hummm, ya probaré, mi sistema es un tanto especial xD
Gracias
Salu2
hummm, ya probaré, mi sistema es un tanto especial xD
Gracias
Salu2
Vale, pero luego no te olvides de decir que debes aplicar la ACL en la interfaz correspondiente, si no es como si nada.
Un saludo
Otra cosa que se me olvido poner en el post de antes.
Tambien es una facil medida de seguridad es aplicar un established en la configuracion del router,(aunque no se si esto es factible en otra serie de routers que no sean de la marca Cisco), ya que deniega una conexion "no requerida" por la propia red.
eres la puta maquina clarinetista me mola jajajajajaja tu me entiendes, encuentro poca peña que me plantee retos, y desde que entro en este foro, vosotros sip jajajajaja encantado de volver a estar con vosotros, me siento como en casa de verdad, es un honor y un lujo compartir lo que se con vosotros, gracias por todo. pd. (no se puede decir todo tio hay que dejar que la gente desarrolle su parte) y el que no no se entera.
La semana que viene dejare de postear unos dias el manual, tengo que ir a barcelona a ver si me siguen ofreciendo curro en filipinas que mi voy si tal.
Un saludo mas, es que me emocionao y me apetecia contaroslo
Por cierto se me olvido en los routers teldat tambien es factible poner established
Última edición por hail; 16-09-2006 a las 00:32
vaya un susto, digo les ha disgustado tanto que sin decir ni pio lo han quitado el manual, con lo que me esta costando y sin copia q voy a pelo, que susto por dios
Jaja, sorry hail lo pensaba explicar ahora, lo hemos movido porque esta seccion era mas adecuada para el mismo
De todas maneras haz copia porque lo pondremos en la ezine.
jajajajaj si no pasa na si con mirar mis post y buscarlo lo encuentro jajajajaja pero si que tengo que hacer copia porque voy como las cabras y lo hago de cabeza mientras curro y demas.Hago copia y la depuro cuando vaya por la mitad, que esto es largo como un dia sin pan........ por cierto es un honor colaborar en uno de vuestros proyectos que es la ezine, asias por todo.
hail.... fantastico , te felicito, no se que decirte.. la verdad genio..
yo soy nuevo en linux llevo 2 dias, y barbaro.. hay cosas que aun no comprendo por que para uds. ya esta asimilado pero.. con paciencia lo hare..
te paso un dato
http://www.dnsstuff.com/
en este link encontras una web con toda la info, trace, email , ciudad.. en fin todo lo que buscas o manifestaste esta en una sola web..
espero les sirva...
Yo sigo aprendiendo de ti...
gracias
Pepe69
la informacion es de todos y tambien la responsabilidad de no hacernos propietarios de ella, sino divulgar todo conocimiento que pueda ayudar a los demas. Salud señores, entre todos aprenderemos siempre mas.
Entre en la pag y si que engloba muchas de las tecnicas de exploracion sip, esta bien esa pag si.
Última edición por hail; 29-09-2006 a las 01:49
oye no tendreis curro pa mi verdad? jajajajaja qeu estoy hasta los huevos de dar vueltas por España y ahora quieren hacerme internacionas, y como que no jajajajaja busco curro jajajajajajaja busco........................es que mi novia y los dos crios a filipinas como que no jajajjajajaja bueno dejo de dar el follon pero va en serio
Última edición por hail; 29-09-2006 a las 01:53
ya he vuelto de Barcelona que me fui a currar una semanita, el lunes sigo con el manual, buenos dias
aqui os dejo lo que llevo por ahora posteado del manual corregida la ortografia y juntado todo en uno para seguir editandolo y que no este en mil post. Un saludo.
Buenas como veo a mucha gente perdida en esto a ver si así os aclaro un poco.
todo esto lo voy a ver desde el lado bueno de la fuerza, intentando resolver los problemas, que un hacker puede crear en nuestras redes, es decir desde el lado del técnico en seguridad que intenta resolver todos los ataques, y para ello tiene que explicar como se ejecutan y como se contrarrestan.
Vayamos por pasos, empecemos enumerando
1-Identificar el problema.
EN esta parte voy a explicar como un hacker antes de entrar en nuestros sistemas, tiene que recompilar mucha información y como se puede hacer de forma fácil para que le sea difícil recompilarla.
2- Hack del sistema
Aquí explicare como después de recompilar la información necesaria se empieza a atacar el sistema. Esto abarca a todos los sistemas operativos y todos sus agujeros.
Incluiremos también como borran todas sus huellas los que saben y como dejan brechas casi invisibles en nuestro sistema para entrar cuando quieran.
3- Hack a la red
Aquí detallare como se puede hacer uso de dispositivos tales como servidores de acceso telefónico, routers, cortafuegos, vulnerabilidades en protocolos de bajo nivel como el x25.
Explicare como echar un candado hermético a tu red para solucionar estas posibles brechas.
4- Hack del soft.
Examinaremos aquí las aplicaciones que nos llevan de cabeza a los técnicos en seguridad informática, tales como por ejemplo programas de control remoto, puertas traseras, software de servidor de red y demás brechas potenciales de los mismos.
Como esto no va a ser cosa de diez minutos iré poniendo cada apartado, cada semana, así también me da tiempo a repasar mis apuntes a mí que no soy dios y siempre aunque se sepa hacer se debe consultar en los apuntes.
Un hacker antes de nada, cuando quiere atacar un sistema en concreto o una red, tiene que recompilar gran cantidad de información de la estructura intranet/extranet y de los sistemas de seguridad implementados en ellos.
Internet desde el principio fue diseñado para ser funcional, dando más información de la necesaria a quien sepa encontrarla.
En este apartado os vamos a enseñar como y donde se recompila esa información tan valiosa para poder llevar a cabo un buen ataque y como hacer para que sea mas difícil para el mismo recompilarla.
Un atacante puede recompilar una cantidad desconocida y reducirla a una extensión especifica de nombres de dominio, bloques de redes y direcciones IP individuales de sistemas conectados directamente a Internet, mediante una combinación de herramientas y técnicas.
Veamos la información critica que un atacante puede recompilar día a día de nuestros sistemas de seguridad y redes implementados.
DE INTERNET.
Nombre de dominio, bloques de red, direcciones IP especificas de sistemas vía Internet, servicios TCP y udp funcionando en cada sistema, arquitectura del sistema,
mecanismos de control de acceso y listas de control de accesos relacionadas(ACL),sistemas de detección de intrusión(IDS), enumeración del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, información SNMP.)
DE INTRANET.
Protocolos de red en uso (ip, ipx, decnet), nombres de dominio internos, bloques de red, direcciones IP especificas de sistemas disponibles vía intranet, servicios TCP y udp funcionando en cada uno de los sistemas, arquitectura del sistema, mecanismos de control de acceso y ACL, sistemas de detección de intrusión, enumeración del sistema (nombres de usuarios y grupos, encabezados del sistema, tablas de direccionamiento, información SNMP.)
DE ACCESOS REMOTOS
Números de teléfono analógico/digital, tipos de sistemas remotos, mecanismos de autentificación.
DE EXTRANET
Origen y destino de la conexión, tipos de conexión, mecanismos de control de acceso.
Veamos como seguir el rastro por Internet.
Todo esto lo voy a empezar guiando para seguir el rastro a una empresa conectada a Internet.
En primer lugar tendremos que decidir si solo vamos a seguir el rastro de esa empresa o si vamos a seguirlo también de todas las que tenga conectadas como podrían ser las filiales.
Lo primero será ir a la página Web de la empresa si la tiene para sacar la máxima información de la misma.
Buscaremos ubicaciones, compañías relacionadas, noticias de fusión o adquisición, nombres de contacto y direcciones de correo, políticas de seguridad y privacidad que indiquen los tipos de mecanismos de seguridad instalados, enlaces a otros servidores Web relacionados con la empresa, ver el código fuente de la Pág. para leer los comentarios puesto que a veces se da información critica en los comentarios.
También buscaremos en Internet información sobre si esa empresa ha tenido ya ataques de seguridad puestos que podría revelar información muy útil para el atacante.
Una vez tengamos cuentas de correo apuntadas buscaremos en usenet correos con el @dominio empresa. Para ver que tipo de comentarios hacen, si están en foros, preguntando dudas sobre sus aplicaciones y sistemas etc.
Finalmente siempre podrás utilizar las búsquedas avanzadas de altavista o hotbot. Aquí puedes encontrar los sitios que enlacen con la empresa objetivo para seguir recompilando información.
Un fallo muy común en empresas que están fusionándose es dar conectividad entre ellas sin mirar la seguridad, en las Pág. de la empresa y las que linkean podemos encontrar este tipo de información además de muchas mas información relevante de la empresa.
La manera de solventar esto es eliminando de las Pág. Web de la empresa cualquier información sobre la misma en el ámbito de la seguridad de la red y de la estructura de la misma, otra cosa a evitar es que los usuarios de la red que gestionamos hagan consultas en foros sobre programas o implementaciones que existan en la red.
ENUMERACION DE LA RED.
El primer paso a dar es identificar nombres de dominio y redes asociadas relacionadas con la empresa en particular. Así constataremos la presencia de la empresa en Internet.
Para enumerar los dominios y empezar a averiguar cosas hacemos una búsqueda whois en los servidores whois de la zona geográfica en la que esta ubicada la empresa.
Dirección IP europea http://ripe.net
direccion IP asiática http://whois.apnic.net
direccion IP eeuu militar http://whois.nic.mil este lo han deshabilitado jajajajaja si es que hace unos años que estudie.
Dirección gobiern.eeuu http://whois.nic.goveste también lo han quitado jodios militares y gobierno de eeuu jajajaja.
Sigue estando esta del gobierno americano mirad
alfredo@linux:~> whois nic.gov
% DOTGOV WHOIS Server ready
Domain Name: nic.gov
Status: Active
Please be advised that this whois server only contains information pertaining to the .GOV domain. For information for other domains please use the whois server at RS.INTERNIC.NET.
alfredo@linux:~>
1 vez q hemos identificado una red entidad u organización, nos vamos a internic o a cualquier base de datos de este tipo, y hacemos 1 consulta whois, de este modo vemos los dominios asociados a la empresa y filiales, pero como bien sabemos no tienen porque estar activos todos, a veces se compran todos los nombres para proteger 1 marca con lo cual, habrá q seleccionar los activos, como bien sabemos internic limita los documentos encontrados asociados a 1 dominio a los 50 primeros, pero en http://www.websitez.com suele asociarse todos los documentos asociados al dominio.
Parece haber cambiado la Pág. websitez pero aquí os dejo un nuevo link jejeje como no.http://www.searchengines.net/websitez_se.htm
realizamos una consulta whois en una consola de sistema poniendo el nombre de dominio de la victima, y nos dará los dns de la misma.
AQUI OS PONGO UN EJEMPLO DE COMO DA INFORMACION ESTO.
Whois juanitoperez.com
Whois Server Version 2.0
Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.
Domain Name: juanitoperez.COM
Registrar: LAGORDA.INC
Whois Server: whois.opensrs.net
Referral URL: http://domainhelp.lagorda.com
Name Server: NS2.juanitoperez.COM
Name Server: NS1.juanitoperez.COM
Status: ACTIVE
EPP Status: ok
Updated Date: 02-Jun-2005
Creation Date: 02-Jun-2005
Expiration Date: 02-Jun-2006
>>> Last update of whois database: Fri, 12 May 2006 07:01:41 EDT <<<
NOTICE: The expiration date displayed in this record is the date the
registrar's sponsorship of the domain name registration in the registry is
currently set to expire. This date does not necessarily reflect the expiration
date of the domain name registrant's agreement with the sponsoring
registrar. Users may consult the sponsoring registrar's Whois database to
view the registrar's reported date of expiration for this registration.
TERMS OF USE: You are not authorized to access or query our Whois
database through the use of electronic processes that are high-volume and
automated except as reasonably necessary to register domain names or
modify existing registrations; the Data in VeriSign Global Registry
Services' ("VeriSign") Whois database is provided by VeriSign for
information purposes only, and to assist persons in obtaining information
about or related to a domain name registration record. VeriSign does not
guarantee its accuracy. By submitting a Whois query, you agree to abide
by the following terms of use: You agree that you may use this Data only
for lawful purposes and that under no circumstances will you use this Data
to: (1) allow, enable, or otherwise support the transmission of mass
unsolicited, commercial advertising or solicitations via e-mail, telephone,
or facsimile; or (2) enable high volume, automated, electronic processes
that apply to VeriSign (or its computer systems). The compilation,
repackaging, dissemination or other use of this Data is expressly
prohibited without the prior written consent of VeriSign. You agree not to
use electronic processes that are automated and high-volume to access or
query the Whois database except as reasonably necessary to register
domain names or modify existing registrations. VeriSign reserves the right
to restrict your access to the Whois database in its sole discretion to ensure
operational stability. VeriSign may restrict or terminate your access to the
Whois database for failure to abide by these terms of use. VeriSign
reserves the right to modify these terms at any time.
The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.
Registrant:
juanito perez SL
juanito perez SL
Murcia, Murcia 30009
ES
Domain name: juanito.COM
Administrative Contact:
etc......
Basándonos en la consulta, el punto de partida + lógico, es nombre de la empresa.com, al hacer 1 consulta sobre el dominio, lo mas lógico es q, entre la información que nos da estén las IPS de los dns del dominio.
Este tipo de consulta nos proporciona mucha información sobre el dominio,
Quien registro el dominio
El nombre del dominio
El administrador
Cuando fue creado y actualizado el registro
Los servidores de nombres (dns)
Llegados a este punto, tendremos q empezar a analizar la información conseguida, en busca de datos necesarios para seguir acercándonos a nuestro objetivo.
Los contactos administrativos son importantes, al igual q los números de TEL. fax y direcciones de email,
Con los primeros es posible identificar al responsable de la conexión del cortafuegos o al administrador, los Telef. y fax son útiles para la revisión de penetración telefónica, los mails nos proporcionan 1 vía de contacto, para intentar colar código, rastrear los mails y post de usuarios de ese dominio en busca de preguntas sobre soft y medidas implementadas para saltarlas, y para intentar engañar a 1 usuario de la red mediante ingeniería social.
Apunta todo esto y empezaras con buen pie.
El buscar todos los dominios relacionados también te puede llevar hasta Pág. Web ilegales dentro del dominio subida por usuarios de la red sin permiso ni control del administrador.
Llegados a este punto y con 1 mail anónimo puedes suplantar la identidad del administrador y engañar a 1 usuario de la red en cuestión que no se entere mucho y hacerle cambiar su contraseña diciéndole q son políticas implementadas por el proyecto de seguridad que sigue la empresa.
Las fechas en las q se crea y actualiza el registro del dominio nos indican si la información recopilada es valida o puede haber cambiado.
Si el documento fue creado hace 2 años y no se ha actualizado nunca es posible q ya no sea el mismo administrador o que la red debido a su crecimiento haya cambiado.
Utilizando la instrucción Server con el registro HST conseguido con 1 consulta whois podrás descubrir los otros dominios para los q esta autorizado 1 servidor dns
Ejecuta 1 consulta whois en tu dominio con 1 whois destino.com
Ejemplo whois Juanitoperez.com
Localiza el primer dns
Haz una consulta a tu dns y ejecuta una consulta whois dirección IP del dns
Ejemplo
whois IP DESTINO
Localiza el registro HST para el servidor dns
Ejecuta consola whois con la instrucción server utilizando whois
server NS9999-HST
CONSULTA DE RED
Ahora q ya tenemos 1 rango de redes suministrado por los anteriores servidores dns , comenzamos 1 consulta para ver las redes reales asociadas al dominio de la empresa .
Para esta consulta volvemos a las bases de datos de arin, ya q internic solo contiene dominios.
En
http://www.arin.net/whois
Aquí veremos cual es el proveedor isp q ha concedido las IPS al dns de nuestra victima.
CONSULTA POC
Como el contacto administrativo puede serlo de varias empresas, realiza 1 consulta poc para intentar descubrir dominios q no encontráramos anteriormente.
Podemos realizar también 1 consulta del tipo @dominio.net para sacar todas las cuentas de correo pertenecientes al dominio.
Consulta el RFC 954-NIC-VALUE/WHOIS
Si pones whois? Te sacara toda la ayuda del mismo.
Para obtener 1 lista completa de los miembros de 1 grupo u organización, o 1 lista de todos los usuarios autorizados de un host ponga delante del nomb. Del host u organización 1 asterisco ejemplo *SRI-NIC
he de aclarar que toda esta documentación y todo lo que voy aclarando no lo se por ciencia infusa, estoy siguiendo mis apuntes y mis libros de los master y cursos que he realizado en seguridad informática.
Que no os extrañe que parte del texto sea muy parecido a algún libro que conozcáis puesto que los profes se guían en ellos y los alumnos y to el que quiere aprender también...
Luego o mañana subo mas, un saludo y espero que os mole, esta parte primera se la dedico a un tío que me ha molao como funciona, parece un tío legal y también parece saber tela.
Un saludo clarinetista va por ustedes.
CONTRAMEDIDAS.
SEGURIDAD EN BASES DE DATOS PÚBLICAS.
Cuando una empresa registra un dominio en Internet, necesita contactos administrativos, bloques de red registrados e información del servidor de nombres autorizado.
Muchas veces el contacto administrativo cambia y es capaz de cambiar la información relativa a la empresa que aparece en estas bases de datos públicas.
Lo primero seria tener esa información bien actualizada y asegurarnos de que sea fiable.
Con los números de teléfono y fax lo que podemos hacer es utilizar números gratuitos o en su defecto sacarlos de la centralita de la red.
Cree una cuenta de administrativo ficticia y así conseguirá que si alguien intenta hacer ingeniería social con alguno de sus usuarios nos ponga en alerta de posibles ataques.
Es importante que el método de autentificación para poder cambiar los datos de estas bases sea mediante contraseña y autentificación PGP. Así evitaremos que nos pase lo de a AOL.
Se me olvidaba si alguien cree que eso se podría explicar mejor o que lo ampliaría así o asao pos pos pos por favor pa eso esta pa que entre tos lo hagamos mas guapo a ver si hacemos algo que incluso nos sirva de verdadera guía a todos.
La siguiente parte va desde la consulta de dns
determinar los registros mx
contramedidas.
Reconocimiento de la red y sus contramedidas y ya paso a la exploración
La bibliografía utilizada es de:
Stuart McClure
Joel Scambray
George Kurtz
Fulgencio Gomez Bastida
Javier Mosquera Vazquez
Antonio Vaquero Sanchez
Cris M. Prosise
Martin W.Dolphin
Richard Stevens
y claro esta mis apuntes cogidos de mis profes.
Después de identificar todos los dominios asociados, empezaremos las consultas al dns.
El dns es una base de datos distribuida, que transforma direcciones IP en nombres (nombres de host) y viceversa.
Si el dns no ha sido muy bien configurado, uno de las posibles fallas que nos encontraremos, es que se permite la transferencia de zonas, a usuarios no autorizados desde Internet.
Las transferencias de zona, permiten al servidor secundario actualizar su base de datos de zona, esto es lo normal puesto que siempre se pone un dns secundario para tener redundancia a fallos, por posibles caídas puntuales del servidor dns principal.
Lo que pasa aquí, es que si el no esta bien configurado transferirá las zonas a cualquier usuario que sepa pedírselas, poniendo así al descubierto el mapa interno de la red.
Para realizar las transferencias de zona utilizaremos un cliente nslookup,
ejemplo
nslookup
>> Server (aquí pon el servidor dns de la victima) dale al intro y aparece
Default Server: (aquí te saldrá la IP del dns de la victima)
Address: (aquí te saldrá la IP del dns de la victima)
Una vez aquí ya estamos haciendo las consultas desde su dns.
>> Set type=any (aquí le decimos que nos muestre cualquier tipo de registro asociado con la consulta)
>> ls -d (nombre de dominio victima). >>/tmp/zone_out (aquí le decimos que lo liste y redirigimos la salida al archivo /tmp/zone_out para poder manipularlo cómodamente luego)
después de que se complete la transferencia de zona, podemos mirar el archivo generado, para ver si podemos encontrar información especifica de algún sistema.
Podremos ver que en cada entrada tiene un registro A, que es una dirección IP,
además veremos también que cada host, cuenta con un archivo HINFO, que nos identifica el sistema operativo que se esta utilizando. (RFC-952)
Esta es la forma manual, existen en muchas herramientas que lo harán automáticamente, por ejemplo el mandato host.
@linux:~> host --help
host: illegal option -- -
host: illegal option -- h
host: illegal option -- e
host: illegal option -- p
Usage: host [-aCdlriTwv] [-c class] [-N ndots] [-t type] [-W time]
[-R number] hostname [server]
-a is equivalent to -v -t *
-c specifies query class for non-IN data
-C compares SOA records on authoritative nameservers
-d is equivalent to -v
-l lists all hosts in a domain, using AXFR
-i IP6.INT reverse lookups
-N changes the number of dots allowed before root lookup is done
-r disables recursive processing
-R specifies number of retries for UDP packets
-t specifies the query type
-T enables TCP/IP mode
-v enables verbose output
-w specifies to wait forever for a reply
-W specifies how long to wait for a reply
-4 use IPv4 query transport only
-6 use IPv6 query transport only
SamSpade, axfr, dig y en general muchas mas.
DETERMINAR LOS REGISTROS MAIL EXCHANGE.
Normalmente en las redes en las que existen servidores de correo, en el mismo servidor, es donde se suele instalar un firewall, o por lo menos pertenecen a la misma red, si la empresa tiene subredes internas implementadas.
Con la información que nos de el mandato host, y contrastándolo con las búsquedas anteriores, vamos a asegurarnos de que todos los datos encontrados son muy probablemente fiables.
CONTRAMEDIDA: SEGURIDAD EN EL DNS
Desde la perspectiva de configuración de un host, deberá restringir las transferencias de zona a usuarios autorizados.
En BIND, en el archivo named.boot, podrá utlilzar la directiva xfernets para imponer este tipo de restricciones.
En Windows para restringir las transferencias de zona de un dns de mocosoft, activando notify aplicara las restricciones.
En la red puede activar un cortafuegos, o un router que filtre el puerto 53 TCP.
Como las transferencias de zona son TCP, desbarataremos sus planes.
Así conseguiremos que el que intente transferírselas, se quede con las ganas puesto que las consultas son udp, y las transferencias TCP jejejeje.
Además como ya sabemos, deberemos de configurar el dns, para que solo ofrezca nombres de maquinas, que estén conectadas a Internet directamente.
Los archivos HINFO mejor nop, no los uséis son peligrositos, puesto que facilitan la detección mediante el empleo de programas, de sistemas potencialmente vulnerables.
RECONOCIMIENTO DE LA RED.
Ahora que ya tenemos identificadas redes de la empresa, empezamos a utilizar el traceroute o tracert en Windows, para identificar las rutas de acceso potenciales.
La herramienta de diagnostico traceroute, le indica la ruta que sigue un paquete IP desde un host al siguiente hasta llegar a su destino.
Utiliza un ttl para obtener un mensaje icmp time_exceeded de cada router, de esta forma el campo ttl se vuelve un contador de saltos.
Esto nos permitirá, descubrir la topología de la red empleada por la red de la empresa, la red formada por el gateway, cortafuegos y sistemas conectados a Internet o que hagan uso de las listas de acceso de un router, con los dispositivos de enrutamiento de su isp, además de identificar cortafuegos basados en aplicación, o routers con filtración de paquetes.
Con el mandato host anteriormente hemos visto los registros mx comparándolos con los registros del traceroute veremos que seguramente como mínimo concuerda uno, el cual va a ser un host activo de la empresa y el salto anterior a el, el router frontera de la empresa.
También podría ser un firewall o algún sistema de filtrado.
Aunque aun no lo sabemos con seguridad generalmente esto suele ser así.
En un entorno mas complejo, puede haber múltiples rutas, dispositivos de enrutamiento con múltiples interfaces tipo teldat, cisco 7500 y cosas así, y cada interface puede tener distintas listas de acceso, cosa que dificultara el trabajo del traceo puesto que no dejara pasar las peticiones, aunque en muchos casos si lo hará.
Así pues es importante asignar la red completa utilizando traceroute.
Después de indagar mucho los sistemas de la red empezaremos a poder tener una visión más amplia del diagrama de red, del gateway de Internet y los sistemas que están utilizando las listas de control de accesos. Esto es comúnmente llamado diagrama de ruta de acceso.
Y mañana sigo que no tengo mas ganas, y sino que lo siga alguien ala jajajajajaa saludoooooossssss es que llevo un día largo caluroso y joio y me desganao, que le vamos a hacer me desganao
Conviene explicar que lo mas normal es que las medidas de filtrado paren nuestros paquetes. Lo que hay que hacer es ver qué tipo de paquetes bloquea, si icmp o udp, de todas también esta la posibilidad de que permitan el paso de paquetes encaminados a su dns como consultas, puerto udp 53, puesto que muchas empresas permiten en sus dns consultas entrantes.
Ejemplo:
traceroute -S -p53 (IP victima), en este caso los paquetes habrán pasado felizmente por entre los dispositivos de control de acceso.
Al hacer este tipo de sondeo no se reciben paquetes normales de icmp no alcanzado, sino que no se recibirá ningún paquete cuando alcance su destino final, con lo cual no veremos aparecer un host cuando llegue al final.
Si preferís el modo grafico visualroute va mu bien, aunque hay muchos programas que hacen esto. Existen técnicas adicionales que te permitirán determinar las ACL específicas para dispositivos de control de acceso dados.
La técnica Firewall protocol scanning es una de ellas y la trataremos mas adelante.
Contramedidas
Frustrar el reconocimiento de la red.
Muchos programas IDS detecten estos tipos de sondas d reconocimiento de la red, como tdetect q registra mediante logs cualquier paquete udp icmp con ttl 1.
También podemos generar respuesta falsa con RotoRouter q además registra las peticiones.
En nuestros sitios Web habría q emplear una seguridad q nos permitiera config los routers para limitar el trafico udp e icmp a ciertos sistemas.
Estas herramientas y técnicas eran las mas comunes hace unos cinco años pensad q como si dijéramos esta es la manera mas pura de rastrear, y que todos los días aparecen nuevas técnicas y programas.
Todas estas tareas se deberían automatizar con shells y scripts expect o programas perl.
Habrá por tanto q vigilar los accesos si se quiere llevar un control de seguridad.
EXPLORACIÓN.
Ya hemos merodeado en busca de información y ahora nos disponemos a empezar a buscar posibles vías de entrada.
Hemos conseguido 1 lista de direcciones IP y de red utilizando las transferencias de zona y las consultas whois.
Estas técnicas nos han proporcionado nombres de empleados, num. De Telf., rangos IP, servidor dns y servidor de correo.
Ahora veremos los sistemas que se encuentran activos y cuales son accesibles desde Internet, mediante el uso de barridos ping, exploración de puertos y programas de búsqueda automatizadas.
Muchas veces nos encontraremos como decíamos, servidores de nombres que transfieren sus zonas e incluso una lista con direcciones IPS. Dado que ciertos rangos de direcciones IP no son direccionables en Internet, tendríamos muchos problemas para conseguir acceder a las mismas.
Tendremos pues que seguir recompilando información en la fase de exploración.
Un paso básico en la exploración son los barridos ping, le asignamos un rango de direcciones IP y bloques de red a una utilidad que nos lo hará mas sencillo que es fping.
Fping fue diseñada para ser usada en una scripts de shell con gping.
Con gping generamos una lista de direcciones IP que se introduce en fping para determinar que sistemas están activos. También podremos realizar esta tarea con nmap.
Cuando encontremos el trafico icmp bloqueado en el router frontera de la empresa, lo mejor es que exploremos los puertos que las maquinas que están conectadas que hemos visto anteriormente tienen a la espera.Para determinar si el sistema esta activo lo mejor es utilizar nmap y su opción para hacer un ping TCP al puerto 80, puerto que los routers tendrán abierto al igual que los sistemas activos, y también veremos si bloquea icmp. En general haremos lo mismo con los puertos mas comúnmente usados como 25, 110, 143,23.....también y mediante hping conseguiremos pasar muchas reglas de filtrado y dispositivos de control de acceso dado que podremos fragmentar los paquetes, cosa a la cual la mayoría de controles de acceso dejaran pasar. Esto es debido a que no manejan correctamente estos paquetes fragmentados y entonces los dejan pasar.
CONTRAMEDIDAS PARA BARRIDOS PING
Como se ha visto los barridos ping en redes son una muy buena herramienta, para saber cuales de los equipos encontramos activos después de indagar que servicios ofrecen y que puertas vamos a usar mediante la exploración que hemos hecho.
Los programas IDS basados en red, nos ofrecerán una manera de detección de los mismos, como bien sabéis también se puede generar código para detectar este tipo de barridos.
#ICMP/Ping flood detection
ping_schema = library_schema:new( 1, [ "time", "ip", "ip", "ethmac",
"ethmac" ],
scope ( ) ) ;
count = 0;
maxtime = 10;
maxcount =5;
dest = 0;
y etc. que no voy a desarrollar del todo buscar y aprender a programar estas cosillas que es sencillo.
Si detectamos ICMP ECHO desde un sistema o red determinados es posible que nos estén haciendo un reconocimiento de red desde nuestro sitio Web. Por tanto convendría controlar estas cositas.Tendremos pues que evaluar el tipo de trafico ICMP que permiten nuestras redes, que yo sepa en la actualidad existen 18 tipos de ICMP, con lo cual a mirarlo to muy bien.
Tendremos que presentar especial atención a las necesidades de la empresa, según que tipo de trafico ICMP necesite deberemos controlarlo pero no cortarlo, y cortar eso si el resto de trafico de este tipo a ser posible con un firewall de hardware. Una solución puede ser permitir únicamente el paso de la red DMZ de paquetes ICM ECHO_REPLY, HOST UNRECHABLE Y TIME EXCEEDED. Además deberíamos de limitar como siempre las ACL para asegurar bien y si es posible el trafico ICMP para direcciones IP especificas de nuestro ISP. Esto dificultara los barridos a sistemas conectados directamente a Internet.
Aunque ICMP nos permite diagnosticar problemas de red, también si esta habilitado en nuestro gateway o router frontera, permitirá que los atacantes pueda hacer una negación de servicios a nuestra red, incluso si quieren podrán ocultar paquetes en ICMP ECHO usando programas como loki, este programa se puede encontrar en la página de phrack.com.
Otro concepto importante es pingd, fue desarrollado por Tom Ptacek y pasado a Linux por Mike Schiffman, es un demonio de usuario que gestiona a nivel de host todo el trafico ICMP_ECHO e ICMP_ECHOREPLY, esto se consigue eliminando la compatibilidad del procesado ICMP_ECHO, desde el núcleo e implementa un demonio de usuario con un socket ICMP en bruto para manejar los paquetes. Esto proporcionara al administrador un sistema de control de acceso a nivel de sistema para ping.
CONSULTAS ICMP
Los barridos ping es una mínima parte en lo que se refiere a la información que ICMP da.
Con icmpquery o icmpush, puedes solicitar desde la hora del sistema y ver en que franjacion horaria esta, hasta la mascara de red de un dispositivo en concreto, con lo cual podríamos saber cuantas subredes o redes engloba la misma y evitar así las direcciones de difusión
CONTRAMEDIDAS PARA ICMP
La contramedida a utilizar es evitar que los router frontera tales como los cisco de la empresa, acepten en su red paquetes TIMESTAMP y ADDRESS MASK utilizando las ACL para ello.
Ejemplo al canto.
access-list 101 deny icmp any any 13 ! petición de estampación de hora
access_list 101 deny icmp any any 17 ! petición de mascara de direcciones
esto en los routers cisco por ejemplo impediría estas peticiones y como bien dice clarinetista si no se aplica a la interfaz como si oyes caer agua, y se podría usar también la opción established para hacer esto.
EXPLORACION DE PUERTOS
Teniendo la información necesaria ya podemos empezar a explorar los puertos UDP y TCP del sistema escogido para ver que servicios hay y cuales de los puertos están LISTENING.
De esta manera podremos identificar programas utilizados por esos puertos y al juntar toda la información conseguiremos identificar el sistema operativo.
De esta manera también podremos intentar encontrar fallos en los programas a la escucha y en uso, e incluso malas configuraciones de los mismos que permitan a usuarios no autorizados entrar en el sistema.
Así conseguiremos ver cuales son las vías de entrada potenciales del sistema ;-)
Los pasos a seguir en una exploración de puertos son:
Identificar los servicios UDP y TCP que se ejecutan.
Identificar el sistema operativo.
Identificar versiones y aplicaciones específicas de cada servicio.
Un pionero en la exploración de puertos fue FYODOR con Nmap.
EXPLORACION DE CONEXIONES TCP.-
Este tipo de exploración conecta con el puerto y ejecuta el acuerdo de tres vías (SYN, SYN/ACK Y ACK).
EXPLORACION TCP SYN.-
En esta no se realiza una conexión TCP completa, por ello recibe el nombre de semiabierta.
Se envía paquete SYN y si se recibe paquete SYN/ACK podemos decir que esta "listening".
Si se recibe un RST/ACK el puerto no esta a la escucha.
Enviaremos entonces un paquete RST/ACK para no realizar nunca una conexión completa.
EXPLORACION TCP FIN.-
Enviaremos un paquete FIN al puerto objetivo y según el RFC 793, el sistema objetivo devolverá un RST para todos los puertos que estén cerrados.
Esta técnica nos funcionara en sistemas like Unix.
EXPLORACION ARBOL DE NAVIDAD TCP.-
Esta técnica se utiliza para enviar paquetes FIN, URG Y PUSH al puerto objetivo.
El sistema objetivo devolverá un RST para todos los puertos cerrados.
EXPLORACION NULA TCP.-
Esta apaga las flags y nos devuelve un RST para todos los puertos cerrados.
EXPLORACION UDP.-
Enviaremos un paquete UDP al puerto objetivo y si el mismo nos contesta con un ICMP no alcanzable significara que el puerto esta cerrado, si no hubiera respuesta tendríamos ahí un puerto udp abierto.
Como este tipo de puertos tiene un protocolo sin conexión, dependerá la fiabilidad de la misma del tipo de uso que se este dando a los recursos del sistema y de la red.
Por otra parte se enlentecera muchísimo si existe algún tipo de filtrado de paquetes.
Algunas instalaciones IP devuelven a todos los puertos escaneados un RST, con lo cual los resultados obtenidos podrán variar considerablemente.
Utilizar herramientas como Strobe, Udp_scan, Netcat en unix y linux,
en Windows tenemos PortPro, Portscan y netcat que no hace bien la exploración UDP en sistemas NT.
CONTRAMEDIDAS PARA LA EXPLORACION DE PUERTOS.
Detectar una actividad de escaneo de puertos es importante para la seguridad puesto que nos proporcionara información del atacante y de sobre que puertos esta dirigiendo el mismo, podremos utilizar programas IDS basados en red para detectarlos, NFR o mecanismos basados en host nos podrán ayudar en nuestra labor.
Deberemos buscar cortafuegos que no solo tengan opciones específicas para detectar exploraciones SYN sino también las FIN puesto que muchos ignoran estas últimas siendo un grave fallo de seguridad.
En Windows BlackIce nos ayudara a controlar los scaneos de puertos y los intentos de intrusión por los mismos, reportándonos información critica del atacante como pueda ser su IP y su nombre dns.
En la medida de lo posible (puesto que el puerto 139 en Windows da muchos servicios) intentaremos dejar única y exclusivamente activos los servicios necesarios para nuestro trabajo diario, en resto de servicios deberíamos desactivarlos para evitar así riesgos innecesarios.
DETECCION DEL SISTEMA OPERATIVO.
Hemos identificado los puertos y ahora el sistema operativo con su versión.
Rastreo de pilas.-
El rastreo de pilas es una técnica que nos ayudara a identificar cual es el sistema operativo instalado en la maquina.
A la hora de escribir las pilas TCP/IP los fabricantes interpretan a su manera la normativa RFC, con lo cual si identificamos las diferencias podremos saber casi a ciencia cierta cual es el sistema operativo.
Con programas como nmap podremos siempre que haya un puerto a la escucha acertar cual es el sistema, aun así explicare cuales son los diferentes sondeos que podemos hacer:
Sondeo FIN.-
Se envía un paquete FIN a un puerto, el comportamiento correcto del sistema seria no responder pero sistemas como NT responderán con un FIN/ACK.
Sondeo Bogus Flag.-
Se introduce un flag TCP (bandera TCP) indefinida en la cabecera TCP del paquete SYN. Sistemas operativos como Linux responden con esta misma bandera en su paquete.
Valor ACK.-
Las pilas IP no son iguales en el valor de la secuencia del campo ACK, por lo que algunos responderán con el mismo desarrollo que han recibido y otros con el número de secuencia más 1.
Apagado del mensaje de error ICMP.-
Los sistemas se ajustan al RFC 1812 quedando así limitada la velocidad con la que se envían los mensajes de error, al enviar paquetes udp a un puerto con un num. Aleatorio alto, podremos contar los mensajes recibidos no contestados en un tiempo x.
Muestreo de número de secuencia inicial (ISN).-
Cuando se responde a una solicitud de conexión intentaremos encontrar un patrón en la secuencia inicial elegida por la implementación TCP.
Gestión de fragmentación.-
Cada pila trata de manera diferente la superposición de fragmentos, algunas pilas escriben datos nuevos encima de los viejos y al revés, cuando recomponen los fragmentos, si miramos como se recomponen los paquetes de sondeo sacaremos mas infamación sobre el sistema operativo en concreto.
Tipo de servicio.-
El TOS se puede analizar en los mensajes de respuesta tipo ICMP UNREACHABLE
Citado de mensajes ICMP.-
No todos los sistemas coinciden en la cantidad de información que dan cuando lanzan un mensaje de error ICMP, con los datos que da podremos sacar conclusiones de cual puede ser el sistema operativo.
Supervisión de BIT no fragmentado.-
Algunos sistemas para optimizar rendimientos activan el BIT no fragmentado, con lo cual estando atentos a ese BIT podemos saber si es de los que lo activan.
Tamaño de ventana inicial TCP.-
En los paquetes de respuesta el tamaño de la ventana inicial, que en algunas pilas es único también nos ayudara en nuestra labor.
Integridad de eco de mensaje de error ICMP.-
Algún desarrollo de pila puede alterar la cabecera IP al devolver mensaje de error ICMP. Examinando la cabecera podremos intuir cual es el sistema operativo.
Nmap utiliza estas técnicas mediante la opción -o
CONTRAMEDIDAS DETECCION SISTEMA OPERATIVO.
Al igual que nmap y queso pueden averiguar estos datos también puede detectar si se esta intentando en nuestro sistema y avisarnos, por ejemplo si se esta utilizando banderas SYN.
En cuanto a intentar ocultar la información y que no dijera que sistema operativo es dando pistas de una manera u otra es casi imposible y afectaría si lo intentáramos al funcionamiento del sistema negativamente, puesto que cambiaríamos las características únicas del seguimiento de pila.
Hasta ahora hemos visto todas las técnicas necesarias para barridos ping (TCP, icmp) exploración de puertos e identificación de sistemas operativos.
Mediante los barridos ping identificamos los sistemas que están activos y los objetivos potenciales.
Mediante la exploración TCP udp identificamos los servicios que hay a la escucha.
Y por ultimo hemos visto como identificar el sistema operativo del sistema objetivo.
Con toda esta información crítica ya podremos empezar a ver como se desencadena un ataque bien dirigido.
ENUMERACION.-
Existen varias formas de extraer nombres de recursos exportados y cuentas de usuario validas.
La diferencia entre la recopilación que hacíamos con las técnicas hasta ahora descritas y las técnicas de enumeración es que en las primeras no existe una conexión real al sistema y no quedan registrado nada, si lo haces medianamente bien, ahora bien, con la enumeración nuestros pasos deberían de quedar registrados.
En el momento en que un tío consiga averiguar un nombre de usuario de una cuenta valida del sistema o el nombre de un recurso compartido, solo será cuestión de tiempo que consiga la clave de acceso, también solo será cuestión de tiempo que identifique algún fallo en el protocolo de comparticion de recursos. Si cerramos las vías de acceso le quitaremos una pata a la mesa del tío en cuestión.
En la enumeración el tipo de información que un hacker buscara serán, recursos de red y recursos compartidos, usuarios y grupos, aplicaciones y mensajes.
Llegados a este punto y con la información que habíamos conseguido anteriormente, aplicaremos técnicas específicas para cada sistema operativo utilizando esta información que tenemos.
WINDOWS EN GENERAL.-
Desgraciadamente Windows NT, 2000 y 2003server, no se diseñaron para la privacidad, sino todo lo contrario, para dar a quien sepa buscarla toda la información necesaria.
Con el comando net view podemos identificar los dominios disponibles en la red, enumerar las maquinas de un dominio etc.
Casi todas las técnicas usadas en la enumeración van a sacar partido de un fallo de Windows, permitir a usuarios anónimos conectar y enumerar determinados recursos sin tener permisos.
Una conocida vulnerabilidad de Windows es redbutton, conexión de sesión nula o inicio de sesión anónima.
NET USE \\(IP de destino)\IPC$ " "/USER: " "
La línea anterior conecta con la comparticion de las comunicaciones ocultas entre procesos (IPC$) en la IP de destino mediante un usuario anónimo con una contraseña nula. Si esto funciona en ese momento tendrá un canal abierto por el que extraer mucha información critica de nuestros sistemas.
Esto se puede corregir no del todo pero si un poco para que no de tanta información,
ejecutamos regedt32
buscamos HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\LSA
Seleccionamos edición | agregar valor e introducimos los siguientes datos.
Nombre de valor: RestrictAnonymous
Tipo de dato: REG_DWORD
Valor: 1
Salimos del editor y reiniciamos para que lo cargue y listo.
Incluso en sistemas como Windows 2003 Server este valor esta a 0, existe la clave pero el valor no es correcto, tendremos que ponerlo en valor 1.
Aun así programas como sid2user se saltan estos filtrados.
Una vez que tenemos abierta una sesión nula, volvemos a utilizar net view para ver los recursos compartidos en la maquina.
Con herramientas como DumpACL enumeraremos cuentas compartidas y muchas más cositas claro.
Esta herramienta audita desde los permisos en el sistema de archivos hasta los servicios disponibles en sistemas remotos.
También utilizaremos scanner de NETBIOS como legión para escanear recursos compartidos en redes enteras.
A partir de aquí podríamos usar programas de fuerza bruta para intentar conectar con un recurso compartido.
CONTRAMEDIDAS.-
La manera mas sencilla de evitar que se filtre toda esta información es filtrando todos los puertos TCP y udp desde el 135 al 139 en los dispositivos de acceso de red perimetrales.
También vendría bien desactivar los enlaces NetBios de la interfaz en la ficha enlaces pertenecientes a la aplicación de red del panel de control de red.
Por ultimo y como decíamos antes resolveremos el problema de las vulnerabilidades de sesiones nulas.
GRUPOS Y USUARIOS.
Al igual que para enumerar los recursos compartidos, para enumerar usuarios y grupos iniciaremos una conexión nula, para ejecutar las herramientas necesarias.
Mediante nbtstat -A (dirección IP del sistema) (ver help nbtstat) enumeraremos los usuarios y grupos a los que pertenece la maquina y los que tiene conectados.
La mejor herramienta para enumerar grupos, usuarios, políticas y permisos de usuarios es DumpACL
c:\>>dumpacl /computer=\\ (IP de destino) /rpt=useronly /saveas=tsv /outfile=c: \temp \users.txt
con esta línea de comando desde la consola de sistema hacemos que DumpACL nos muestre información relativa a los usuarios de un sistema remoto, exportándolo a un txt.
Los sistemas NT en su instalación emiten un número de longitud variable SID de seguridad. Una vez identificado un SID de un dominio, para ello utilizaremos programas como user2sid, se podrán utilizar para enumerar los nombres de usuario.
c:\>>user2sid \\(IP destino) "domain users"
S-1-7-23-8915389-1645823063-1918254000-513
Number of sbauthorities is 7
Domain is WINDOWSNT
Length of SID in memory is 28 bytes
Type of SID is SidTypeGroup
Aquí vemos en la respuesta el SID de la maquina, cuya cadena de caracteres comienza con el identificador S-1, la cadena numérica que sigue al ultimo guión es la cadena de identificador relativo RID y es la predefinida para los grupos de usuarios predefinidos de Windows tales como los grupos de invitados, administradores, etc. Así el RID del administrador es 500, el de un usuario invitado 501 etc. Así pues podremos añadir a una cadena SID conocida un RID 500 para encontrar el nombre de la cuenta de administrador, por si este ha cambiado de nombre.
c:\>>sid2user \\(IP destino) 7 23 8915389 1645823063 1918254000 500
Name is Ares
Domain is WINDOWSNT
Type of SID is SidTypeUser
Así pues y sabiendo que a cualquier cuenta creada en un dominio NT se le asigna un RID 1000 y el siguiente objeto creado posteriormente recibe el siguiente RID libre, podremos enumerar todos los grupos y usuarios alojados en el sistema.
Además estos programas se saltaran RestrictAnonymous, pudiendo enumerar puesto que estos RID no se repiten, todos los grupos no solo que hay sino que había antes también, claro esta siempre y cuando pueda acceder al puerto 139.
En el agente snmp se podría acceder utilizando cadenas como public, con snmputil podremos enumerar los usuarios.
c:\\snmputil walk (IP de destino) public .1.3.6.1.4.1.73.2.1.25
el "25" que es el ultimo parámetro de la sintaxis anterior es el identificador de objeto (OID) el cual especifica una rama determinada de la base de datos de información de administración o (MIB) de Microsoft, esto es un espacio jerárquico en el que cuanto mas se asciende en el árbol, se obtienen mayores cantidades de información.
Lo normal es usar cadenas de texto equivalentes puesto que recordar estas ristras de números es un lío,
.server.svSvcTable.svSvcEntry.svSvcName........... ....................(servicios en ejecución)
.server.svShareTable.svShareEntry.svSharePath..... .........................(ruta de acceso compartidas)
y unas cuantas bastantes mas que no voy a enumerar, si queréis ampliar esto buscarlo en Internet que lo encontráis rápido.
De todas siempre podrás utilizar herramientas tales como el IP Network Browser que es en definitiva un explorador SNMP.
CONTRAMEDIDAS SNMP.-
Lo suyo seria si podemos detener el agente SNMP, si no podemos siempre podemos hacer lo siguiente:
evitar que "public" este habilitado ya que no es un nombre de comunidad privado,
utilizar nombres de comunidad privados he impedir que otros nombres puedan mostrar información relevante, tales como public.
Cambiar ciertas claves del registro podría ser muy beneficioso si es el caso que no podamos detener el agente SNMP.
Para ello ejecutaremos regedt32
en la clave HKLM\System\CurrentControl-Set\Services\SNMPParameters\ValidCommunities elegir Security|Permissions y luego defínalos para permitir solo el acceso a usuarios autorizados.
Después abrimos HKLM\System\CurrentControlSet\Services\SNMP\Parame ters\ExtensionAgents borraremos el valor que contiene la cadena LANManagerMIB2Agent y renombraremos numéricamente el resto de cadenas de manera que si esta era la numero uno la siguiente a el pasaría a ser ahora la uno y sucesivamente.
Si estamos usando SNMP para gestionar la red tendremos que asegurarnos de bloquear los puertos udp y tcp numero 161 y 162 a todos los dispositivos de acceso a red perimetrales.
Deberíamos también prestar atención especial a los puertos 135 y 139.
TELNET.-
Es un mecanismo mediante el cual podemos obtener información sobre aplicaciones y enumerar mensaje
telnet www.(dominio.com)80
HTTP/1.0 400 Bad Request
Server: Netscape-comrce/1.12
Your browser sent a non-HTTP compliant message
Esto funciona en las aplicaciones normales que responden al puerto, tales como http puerto 80, smtp puerto 25, ftp puerto 21, etc.....
Así conseguiremos gran cantidad de información de los servidores Windows.
Utilizando netcat podremos conectar con un puerto TCP/IP remoto.
c:\>>nec -v www.(dominio.com) 80
www.(dominio.com) [IP del dominio] 80 (?) open
La respuesta a la instrucción anterior seria
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/4.0
Date: Mond, 06 Apr 2006 10:45:00 GMT
Content-Type: text/html
Content-Length: 87
<html><head><title>Error</tilte></head><body>El parámetro es incorrecto. </body>
</html>
Conseguiríamos con esto como se ve claramente saber cual es el fabricante y la versión del servidor Web, ahora aplicando las técnicas necesarias para la plataforma implementada, se aprovecharan las rutinas hasta tener la respuesta que esperarnos. Con DumpACL podremos como todos bien sabemos, puesto que todos los programas dejan su huella en el registro, extraer el contenido del registro de Windows de la maquina atacada, para buscar las aplicaciones que hay instaladas.
Con DumpACL conseguiremos enumerar todos los servicios de Win32 y el controlador del núcleo del sistema.
Además en la medida de lo posible, intentaremos introducir punteros a puertas traseras.
CONTRAMEDIDAS.-
Las aplicaciones críticas deberíamos de restringir la forma en la que dan información, buscando pues la manera de conseguir que no la den.
Ya que disponemos de netcat y tenemos también scan de puertos no estaría mal hacerles una auditoria a los sistemas, así veremos la misma información que vea el atacante y nos será mas fácil ir restringiéndola.
Nos aseguraremos también de que el registro no es accesible en forma remota, analizaremos pues la clave del registro
HKLM\SYSTEM\CurrentControlSet\SecurePiperServers\w inreg
y todas las subclaves asociadas a la misma.
Esta clave denota que el registro de Windows esta restringido en forma remota para los administradores.
COMPARTICION DE ARCHIVOS.
Hay muchas herramientas para hacer exploraciones de comparticion de archivos, una muy utilizada es legion del grupo Rhino9 la cual, trae tambien un programa de fuerza bruta, la idea es que el programa buscara los recursos compartidos, intentando conectarse a los mismos, sacando nombre de usuario y contraseña por fuerza bruta, la unica manera de evitar esto es utilizar una contraseña lo mas larga posible alfanumerica y con metacaracteres %&() o caracteres ASCII. Tambien es recomendable incluir al final del nombre del recurso compartido el carácter $ para evitar que sea enumerado en una exploracion.
Por suerte o por desgracia, muchos sistemas Windows, utilizan una combinación del nombre de usuario y de este desafío para liar (hash o mezclar criptográficamente) la contraseña de usuario remoto, el nombre de usuario se envía en forma de texto, se podría enviar una petición de autenticación hash idéntica, dentro del intervalo de 15 minutos y montar con éxito el sistema de comparición de archivos, tal y como lo describe en sus artículos el grupo L0phtcrack.
PIDO PERDON A LAS EMPRESAS CUYA INFORMACION APARECIA, AUNQUE TAMPOCO ES CULPA MIA QUE DICHA INFORMACION SE DIFUNDA LIBREMENTE POR INTERNET Y NO HE HECHO NADA ILEGAL PARA CONSEGUIRLA, ADEMAS EN EL MANUAL VIENEN TECNICAS PARA OCULTAR DICHA INFORMACION, QUE SE PODRIAN HABER APLICADO.
Última edición por hail; 17-10-2006 a las 22:09
a la pucha que largo... xDD...
¿no seria mejor que lo pongas en rapidshare?
Saludos.-
Si todo va bien, clarinetista está guardando registro de este online-tutorial de hail xD. Y si no me equivoco saldrá en alguna ezine.
Un saludo.
PD: Buen trabajo el tuyo, hail.
Voy a por la motosierra.
Habra que trocear
jajajajaja pozi es que explicar pa que lo entiendan to dios es jodio jajajaja coje la motosierra que yo voy por un pico por si acaso jajajajaja pala no tengo........... que eso se usa pa enterrar a la gente y da grima........ pos aun queda mogollon si quereis paro pero esto esta empezando a ponerse mas o menos interesante, hasta ahora he explicado como empezar a hacer ahora viene lo bueno que es como hacerlo y como taparlo, el lio cotidiano vamos jejejejeje gracias y saludos compis.
perdonar el paron pero he estado mu malito, pero ya estoy mejor jejejeje en breve sigo posteando, es que no podia ni escribir de lo malo que estaba. Saludos y disculpas.
22-10-2006, 18:42
Espero que no te siente mal ni a ti ni a nadie que pueda leer mi comentario...
A ver, no se porque pero esto me suena un poco al libro de Hacking Exposed... y como comprenderas, es poco menos que un hurto y la verdad hay muchas lagunas en los comentarios que posteas. Como usuario te agradeceria informacion tecnica y como informatico pruebas.
La parte en la que hablas de obtencion de informacion de la maquina y esas cosas, siempre de toda la vida se llamo Fingerprintting, pero ese termino no aparece en el Hacking Exposed ...
De veras, espero que no te moleste nada, solo intento dar una opinion dentro de este mundo. Cuando saque un poquito de tiempo tratare de aportar algo de mi cosecha, pero ahora mismo estoy un poquito liado.
Un saludo a todos.
como dije hace tiempo sigo la estructura de las bibliografias y frases en concreto de libros y demas,no solo de este, tambien esta parte de mis apuntes y parte de lo que he aprendido, es una recopilacion de todo ello y como la manera que mas me gusto de estructurarlo fue esta, es la que he seguido puesto que buscaba claridad, si te fijas aunque se diga lo mismo(puesto que las cosas son lo que son y como son) no se dice de la misma manera y cierto es que si que como digo he utilizado material y frases en concreto y lo ponia antes, en el mismo manual, cuando decia que esto no lo se por ciencia infusa sino que seguia libros y apuntes y demas, de donde habia sacado la informacion, no me digas que es un hurto porque que use frases en concreto y su estructura no creo que sea un hurto, mas aun cuando no es el unico que he consultado aunqeu si el qeu mas me a gustado como explica estructura y aborda el tema, entre otras cosas porque siempre se aprende con libros lo que luego se escribe, y utilice este material por ser el mas claro y aun asi lo puse un poquito mas claro, en cuanto a las pruebas las puse y tuve que quitarlas porque me llamaron la atencion, no aqui sino por telefono a mi movil, por eso no hay pruebas reales puestas. No me molesta para nada, puesto que entiendo que es muy parecido al seguir la misma estructura y secciones, pero para mi gusto ni mis apuntes ni na estaban asi de bien estructurados y tomados. El que no utilice terminos tecnicos es porque en principio no estaba hecho para gente que supiera sino para guiar al que no sabia un poco. De todas formas si quieres saber que se y que no se lo mas sencillo es leer mis post, no estos sino el resto, puesto que en las cuestiones que te plantean todos los dias, en la manera de acotar fallos y en las respuestas es donde se ve que se sabe y que no, no en un manual que claramente siempre, vas a seguir los libros con los que aprendieste, apuntes y demas. Saludos.
Última edición por hail; 22-10-2006 a las 22:31
por cierto ya veo que tu primer post me lo has dedicado a mi? entraste a esto esplicitamente o pensaste en contestar y ayudar a alguno de los que si que lo necesitan? lo digo porque fue el primero y ultimo que pusiste, tu no seras de las empresas que salian y estaras un poco cabreado por ello verdad?Si es asi lo siento, y si no tendrias que haber leido la parte en la que aclaraba que no es que lo sepa yo por ciencia infusa sino que sigo manuales y libros y apuntes, sin cortarme en poner lo que creo que esta mejor explicado y con la estructura que mas me gusta de las que tenia para elegir. Saludos.
Marcadores