Ver la versión completa : como realizar y estructurar un ataque a 1 red, dominio e incluso sistema en concreto
Buenas como veo a mucha gente perdida en esto a ver si asi os aclaro un poco .
todo esto lo voy a ver desde el lado bueno de la fuerza, intentando resolver los problemas, que un hacker puede crear en nuestras redes, es decir desde el lado del tecnico en seguridad que intenta resolver todos los ataques, y para ello tiene que explicar como se ejecutan y como se contrarestan.
vayamos por pasos, empecemos enumerando
1-Identificar el problema.
EN esta parte voy a explicar como un hacker antes de entrar en nuestros sistemas, tiene que recompilar mucha informacion y como se puede hacer de forma facil para que le sea dificil recompilarla.
2- Hack del sistema
Aqui explicare como despues de recompilar la informacion necesaria se empieza a atacar el sistema. Esto abarca a todos los sistemas operativos y todos sus agujeros.
Incluiremos tambien como borran todas sus huellas los que saben y como dejan brechas casi invisibles en nuestro sistema para entrar cuando quieran.
3- Hack a la red
Aqui detallare como se puede hacer uso de dispositivos tales como servidores de acceso telefonico, routers, cortafuegos, vulnerabilidades en protocolos de bajo nivel como el x25.
Explicare como echar un candado hermetico a tu red para solucionar estas posibles brechas.
4- Hack del soft.
Examinaremos aqui las aplicaciones que nos llevan de cabeza a los tecnicos en seguridad informatica, tales como por ejemplo programas de control remoto, puertas traseras, software de servidor de red y demas brechas potenciales de los mismos.
Como esto no va a ser cosa de diez minutos hire poniendo cada apartado, cada semana, asi tambien me da tiempo a repasar mis apuntes a mi que no soy dios y siempre aunqeu se sepa hacer se debe consultar en los apuntes.
Mañana tendreis la primera seccion subida si hoy no me da tiempo.
Un saludo espero que sea de vuestro agrado.
:0=
pd. no se si este post va en esta seccion si no es asi cambiarlo de sitio a donde pertenezca, yo creo que si perooooo no quiero molestar mas :)
un hacker antes de nada, cuando quiere atacar un sistema en concreto o una red,tiene que recompilar gran cantidad de informacion de la estructura intranet/extranet y de los sistemas de seguridad implementados en ellos.
Internet desde el principio fue diseñada para ser funcional, dando mas informacion de la necesaria a quien sepa encontrarla.
En este apartado os vamos a enseñar como y donde se recompila esa informacion tan valiosa para poder llevar a cabo un buen ataque y como hacer para que sea mas dificil para el mismo recompilarla.
Un atacante puede recompilar una cantidad desconocida y reducirla a uan extension especifica de nombres de dominio, bloques de redes y direcciones ip individuales de sistemas conectados directamente a internet, mediante una combinacion de herramientas y tecnicas.
Veamos la informacion critica que un atacante puede recompilar dia a dia de nuestros sistemas de seguridad y redes implementados.
DE INTERNET.
Nombre de dominio, bloques de red, direcciones ip especificas de sistemas via internet, servicios tcp y udp funcionando en cada sistema, arquitectura del sistema,
mecanismos de control de acceso y listas de control de accesos relacionadas(ACL),sistemas de deteccion de intrusion(IDS), enumeracion del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, informacion SNMP.)
DE INTRANET.
Protocolos de red en uso(ip,ipx,decnet), nombres de dominio internos, bloques de red, direcciones ip especificas de sistemas disponibles via intranet, servicios tcp y udp funcionando en cada uno de los sistemas, arquitectura del sistema, mecanismos de control de acceso y ACL, sistemas de deteccion de intrusion, enumeracion del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, informacion SNMP.)
DE ACCESOS REMOTOS
Numeros de telefono analogico/digital, tipos de sistemas remotos, mecanismos de autentificacion.
DE EXTRANET
Origen y destino de la conexion, tipos de conexion, mecanismos de control de acceso.
Veamos como seguir el rastro por internet.
todo esto lo voy a empezar guiando para seguir el rastro a una empresa conectada a internet.
En primer lugar tendremos que decidir si solo vamos a seguir el rastro de esa empresa o si vamos a seguirlo tambien de todas las qeu tenga conectadas como podrian ser las filiales.
Lo primero sera ir a la pagina web de la empresa si la tiene para sacar la maxima informacion de la misma.
buscaremos ubicaciones, compañias relacionadas, noticias de fusion o adquisicion, nombres de contacto y direcciones de correo, politicas de seguridad y privacidad que indiquen los tipos de mecanismos de seguridad instalados, enlaces a otros servidores web relacionados con la empresa, ver el codigo fuente de la pag para leer los comentarios puesto que a veces se da informacion critica en los comentarios.
Tambien buscaremos en internet informacion sobre si esa empresa ha tenido ya ataques de seguridad puestos que podria revelar informacion muy util para el atacante.
una vez tengamos cuentas de correo apuntadas buscaremos en usenet correos con el @dominioempresa. para ver que tipo de comentarios hacen, si estan en foros, preguntando dudas sobre sus aplicaciones y sistemas etc.
Finalmente siempre podras utilizar las busquedas avanzadas de altavista o hotbot. aqui puedes encontrar los sitios que enlacen con la empresa objetivo para seguir recompilando informacion.
Un fallo muy comun en empresas que estan fusionandose es dar conectividad entre ellas sin mirar la seguridad, en las pag de la empresa y las que linkean podemos encontrar este tipo de informacion ademas de muchas mas informacion relevante de la empresa.
La manera de solventar esto es eliminando de las pag web de la empresa cualquier informacion sobre la misma en el ambito de la seguridad de la red y de la estructura de la misma, otra cosa a evitar es qeu los usuarios de la red que gestionamos hagan consultas en foros sobre programas o implementaciones que existan en la red.
ENUMERACION DE LA RED.
El primer paso a dar es identificar nombres de dominio y redes asociadas relacionadas con la empresa en particular. Asi constataremos la presencia de la empresa en internet.
Para enumerar los dominios y empezar a averiguar cosas hacemos una busqueda whois en los servidores whois de la zona geografica en la que este ubicada la empresa.
direccion ip europea http://ripe.net
direccion ip asiatica http://whois.apnic.net
direccion ip eeuu militar http://whois.nic.mil este lo han desabilitado jajajajaja si es que hace unos años que estudie.
direccion gobiern.eeuu http://whois.nic.goveste tambien lo han quitao jodios militares y gobierno de eeuu jajajaja.
sigue estando esta del gobierno americano mirad
alfredo@linux:~> whois nic.gov
% DOTGOV WHOIS Server ready
Domain Name: nic.gov
Status: Active
Please be advised that this whois server only contains information pertaining to the .GOV domain. For information for other domains please use the whois server at RS.INTERNIC.NET.
alfredo@linux:~>
les han cambiado las direcciones solo eso pero vamos es lo que es.
y mañana sigo que estoy cansao.
R3D5KULL
11-05-2006, 18:33
Que wenaaaaaa, esto va de cabeza para la eZine...
eso significa que te gusta o que no te gusta nada??? lo estoy haciendo lo mejor y mas claro que puedo un saludo y gracias de antemano
1 vez q hemos identificado una red entidad u organización, nos vamos a internic o a cualquier base de datos de este tipo, y hacemos 1 consulta whois, de este modo vemos los dominios asociados a la empresa y filiales, pero como bien sabemos no tienen porque estar activos todos, a veces se compran todos los nombres para proteger 1 marca con lo cual, habrá q seleccionar los activos, como bien sabemos internic limita los documentos encontrados asociados a 1 dominio a los 50 primeros, pero en http://www.websitez.com suele asociarse todos los documentos asociados al dominio.
Parece haber cambiado la pag websitez pero aqui os dejo un nuevo linck jejeje como no .http://www.searchengines.net/websitez_se.htm
realizamos una consulta whois en una consola de sistema poniendo el nombre de dominio de la victima, y nos dara los dns de la misma.
AQUI OS PONGO UN EJEMPLO DE COMO DA INFORMACION ESTO.
Whois JUANITOPEREZ.com
Whois Server Version 2.0
Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.
Domain Name: juanito perez.COM
Registrar: LAGORDA INC.
Whois Server: whois.opensrs.net
Referral URL: http://domainhelp.lagorda.com
Name Server: NS2.juanitoperez.COM
Name Server: NS1.juanitoperez.COM
Status: ACTIVE
EPP Status: ok
Updated Date: 02-Jun-2005
Creation Date: 02-Jun-2005
Expiration Date: 02-Jun-2006
>>> Last update of whois database: Fri, 12 May 2006 07:01:41 EDT <<<
NOTICE: The expiration date displayed in this record is the date the
registrar's sponsorship of the domain name registration in the registry is
currently set to expire. This date does not necessarily reflect the expiration
date of the domain name registrant's agreement with the sponsoring
registrar. Users may consult the sponsoring registrar's Whois database to
view the registrar's reported date of expiration for this registration.
TERMS OF USE: You are not authorized to access or query our Whois
database through the use of electronic processes that are high-volume and
automated except as reasonably necessary to register domain names or
modify existing registrations; the Data in VeriSign Global Registry
Services' ("VeriSign") Whois database is provided by VeriSign for
information purposes only, and to assist persons in obtaining information
about or related to a domain name registration record. VeriSign does not
guarantee its accuracy. By submitting a Whois query, you agree to abide
by the following terms of use: You agree that you may use this Data only
for lawful purposes and that under no circumstances will you use this Data
to: (1) allow, enable, or otherwise support the transmission of mass
unsolicited, commercial advertising or solicitations via e-mail, telephone,
or facsimile; or (2) enable high volume, automated, electronic processes
that apply to VeriSign (or its computer systems). The compilation,
repackaging, dissemination or other use of this Data is expressly
prohibited without the prior written consent of VeriSign. You agree not to
use electronic processes that are automated and high-volume to access or
query the Whois database except as reasonably necessary to register
domain names or modify existing registrations. VeriSign reserves the right
to restrict your access to the Whois database in its sole discretion to ensure
operational stability. VeriSign may restrict or terminate your access to the
Whois database for failure to abide by these terms of use. VeriSign
reserves the right to modify these terms at any time.
The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.
Registrant:
juanito perez SL
juanito perez SL
Murcia, Murcia 30009
ES
Domain name: JUANITOPEREZ.COM
Administrative Contact:
JUANITO PEREZ
[email protected]
Technical Contact:
Registration Service Provider:
.
Registrar of Record: LAGORDA, INC.
Record last updated on 02-Jun-2005.
Record expires on 02-Jun-2006.
Record created on 02-Jun-2005.
Domain servers in listed order:
NS1.JUANITOPEREZ.COM 92.63.53.18
NS2.JUANITOPEREZ.COM 92.63.53.25
Domain status: ACTIVE
The Data in the Tucows Registrar WHOIS database is provided to you by Tucows
for information purposes only, and may be used to assist you in obtaining
information about or related to a domain name's registration record.
Tucows makes this information available "as is," and does not guarantee its
accuracy.
By submitting a WHOIS query, you agree that you will use this data only for
lawful purposes and that, under no circumstances will you use this data to:
a) allow, enable, or otherwise support the transmission by e-mail,
telephone, or facsimile of mass, unsolicited, commercial advertising or
solicitations to entities other than the data recipient's own existing
customers; or (b) enable high volume, automated, electronic processes that
send queries or data to the systems of any Registry Operator or
ICANN-Accredited registrar, except as reasonably necessary to register
domain names or modify existing registrations.
The compilation, repackaging, dissemination or other use of this Data is
expressly prohibited without the prior written consent of Tucows.
Tucows reserves the right to terminate your access to the Tucows WHOIS
database in its sole discretion, including without limitation, for excessive
querying of the WHOIS database or for failure to otherwise abide by this
policy.
Tucows reserves the right to modify these terms at any time.
By submitting this query, you agree to abide by these terms.
NOTE: THE WHOIS DATABASE IS A CONTACT DATABASE ONLY. LACK OF A DOMAIN
RECORD DOES NOT SIGNIFY DOMAIN AVAILABILITY.
Basándonos en la consulta, el punto de partida + lógico, es nombre de la empresa.com, al hacer 1 consulta sobre el dominio, lo mas lógico es q, entre la información que nos da estén las ips de los dns del dominio.
Este tipo de consulta nos proporciona mucha información sobre el dominio,
Quien registro el dominio
El nombre del dominio
El administrador
Cuando fue creado y actualizado el registro
Los servidores de nombres (dns)
Llegados a este punto, tendremos q empezar a analizar la información conseguida, en busca de datos necesarios para seguir acercándonos a nuestro objetivo.
Los contactos administrativos son importantes, al igual q los números de tel. fax y direcciones de email,
Con los primeros es posible identificar al responsable de la conexión del cortafuegos o al administrador, los telef y fax son útiles para la revisión de penetración telefónica, los mails nos proporcionan 1 vía de contacto, para intentar colar código, rastrear los mails y post de usuarios de ese dominio en busca de preguntas sobre soft y medidas implementadas para saltarlas, y para intentar engañar a 1 usuario de la red mediante ingeniería social.
Apunta todo esto y empezaras con buen pie.
El buscar todos los dominios relacionados también te puede llevar hasta pag web ilegales dentro del dominio subida por usuarios de la red sin permiso ni control del administrador .
Llegados a este punto y con 1 mail anónimo puedes suplantar la identidad del administrador y engañar a 1 usuario de la red en cuestión que no se entere mucho y hacerle cambiar su contraseña diciéndole q son políticas implementadas por el proyecto de seguridad que sigue la empresa .
Las fechas en las q se crea y actualiza el registro del dominio nos indican si la información recopilada es valida o puede haber cambiado.
Si el documento fue creado hace 2 años y no se ha actualizado nunca es posible q ya no sea el mismo administrador o que la red debido a su crecimiento haya cambiado.
Utilizando la instrucción server con el registro HST conseguido con 1 consulta whois podrás descubrir los otros dominios para los q esta autorizado 1 servidor dns
Ejecuta 1 consulta whois en tu dominio con 1 whois destino.com
Ejemplo whois emaredes.com
Localiza el primer dns
Haz una consulta a tu dns y ejecuta una consulta whois dirección ip del dns
Ejemplo
whois IP DESTINO
Localiza el registro HST para el servidor dns
Ejecuta consola whois con la instrucción server utilizando whois
server NS9999-HST
CONSULTA DE RED
Ahora q ya tenemos 1 rango de redes suministrado por los anteriores servidores dns , comenzamos 1 consulta para ver las redes reales asociadas al dominio de la empresa .
Para esta consulta volvemos a las bases de datos de arin, ya q internic solo contiene dominios.
En
http://www.arin.net/whois
Aqui veremos cual es el proveedor isp q ha concedido las ips al dns de nuestra victima.
CONSULTA POC
Como el contacto administrativo puede serlo de varias empresas, realiza 1 consulta poc para intentar descubrir dominios q no encontraramos anteriormente .
Podemos realizar también 1 consulta del tipo @dominio.net para sacar todas las cuentas de correo pertenecientes al dominio.
Consulta el RFC 954-NIC-VALUE/WHOIS
Si pones whois ? Te sacara toda la ayuda del mismo.
Para obtener 1 lista completa de los miembros de 1 grupo u organización, o 1 lista de todos los usuarios autorizados de un host ponga delante del nomb. Del host u organización 1 asterisco ejemplo *SRI-NIC
he de aclarar que toda esta documentacion y todo lo que voy aclarando no lo se por ciencia infusa, estoy siguiendo mis apuntes y mis libros de los masters y cursos que he realizado en seguridad informatica.
Que no os extrañe que parte del texto sea muy parecido a algun libro que conozcais puesto que los profes se guian en ellos y los alumnos y to el que quiere aprender tambien ..
Luego o mañana subo mas, un saludo y espero que os mole, esta parte primera se la dedico a un tio que me ha molao como funciona, parece un tio legal y tambien parece saber tela.
Un saludo clarinetista va por ustedes.
CONTRAMEDIDAS.
SEGURIDAD EN BASES DE DATOS PUBLICAS.
Cuando una empresa registra un dominio en internet, necesita contactos administrativos, bloques de red registrados e informacion del servidor de nombres autorizado.
Muchas veces el contacto administrativo cambia y es capaz de cambiar la informacion relativa a la empresa que aparece en estas bases de datos publicas.
Lo primero seria tener esa informacion bien actualizada y asegurarnos de que sea fiable.
Con los numeros de telefono y fax lo que podemos hacer es utilizar numeros gratuitos o en su defecto sacarlos de la centralita de la red.
Cree una cuenta de administrativo ficticia y asi conseguira que si alguien intenta hacer ingenieria social con alguno de sus usuarios nos ponga en alerta de posibles ataques.
Es importante que el metodo de autentificacion para poder cambiar los datos de estas bases sea mediante contraseña y autentificacion PGP. Asi evitaremos que nos pase lo de a AOL.
:0=
Se me olvidaba si alguien cree que eso se podria explicar mejor o que lo ampliaria asi o asao pos pos pos por favor pa eso esta pa que entre tos lo hagamos mas guapo a ver si hacemos algo que incluso nos sirva de verdadera guia a todos.
la siguiente parte va desde la consulta de dns
determinar los registros mx
contramedidas.
reconocimiento de la red y sus contramedidas y ya paso a la exploracion. :0=
Pido perdon a las empresas cuya informacion aparecia, no volvera a pasar, aunque esta informacion es publica y deberia de ocultarse para que esto no pasara.
Yo creo que eso significa que le gusta y mucho!
Salu2
pos asias y que sea pa bien porque yo lo que quiero de veras es que to dios aprenda a tapar estas cosas no que las utilice pa joder sino pa ayudar, espero no estar equivocandome al hacer esto.
R3D5KULL
15-05-2006, 17:45
Me gusta y mucho como dice el amigo Kirtash, asi me gusta, gente implicada con la causa.
lo siento pero no he dormio todavia porque me he tirao toa la noche de guardia y por eso no he subido ni escrito la parte que tocaba hoy. Mañana hago el doble lo prometo. Buenas tardes y es un placer R3D5KULL espero que cada vez te vaya gustando mas porque esto va a mas. jejejejeje :0=
La bibliografia utilizada es de:
Stuart McClure
Joel Scambray
George Kurtz
Fulgencio Gomez Bastida
Javier Mosquera Vazquez
Antonio Vaquero Sanchez
Cris M. Prosise
Martin W.Dolphin
Richard Stevens
y claro esta mis apuntes cogidos de mis profes.
Despues de identificar todos los dominios asociados, empezaremos las consultas al dns.
El dns es una base de datos distribuida, que trasnforma direcciones ip en nombres (nombres de host) y viceversa.
Si el dns no ha sido muy bien configurado, uno de las posibles fallas que nos encontraremos, es que se permite la trasnferencia de zonas, a usuarios no autorizados desde internet.
Las trasnferencias de zona, permiten al servidor secundario actualizar su base de datos de zona, esto es lo normal puesto que siempre se pone un dns secundario para tener redundancia a fallos, por posibles caidas puntuales del servidor dns principal.
Lo que pasa aqui, es que si el no esta bien configurado transferira las zonas a cualquier usuario que sepa pedirselas, poniendo asi al descubierto el mapa interno de la red.
Para realizar las transferencias de zona utilizaremos un cliente nslookup,
ejemplo
nslookup
>> server (aqui pon el servidor dns de la victima)dale al intro y aparece
Default server: (aqui te saldra la ip del dns de la victima)
Address: (aqui te saldra la ip del dns de la victima)
Una vez aqui ya estamos haciendo las consultas desde su dns.
>> set type=any (aqui le decimos que nos muestre cualquier tipo de registro asociado con la consulta)
>> ls -d (nombre de dominio victima). >>/tmp/zone_out (aqui le decimos que lo liste y redirigimos la salida al archivo /tmp/zone_out para poder manipularlo comodamente luego)
despues de que se complete la transferencia de zona, podemos mirar el archivo generado, para ver si podemos encontrar informacion especifica de algun sistema.
Podremos ver que en cada entrada tiene un registro A, que es una direccion ip,
ademas veremos tambien que cada host, cuenta con un archivo HINFO, que nos identifica el sistema operativo que se esta utlizando. (RFC-952)
Esta es la forma manual, existen en muchas herramientas que lo haran automaticamente, por ejemplo el mandato host.
@linux:~> host --help
host: illegal option -- -
host: illegal option -- h
host: illegal option -- e
host: illegal option -- p
Usage: host [-aCdlriTwv] [-c class] [-N ndots] [-t type] [-W time]
[-R number] hostname [server]
-a is equivalent to -v -t *
-c specifies query class for non-IN data
-C compares SOA records on authoritative nameservers
-d is equivalent to -v
-l lists all hosts in a domain, using AXFR
-i IP6.INT reverse lookups
-N changes the number of dots allowed before root lookup is done
-r disables recursive processing
-R specifies number of retries for UDP packets
-t specifies the query type
-T enables TCP/IP mode
-v enables verbose output
-w specifies to wait forever for a reply
-W specifies how long to wait for a reply
-4 use IPv4 query transport only
-6 use IPv6 query transport only
SamSpade, axfr, dig y en general muchas mas.
DETERMINAR LOS REGISTROS MAIL EXCHANGE.
Normalmente en las redes en las que existen servidores de correo, en el mismo servidor, es donde se suele instalar un firewall, o por lo menos pertenecen a la misma red, si la empresa tiene subredes internas implementadas.
Con la informacion que nos de el mandato host, y contrastandolo con las busquedas anteriores, vamos a asegurarnos de que todos los datos encontrados son muy probablemente fiables.
CONTRAMEDIDA: SEGURIDAD EN EL DNS
Desde la perspectiva de configuracion de un host, debera restringir las transferencias de zona a usuarios autorizados.
En BIND, en el archivo named.boot, podra utlilzar la directiva xfernets para imponer este tipo de restricciones.
En windows para restringir las transferencias de zona de un dns de mocosoft, activando notify aplicara la restricciones.
En la red puede activar un cortafuegos, o un router que filtre el puerto 53 tcp.
Como las transferencias de zona son tcp, desbarataremos sus planes.
Asi conseguiremos que el que intente transferirselas, se quede con las ganas puesto que las consultas son udp, y las transferencias tcp jejejeje.
Ademas como ya sabemos, deberemos de configurar el dns, para que solo ofrezca nombres de maquinas, que esten conectadas a internet directamente.
Los archivos HINFO mejor nop, no los useis son peligrositos, puesto que facilitan la deteccion mediante el empleo de programas, de sistemas potencialmente vulnerables.
Y aunque os sepa a poco luego sigo con mas molla. Ala salud y
"que la fuerza os acompañe". :0=
pd. me via fumar uno gordiiiiiiiiisssiiiiiiiiimmmmmmoooooo.
RECONOCIMIENTO DE LA RED.
Ahora que ya tenemos identificadas redes de la empresa, empezamos a utliizar el traceroute o tracert en windows, para identificar las rutas de acceso potenciales.
La herramienta de diagnostico traceroute, le indica la ruta que sigue un paquete ip desde un host al siguiente hasta llegar a su destino.
utiliza un ttl para obtener un mensaje icmp time_exceeded de cada router, de esta forma el campo ttl se vuelve un contador de saltos.
Esto nos permitira, descubrir la topologia de la red empleada por la red de la empresa,la red formada por el gateway, cortafuegos y sistemas conectados a internet o qeu hagan uso de las listas de acceso de un router, con los dispositivos de enrutamiento de su isp, ademas de identificar cortafuegos basados en aplicacion, o routers con filtracion de paquetes.
Con el mandato host anteriormente hemos visto los registros mx comparandolos con los registros del traceroute veremos que seguramente como minimo concuerda uno, el cual va a ser un host activo de la empresa y el salto anterior a el, el router frontera de la empresa.
Tambien podria ser un firewall o algun sistema de filtrado.
Aunque aun no lo sabemos con seguridad generalmente esto suele ser asi.
En un entorno mas complejo, puede haber multiples rutas, dispositivos de enrutamiento con multiples interfaces tipo teldat, cisco 7500 y cosas asi, y cada interface puede tener distintas listas de acceso, cosa que dificultara el trabajo del traceo puesto que no dejara pasar las peticiones, aunqeu en muchos casos si lo hara.
Asi pues es importante asignar la red completa utilizando traceroute.
Despues de indagar mucho los sistemas de la red empezaremos a poder tener una vision mas amplia del diagrama de red, del gateway de internet y los sistemas que estan utilizando las listas de control de accesos. Esto es comunmente llamado diagrama de ruta de acceso.
y mañana sigo que no tengo mas ganas, y sino que lo siga alguien ala jajajajajaa saludoooooossssss es que llevo un dia largo caluroso y joio y me desganao, que le vamos a hacer me desganao
Conviene explicar que lo mas normal es que las medidas de filtrado paren nuestros paquetes. Lo que hay que hacer es ver qué tipo de paquetes bloquea, si icmp o udp, de todas tambien esta la posibilidad de que permitan el paso de paquetes encaminados a su dns como consultas, puerto udp 53, puesto que muchas empresas permiten en sus dns consultas entrantes.
Ejemplo :
traceroute -S -p53 (ip victima), en este caso los paquetes habran pasado felizmente por entre los dispositivos de control de acceso.
Al hacer este tipo de sondeo no se reciben paquetes normales de icmp no alcanzado, sino que no se recibira ningun paquete cuando alcance su destino final, con lo cual no veremos aparecer un host cuando llegue al final.
Si preferis el modo grafico visualroute va mu bien, aunque hay muchos programas que hacen esto. Existen tecnicas adicionales que te permitiran determinar las ACL especificas para dispositivos de control de acceso dados.
La tecnica Firewall protocol scanning es una de ellas y la trataremos mas adelante.
Contramedidas
Frustrar el reconocimiento de la red.
Muchos programas IDS detecten estos tipos de sondas d reconocimiento de la red, como tdetect q registra mediante logs cualquier paquete udp icmp con ttl 1.
También podemos generar respuesta falsa con RotoRouter q además registra las peticiones .
En nuestros sitios web habría q emplear una seguridad q nos permitiera config los routers para limitar el trafico udp e icmp a ciertos sistemas .
Estas herramientas y tecnicas eran las mas comunes hace unos cinco años pensad q como si digeramos esta es la manera mas pura de rastrear, y que todos los dias aparecen nuevas tecnicas y programas .
Todas estas tareas se deberían automatizar con shells y scripts expect o programas perl.
Habra por tanto q vigilar los accesos si se quiere llevar un control de seguridad.
EXPLORACIÓN .
Ya hemos merodeado en busca de información y ahora nos disponemos a empezar a buscar posibles vias de entrada.
Hemos conseguido 1 lista de direcciones ip y de red utilizando las transferencias de zona y las consultas whois.
Estas tecnicas nos han proporcionado nombres de empleados, num de telf, rangos ip, servidor dns y servidor de correo.
Ahora veremos los sistemas que se encuentran activos y cuales son accesibles desde internet, mediante el uso de barridos ping, exploracion de puertos y programas de busqueda automatizadas.
:0=
estoy editando los post y cambiando cosillas que creo que asi se ven mas claras. Un saludo buenos dias. Ademas ire añadiendo a los post que empieze y no tengan un tamaño mas o menos como los anteriores.
R3D5KULL
19-05-2006, 17:06
Sigue posteando poco a poco, me estoy copiando tus post y arreglandolos, cuando termines, y por tanto yo los haya corregido todos, lo colgamos entero corregido. Contacta conmigo a traves de privado.
Muchas veces nos encontraremos como deciamos, servidores de nombres que transfieren sus zonas e incluso una lista con direcciones ips. Dado que ciertos rangos de direcciones ip no son direccionables en internet, tendriamos muchos problemas para conseguir acceder a las mismas.
Tendremos pues que seguir recompilando informacion en la fase de exploracion.
Un paso basico en la exploracion son los barridos ping, le asignamos un rango de direcciones ip y bloques de red a una utlidad que nos lo hara mas sencillo que es fping.
Fping fue diseñada para ser usada en una scripts de shell con gping.
Con gping generamos una lista de direcciones ip que se introduce en fping para determinar que sistemas estan activos. Tambien podremos realizar esta tarea con nmap.
Cuando encontremos el trafico icmp bloqueado en el router frontera de la empresa, lo mejor es que exploremos los puertos que las maquinas que estan conectadas que hemos visto anteriormente tienen a la espera.Para determinar si el sistema esta activo lo mejor es utilizar nmap y su opcion para hacer un ping tcp al puerto 80, puerto que los routers tendran abierto al igual qeu los sistemas activos, y tambien veremos si bloquea icmp. En general haremos lo mismo con los puertos mas comunmente usados como 25,110,143,23.....tambien y mediante hping conseguiremos pasar muchas reglas de filtrado y dispositivos de control de acceso dado que podremos fragmentar los paquetes, cosa a la cual la mayoria de controles de acceso dejaran pasar. Esto es debido a que no manejan correctamente estos paquetes fragmentados y entonces los dejan pasar.
buenas no he posteado durante estos dias porque no me funcionaba el foro no se a vosotros pero yo no podia acceder mañana sigo con lo que ando.
seguimos
CONTRAMEDIDAS PARA BARRIDOS PING
Como se ha visto los barridos ping en redes son una muy buena herramienta, para saber cuales de los equipos encontramos activos despues de indagar que servicios ofrecen y que puertas vamos a usar meidante la exploracion que hemos hecho.
Los programas IDS basados en red, nos ofreceran una manera de deteccion de los mismos, como bien sabeis tambien se puede generar codigo para detectar este tipo de barridos.
#ICMP/Ping flood detection
ping_schema = library_schema:new( 1, [ "time", "ip", "ip", "ethmac",
"ethmac" ],
scope ( ) ) ;
count = 0;
maxtime = 10;
maxcount =5;
dest = 0;
y etc que no voy a desarrollar del todo buscar y aprender a programar estas cosillas que es sencillo.
Si detectamos ICMP ECHO desde un sistema o red determinados es posible que nos esten haciendo un reconocimiento de red desde nuestro sitio web. Por tanto convendria controlar estas cositas.Tendremos pues que evaluar el tipo de trafico ICMP que permiten nuestras redes, que yo sepa en la actualidad existen 18 tipos de ICMP, con lo cual a mirarlo to muy bien.
Tendremos que presentar especial atencion a las necesidades de la empresa, segun que tipo de trafico ICMP necesite deberemos controlarlo pero no cortarlo , y cortar eso si el restro de trafico de este tipo a ser posible con un firewall de hardware. Una solucion puede ser permitir unicamente el paso de la red DMZ de paquetes ICM ECHO_REPLY, HOST UNRECHABLE Y TIME EXCEEDED. Ademas deberiamos de limitar como siempre las ACL para asegurar bien y si es posible el trafico ICMP para direcciones ip especificas de nuestro ISP. Esto dificultara los barridos a sistemas conectados directamente a internet .
Aunque ICMP nos permite diagnosticar problemas de red, tambien si esta habilitado en nuestro gateway o router frontera, permitira que los atacantes pueda hacer una negacion de servicios a nuestra red, incluso si quieren podran ocultar paquetes en ICMP ECHO usando programas como loki, este programa se puede encontrar en la pagina de phrack.com.
Otro concepto importante es pingd, fue desarrollado por Tom Ptacek y pasado a linux por Mike Schiffman, es un demonio de usuario que gestiona a nivel de host todo el trafico ICMP_ECHO e ICMP_ECHOREPLY, esto se consigue eliminando la compatibilidad del procesado ICMP_ECHO, desde el nucleo e implementaun demonio de usuario con un socket ICMP en bruto para manejar los paquetes. Esto proporcionara al administrador un sistema de control de acceso a nivel de sistema para ping.
CONSULTAS ICMP
Los barridos ping es una minima parte en lo que se refiere a la informacion que ICMP da.
Con icmpquery o icmpush, puedes solicitar desde la hora del sistema y ver en que franjacion horaria esta, hasta la mascara de red de un dispositivo en concreto, con lo cual podriamos saber cuantas subredes o redes engloba la misma y evitar asi las direcciones de difusion
CONTRAMEDIDAS PARA ICMP
La contramedida a utilizar es evitar que los router frontera tales como los cisco de la empresa, acepten en su red paquetes TIMESTAMP y ADDRESS MASK utilizando las ACL para ello.
ejemplo al canto.
access-list 101 deny icmp any any 13 ! peticion de estampacion de hora
access_list 101 deny icmp any any 17 ! peticion de mascara de direcciones
esto en los routers cisco por ejemplo impediria estas peticiones y como bien dice clarinetista si no se aplica a la interfaz como si oyes caer agua, y se podria usar tambien la opcion established para hacer esto.
EXPLORACION DE PUERTOS
Teniendo la informacion necesaria ya podemos empezar a explorar los puertos UDP y TCP del sistema escogido para ver que servicios hay y cuales de los puertos estan LISTENING.
De esta manera podremos identificar programas utilizados por esos puertos y al juntar toda la informacion conseguiremos identificar el sistema operativo.
De esta manera tambien podremos intentar encontrar fallos en los programas a la escucha y en uso, e incluso malas configuraciones de los mismos que permitan a usuarios no autorizados entrar en el sistema.
Asi conseguiremos ver cuales son las vias de entrada potenciales del sistema ;-)
Los pasos a seguir en una exploracion de puertos son:
Identificar los servicios UDP y TCP que se ejecutan.
Identificar el sistema operativo.
Identificar versiones y aplicaciones especificas de cada servicio.
Un pionero en la exploracion de puertos fue FYODOR con Nmap.
EXPLORACION DE CONEXIONES TCP.-
Este tipo de exploracion conecta con el puerto y ejecuta el acuerdo de tres vias (SYN, SYN/ACK Y ACK).
EXPLORACION TCP SYN.-
En esta no se realiza una conexion tcp completa, por ello recibe el nombre de semiabierta.
Se envia paquete SYN y si se recibe paquete SYN/ACK podemos decir que esta "listening".
Si se recibe un RST/ACK el puerto no esta a la escucha.
Enviaremos entonces un paquete RST/ACK para no realizar nunca una conexion completa.
EXPLORACION TCP FIN.-
Enviaremos un paquete FIN al puerto objetivo y segun el RFC 793, el sistema objetivo devolvera un RST para todos los puertos que esten cerrrados.
Esta tecnica nos funcionara en sistemas like Unix.
EXPLORACION ARBOL DE NAVIDAD TCP.-
Esta tecnica se utiliza para enviar paquetes FIN, URG Y PUSH al puerto objetivo.
El sistema objetivo devolvera un RST para todos los puertos cerrrados.
EXPLORACION NULA TCP.-
Esta apaga las flags y nos devuelve un RST para todos los puertos cerrados.
EXPLORACION UDP.-
Enviaremos un paquete UDP al puerto objetivo y si el mismo nos contesta con un ICMP no alcanzable significara que el puerto esta cerrado, si no hubiera respuesta tendriamos ahi un puerto udp abierto.
Como este tipo de puertos tiene un protocolo sin conexion, dependera la fiabilidad de la misma del tipo de uso que se este dando a los recursos del sistema y de la red.
Por otra parte se enlentecera muchisimo si existe algun tipo de filtrado de paquetes.
Algunas instalaciones IP devuelven a todos los puertos escaneados un RST, con lo cual los resultados obtenidos podran variar considerablemente.
Utilizar herramientas como Strobe, Udp_scan, Netcat en unix y linux,
en windows tenemos PortPro, Portscan y netcat que no hace bien la exploracion UDP en sistemas NT.
CONTRAMEDIDAS PARA LA EXPLORACION DE PUERTOS.
Detectar una actividad de scaneo de puertos es importante para la seguridad puesto que nos proporcionara informacion del atacante y de sobre que puertos esta dirigiendo el mismo, podremos utilizar programas IDS basados en red para detectarlos, NFR o mecanismos basados en host nos podran ayudar en nuestra labor.
Deberemos buscar cortafuegos que no solo tengan opciones especificas para detectar exploraciones SYN sino tambien las FIN puesto que muchos ignoran estas ultimas siendo un grave fallo de seguridad.
En windows BlackIce nos ayudara a controlar los scaneos de puertos y los intentos de intrusion por los mismos, reportandonos informacion critica del atacante como pueda ser su ip y su nombre dns.
En la medida de lo posible (puesto que el puerto 139 en windows da muchos servicios) intentaremos dejar unica y exclusivamente activos los servicios necesarios para nuestro trabajo diario, en resto de servicios deberiamos desactivarlos para evitar asi riesgos innecesarios.
DETECCION DEL SISTEMA OPERATIVO.
Hemos identificado los puertos y ahora el sistema operativo con su version.
Rastreo de pilas .-
El rastreo de pilas es una tecnica que nos ayudara a identificar cual es el sistema operativo instalado en la maquina.
A la hora de escribir las pilas tcp/ip los fabricantes interpreta a su manera la normativa RFC, con lo cual si identificamos las diferencias podremos saber casi a ciencia cierta cual es el sistema operativo.
Con programas como nmap podremos siempre que haya un puerto a la escucha acertar cual es el sistema, aun asi explicare cuales son los diferentes sondeos que podemos hacer:
Sondeo FIN.-
Se envia un paquete FIN a un puerto, el comportamiento correcto del sistema seria no responder pero sistemas como NT responderan con un FIN/ACK.
Sondeo Bogus Flag.-
Se introduce un flag TCP (bandera tcp) indefinida en la cabecera TCP del paquete SYN. Sistemas operativos como linux responden con esta misma bandera en su paquete.
Valor ACK.-
Las pilas IP no son iguales en el valor de la secuencia del campo ACK, por lo que algunos responderan con el mismo desarrollo que han recibido y otros con el numero de secuencia mas 1.
Apagado del mensaje de error ICMP.-
Los sistemas se ajustan al RFC 1812 quedando asi limitada la velocidad con la que se envian los mensajes de error, al enviar paquetes udp a un puerto con un num aleatorio alto, podremos contar los mensajes recibidos no contestados en un tiempo x.
Muestreo de numero de secuencia inicial (ISN).-
Cuando se responde a una solicitud de conexion intentaremos encontrar un patron en la secuencia inicial elegida por la implementacion TCP.
Gestion de fragmentacion.-
Cada pila trata de manera diferente la superposicion de fragmentos, algunas pilas escriben datos nuevos encima de los viejos y al reves, cuando recomponen los fragmentos, si miramos como se recomponen los paquetes de sondeo sacaremos mas infomacion sobre el sistema operativo en concreto.
Tipo de servicio.-
El TOS se puede analizar en los mensajes de respuesta tipo ICMP UNREACHABLE
Citado de mensajes ICMP.-
No todos los sistemas coinciden en la cantidad de informacion que dan cuando lanzan un mensaje de error ICMP, con los datos que da podremos sacar conclusiones de cual puede ser el sistema operativo.
Supervision de bit no fragmentado.-
Algunos sistemas para optimizar rendimientos activan el bit no fragmentado, con lo cual estando atentos a ese bit podemos saber si es de los que lo activan.
Tamaño de ventana inicial TCP.-
En los paquetes de respuesta el tamaño de la ventana inicial , que en algunas pilas es unico tambien nos ayudara en nuestra labor .
Integridad de eco de mensaje de error ICMP.-
Algun desarrollo de pila puede alterar la cabecera IP al devolver mensaje de error ICMP. Examinando la cabecera podremos intuir cual es el sistema operativo.
Nmap utiliza estas tecnicas mediante la opcion -o
CONTRAMEDIDAS DETECCION SISTEMA OPERATIVO.
Al igual que nmap y queso pueden averiguar estos datos tambien puede detectar si se esta intentando en nuestro sistema y avisarnos, por ejemplo si se esta utilizando banderas SYN.
En cuanto a intentar ocultar la informacion y que no dijera que sistema operativo es dando pistas de una manera u otra es casi imposible y afectaria si lo intentaramos al funcionamiento del sistema negativamente, puesto que cambiariamos las caracteristicas unicas del seguimiento de pila.
Hasta ahora hemos visto todas las tecnicas necesarias para barridos ping (tcp, icmp) exploracion de puertos y identificacion de sistemas operativos.
Mediante los barridos ping identificamos los sistemas que estan activos y los objetivos potenciales.
Mediante la exploracion tcp udp identificamos los servicios que hay a la escucha.
Y por ultimo hemos visto como identificar el sistema operativo del sistema objetivo.
Con toda esta informacion critica ya podremos empezar a ver como se desencadena un ataque bien dirigido.
ENUMERACION.-
Existen varias formas de extraer nombres de recursos exportados y cuentas de usuario validas.
La diferencia entre la recopilacion que haciamos con las tecnicas hasta ahora descritas y las tecnicas de enumeracion es que en las primeras no existe una conexion real al sistema y no quedan registrado nada, si lo haces medianamente bien, ahora bien, con la enumeracion nuestros pasos deberian de quedar registrados.
En el momento en que un tio consiga averiguar un nombre de usuario de una cuenta valida del sistema o el nombre de un recurso compartido, solo sera cuestion de tiempo que consiga la clave de acceso, tambien solo sera cuestion de tiempo que identifique algun fallo en el protocolo de comparticion de recursos. Si cerrramos las vias de acceso le quitaremos una pata a la mesa del tio en cuestion.
En la enumeracion el tipo de informacion que un hacker buscara seran, recursos de red y recursos compartidos, usuarios y grupos, aplicaciones y mensajes.
Llegados a este punto y con la informacion que habiamos conseguido anteriormente, aplicaremos tecnicas especificas para cada sistema operativo utilizando esta informacion que tenemos.
WINDOWS EN GENERAL.-
Desgraciadamente windows nt, 2000 y 2003server, no se diseñaron para la privacidad, sino todo lo contrario, para dar a quien sepa buscarla toda la informacion necesaria.
Con el comando net view podemos identificar los dominios disponibles en la red,enumerar las maquinas de un dominio etc.
Casi todas las tecnicas usadas en la enumeracion van a sacar partido de un fallo de windows, permitir a usuarios anonimos conectar y enumerar determinados recursos sin tener permisos.
Una conocida vulnerabiliad de windows es redbutton, conexion de sesion nula o inicio de sesion anonima.
NET USE \\(ip de destino)\IPC$ " "/USER: " "
La linea anterior conecta con la comparticion de las comunicaciones ocultas entre procesos (IPC$) en la ip de destino mendiante un usuario anonimo con una contraseña nula.Si esto funciona en ese momento tendra un canal abierto por el que extraer mucha informacion critica de nuestros sistemas.
esto se puede corregir no del todo pero si un poco para que no de tanta informacion,
ejecutamos regedt32
buscamos HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\LSA
Seleccionamos edicion|agregar valor e introducimos los siguientes datos.
Nombre de valor:RestrictAnonymous
Tipo de dato: REG_DWORD
Valor:1
Salimos del editor y reiniciamos para que lo cargue y listo.
Incluso en sistemas como windows 2003 server este valor esta a 0, existe la clave pero el valor no es correcto, tendremos que ponerlo en valor 1.
Aun asi programas como sid2user se saltan estos filtrados.
Una vez que tenemos abierta una sesion nula, volvemos a utilizar net view para ver los recursos compartidos en la maquina.
Con herramientas como DumpACL enumeraremos cuentas compartidas y muchas mas cositas claro.
Esta herramienta audita desde los permisos en el sistema de archivos hasta los servicios disponibles en sistemas remotos.
Tambien utilizaremos scaner de NETBIOS como legion para scanear recursos compartidos en redes enteras.
Apartir de aqui podriamos usar programas de fuerza bruta para intentar conectar con un recurso compartido.
CONTRAMEDIDAS.-
La manera mas sencilla de evitar que se filtre toda esta informacion es filtrando todos los puertos tcp y udp desde el 135 al 139 en los dispositivos de acceso de red perimetrales.
Tambien vendria bien desactivar los enlaces NetBios de la interfaz en la ficha enlaces pertenecientes a la aplicacion de red del panel de cotrol de red.
Por ultimo y como deciamos antes resolveremos el problema de las vulnerabilidades de sesiones nulas.
GRUPOS Y USUARIOS.
Al igual que para enumerar los recursos compartidos, para enumerar usuarios y grupos iniciaremos una conexion nula, para ejecutar las herramientas necesarias.
Mediante nbtstat -A (direccion ip del sistema) (ver help nbtstat) enumeraremos los usuarios y grupos a los que pertenece la maquina y los que tiene conectados.
La mejor herramienta para enumerar grupos, usuarios, politicas y permisos de usuarios es DumpACL
c:\>>dumpacl /computer=\\(ip de destino) /rpt=useronly /saveas=tsv /outfile=c: \temp \users.txt
con esta linea de comando desde la consola de sistema hacemos que DumpACL nos muestre informacion relativa a los usuarios de un sistema remoto, exportandolo a un txt.
Los sistemas NT en su instalacion emiten un numero de logitud variable SID de seguridad. Una vez identificado un SID de un dominio, para ello utililzaremos programas como user2sid, se podran utilizar para enumerar los nombres de usuario.
c:\>>user2sid \\(ip destino) "domain users"
S-1-7-23-8915389-1645823063-1918254000-513
Number of sbauthorities is 7
Domain is WINDOWSNT
Length of SID in memory is 28 bytes
Type of SID is SidTypeGroup
Aqui vemos en la respuesta el SID de la maquina, cuya cadena de caracteres comienza con el identificador S-1, la cadena numerica que sigue al ultimo quion es la cadena de indentificador relativo RID y es la predefinida para los grupos de usuarios predefinidos de windows tales como los grupos de invitados, administradores,etc. Asi el RID del administrador es 500, el de un usuario invitado 501 etc. Asi pues podremos añadir a una cadena SID conocida un RID 500 para encontrar el nombre de la cuenta de administrador, por si este ha cambiado de nombre.
c:\>>sid2user \\(ip destino) 7 23 8915389 1645823063 1918254000 500
Name is Ares
Domain is WINDOWSNT
Type of SID is SidTypeUser
Asi pues y sabiendo que a cualquier cuenta creada en un dominio NT se le asigna un RID 1000 y el siguiente objeto creado posteriormente recibe el siguiente RID libre, podremos enumerar todos los grupos y usuarios alojados en el sistema.
Ademas estos programas se saltaran RestrictAnonymous, pudiendo enumerar puesto que estos RID no se repiten, todos los grupos no solo que hay sino que habian antes tambien, claro esta siempre y cuando pueda acceder al puerto 139.
En el agente snmp se podria acceder utilizando cadenas como public, con snmputil podremos enumerar los usuarios.
c:\\snmputil walk (ip de destino) public .1.3.6.1.4.1.73.2.1.25
el "25" que es el ultimo parametro de la sintaxis anterior es el identificador de objeto (OID) el cual especifica una rama determinada de la base de datos de informacion de administracion o (MIB) de microsoft, esto es un espacio gerarquico en el que cuanto mas se asciende en el arbol, se obtienen mayores cantidades de informacion.
Lo normal es usar cadenas de texto equivalentes puesto que recordar estas ristras de numeros es un lio,
.server.svSvcTable.svSvcEntry.svSvcName........... ....................(servicios en ejecucion)
.server.svShareTable.svShareEntry.svSharePath..... .........................(ruta de acceso compartidas)
y unas cuantas bastantes mas que no voy a enumerar, si quereis ampliar esto buscarlo en internet que lo encontrais rapido.
De todas siempre podras utilizar herramientas tales como el IP Network Browser que es en definitiva un explorador SNMP.
CONTRAMEDIDAS SNMP.-
Lo suyo seria si podemos detener el agente SNMP, si no podemos siempre podemos hacer lo siguiente:
evitar que "public" este habilitado ya que no es un nombre de comunidad privado,
utilizar nombres de comunidad privados he impedir que otros nombres puedan mostrar informacion relevante, tales como public.
cambiar ciertas claves del registro podria ser muy beneficioso si es el caso que no podamos detener el agente SNMP.
Para ello ejecutaremos regedt32
en la clave HKLM\System\CurrentControl-Set\Services\SNMPParameters\ValidCommunities elegir Security|Permissions y luego definalos para permitir solo el acceso a usuarios autorizados.
despues abrimos HKLM\System\CurrentControlSet\Services\SNMP\Parame ters\ExtensionAgents borraremos el valor que contiene la cadena LANManagerMIB2Agent y renombraremos numericamente el resto de cadenas de manera que si esta era la numero uno la siguiente a el pasaria a ser ahora la uno y sucesivamente.
Si estamos usando SNMP para gestionar la red tendremos que asegurarnos de bloquear los puertos udp y tcp numero 161 y 162 a todos los dispositivos de acceso a red perimetrales.
deberiamos tambien prestar atencion especial a los puertos 135 y 139 .
TELNET.-
Es un mecanismo mediante el cual podemos obtener informacion sobre aplicaciones y enumerar mensaje
telnet www.(dominio.com)80
HTTP/1.0 400 Bad Request
Server: Netscape-comrce/1.12
Your browser sent a non-HTTP compliant message
Esto funciona en las aplicaciones normales que responden al puerto, tales como http puerto 80, smtp puerto 25, ftp puerto 21, etc.....
Asi conseguiremos gran cantidad de informacion de los servidores windows.
Utilizando netcat podremos conectar con un puerto TCP/IP remoto.
c:\>>nec -v www.(dominio.com) 80
www.(dominio.com) [ip del dominio] 80 (?) open
La respuesta a la instruccion anterior seria
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/4.0
Date: Mond, 06 Apr 2006 10:45:00 GMT
Content-Type: text/html
Content-Length: 87
<html><head><title>Error</tilte></head><body>El parametro es incorrecto. </body>
</html>
Conseguiriamos con esto como se ve claramente saber cual es el fabricante y la version del servidor web, ahora aplicando las tecnicas necesarias para la plataforma implementada, se aprovecharan las rutinas hasta tener la respuesta que esperarmos.con DumpACL podremos como todos bien sabemos, puesto que todos los programas dejan su huella en el registro, extraer el contenido del registro de windows de la maquina atacada, para buscar las aplicaciones que hay instaladas.
Con DumpACL conseguiremos enumerar todos los servicios de Win32 y el controlador del nucleo del sistema.
Ademas en la medida de lo posible, intentaremos introducir punteros a puertas traseras.
CONTRAMEDIDAS.-
Las aplicaciones criticas deberiamos de restringir la forma en la que dan informacion, buscando pues la manera de conseguir que no la den.
Ya que disponemos de netcat y tenemos tambien scan de puertos no estaria mal hacerles una auditoria a los sistemas, asi veremos la misma informacion que vea el atacante y nos sera mas facil ir restringiendola.
Nos aseguraremos tambien de que el registro no es accesible en forma remota, analizaremos pues la clave del registro
HKLM\SYSTEM\CurrentControlSet\SecurePiperServers\w inreg
y todas las subclaves asociadas a la misma.
Esta clave denota qeu el resgistro de windows esta restringido en forma remota para los administradores.
luego sigo que tengo lio pero hoy posteo mas seguro. Un saludo esto se va liando que es lo que a mi me gusta jejejeje.
:0=
buenos dias ya estoy de vuelta, pero estoy mu cansadito y mañana seguiremos con el manual de marras que va mu bien, jajajaja muuuuuu bien, he de deciros que no lo explico todo, espero que seais avispados y os deis cuenta de la cantidad de cosas que se pueden hacer con estas tecnicas, no solo el camino que estoy tomando, indagar y vereis que se pueden hacer mas cosas de las que digo, pero es que como pa fiarse que lo meten en la carcel a uno como se descuide.
bien por fin esta esto otra vez funcionando pues nada no tardo en subir moya
lo siento estoy muy liado espero terminar para la semana que viene y poder seguir posteando. Lo siento mucho pero no penseis que desisto, en tas que tenga tiempo sigo, pero no puedo por ahora que tengo mucho curro. Un saludo y disculpame R3D5KULL enseguida seguiremos con el lio. Asias y hasta pronto
ya toy aqui de nuevo encantado de estar con vosotros como siempre.
Prosigamos
esto sigue amigos si mirais encontrareis que he editado el post del 21/05/06 y he metido mas cositas, luego seguire metiendo que llevo retraso, un saludo. :-)
j8k6f4v9j
14-09-2006, 20:53
Hummm, eso de la contramedida icmp... supongo que se trata de c
No sabía que pudiera ser tan simple, gracias por la info
Salu2
pa ezo estamos compy todos aprendemos de todos, y os lo agradezco
ejemplo al canto pa que no digas que no
access-list 101 deny icmp any any 13 ! peticion de estampacion de hora
access_list 101 deny icmp any any 17 ! peticion de mascara de direcciones
esto en los routers cisco por ejemplo impediria estas peticiones.
j8k6f4v9j
14-09-2006, 21:28
hummm, ya probaré, mi sistema es un tanto especial xD
Gracias
Salu2
clarinetista
14-09-2006, 23:01
Vale, pero luego no te olvides de decir que debes aplicar la ACL en la interfaz correspondiente, si no es como si nada. :)
Un saludo
clarinetista
14-09-2006, 23:16
Otra cosa que se me olvido poner en el post de antes.
Tambien es una facil medida de seguridad es aplicar un established en la configuracion del router,(aunque no se si esto es factible en otra serie de routers que no sean de la marca Cisco), ya que deniega una conexion "no requerida" por la propia red.
eres la puta maquina clarinetista me mola jajajajajaja tu me entiendes, encuentro poca peña que me plantee retos, y desde que entro en este foro, vosotros sip jajajajaja encantado de volver a estar con vosotros, me siento como en casa de verdad, es un honor y un lujo compartir lo que se con vosotros, gracias por todo. pd. (no se puede decir todo tio hay que dejar que la gente desarrolle su parte) y el que no no se entera.
La semana que viene dejare de postear unos dias el manual, tengo que ir a barcelona a ver si me siguen ofreciendo curro en filipinas que mi voy si tal.
Un saludo mas, es que me emocionao y me apetecia contaroslo
Por cierto se me olvido en los routers teldat tambien es factible poner established
:0=
vaya un susto, digo les ha disgustado tanto que sin decir ni pio lo han quitado el manual, con lo que me esta costando y sin copia q voy a pelo, que susto por dios
clarinetista
20-09-2006, 01:40
Jaja, sorry hail lo pensaba explicar ahora, lo hemos movido porque esta seccion era mas adecuada para el mismo :)
De todas maneras haz copia porque lo pondremos en la ezine.
jajajajaj si no pasa na si con mirar mis post y buscarlo lo encuentro jajajajaja pero si que tengo que hacer copia porque voy como las cabras y lo hago de cabeza mientras curro y demas.Hago copia y la depuro cuando vaya por la mitad, que esto es largo como un dia sin pan........ por cierto es un honor colaborar en uno de vuestros proyectos que es la ezine, asias por todo.
hail.... fantastico , te felicito, no se que decirte.. la verdad genio..
yo soy nuevo en linux llevo 2 dias, y barbaro.. hay cosas que aun no comprendo por que para uds. ya esta asimilado pero.. con paciencia lo hare..
te paso un dato
http://www.dnsstuff.com/
en este link encontras una web con toda la info, trace, email , ciudad.. en fin todo lo que buscas o manifestaste esta en una sola web..
espero les sirva...
Yo sigo aprendiendo de ti...
gracias
Pepe69
la informacion es de todos y tambien la responsabilidad de no hacernos propietarios de ella, sino divulgar todo conocimiento que pueda ayudar a los demas. Salud señores, entre todos aprenderemos siempre mas.
Entre en la pag y si que engloba muchas de las tecnicas de exploracion sip, esta bien esa pag si.
oye no tendreis curro pa mi verdad? jajajajaja qeu estoy hasta los huevos de dar vueltas por España y ahora quieren hacerme internacionas, y como que no jajajajaja busco curro jajajajajajaja busco........................es que mi novia y los dos crios a filipinas como que no jajajjajajaja bueno dejo de dar el follon pero va en serio
ya he vuelto de Barcelona que me fui a currar una semanita, el lunes sigo con el manual, buenos dias
aqui os dejo lo que llevo por ahora posteado del manual corregida la ortografia y juntado todo en uno para seguir editandolo y que no este en mil post. Un saludo.
Buenas como veo a mucha gente perdida en esto a ver si así os aclaro un poco.
todo esto lo voy a ver desde el lado bueno de la fuerza, intentando resolver los problemas, que un hacker puede crear en nuestras redes, es decir desde el lado del técnico en seguridad que intenta resolver todos los ataques, y para ello tiene que explicar como se ejecutan y como se contrarrestan.
Vayamos por pasos, empecemos enumerando
1-Identificar el problema.
EN esta parte voy a explicar como un hacker antes de entrar en nuestros sistemas, tiene que recompilar mucha información y como se puede hacer de forma fácil para que le sea difícil recompilarla.
2- Hack del sistema
Aquí explicare como después de recompilar la información necesaria se empieza a atacar el sistema. Esto abarca a todos los sistemas operativos y todos sus agujeros.
Incluiremos también como borran todas sus huellas los que saben y como dejan brechas casi invisibles en nuestro sistema para entrar cuando quieran.
3- Hack a la red
Aquí detallare como se puede hacer uso de dispositivos tales como servidores de acceso telefónico, routers, cortafuegos, vulnerabilidades en protocolos de bajo nivel como el x25.
Explicare como echar un candado hermético a tu red para solucionar estas posibles brechas.
4- Hack del soft.
Examinaremos aquí las aplicaciones que nos llevan de cabeza a los técnicos en seguridad informática, tales como por ejemplo programas de control remoto, puertas traseras, software de servidor de red y demás brechas potenciales de los mismos.
Como esto no va a ser cosa de diez minutos iré poniendo cada apartado, cada semana, así también me da tiempo a repasar mis apuntes a mí que no soy dios y siempre aunque se sepa hacer se debe consultar en los apuntes.
Un hacker antes de nada, cuando quiere atacar un sistema en concreto o una red, tiene que recompilar gran cantidad de información de la estructura intranet/extranet y de los sistemas de seguridad implementados en ellos.
Internet desde el principio fue diseñado para ser funcional, dando más información de la necesaria a quien sepa encontrarla.
En este apartado os vamos a enseñar como y donde se recompila esa información tan valiosa para poder llevar a cabo un buen ataque y como hacer para que sea mas difícil para el mismo recompilarla.
Un atacante puede recompilar una cantidad desconocida y reducirla a una extensión especifica de nombres de dominio, bloques de redes y direcciones IP individuales de sistemas conectados directamente a Internet, mediante una combinación de herramientas y técnicas.
Veamos la información critica que un atacante puede recompilar día a día de nuestros sistemas de seguridad y redes implementados.
DE INTERNET.
Nombre de dominio, bloques de red, direcciones IP especificas de sistemas vía Internet, servicios TCP y udp funcionando en cada sistema, arquitectura del sistema,
mecanismos de control de acceso y listas de control de accesos relacionadas(ACL),sistemas de detección de intrusión(IDS), enumeración del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, información SNMP.)
DE INTRANET.
Protocolos de red en uso (ip, ipx, decnet), nombres de dominio internos, bloques de red, direcciones IP especificas de sistemas disponibles vía intranet, servicios TCP y udp funcionando en cada uno de los sistemas, arquitectura del sistema, mecanismos de control de acceso y ACL, sistemas de detección de intrusión, enumeración del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, información SNMP.)
DE ACCESOS REMOTOS
Números de teléfono analógico/digital, tipos de sistemas remotos, mecanismos de autentificación.
DE EXTRANET
Origen y destino de la conexión, tipos de conexión, mecanismos de control de acceso.
Veamos como seguir el rastro por Internet.
Todo esto lo voy a empezar guiando para seguir el rastro a una empresa conectada a Internet.
En primer lugar tendremos que decidir si solo vamos a seguir el rastro de esa empresa o si vamos a seguirlo también de todas las que tenga conectadas como podrían ser las filiales.
Lo primero será ir a la página Web de la empresa si la tiene para sacar la máxima información de la misma.
Buscaremos ubicaciones, compañías relacionadas, noticias de fusión o adquisición, nombres de contacto y direcciones de correo, políticas de seguridad y privacidad que indiquen los tipos de mecanismos de seguridad instalados, enlaces a otros servidores Web relacionados con la empresa, ver el código fuente de la Pág. para leer los comentarios puesto que a veces se da información critica en los comentarios.
También buscaremos en Internet información sobre si esa empresa ha tenido ya ataques de seguridad puestos que podría revelar información muy útil para el atacante.
Una vez tengamos cuentas de correo apuntadas buscaremos en usenet correos con el @dominio empresa. Para ver que tipo de comentarios hacen, si están en foros, preguntando dudas sobre sus aplicaciones y sistemas etc.
Finalmente siempre podrás utilizar las búsquedas avanzadas de altavista o hotbot. Aquí puedes encontrar los sitios que enlacen con la empresa objetivo para seguir recompilando información.
Un fallo muy común en empresas que están fusionándose es dar conectividad entre ellas sin mirar la seguridad, en las Pág. de la empresa y las que linkean podemos encontrar este tipo de información además de muchas mas información relevante de la empresa.
La manera de solventar esto es eliminando de las Pág. Web de la empresa cualquier información sobre la misma en el ámbito de la seguridad de la red y de la estructura de la misma, otra cosa a evitar es que los usuarios de la red que gestionamos hagan consultas en foros sobre programas o implementaciones que existan en la red.
ENUMERACION DE LA RED.
El primer paso a dar es identificar nombres de dominio y redes asociadas relacionadas con la empresa en particular. Así constataremos la presencia de la empresa en Internet.
Para enumerar los dominios y empezar a averiguar cosas hacemos una búsqueda whois en los servidores whois de la zona geográfica en la que esta ubicada la empresa.
Dirección IP europea http://ripe.net
direccion IP asiática http://whois.apnic.net
direccion IP eeuu militar http://whois.nic.mil este lo han deshabilitado jajajajaja si es que hace unos años que estudie.
Dirección gobiern.eeuu http://whois.nic.goveste también lo han quitado jodios militares y gobierno de eeuu jajajaja.
Sigue estando esta del gobierno americano mirad
alfredo@linux:~> whois nic.gov
% DOTGOV WHOIS Server ready
Domain Name: nic.gov
Status: Active
Please be advised that this whois server only contains information pertaining to the .GOV domain. For information for other domains please use the whois server at RS.INTERNIC.NET.
alfredo@linux:~>
1 vez q hemos identificado una red entidad u organización, nos vamos a internic o a cualquier base de datos de este tipo, y hacemos 1 consulta whois, de este modo vemos los dominios asociados a la empresa y filiales, pero como bien sabemos no tienen porque estar activos todos, a veces se compran todos los nombres para proteger 1 marca con lo cual, habrá q seleccionar los activos, como bien sabemos internic limita los documentos encontrados asociados a 1 dominio a los 50 primeros, pero en http://www.websitez.com suele asociarse todos los documentos asociados al dominio.
Parece haber cambiado la Pág. websitez pero aquí os dejo un nuevo link jejeje como no.http://www.searchengines.net/websitez_se.htm
realizamos una consulta whois en una consola de sistema poniendo el nombre de dominio de la victima, y nos dará los dns de la misma.
AQUI OS PONGO UN EJEMPLO DE COMO DA INFORMACION ESTO.
Whois juanitoperez.com
Whois Server Version 2.0
Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.
Domain Name: juanitoperez.COM
Registrar: LAGORDA.INC
Whois Server: whois.opensrs.net
Referral URL: http://domainhelp.lagorda.com
Name Server: NS2.juanitoperez.COM
Name Server: NS1.juanitoperez.COM
Status: ACTIVE
EPP Status: ok
Updated Date: 02-Jun-2005
Creation Date: 02-Jun-2005
Expiration Date: 02-Jun-2006
>>> Last update of whois database: Fri, 12 May 2006 07:01:41 EDT <<<
NOTICE: The expiration date displayed in this record is the date the
registrar's sponsorship of the domain name registration in the registry is
currently set to expire. This date does not necessarily reflect the expiration
date of the domain name registrant's agreement with the sponsoring
registrar. Users may consult the sponsoring registrar's Whois database to
view the registrar's reported date of expiration for this registration.
TERMS OF USE: You are not authorized to access or query our Whois
database through the use of electronic processes that are high-volume and
automated except as reasonably necessary to register domain names or
modify existing registrations; the Data in VeriSign Global Registry
Services' ("VeriSign") Whois database is provided by VeriSign for
information purposes only, and to assist persons in obtaining information
about or related to a domain name registration record. VeriSign does not
guarantee its accuracy. By submitting a Whois query, you agree to abide
by the following terms of use: You agree that you may use this Data only
for lawful purposes and that under no circumstances will you use this Data
to: (1) allow, enable, or otherwise support the transmission of mass
unsolicited, commercial advertising or solicitations via e-mail, telephone,
or facsimile; or (2) enable high volume, automated, electronic processes
that apply to VeriSign (or its computer systems). The compilation,
repackaging, dissemination or other use of this Data is expressly
prohibited without the prior written consent of VeriSign. You agree not to
use electronic processes that are automated and high-volume to access or
query the Whois database except as reasonably necessary to register
domain names or modify existing registrations. VeriSign reserves the right
to restrict your access to the Whois database in its sole discretion to ensure
operational stability. VeriSign may restrict or terminate your access to the
Whois database for failure to abide by these terms of use. VeriSign
reserves the right to modify these terms at any time.
The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.
Registrant:
juanito perez SL
juanito perez SL
Murcia, Murcia 30009
ES
Domain name: juanito.COM
Administrative Contact:
etc......
Basándonos en la consulta, el punto de partida + lógico, es nombre de la empresa.com, al hacer 1 consulta sobre el dominio, lo mas lógico es q, entre la información que nos da estén las IPS de los dns del dominio.
Este tipo de consulta nos proporciona mucha información sobre el dominio,
Quien registro el dominio
El nombre del dominio
El administrador
Cuando fue creado y actualizado el registro
Los servidores de nombres (dns)
Llegados a este punto, tendremos q empezar a analizar la información conseguida, en busca de datos necesarios para seguir acercándonos a nuestro objetivo.
Los contactos administrativos son importantes, al igual q los números de TEL. fax y direcciones de email,
Con los primeros es posible identificar al responsable de la conexión del cortafuegos o al administrador, los Telef. y fax son útiles para la revisión de penetración telefónica, los mails nos proporcionan 1 vía de contacto, para intentar colar código, rastrear los mails y post de usuarios de ese dominio en busca de preguntas sobre soft y medidas implementadas para saltarlas, y para intentar engañar a 1 usuario de la red mediante ingeniería social.
Apunta todo esto y empezaras con buen pie.
El buscar todos los dominios relacionados también te puede llevar hasta Pág. Web ilegales dentro del dominio subida por usuarios de la red sin permiso ni control del administrador.
Llegados a este punto y con 1 mail anónimo puedes suplantar la identidad del administrador y engañar a 1 usuario de la red en cuestión que no se entere mucho y hacerle cambiar su contraseña diciéndole q son políticas implementadas por el proyecto de seguridad que sigue la empresa.
Las fechas en las q se crea y actualiza el registro del dominio nos indican si la información recopilada es valida o puede haber cambiado.
Si el documento fue creado hace 2 años y no se ha actualizado nunca es posible q ya no sea el mismo administrador o que la red debido a su crecimiento haya cambiado.
Utilizando la instrucción Server con el registro HST conseguido con 1 consulta whois podrás descubrir los otros dominios para los q esta autorizado 1 servidor dns
Ejecuta 1 consulta whois en tu dominio con 1 whois destino.com
Ejemplo whois Juanitoperez.com
Localiza el primer dns
Haz una consulta a tu dns y ejecuta una consulta whois dirección IP del dns
Ejemplo
whois IP DESTINO
Localiza el registro HST para el servidor dns
Ejecuta consola whois con la instrucción server utilizando whois
server NS9999-HST
CONSULTA DE RED
Ahora q ya tenemos 1 rango de redes suministrado por los anteriores servidores dns , comenzamos 1 consulta para ver las redes reales asociadas al dominio de la empresa .
Para esta consulta volvemos a las bases de datos de arin, ya q internic solo contiene dominios.
En
http://www.arin.net/whois
Aquí veremos cual es el proveedor isp q ha concedido las IPS al dns de nuestra victima.
CONSULTA POC
Como el contacto administrativo puede serlo de varias empresas, realiza 1 consulta poc para intentar descubrir dominios q no encontráramos anteriormente.
Podemos realizar también 1 consulta del tipo @dominio.net para sacar todas las cuentas de correo pertenecientes al dominio.
Consulta el RFC 954-NIC-VALUE/WHOIS
Si pones whois? Te sacara toda la ayuda del mismo.
Para obtener 1 lista completa de los miembros de 1 grupo u organización, o 1 lista de todos los usuarios autorizados de un host ponga delante del nomb. Del host u organización 1 asterisco ejemplo *SRI-NIC
he de aclarar que toda esta documentación y todo lo que voy aclarando no lo se por ciencia infusa, estoy siguiendo mis apuntes y mis libros de los master y cursos que he realizado en seguridad informática.
Que no os extrañe que parte del texto sea muy parecido a algún libro que conozcáis puesto que los profes se guían en ellos y los alumnos y to el que quiere aprender también...
Luego o mañana subo mas, un saludo y espero que os mole, esta parte primera se la dedico a un tío que me ha molao como funciona, parece un tío legal y también parece saber tela.
Un saludo clarinetista va por ustedes.
CONTRAMEDIDAS.
SEGURIDAD EN BASES DE DATOS PÚBLICAS.
Cuando una empresa registra un dominio en Internet, necesita contactos administrativos, bloques de red registrados e información del servidor de nombres autorizado.
Muchas veces el contacto administrativo cambia y es capaz de cambiar la información relativa a la empresa que aparece en estas bases de datos públicas.
Lo primero seria tener esa información bien actualizada y asegurarnos de que sea fiable.
Con los números de teléfono y fax lo que podemos hacer es utilizar números gratuitos o en su defecto sacarlos de la centralita de la red.
Cree una cuenta de administrativo ficticia y así conseguirá que si alguien intenta hacer ingeniería social con alguno de sus usuarios nos ponga en alerta de posibles ataques.
Es importante que el método de autentificación para poder cambiar los datos de estas bases sea mediante contraseña y autentificación PGP. Así evitaremos que nos pase lo de a AOL.
Se me olvidaba si alguien cree que eso se podría explicar mejor o que lo ampliaría así o asao pos pos pos por favor pa eso esta pa que entre tos lo hagamos mas guapo a ver si hacemos algo que incluso nos sirva de verdadera guía a todos.
La siguiente parte va desde la consulta de dns
determinar los registros mx
contramedidas.
Reconocimiento de la red y sus contramedidas y ya paso a la exploración
La bibliografía utilizada es de:
Stuart McClure
Joel Scambray
George Kurtz
Fulgencio Gomez Bastida
Javier Mosquera Vazquez
Antonio Vaquero Sanchez
Cris M. Prosise
Martin W.Dolphin
Richard Stevens
y claro esta mis apuntes cogidos de mis profes.
Después de identificar todos los dominios asociados, empezaremos las consultas al dns.
El dns es una base de datos distribuida, que transforma direcciones IP en nombres (nombres de host) y viceversa.
Si el dns no ha sido muy bien configurado, uno de las posibles fallas que nos encontraremos, es que se permite la transferencia de zonas, a usuarios no autorizados desde Internet.
Las transferencias de zona, permiten al servidor secundario actualizar su base de datos de zona, esto es lo normal puesto que siempre se pone un dns secundario para tener redundancia a fallos, por posibles caídas puntuales del servidor dns principal.
Lo que pasa aquí, es que si el no esta bien configurado transferirá las zonas a cualquier usuario que sepa pedírselas, poniendo así al descubierto el mapa interno de la red.
Para realizar las transferencias de zona utilizaremos un cliente nslookup,
ejemplo
nslookup
>> Server (aquí pon el servidor dns de la victima) dale al intro y aparece
Default Server: (aquí te saldrá la IP del dns de la victima)
Address: (aquí te saldrá la IP del dns de la victima)
Una vez aquí ya estamos haciendo las consultas desde su dns.
>> Set type=any (aquí le decimos que nos muestre cualquier tipo de registro asociado con la consulta)
>> ls -d (nombre de dominio victima). >>/tmp/zone_out (aquí le decimos que lo liste y redirigimos la salida al archivo /tmp/zone_out para poder manipularlo cómodamente luego)
después de que se complete la transferencia de zona, podemos mirar el archivo generado, para ver si podemos encontrar información especifica de algún sistema.
Podremos ver que en cada entrada tiene un registro A, que es una dirección IP,
además veremos también que cada host, cuenta con un archivo HINFO, que nos identifica el sistema operativo que se esta utilizando. (RFC-952)
Esta es la forma manual, existen en muchas herramientas que lo harán automáticamente, por ejemplo el mandato host.
@linux:~> host --help
host: illegal option -- -
host: illegal option -- h
host: illegal option -- e
host: illegal option -- p
Usage: host [-aCdlriTwv] [-c class] [-N ndots] [-t type] [-W time]
[-R number] hostname [server]
-a is equivalent to -v -t *
-c specifies query class for non-IN data
-C compares SOA records on authoritative nameservers
-d is equivalent to -v
-l lists all hosts in a domain, using AXFR
-i IP6.INT reverse lookups
-N changes the number of dots allowed before root lookup is done
-r disables recursive processing
-R specifies number of retries for UDP packets
-t specifies the query type
-T enables TCP/IP mode
-v enables verbose output
-w specifies to wait forever for a reply
-W specifies how long to wait for a reply
-4 use IPv4 query transport only
-6 use IPv6 query transport only
SamSpade, axfr, dig y en general muchas mas.
DETERMINAR LOS REGISTROS MAIL EXCHANGE.
Normalmente en las redes en las que existen servidores de correo, en el mismo servidor, es donde se suele instalar un firewall, o por lo menos pertenecen a la misma red, si la empresa tiene subredes internas implementadas.
Con la información que nos de el mandato host, y contrastándolo con las búsquedas anteriores, vamos a asegurarnos de que todos los datos encontrados son muy probablemente fiables.
CONTRAMEDIDA: SEGURIDAD EN EL DNS
Desde la perspectiva de configuración de un host, deberá restringir las transferencias de zona a usuarios autorizados.
En BIND, en el archivo named.boot, podrá utlilzar la directiva xfernets para imponer este tipo de restricciones.
En Windows para restringir las transferencias de zona de un dns de mocosoft, activando notify aplicara las restricciones.
En la red puede activar un cortafuegos, o un router que filtre el puerto 53 TCP.
Como las transferencias de zona son TCP, desbarataremos sus planes.
Así conseguiremos que el que intente transferírselas, se quede con las ganas puesto que las consultas son udp, y las transferencias TCP jejejeje.
Además como ya sabemos, deberemos de configurar el dns, para que solo ofrezca nombres de maquinas, que estén conectadas a Internet directamente.
Los archivos HINFO mejor nop, no los uséis son peligrositos, puesto que facilitan la detección mediante el empleo de programas, de sistemas potencialmente vulnerables.
RECONOCIMIENTO DE LA RED.
Ahora que ya tenemos identificadas redes de la empresa, empezamos a utilizar el traceroute o tracert en Windows, para identificar las rutas de acceso potenciales.
La herramienta de diagnostico traceroute, le indica la ruta que sigue un paquete IP desde un host al siguiente hasta llegar a su destino.
Utiliza un ttl para obtener un mensaje icmp time_exceeded de cada router, de esta forma el campo ttl se vuelve un contador de saltos.
Esto nos permitirá, descubrir la topología de la red empleada por la red de la empresa, la red formada por el gateway, cortafuegos y sistemas conectados a Internet o que hagan uso de las listas de acceso de un router, con los dispositivos de enrutamiento de su isp, además de identificar cortafuegos basados en aplicación, o routers con filtración de paquetes.
Con el mandato host anteriormente hemos visto los registros mx comparándolos con los registros del traceroute veremos que seguramente como mínimo concuerda uno, el cual va a ser un host activo de la empresa y el salto anterior a el, el router frontera de la empresa.
También podría ser un firewall o algún sistema de filtrado.
Aunque aun no lo sabemos con seguridad generalmente esto suele ser así.
En un entorno mas complejo, puede haber múltiples rutas, dispositivos de enrutamiento con múltiples interfaces tipo teldat, cisco 7500 y cosas así, y cada interface puede tener distintas listas de acceso, cosa que dificultara el trabajo del traceo puesto que no dejara pasar las peticiones, aunque en muchos casos si lo hará.
Así pues es importante asignar la red completa utilizando traceroute.
Después de indagar mucho los sistemas de la red empezaremos a poder tener una visión más amplia del diagrama de red, del gateway de Internet y los sistemas que están utilizando las listas de control de accesos. Esto es comúnmente llamado diagrama de ruta de acceso.
Y mañana sigo que no tengo mas ganas, y sino que lo siga alguien ala jajajajajaa saludoooooossssss es que llevo un día largo caluroso y joio y me desganao, que le vamos a hacer me desganao
Conviene explicar que lo mas normal es que las medidas de filtrado paren nuestros paquetes. Lo que hay que hacer es ver qué tipo de paquetes bloquea, si icmp o udp, de todas también esta la posibilidad de que permitan el paso de paquetes encaminados a su dns como consultas, puerto udp 53, puesto que muchas empresas permiten en sus dns consultas entrantes.
Ejemplo:
traceroute -S -p53 (IP victima), en este caso los paquetes habrán pasado felizmente por entre los dispositivos de control de acceso.
Al hacer este tipo de sondeo no se reciben paquetes normales de icmp no alcanzado, sino que no se recibirá ningún paquete cuando alcance su destino final, con lo cual no veremos aparecer un host cuando llegue al final.
Si preferís el modo grafico visualroute va mu bien, aunque hay muchos programas que hacen esto. Existen técnicas adicionales que te permitirán determinar las ACL específicas para dispositivos de control de acceso dados.
La técnica Firewall protocol scanning es una de ellas y la trataremos mas adelante.
Contramedidas
Frustrar el reconocimiento de la red.
Muchos programas IDS detecten estos tipos de sondas d reconocimiento de la red, como tdetect q registra mediante logs cualquier paquete udp icmp con ttl 1.
También podemos generar respuesta falsa con RotoRouter q además registra las peticiones.
En nuestros sitios Web habría q emplear una seguridad q nos permitiera config los routers para limitar el trafico udp e icmp a ciertos sistemas.
Estas herramientas y técnicas eran las mas comunes hace unos cinco años pensad q como si dijéramos esta es la manera mas pura de rastrear, y que todos los días aparecen nuevas técnicas y programas.
Todas estas tareas se deberían automatizar con shells y scripts expect o programas perl.
Habrá por tanto q vigilar los accesos si se quiere llevar un control de seguridad.
EXPLORACIÓN.
Ya hemos merodeado en busca de información y ahora nos disponemos a empezar a buscar posibles vías de entrada.
Hemos conseguido 1 lista de direcciones IP y de red utilizando las transferencias de zona y las consultas whois.
Estas técnicas nos han proporcionado nombres de empleados, num. De Telf., rangos IP, servidor dns y servidor de correo.
Ahora veremos los sistemas que se encuentran activos y cuales son accesibles desde Internet, mediante el uso de barridos ping, exploración de puertos y programas de búsqueda automatizadas.
Muchas veces nos encontraremos como decíamos, servidores de nombres que transfieren sus zonas e incluso una lista con direcciones IPS. Dado que ciertos rangos de direcciones IP no son direccionables en Internet, tendríamos muchos problemas para conseguir acceder a las mismas.
Tendremos pues que seguir recompilando información en la fase de exploración.
Un paso básico en la exploración son los barridos ping, le asignamos un rango de direcciones IP y bloques de red a una utilidad que nos lo hará mas sencillo que es fping.
Fping fue diseñada para ser usada en una scripts de shell con gping.
Con gping generamos una lista de direcciones IP que se introduce en fping para determinar que sistemas están activos. También podremos realizar esta tarea con nmap.
Cuando encontremos el trafico icmp bloqueado en el router frontera de la empresa, lo mejor es que exploremos los puertos que las maquinas que están conectadas que hemos visto anteriormente tienen a la espera.Para determinar si el sistema esta activo lo mejor es utilizar nmap y su opción para hacer un ping TCP al puerto 80, puerto que los routers tendrán abierto al igual que los sistemas activos, y también veremos si bloquea icmp. En general haremos lo mismo con los puertos mas comúnmente usados como 25, 110, 143,23.....también y mediante hping conseguiremos pasar muchas reglas de filtrado y dispositivos de control de acceso dado que podremos fragmentar los paquetes, cosa a la cual la mayoría de controles de acceso dejaran pasar. Esto es debido a que no manejan correctamente estos paquetes fragmentados y entonces los dejan pasar.
CONTRAMEDIDAS PARA BARRIDOS PING
Como se ha visto los barridos ping en redes son una muy buena herramienta, para saber cuales de los equipos encontramos activos después de indagar que servicios ofrecen y que puertas vamos a usar mediante la exploración que hemos hecho.
Los programas IDS basados en red, nos ofrecerán una manera de detección de los mismos, como bien sabéis también se puede generar código para detectar este tipo de barridos.
#ICMP/Ping flood detection
ping_schema = library_schema:new( 1, [ "time", "ip", "ip", "ethmac",
"ethmac" ],
scope ( ) ) ;
count = 0;
maxtime = 10;
maxcount =5;
dest = 0;
y etc. que no voy a desarrollar del todo buscar y aprender a programar estas cosillas que es sencillo.
Si detectamos ICMP ECHO desde un sistema o red determinados es posible que nos estén haciendo un reconocimiento de red desde nuestro sitio Web. Por tanto convendría controlar estas cositas.Tendremos pues que evaluar el tipo de trafico ICMP que permiten nuestras redes, que yo sepa en la actualidad existen 18 tipos de ICMP, con lo cual a mirarlo to muy bien.
Tendremos que presentar especial atención a las necesidades de la empresa, según que tipo de trafico ICMP necesite deberemos controlarlo pero no cortarlo, y cortar eso si el resto de trafico de este tipo a ser posible con un firewall de hardware. Una solución puede ser permitir únicamente el paso de la red DMZ de paquetes ICM ECHO_REPLY, HOST UNRECHABLE Y TIME EXCEEDED. Además deberíamos de limitar como siempre las ACL para asegurar bien y si es posible el trafico ICMP para direcciones IP especificas de nuestro ISP. Esto dificultara los barridos a sistemas conectados directamente a Internet.
Aunque ICMP nos permite diagnosticar problemas de red, también si esta habilitado en nuestro gateway o router frontera, permitirá que los atacantes pueda hacer una negación de servicios a nuestra red, incluso si quieren podrán ocultar paquetes en ICMP ECHO usando programas como loki, este programa se puede encontrar en la página de phrack.com.
Otro concepto importante es pingd, fue desarrollado por Tom Ptacek y pasado a Linux por Mike Schiffman, es un demonio de usuario que gestiona a nivel de host todo el trafico ICMP_ECHO e ICMP_ECHOREPLY, esto se consigue eliminando la compatibilidad del procesado ICMP_ECHO, desde el núcleo e implementa un demonio de usuario con un socket ICMP en bruto para manejar los paquetes. Esto proporcionara al administrador un sistema de control de acceso a nivel de sistema para ping.
CONSULTAS ICMP
Los barridos ping es una mínima parte en lo que se refiere a la información que ICMP da.
Con icmpquery o icmpush, puedes solicitar desde la hora del sistema y ver en que franjacion horaria esta, hasta la mascara de red de un dispositivo en concreto, con lo cual podríamos saber cuantas subredes o redes engloba la misma y evitar así las direcciones de difusión
CONTRAMEDIDAS PARA ICMP
La contramedida a utilizar es evitar que los router frontera tales como los cisco de la empresa, acepten en su red paquetes TIMESTAMP y ADDRESS MASK utilizando las ACL para ello.
Ejemplo al canto.
access-list 101 deny icmp any any 13 ! petición de estampación de hora
access_list 101 deny icmp any any 17 ! petición de mascara de direcciones
esto en los routers cisco por ejemplo impediría estas peticiones y como bien dice clarinetista si no se aplica a la interfaz como si oyes caer agua, y se podría usar también la opción established para hacer esto.
EXPLORACION DE PUERTOS
Teniendo la información necesaria ya podemos empezar a explorar los puertos UDP y TCP del sistema escogido para ver que servicios hay y cuales de los puertos están LISTENING.
De esta manera podremos identificar programas utilizados por esos puertos y al juntar toda la información conseguiremos identificar el sistema operativo.
De esta manera también podremos intentar encontrar fallos en los programas a la escucha y en uso, e incluso malas configuraciones de los mismos que permitan a usuarios no autorizados entrar en el sistema.
Así conseguiremos ver cuales son las vías de entrada potenciales del sistema ;-)
Los pasos a seguir en una exploración de puertos son:
Identificar los servicios UDP y TCP que se ejecutan.
Identificar el sistema operativo.
Identificar versiones y aplicaciones específicas de cada servicio.
Un pionero en la exploración de puertos fue FYODOR con Nmap.
EXPLORACION DE CONEXIONES TCP.-
Este tipo de exploración conecta con el puerto y ejecuta el acuerdo de tres vías (SYN, SYN/ACK Y ACK).
EXPLORACION TCP SYN.-
En esta no se realiza una conexión TCP completa, por ello recibe el nombre de semiabierta.
Se envía paquete SYN y si se recibe paquete SYN/ACK podemos decir que esta "listening".
Si se recibe un RST/ACK el puerto no esta a la escucha.
Enviaremos entonces un paquete RST/ACK para no realizar nunca una conexión completa.
EXPLORACION TCP FIN.-
Enviaremos un paquete FIN al puerto objetivo y según el RFC 793, el sistema objetivo devolverá un RST para todos los puertos que estén cerrados.
Esta técnica nos funcionara en sistemas like Unix.
EXPLORACION ARBOL DE NAVIDAD TCP.-
Esta técnica se utiliza para enviar paquetes FIN, URG Y PUSH al puerto objetivo.
El sistema objetivo devolverá un RST para todos los puertos cerrados.
EXPLORACION NULA TCP.-
Esta apaga las flags y nos devuelve un RST para todos los puertos cerrados.
EXPLORACION UDP.-
Enviaremos un paquete UDP al puerto objetivo y si el mismo nos contesta con un ICMP no alcanzable significara que el puerto esta cerrado, si no hubiera respuesta tendríamos ahí un puerto udp abierto.
Como este tipo de puertos tiene un protocolo sin conexión, dependerá la fiabilidad de la misma del tipo de uso que se este dando a los recursos del sistema y de la red.
Por otra parte se enlentecera muchísimo si existe algún tipo de filtrado de paquetes.
Algunas instalaciones IP devuelven a todos los puertos escaneados un RST, con lo cual los resultados obtenidos podrán variar considerablemente.
Utilizar herramientas como Strobe, Udp_scan, Netcat en unix y linux,
en Windows tenemos PortPro, Portscan y netcat que no hace bien la exploración UDP en sistemas NT.
CONTRAMEDIDAS PARA LA EXPLORACION DE PUERTOS.
Detectar una actividad de escaneo de puertos es importante para la seguridad puesto que nos proporcionara información del atacante y de sobre que puertos esta dirigiendo el mismo, podremos utilizar programas IDS basados en red para detectarlos, NFR o mecanismos basados en host nos podrán ayudar en nuestra labor.
Deberemos buscar cortafuegos que no solo tengan opciones específicas para detectar exploraciones SYN sino también las FIN puesto que muchos ignoran estas últimas siendo un grave fallo de seguridad.
En Windows BlackIce nos ayudara a controlar los scaneos de puertos y los intentos de intrusión por los mismos, reportándonos información critica del atacante como pueda ser su IP y su nombre dns.
En la medida de lo posible (puesto que el puerto 139 en Windows da muchos servicios) intentaremos dejar única y exclusivamente activos los servicios necesarios para nuestro trabajo diario, en resto de servicios deberíamos desactivarlos para evitar así riesgos innecesarios.
DETECCION DEL SISTEMA OPERATIVO.
Hemos identificado los puertos y ahora el sistema operativo con su versión.
Rastreo de pilas.-
El rastreo de pilas es una técnica que nos ayudara a identificar cual es el sistema operativo instalado en la maquina.
A la hora de escribir las pilas TCP/IP los fabricantes interpretan a su manera la normativa RFC, con lo cual si identificamos las diferencias podremos saber casi a ciencia cierta cual es el sistema operativo.
Con programas como nmap podremos siempre que haya un puerto a la escucha acertar cual es el sistema, aun así explicare cuales son los diferentes sondeos que podemos hacer:
Sondeo FIN.-
Se envía un paquete FIN a un puerto, el comportamiento correcto del sistema seria no responder pero sistemas como NT responderán con un FIN/ACK.
Sondeo Bogus Flag.-
Se introduce un flag TCP (bandera TCP) indefinida en la cabecera TCP del paquete SYN. Sistemas operativos como Linux responden con esta misma bandera en su paquete.
Valor ACK.-
Las pilas IP no son iguales en el valor de la secuencia del campo ACK, por lo que algunos responderán con el mismo desarrollo que han recibido y otros con el número de secuencia más 1.
Apagado del mensaje de error ICMP.-
Los sistemas se ajustan al RFC 1812 quedando así limitada la velocidad con la que se envían los mensajes de error, al enviar paquetes udp a un puerto con un num. Aleatorio alto, podremos contar los mensajes recibidos no contestados en un tiempo x.
Muestreo de número de secuencia inicial (ISN).-
Cuando se responde a una solicitud de conexión intentaremos encontrar un patrón en la secuencia inicial elegida por la implementación TCP.
Gestión de fragmentación.-
Cada pila trata de manera diferente la superposición de fragmentos, algunas pilas escriben datos nuevos encima de los viejos y al revés, cuando recomponen los fragmentos, si miramos como se recomponen los paquetes de sondeo sacaremos mas infamación sobre el sistema operativo en concreto.
Tipo de servicio.-
El TOS se puede analizar en los mensajes de respuesta tipo ICMP UNREACHABLE
Citado de mensajes ICMP.-
No todos los sistemas coinciden en la cantidad de información que dan cuando lanzan un mensaje de error ICMP, con los datos que da podremos sacar conclusiones de cual puede ser el sistema operativo.
Supervisión de BIT no fragmentado.-
Algunos sistemas para optimizar rendimientos activan el BIT no fragmentado, con lo cual estando atentos a ese BIT podemos saber si es de los que lo activan.
Tamaño de ventana inicial TCP.-
En los paquetes de respuesta el tamaño de la ventana inicial, que en algunas pilas es único también nos ayudara en nuestra labor.
Integridad de eco de mensaje de error ICMP.-
Algún desarrollo de pila puede alterar la cabecera IP al devolver mensaje de error ICMP. Examinando la cabecera podremos intuir cual es el sistema operativo.
Nmap utiliza estas técnicas mediante la opción -o
CONTRAMEDIDAS DETECCION SISTEMA OPERATIVO.
Al igual que nmap y queso pueden averiguar estos datos también puede detectar si se esta intentando en nuestro sistema y avisarnos, por ejemplo si se esta utilizando banderas SYN.
En cuanto a intentar ocultar la información y que no dijera que sistema operativo es dando pistas de una manera u otra es casi imposible y afectaría si lo intentáramos al funcionamiento del sistema negativamente, puesto que cambiaríamos las características únicas del seguimiento de pila.
Hasta ahora hemos visto todas las técnicas necesarias para barridos ping (TCP, icmp) exploración de puertos e identificación de sistemas operativos.
Mediante los barridos ping identificamos los sistemas que están activos y los objetivos potenciales.
Mediante la exploración TCP udp identificamos los servicios que hay a la escucha.
Y por ultimo hemos visto como identificar el sistema operativo del sistema objetivo.
Con toda esta información crítica ya podremos empezar a ver como se desencadena un ataque bien dirigido.
ENUMERACION.-
Existen varias formas de extraer nombres de recursos exportados y cuentas de usuario validas.
La diferencia entre la recopilación que hacíamos con las técnicas hasta ahora descritas y las técnicas de enumeración es que en las primeras no existe una conexión real al sistema y no quedan registrado nada, si lo haces medianamente bien, ahora bien, con la enumeración nuestros pasos deberían de quedar registrados.
En el momento en que un tío consiga averiguar un nombre de usuario de una cuenta valida del sistema o el nombre de un recurso compartido, solo será cuestión de tiempo que consiga la clave de acceso, también solo será cuestión de tiempo que identifique algún fallo en el protocolo de comparticion de recursos. Si cerramos las vías de acceso le quitaremos una pata a la mesa del tío en cuestión.
En la enumeración el tipo de información que un hacker buscara serán, recursos de red y recursos compartidos, usuarios y grupos, aplicaciones y mensajes.
Llegados a este punto y con la información que habíamos conseguido anteriormente, aplicaremos técnicas específicas para cada sistema operativo utilizando esta información que tenemos.
WINDOWS EN GENERAL.-
Desgraciadamente Windows NT, 2000 y 2003server, no se diseñaron para la privacidad, sino todo lo contrario, para dar a quien sepa buscarla toda la información necesaria.
Con el comando net view podemos identificar los dominios disponibles en la red, enumerar las maquinas de un dominio etc.
Casi todas las técnicas usadas en la enumeración van a sacar partido de un fallo de Windows, permitir a usuarios anónimos conectar y enumerar determinados recursos sin tener permisos.
Una conocida vulnerabilidad de Windows es redbutton, conexión de sesión nula o inicio de sesión anónima.
NET USE \\(IP de destino)\IPC$ " "/USER: " "
La línea anterior conecta con la comparticion de las comunicaciones ocultas entre procesos (IPC$) en la IP de destino mediante un usuario anónimo con una contraseña nula. Si esto funciona en ese momento tendrá un canal abierto por el que extraer mucha información critica de nuestros sistemas.
Esto se puede corregir no del todo pero si un poco para que no de tanta información,
ejecutamos regedt32
buscamos HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\LSA
Seleccionamos edición | agregar valor e introducimos los siguientes datos.
Nombre de valor: RestrictAnonymous
Tipo de dato: REG_DWORD
Valor: 1
Salimos del editor y reiniciamos para que lo cargue y listo.
Incluso en sistemas como Windows 2003 Server este valor esta a 0, existe la clave pero el valor no es correcto, tendremos que ponerlo en valor 1.
Aun así programas como sid2user se saltan estos filtrados.
Una vez que tenemos abierta una sesión nula, volvemos a utilizar net view para ver los recursos compartidos en la maquina.
Con herramientas como DumpACL enumeraremos cuentas compartidas y muchas más cositas claro.
Esta herramienta audita desde los permisos en el sistema de archivos hasta los servicios disponibles en sistemas remotos.
También utilizaremos scanner de NETBIOS como legión para escanear recursos compartidos en redes enteras.
A partir de aquí podríamos usar programas de fuerza bruta para intentar conectar con un recurso compartido.
CONTRAMEDIDAS.-
La manera mas sencilla de evitar que se filtre toda esta información es filtrando todos los puertos TCP y udp desde el 135 al 139 en los dispositivos de acceso de red perimetrales.
También vendría bien desactivar los enlaces NetBios de la interfaz en la ficha enlaces pertenecientes a la aplicación de red del panel de control de red.
Por ultimo y como decíamos antes resolveremos el problema de las vulnerabilidades de sesiones nulas.
GRUPOS Y USUARIOS.
Al igual que para enumerar los recursos compartidos, para enumerar usuarios y grupos iniciaremos una conexión nula, para ejecutar las herramientas necesarias.
Mediante nbtstat -A (dirección IP del sistema) (ver help nbtstat) enumeraremos los usuarios y grupos a los que pertenece la maquina y los que tiene conectados.
La mejor herramienta para enumerar grupos, usuarios, políticas y permisos de usuarios es DumpACL
c:\>>dumpacl /computer=\\ (IP de destino) /rpt=useronly /saveas=tsv /outfile=c: \temp \users.txt
con esta línea de comando desde la consola de sistema hacemos que DumpACL nos muestre información relativa a los usuarios de un sistema remoto, exportándolo a un txt.
Los sistemas NT en su instalación emiten un número de longitud variable SID de seguridad. Una vez identificado un SID de un dominio, para ello utilizaremos programas como user2sid, se podrán utilizar para enumerar los nombres de usuario.
c:\>>user2sid \\(IP destino) "domain users"
S-1-7-23-8915389-1645823063-1918254000-513
Number of sbauthorities is 7
Domain is WINDOWSNT
Length of SID in memory is 28 bytes
Type of SID is SidTypeGroup
Aquí vemos en la respuesta el SID de la maquina, cuya cadena de caracteres comienza con el identificador S-1, la cadena numérica que sigue al ultimo guión es la cadena de identificador relativo RID y es la predefinida para los grupos de usuarios predefinidos de Windows tales como los grupos de invitados, administradores, etc. Así el RID del administrador es 500, el de un usuario invitado 501 etc. Así pues podremos añadir a una cadena SID conocida un RID 500 para encontrar el nombre de la cuenta de administrador, por si este ha cambiado de nombre.
c:\>>sid2user \\(IP destino) 7 23 8915389 1645823063 1918254000 500
Name is Ares
Domain is WINDOWSNT
Type of SID is SidTypeUser
Así pues y sabiendo que a cualquier cuenta creada en un dominio NT se le asigna un RID 1000 y el siguiente objeto creado posteriormente recibe el siguiente RID libre, podremos enumerar todos los grupos y usuarios alojados en el sistema.
Además estos programas se saltaran RestrictAnonymous, pudiendo enumerar puesto que estos RID no se repiten, todos los grupos no solo que hay sino que había antes también, claro esta siempre y cuando pueda acceder al puerto 139.
En el agente snmp se podría acceder utilizando cadenas como public, con snmputil podremos enumerar los usuarios.
c:\\snmputil walk (IP de destino) public .1.3.6.1.4.1.73.2.1.25
el "25" que es el ultimo parámetro de la sintaxis anterior es el identificador de objeto (OID) el cual especifica una rama determinada de la base de datos de información de administración o (MIB) de Microsoft, esto es un espacio jerárquico en el que cuanto mas se asciende en el árbol, se obtienen mayores cantidades de información.
Lo normal es usar cadenas de texto equivalentes puesto que recordar estas ristras de números es un lío,
.server.svSvcTable.svSvcEntry.svSvcName........... ....................(servicios en ejecución)
.server.svShareTable.svShareEntry.svSharePath..... .........................(ruta de acceso compartidas)
y unas cuantas bastantes mas que no voy a enumerar, si queréis ampliar esto buscarlo en Internet que lo encontráis rápido.
De todas siempre podrás utilizar herramientas tales como el IP Network Browser que es en definitiva un explorador SNMP.
CONTRAMEDIDAS SNMP.-
Lo suyo seria si podemos detener el agente SNMP, si no podemos siempre podemos hacer lo siguiente:
evitar que "public" este habilitado ya que no es un nombre de comunidad privado,
utilizar nombres de comunidad privados he impedir que otros nombres puedan mostrar información relevante, tales como public.
Cambiar ciertas claves del registro podría ser muy beneficioso si es el caso que no podamos detener el agente SNMP.
Para ello ejecutaremos regedt32
en la clave HKLM\System\CurrentControl-Set\Services\SNMPParameters\ValidCommunities elegir Security|Permissions y luego defínalos para permitir solo el acceso a usuarios autorizados.
Después abrimos HKLM\System\CurrentControlSet\Services\SNMP\Parame ters\ExtensionAgents borraremos el valor que contiene la cadena LANManagerMIB2Agent y renombraremos numéricamente el resto de cadenas de manera que si esta era la numero uno la siguiente a el pasaría a ser ahora la uno y sucesivamente.
Si estamos usando SNMP para gestionar la red tendremos que asegurarnos de bloquear los puertos udp y tcp numero 161 y 162 a todos los dispositivos de acceso a red perimetrales.
Deberíamos también prestar atención especial a los puertos 135 y 139.
TELNET.-
Es un mecanismo mediante el cual podemos obtener información sobre aplicaciones y enumerar mensaje
telnet www.(dominio.com)80
HTTP/1.0 400 Bad Request
Server: Netscape-comrce/1.12
Your browser sent a non-HTTP compliant message
Esto funciona en las aplicaciones normales que responden al puerto, tales como http puerto 80, smtp puerto 25, ftp puerto 21, etc.....
Así conseguiremos gran cantidad de información de los servidores Windows.
Utilizando netcat podremos conectar con un puerto TCP/IP remoto.
c:\>>nec -v www.(dominio.com) 80
www.(dominio.com) [IP del dominio] 80 (?) open
La respuesta a la instrucción anterior seria
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/4.0
Date: Mond, 06 Apr 2006 10:45:00 GMT
Content-Type: text/html
Content-Length: 87
<html><head><title>Error</tilte></head><body>El parámetro es incorrecto. </body>
</html>
Conseguiríamos con esto como se ve claramente saber cual es el fabricante y la versión del servidor Web, ahora aplicando las técnicas necesarias para la plataforma implementada, se aprovecharan las rutinas hasta tener la respuesta que esperarnos. Con DumpACL podremos como todos bien sabemos, puesto que todos los programas dejan su huella en el registro, extraer el contenido del registro de Windows de la maquina atacada, para buscar las aplicaciones que hay instaladas.
Con DumpACL conseguiremos enumerar todos los servicios de Win32 y el controlador del núcleo del sistema.
Además en la medida de lo posible, intentaremos introducir punteros a puertas traseras.
CONTRAMEDIDAS.-
Las aplicaciones críticas deberíamos de restringir la forma en la que dan información, buscando pues la manera de conseguir que no la den.
Ya que disponemos de netcat y tenemos también scan de puertos no estaría mal hacerles una auditoria a los sistemas, así veremos la misma información que vea el atacante y nos será mas fácil ir restringiéndola.
Nos aseguraremos también de que el registro no es accesible en forma remota, analizaremos pues la clave del registro
HKLM\SYSTEM\CurrentControlSet\SecurePiperServers\w inreg
y todas las subclaves asociadas a la misma.
Esta clave denota que el registro de Windows esta restringido en forma remota para los administradores.
COMPARTICION DE ARCHIVOS.
Hay muchas herramientas para hacer exploraciones de comparticion de archivos, una muy utilizada es legion del grupo Rhino9 la cual, trae tambien un programa de fuerza bruta, la idea es que el programa buscara los recursos compartidos, intentando conectarse a los mismos, sacando nombre de usuario y contraseña por fuerza bruta, la unica manera de evitar esto es utilizar una contraseña lo mas larga posible alfanumerica y con metacaracteres %&() o caracteres ASCII. Tambien es recomendable incluir al final del nombre del recurso compartido el carácter $ para evitar que sea enumerado en una exploracion.
Por suerte o por desgracia, muchos sistemas Windows, utilizan una combinación del nombre de usuario y de este desafío para liar (hash o mezclar criptográficamente) la contraseña de usuario remoto, el nombre de usuario se envía en forma de texto, se podría enviar una petición de autenticación hash idéntica, dentro del intervalo de 15 minutos y montar con éxito el sistema de comparición de archivos, tal y como lo describe en sus artículos el grupo L0phtcrack.
PIDO PERDON A LAS EMPRESAS CUYA INFORMACION APARECIA, AUNQUE TAMPOCO ES CULPA MIA QUE DICHA INFORMACION SE DIFUNDA LIBREMENTE POR INTERNET Y NO HE HECHO NADA ILEGAL PARA CONSEGUIRLA, ADEMAS EN EL MANUAL VIENEN TECNICAS PARA OCULTAR DICHA INFORMACION, QUE SE PODRIAN HABER APLICADO.
SanLeviaThan
07-10-2006, 17:09
a la pucha que largo... xDD...
¿no seria mejor que lo pongas en rapidshare?
Saludos.-
CrAcKzMe
07-10-2006, 20:03
Si todo va bien, clarinetista está guardando registro de este online-tutorial de hail xD. Y si no me equivoco saldrá en alguna ezine.
Un saludo.
PD: Buen trabajo el tuyo, hail.
clarinetista
07-10-2006, 21:13
Voy a por la motosierra.
Habra que trocear :D:D:D
jajajajaja pozi es que explicar pa que lo entiendan to dios es jodio jajajaja coje la motosierra que yo voy por un pico por si acaso jajajajaja pala no tengo........... que eso se usa pa enterrar a la gente y da grima........ pos aun queda mogollon si quereis paro pero esto esta empezando a ponerse mas o menos interesante, hasta ahora he explicado como empezar a hacer ahora viene lo bueno que es como hacerlo y como taparlo, el lio cotidiano vamos jejejejeje gracias y saludos compis.
perdonar el paron pero he estado mu malito, pero ya estoy mejor jejejeje en breve sigo posteando, es que no podia ni escribir de lo malo que estaba. Saludos y disculpas.
Espero que no te siente mal ni a ti ni a nadie que pueda leer mi comentario...
A ver, no se porque pero esto me suena un poco al libro de Hacking Exposed... y como comprenderas, es poco menos que un hurto y la verdad hay muchas lagunas en los comentarios que posteas. Como usuario te agradeceria informacion tecnica y como informatico pruebas. ;)
La parte en la que hablas de obtencion de informacion de la maquina y esas cosas, siempre de toda la vida se llamo Fingerprintting, pero ese termino no aparece en el Hacking Exposed ... :D
De veras, espero que no te moleste nada, solo intento dar una opinion dentro de este mundo. Cuando saque un poquito de tiempo tratare de aportar algo de mi cosecha, pero ahora mismo estoy un poquito liado.
Un saludo a todos. :eek:
como dije hace tiempo sigo la estructura de las bibliografias y frases en concreto de libros y demas,no solo de este, tambien esta parte de mis apuntes y parte de lo que he aprendido, es una recopilacion de todo ello y como la manera que mas me gusto de estructurarlo fue esta, es la que he seguido puesto que buscaba claridad, si te fijas aunque se diga lo mismo(puesto que las cosas son lo que son y como son) no se dice de la misma manera y cierto es que si que como digo he utilizado material y frases en concreto y lo ponia antes, en el mismo manual, cuando decia que esto no lo se por ciencia infusa sino que seguia libros y apuntes y demas, de donde habia sacado la informacion, no me digas que es un hurto porque que use frases en concreto y su estructura no creo que sea un hurto, mas aun cuando no es el unico que he consultado aunqeu si el qeu mas me a gustado como explica estructura y aborda el tema, entre otras cosas porque siempre se aprende con libros lo que luego se escribe, y utilice este material por ser el mas claro y aun asi lo puse un poquito mas claro, en cuanto a las pruebas las puse y tuve que quitarlas porque me llamaron la atencion, no aqui sino por telefono a mi movil, por eso no hay pruebas reales puestas. No me molesta para nada, puesto que entiendo que es muy parecido al seguir la misma estructura y secciones, pero para mi gusto ni mis apuntes ni na estaban asi de bien estructurados y tomados. El que no utilice terminos tecnicos es porque en principio no estaba hecho para gente que supiera sino para guiar al que no sabia un poco. De todas formas si quieres saber que se y que no se lo mas sencillo es leer mis post, no estos sino el resto, puesto que en las cuestiones que te plantean todos los dias, en la manera de acotar fallos y en las respuestas es donde se ve que se sabe y que no, no en un manual que claramente siempre, vas a seguir los libros con los que aprendieste, apuntes y demas. Saludos. :0=
por cierto ya veo que tu primer post me lo has dedicado a mi? entraste a esto esplicitamente o pensaste en contestar y ayudar a alguno de los que si que lo necesitan? lo digo porque fue el primero y ultimo que pusiste, tu no seras de las empresas que salian y estaras un poco cabreado por ello verdad?Si es asi lo siento, y si no tendrias que haber leido la parte en la que aclaraba que no es que lo sepa yo por ciencia infusa sino que sigo manuales y libros y apuntes, sin cortarme en poner lo que creo que esta mejor explicado y con la estructura que mas me gusta de las que tenia para elegir. Saludos.
lost+found
26-10-2006, 00:50
Hail te felicito. No soy nuevo en esto pero tampoco me las conozco todas. Los libros y manuales son de apoyo estoy contigo. buena iniciativa. gracias.
uniquestyle
01-11-2006, 19:18
Hola, Una pregunta, en cuanto a lo que cabe de todo el tema, ya han comprobado que funciona?.. estoy estudiandolo,
another question: estoy estudiando lo que es el modelo OSI, tiene algo que ver el modelo OSI con este tema?
Gracias Dios les bendiga!..
;)
clarinetista
01-11-2006, 19:45
Si, es el mismo modelo OSI.
En cuanto a lo de que funciona o no, no entiendo tu pregunta
yo si creo entenderla, si funcionan si pero no hay ninguna prueba real puesta porque casi la cago, y me llamaron la atencion. Saludos.
Espero que no te moleste nada de lo que te voy a decir.
Hola de nuevo. La verdad es que si, te dedique a ti mi primer post, de hecho me registre únicamente para hacerlo.
Solo quiero aclarar algunas cosillas. Bueno, para empezar no soy ningún ex-empleado de ninguna empresa, actualmente mi situación laboral es activa y estoy bastante contento con mi trabajo.
No tengo nada en contra de ti, solo hice un comentario porque veía que todos tus post llevaban una estructura que cualquier persona podría aprender en cualquier libro de la serie que comento.
Respecto a que las cosa son lo que son y están hay... pues si, las cosas lo son :D pero no estoy del todo de acuerdo. Se puede hacer un manual sin basarlo en ninguno, puedes hablar de temas relacionados con la seguridad desde tu experiencia, no la de los demás.
Yo hace algún tiempo participe en grupos de este estilo y la verdad es que ahora no tengo tiempo como para estar al mismo nivel de entrega. Dices que ayude, pero no te das cuenta que ya lo he hecho.
Si me permitís os doy un consejo/sugerencia, como vuelvo a repetir no quiero que nadie se moleste. Podíais poner una HoneyPot de investigación, así la gente podrá comprobar lo que explicáis.
Un cordial saludo.
P.D. Tu tono de sarcasmo e ironía en el 2º post creo que sobra. ;)
perdona si me pase, no era mi intencion, en principio todas las pruebas las hacia con sistemas en funcionamiento, y como bien decia, no tenia mas remedio que quitar las pruebas por no meterme en un follon de cojones, no pensaba poner ejemplos ficticios, por otro lado, la intencion no era dar una clase magistral con mis experiencias, sino aclarar un poco lo que hay para que la gente que no tiene el nivel tecnico adecuado, pueda aunque sea entender como se estructura esto, yo tambien estoy en activo, hasta ahora trabajaba en barcelona en seguridad informatica y administracion de servidores, tanto as400 como de todo tipo, siendo las redes que llevaba distribuidas, por todo el mundo, algunas con sede en filipinas, el caso es que si que me ofusque pensado que te creias que era un cualquiera que solo seguia un libro, por eso conteste asi, lamento no poder poner pruebas reales, ya me costo un buen follon. Saludos
CrAcKzMe
20-12-2006, 14:44
Maxus nos encantaría desarrollar un proyecto HoneyPot, pero aquí cada uno está metido en lo suyo y resulta complejo. ¿Te apuntas? :D
Encantado de poder leerte de esa manera. Yo fui administrador AS/400 con DB2 (la mayoría de las veces van de la mano) hace ya un tiempo pero ahora me he pasado a Consultor SAP entre otras labores como Programación.
Yo soy Andaluz, aunque ahora trabajo en Madrid. Estoy recién llegado y como digo tengo muy poco tiempo tanto para mi (el mundo de la consultoría es una putada) como estudiar nuevas tecnologías o para echar una mano a nadie... de momento me resulta poco viable.
CrAcKzMe agradezco de corazón la propuesta de incorporarme en el proyecto, pero personalmente estoy elaborando una aplicación para crack de WEP y WPA. Como tengo poco tiempo no se cuando lo terminaré pero cuando lo haga os pasare el programa.
Encantado de conoceros y espero poder "colaborar" con ustedes en algún proyecto.
Un cordial saludo. ;)
perdona que en principio mal interpretara tu post, encantado de conocerte y disculpa mi mal gusto en el post, pero juro que solo queria que quedara claro que lo unico que estaba intentando hacer era, explicar un poco mas claro todo lo que lleva el estructurar un ataque y la estructura de esta serie de libros me parecio incluso mejor que explicarlo con mis palabras, las pruebas si que queria ponerlas reales para que se viera claro, pero tucows y varias empresas mas me dieron el toque, a traves de un cliente amigo, sino no hubiera dejado las pruebas ficticias sino que todo hubiera sido diferente, al haber pruebas reales con todos los datos de como funcionaba todo, me arrepiento de mi aptitud, entre otras porque no suelo ser asi de estupido. Saludos y disculpas.
Por mi parte ya esta todo aclarado. De veras, no le des mas vueltas. Espero poder sacar tiempo para hacer algo con vosotros.
Intentare conectar de vez en cuando y espero ver como este grupo de gente va sacando este proyecto adelante.
UN SALUDO.
clarinetista
21-12-2006, 21:07
Maxus, ya sabes que es bienvenida cualquier idea, gracias.
dupsomio
27-03-2009, 13:47
olas me podrias enviar un hack para ir practikndo como puedo dentrar alas pc de otros o como hago para ver lo q hacen en mi red local algunos programas o nuc la verdad es q quiero practikr resien toy comensando soy novato y mi objetivo es ser ingeniero de sistemas e informatik y me interesa eso de los hack y tooo mi msn es
NOMAILS porfavor me mandas lo q puedes al msn
No reabras hilos antiguos, mira las fechas antes de contestar.
Un saludo.