vision différente, merci... humm, avez-vous trouvé des scripts de recherche pour localiser les ( log4j),?.
Vous pouvez utiliser ces scripts :github.com/anchore/grype oui github.com/anchore/syft
Yo lo que entendí es la explotación de la vulnerabilidad pero lo que me gustaría es que explicaran el exploit, ¿Cuál es la vulnerabilidad? ¿Qué le pasa a ese servidor para que de repente ejecute comandos de un cliente en su propia maquina ?
que permite ejecución de código arbitrario en una consulta
¿porqué permite ejecución de código arbitrario en una consulta?
@@truniolado Esa es la falla según entiendo
Honestamente no veo un aporte de tu autoria en donde tu expliques que es el exploit en realidad, solo copias y pegas las instrucciones del repositorio. Eso cualquiera lo podemos hacer. Batallas con las dimensiones de las ventanas, te fallan comando. Creo que debes poner más calidad en lo que haces y dejar de repetir lo que bien se puede leer.
lol usar base 64 decode online en vez de echo "cadena en base64" | base64 -d ?
sorry men, no presto atencion a aquellos que no usan bash.
Me pareció más entendible hacerlo así en ese momento; hay muchas maneras de obtener un resultado; no todas se entienden con la misma facilidad.
Muy bien explicado, gracias por compartir.
excelente explicación