Recuperar la contraseña de Elastix/FreePBX

13 Jun

En ocasiones me he enfrentado a la tarea de apoderarme del control de algún servidor Elastix/FreePBX porque el cliente no ha quedado satisfecho con el servicio que su proveedor anterior le ofrecía, así que dado que el cliente no conoce los accesos y los que si lo conocen no me lo van a dar “por la buena”, entonces tengo que recuperarlo yo.

Obtener las contraseñas de admin tanto para Elastix como para FreePBX no es complicado, lo único que se requiere es tener acceso de root por SSH (si no tenemos este acceso, podemos obtenerlo siguiendo una de tantas guías para recuperar el password de root que hay en internet). Ya adentro del sistema, podemos hacer lo siguiente desde el CLI de Linux:

echo "UPDATE acl_user SET md5_password='827ccb0eea8a706c4c34a16891f84e7b' WHERE name='admin';" | sqlite3 /var/www/db/acl.db

Con esto cambiamos el password de Elastix a admin/12345. Ahora, para FreePBX:

echo "UPDATE asterisk.ampusers SET password_sha1… Continuar leyendo

Ingeniería social como ataque en Elastix/FreePBX

13 Jun

Hace unos días tuve oportunidad de dar un Curso Asterisk en Guadalajara, y los asistentes preguntaron por la manera en que podríamos hacer una intervención de llamada, con la cual pudiera escucharse la conversación de alguien más sin que esa persona se percatara que la estamos espiando. Esto en Asterisk puede hacerse fácilmente con la aplicación ChanSpy, y en Elastix/FreePBX viene pre-programada para la extensión 555.

Esto significa que cualquiera que esté registrado en nuestro equipo puede marcar 555 y escuchar cualquier conversación que ocurra en ese momento. Pero… ¿y qué hay de aquellos que NO deberían tener acceso a nuestro sistema? ¿Acaso hay algún truco para engañar a los internos y que nos concedan acceso a esta funcionalidad? La respuesta, es SI.

Gracias a la pregunta de @solin182 durante el curso, se me ocurrió algo tan sencillo como esto:

Llamemos al número de teléfono de la víctima (debemos… Continuar leyendo

Versión mejorada del mensaje “all circuits are busy” de Elastix (v3)

31 May

Este código se encuentra desactualizado. Hay una versión más reciente disponible en http://asteriskmx.com/2013/04/version-mejorada-del-mensaje-all-circuits-are-busy-de-elastix-v4/

En muchas ocasiones hemos oido el mensaje de “all circuits are busy” (“todos los circuitos se encuentran ocupados” si es que tenemos los sonidos en Español) de Elastix. El problema con este mensaje es que es reproducido ante cualquier falla de nuestro enlace. Esto incluye a números que no existen, números desconectados y cualquier otra causa de error que no siempre es culpa de nuestro conmutador, pero que el usuario final siempre le achaca al sistema que le configuramos.

Con la intención de abrir un poco el panorama y dar más información sobre la causa del error, escribí este código para ayudar a distinguir cual es la verdadera causa del problema. Para ello, es necesario modificar 2 archivos, dentro de /etc/asterisk

// Archivo extensions.ael macro outmessage(HC) { switch(${HC}) { case 1: // Unnalocated or unnasigned number //… Continuar leyendo

La emoción de convertirse en dCAP

27 May

Habemos quienes nos dedicamos a Asterisk día y noche: es nuestro hobby, nuestro sustento, nuestra herramienta, en algunos casos hasta nuestra ideología. Quizá el hecho de tomar una certificación basada en lo que vemos va más allá del conocimiento y entra un poco en lo personal: creemos que eso nos define como profesionales, sentimos alguna decepción si acaso no la obtenemos. Ya no lo hacemos por decir que sabemos, lo hacemos por nosotros.

Hace poco más de 6 meses tomé la certificación como parte de sentir que tenía derechos para decir que sé (al final de cuentas, vivo de enseñar a otras personas y me sentiría muy mal conmigo mismo si no tuviera la garantía que no solo sé, sino que la máxima autoridad al respecto también opina lo mismo). En aquel día, con todo y 6 años dedicándome a Asterisk, llegué a presentar el examen con los típicos nervios:… Continuar leyendo

Cursos Asterisk para mayo y junio en Guadalajara y México

20 Abr

Hay nuevas fechas para nuestros cursos, en esta ocasión en Guadalajara y Ciudad de México. Aquí las fechas y modalidades:

Curso básico – México, DF. 18 y 19 de mayo – Guadalajara, Jal. 8 y 9 de junio – México, DF. 22 y 23 de junio

Curso completo (básico, intermedio e IVR) intensivo – México, DF. 18, 19, 20 y 21 de mayo – Guadalajara, Jal. 8, 9, 10 y 11 de junio – México, DF. 22, 23, 24 y 25 de junio

Para más detalles puedes consultar nuestra página de información general de los cursos. Si tienes alguna duda por favor, utiliza nuestro formulario de contacto.… Continuar leyendo

Curso Asterisk Advanced® oficial, del 23 al 27 de mayo (México, DF)

1 Abr

Después de estarme dedicando por poco más de 4 años a dar cursos de Asterisk, finalmente el año pasado tomé la certificación dCAP. Tras tomarla, entré a la lista de profesionales en la materia autorizados a impartir el curso oficial de Digium, el Asterisk Advanced, así que en mayo se abren las fechas para tomar el curso del 23 al 27 (lunes a viernes). Este curso representa el material oficial para aplicar para el dCAP, de manera que aquellos interesados en aprender las cosas tal cual Digium lo hace deberían tomar este curso.

El costo del curso Asterisk Advanced es de $3,000 USD + IVA por persona (hay un descuento si pagan en abril, quedando en $2,100 USD + IVA). A los interesados en más informes de este curso, les pido utilicen la siguiente forma de contacto.

Recuerden que también imparto cursos que aunque no son el Asterisk Advanced, pero … Continuar leyendo

Estadísticas de inseguridad en Elastix (México)

9 Mar

Hoy decidí realizar un estudio sobre las vulnerabilidades que sería capaz de encontrar en un entorno como Elastix en México. Me puse mi sombrero blanco y decidí escanear todas las posibles redes del país y buscar cuantos equipos utilizan la distribución antes mencionada (al menos las visibles en el puerto TCP 443), y los resultados fueron alarmantes. Aquí algunas estadísticas:

25.4 millones de hosts escaneados 69 mil tienen el puerto 443 abierto 467 equipos eran Elastix

Aclaro que esto no quiere decir que estos sean todos los equipos Elastix en México. Esto quiere decir que en una noche cualquiera fui capaz de encontrar 467 equipos visibles abiertamente en internet, los demás están tras algún firewall y son invisibles al exterior (¡bien!).

Ahora, para los números del terror:

287 tienen algún tipo de dato “secreto” que se puede obtener fácilmente (contraseña de FreePBX, contraseña de Elastix, contraseñas de extensiones) los mismos… Continuar leyendo

Problema con nuevos registros en el foro

9 Mar

Hoy hicieron de mi notar que había problemas para registrarse en los foros de discusión. En efecto, al intentar registrar una cuenta nueva el módulo que tenía de reCaptcha no me dejaba hacerlo, por más veces que intentara de poner las palabras correctas.

Así que con la intención de no lastimar al forro en la guerra con el SPAM, descargué e instalé un nuevo Captcha basado en jQuery. La idea es que al registrarse arrastren el ícono solicitado sobre el círculo de la derecha. Resulta muy sencillo, pero no para los bots 🙂

Si alguien ha tratado de registrarse en los foros últimamente por favor intente este nuevo método. Si hay algún problema avísenme en los comentarios por favor.

 … Continuar leyendo

Cursos Asterisk para marzo-abril 2011

4 Mar

En esta ocasión habrá cursos en Monterrey y Ciudad de México. Aquí las fechas y modalidades:

Curso básico – México, DF. 5 y 6 de marzo – México, DF. 10 y 11 de marzo – México, DF. 9 y 10 de abril – México, DF. 14 y 15 de abril – Monterrey, NL. 30 y 31 de marzo

Curso completo (básico, intermedio e IVR) intensivo – México, DF: 10, 11, 12 y 13 de marzo – México, DF: 14, 15, 16 y 17 de abril – Monterrey, NL: 30 y 31 de marzo, 1 y 2 de abril

Curso completo (básico, intermedio e IVR) fin de semana – México, DF: 5, 6, 12 y 13 de marzo – México, DF: 9, 10, 16 y 17 de abril

Para más detalles puedes consultar nuestra página de información general de los cursos. Si tienes alguna duda por favor, utiliza nuestro formulario de … Continuar leyendo

Curso Asterisk completo (¡última fecha del año!) del 25 al 28 de noviembre

4 Nov

Otro año más que se va, y también en esta ocasión me toca anunciar lo que será la última fecha de cursos del año. Hay varias opciones para tomarlo, así que para el que le interese no hay pretextos de que “ahora no puedo”.

Las fechas disponibles son: – Curso básico. 13 y 14 de noviembre – Curso básico. 25 y 26 de noviembre – Curso completo (básico, intermedio e IVR). Modalidad fin de semana: 13, 14, 27 y 28 de noviembre – Curso completo (básico, intermedio e IVR). Modalidad intensiva: 25, 26, 27 y 28 de noviembre

Para todos aquellos interesados en asistir, por favor consulten la información sobre nuestros cursos Asterisk. Si aún así quedan dudas, por favor, contáctenme para hacerles llegar más información.

Recuerden: ¡es la última fecha del año!

Saludos,… Continuar leyendo