La recolección de información, como bien saben es una de las etapas más fundamentales en el hacking ético ya que nos permite conocer un poco más de nuestro objetivo, de llevarse acabo de la mejor forma posible asegura parte del éxito en el pentesting.

En la actualidad existen diversas herramientas que nos permiten hacer de esta etapa un trabajo un poco más sencillo (No hacernos el trabajo completo, solo facilitarnos un poco), en esta ocasión hablaremos sobre tinfoleak y estudiaremos un poco su uso.

¿Qué es TINFOLEAK?

TINFOLEAK, es un script desarrollado en Python por Vicente Aguilera (líder del capítulo español de OWASP) que nos permite obtener información detallada sobre la actividad de un usuario de Twitter. A continuación les muestro un poco sobre lo que podemos conocer utilizando tinfoleak:

• Información básica de un usuario de twitter (nombre, fotografía, seguidores y su ubicación).
• Dispositivos y sistemas operativos utilizados por el usuario de twitter.
• Aplicaciones y redes sociales del usuario.
• Coordenadas de los lugares visitados por el usuario.
• Mostrar los Tweets en Google Earth (Si el usuario habilita la ubicación).
• Descargar todas las fotografías del usuario.
• Conocer los hashtags, menciones y temas tratados por el usuario (Incluyendo la fecha en que estos se utilizaron).

Para esta pequeña demostración utilizaremos Kali Linux; bien, entonces ¿Cómo es que se utiliza?:

-Descarga el script en tu kali linux desde http://isecauditors.com/sites/default/isecauditors.com/files//files/tinfoleak-2_0_20170110.zip

-Desempaqueta el archivo utilizando el comando unzip.

-Debemos preparar el escenario para compilar este script, para ello instalamos los siguientes paquetes:

-Ahora ingresamos a https://apps.twitter.com y damos clic en crear una nueva app. (Es necesario si o si, tener una cuenta de twitter).

-Nos pedirá llenar un formulario con los datos de nuestra cuenta de twitter.

-Una vez creada nuestra cuenta, damos clic en «Keys and access tokens» para ver nuestras apis.

-Dentro de la carpeta que hemos desempaquetado al inicio, se encuentra un archivo denominado tinfoleak.conf, dentro de este es que vamos a pegar las apis de nuestra aplicación de twitter.

-Entonces, copiamos la llave de «Consumer key (API key)» y la de «Consumer secret (API secret)» de nuestra aplicación de twitter y las pegamos en los campos «Consumer_key» y «Consumer_secret» según corresponda, en nuestro archivo tinfoleak.conf.

-Nos movemos hasta la parte de abajo de la aplicación de twitter y damos clic en «Create my access token» para obtener las dos llaves restantes.

-Ahora copiamos las llaves «Access Token» y «Access Token Secret» de la aplicación de twitter y las pegamos en los campos «Access_Token» y «Access_Token_Secret» según corresponda, de nuestro archivo tinfoleak.conf.

Ahora si viene la magia . . .

Hasta este punto, tenemos todo listo para empezar a jugar un poco con tinfoleak, veamos como funciona:

-Supongamos que queremos conocer un poco más sobre el alcalde Roberto Daubuisson, ubicamos su usuario en twitter (@rdaubuisson) y nos trasladamos a la carpeta de tinfoleak.

-Podemos ejecutar el script ./tinfoleak.py con el parámetro -h para listar las diversas opciones que podemos utilizar y para que sirve cada una.

-Ahora bien, en este ejemplo haremos cuenta y caso que queremos saber información básica, dispositivos desde donde ha twitteado, hashtags incluidos en sus tweets, menciones y conversaciones entabladas.

-Con lo anteriormente planteado ejecutaremos el script de la siguiente forma: ./tinfoleak.py -u rdaubuisson -i -s –conv –mentions –hashtags. Presionamos enter y observaremos en pantalla los detalles de nuestra búsqueda.

-Nos dirigimos a la carpeta tinfoleak, dentro de esa habrá otra con el nombre Output_Reports, la abrimos y veremos un archivo tinfoleak.html (Si asi es, el reporte se verá en el navegador). Damos doble clic para abrir.

El resultado es el siguiente:

Información Básica.

Dispositivos desde donde ha hecho sus tweets.

Top de los hashtags más utilizados por dicho usuario.

Top de los usuarios que más ha mencionado este usuario.

Conversaciones entabladas con otros usuarios (Mediante tweets).

Bueno esto ha sido todo en lo que compete al uso de esta poderosa herramienta tinfoleak, más adelante estaré posteando una segunda parte para saber analizar la información recolectada.