Fases de un ataque informático Reconocimiento (Reconnaissance) El reconocimiento se refiere a la fase preparatoria donde el atacante obtiene toda la información necesaria de su objetivo o victima antes de lanzar el ataque. Esta fase también puede incluir el escaneo de la red r ed que el Hacker quiere atacar no importa i mporta si el ataque va a ser interno o externo. Esta fase le permite al atacante crear una estrategia para su ataque. Esta fase puede incluir la Ingeniería Social, buscar en la basura (Dumpster diving), buscar que tipo de sistema operativo y aplicaciones usa el objetivo o víctima, cuales son los puertos que están abiertos, donde están localizados los routers (enrutadores), cuales son los host (terminales, computadoras) más accesibles, buscar en las bases de datos del Internet (Whois) información como direcciones de Internet ( IP), nombres de dominios, información de contacto, servidores de email y toda la información que se pueda extraer de los DNS (Domain Name Server). Escaneo (Scanning) Esta es la fase que el atacante realiza antes de la lanzar un ataque a la red (network). En el escaneo el atacante utiliza toda la información que obtuvo en la Fase del Reconocimiento (Fase 1) para identificar vulnerabilidades específicas. Por ejemplo, si en la Fase 1 el atacante descubrió que su objetivo o su víctima usa el sistema operativo Windows XP entonces el buscara vulnerabilidades específicas que tenga ese sistema operativo para saber por dónde atacarlo. También hace un escaneo de puertos para ver cuáles son los puertos abiertos para saber por cual puerto va entrar y usa herramientas automatizadas para escanear la red y los host en busca de más vulnerabilidades que le permit an el acceso al sistema. sist ema. Ganar Acceso (Gaining Access) Esta es una de las fases más importantes para el Hacker porque es la fase de penetración al sistema, en esta fase el Hacker explota las vulnerabilidades que encontró en la fase 2. La explotación puede ocurrir localmente, offline (sin est ar conectado), sobre el LAN (Local Area Network), o sobre el Internet y puede incluir técnicas como buffer overflows (desbordamiento de buffer), denial-of-service (negación de servicios), sesión hijacking (secuestro de sesión), y password cracking (romper o adivinar cl aves usando varios métodos como: diccionary atack y brute forcé atack). Los factores que ayudan al Hacker en esta fase a tener una penetración exitosa al sistema dependen de cómo es la arquitectura del sistema y de cómo está configurado c onfigurado el sistema objetivo o víctima, una configuración de seguridad simple significa un acceso más fácil al sistema, otro factor a tener en cuenta es el nivel de destrezas, habilidades y conocimientos sobre seguridad informática y redes que tenga el Hacker y el nivel de acceso que obtuvo al principio de la penetración. Fase 4 – Mantener el Acceso (Maintaining Access) Una vez el Hacker gana acceso al sistema objetivo (Fase3) su prioridad es mantener el acceso que gano en el sistema. En esta fase el Hacker usa sus recursos y recursos del sistema y usa el sistema objetivo como plataforma de lanzamiento de ataques para
escanear y explotar a otros sistemas que quiere atacar, también usa programas llamados sniffers para capturar todo el tráfico t ráfico de la red, incluyendo sesiones de telnet y FTP (File Transfer Protocol). En esta fase el Hacker puede tener t ener la habilidad de subir, bajar y alterar programas y data. En esta fase el hacker quiere permanecer indetectable y para eso remueve evidencia de su penetración al sistema y hace uso de Backdoor (puertas traseras) y Troyanos para ganar acceso en otra ocasión y tratar de tener acceso a cuentas de altos privilegios como cuentas de Administrador. También usan los caballos de Troya (Trojans) para transferir nombres de usuarios, passwords e incluso información de tarjetas de crédito almacenada en el sistema. Fase 5 – Cubrir las huellas (Covering Tracks) En esta fase es donde el Hacker trata de destruir toda la evidencia de sus actividades ilícitas y lo hace por varias razones entre ellas seguir manteniendo el acceso al sistema comprometido ya que si borra sus huellas los administ radores de redes no tendrán pistas claras del atacante y el Hacker podrá seguir penetrando el sistema cuando quiera, además borrando sus huellas evita ser detectado dete ctado y ser atrapado por la policía o los l os Federales. Las herramientas y técnicas que usa para p ara esto son caballos de Troya, Steganography, Ste ganography, Tunneling, Rootkits y la alteración de los “log files” (Archivos donde se almacenan todos los eventos ocurridos en un sistema informático y permite obtener información detallada sobre los hábitos de los usuarios), una vez que el Hacker logra plantar caballos de Troya en el sistema este asume que tiene control total del sistema.
escanear y explotar a otros sistemas que quiere atacar, también usa programas llamados sniffers para capturar todo el tráfico t ráfico de la red, incluyendo sesiones de telnet y FTP (File Transfer Protocol). En esta fase el Hacker puede tener t ener la habilidad de subir, bajar y alterar programas y data. En esta fase el hacker quiere permanecer indetectable y para eso remueve evidencia de su penetración al sistema y hace uso de Backdoor (puertas traseras) y Troyanos para ganar acceso en otra ocasión y tratar de tener acceso a cuentas de altos privilegios como cuentas de Administrador. También usan los caballos de Troya (Trojans) para transferir nombres de usuarios, passwords e incluso información de tarjetas de crédito almacenada en el sistema. Fase 5 – Cubrir las huellas (Covering Tracks) En esta fase es donde el Hacker trata de destruir toda la evidencia de sus actividades ilícitas y lo hace por varias razones entre ellas seguir manteniendo el acceso al sistema comprometido ya que si borra sus huellas los administ radores de redes no tendrán pistas claras del atacante y el Hacker podrá seguir penetrando el sistema cuando quiera, además borrando sus huellas evita ser detectado dete ctado y ser atrapado por la policía o los l os Federales. Las herramientas y técnicas que usa para p ara esto son caballos de Troya, Steganography, Ste ganography, Tunneling, Rootkits y la alteración de los “log files” (Archivos donde se almacenan todos los eventos ocurridos en un sistema informático y permite obtener información detallada sobre los hábitos de los usuarios), una vez que el Hacker logra plantar caballos de Troya en el sistema este asume que tiene control total del sistema.
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS 1. Define cada una de las cinco fases vistas. Indica I ndica un ejemplo para cada una de ellas: - Backdoors, rootkits y troyanos → F4 - Ingeniería Social, el Dumpster Diving, el sniffing → F1 - Archivos de registro (log), alarmas del Sistema de Detección de Intrusos (IDS) → F5 - Network mappers, port mappers, network scanners, port scanners, y vulnerability scanners. → F2 - Buffer Overflow, de Denial of Service (DoS), Distributed Denial of Service (DDos), Password filtering y Session hijacking → F3
Fases de un ataque informático Reconocimiento Reconocimiento (Reconnaissance) (Descubrimiento y exploración del sistema informático) El reconocimiento se refiere a la fase preparatoria donde el atacante obtiene toda la información necesaria de su objetivo o victima antes de lanzar el ataque. Esta fase también puede incluir el escaneo de la red que el Hacker quiere quier e atacar no importa si el ataque va a ser interno o externo. Esta fase le permite al atacante crear una estrategia para su ataque. Esta fase puede incluir la Ingeniería Social, buscar en la basura (Dumpster diving), buscar que tipo de sistema operativo y aplicaciones usa el objetivo o víctima, cuales son los puertos que están abiertos, donde están localizados los routers (enrutadores), cuales son los host (terminales, computadoras) más accesibles, buscar en las bases de datos del Internet (Whois) información como direcciones de Internet (IP), nombres de dominios, información de contacto, servidores de email y toda la información que se pueda extraer de los DNS (Domain Name Server).
Escaneo (Scanning) (Búsqueda de vulnerabilidades en el sistema) Esta es la fase que el atacante realiza antes de la lanzar un ataque a la red (network). En el escaneo el atacante utiliza toda la información que obtuvo en la Fase del Reconocimiento (Fase 1) para identificar vulnerabilidades específicas. Por ejemplo, si en la Fase 1 el atacante descubrió que su objetivo o su víctima usa el sistema operativo Windows XP entonces el buscara vulnerabilidades específicas que tenga ese sistema operativo para saber por dónde atacarlo. También hace un escaneo de puertos para ver cuáles son los puertos abiertos para saber por cual puerto va entrar y usa herramientas automatizadas para escanear la red y los host en busca de más vulnerabilidades que le permitan el acceso al sistema.
Ganar Acceso (Gaining Access) (Exploración de vulnerabilidades) Esta es una de las fases más importantes para el Hacker porque es la fase de penetración al sistema, en esta fase el Hacker explota las vulnerabilidades que encontró en la fas e 2. La explotación puede ocurrir localmente, offline (sin estar conectado), sobre el LAN (Local Area Network), o sobre el Internet y puede incluir técnicas como buffer overflows (desbordamiento de buffer), denial -ofservice (negación de servicios), sesión hijacking (s ecuestro de sesión), y password cracking (romper o adivinar claves usando varios métodos como: diccionary atack y brute forcé at ack). Los factores que ayudan al Hacker en esta fase a tener una penetración penetraci ón exitosa al sistema dependen de cómo es la arquitectura del sistema si stema y de cómo está configurado el sistema siste ma objetivo o víctima, una configuración de seguridad simple significa un acceso más fácil al sistema, otro factor a tener en cuenta es el nivel de destrezas, destrez as, habilidades y conocimientos sobre seguridad informática y redes que tenga el Hacker y el nivel de acceso ac ceso que obtuvo al principio de la penetración.
Fase 4 – Mantener el Acceso (Maintaining Access) (Corrupción o compromiso del sistema) Una vez el Hacker gana acceso al sistema objetivo (Fase3) su prioridad es mantener el acceso que gano en el sistema. En esta fase el Hacker usa sus recursos y recursos del sistema y usa el sistema objetivo como plataforma de lanzamiento de ataques para escanea r y explotar a otros sistemas que quiere atacar, también usa programas llamados sniffers para capturar todo el tráfico de la red, incluyendo sesiones de telnet y FTP (File Transfer Protocol). En esta fase el Hacker puede tener la habilidad de subir, bajar y alterar programas y data. En esta fase el hacker quiere permanecer indetectable y para eso remueve evidencia de su penetración al sistema y hace uso de Backdoor (puertas traseras) y Troyanos para ganar acceso en otra ocasión y tratar de tener acceso a cuentas de altos privilegios como cuentas de Administrador. También usan los caballos de Troya (Trojans) para transferir nombres de usuarios, passwords e incluso información de tarjetas de crédito almacenada en el sistema.
Fase 5 – Cubrir las huellas (Covering Tracks) (Eliminación de pruebas) En esta fase es donde el Hacker trata de destruir toda la evidencia de sus actividades ilícitas y lo hace por varias razones entre ellas seguir manteniendo el acceso al sistema comprometido ya que si borra sus huellas los administradores de redes no tendrán pistas claras del atacante y el Hacker podrá seguir penetrando el sistema cuando quiera, además borrando sus huellas evita ser detectado y ser atrapado por la policía o los Federales. Las herramientas y técnicas que usa para esto son caballos de Troya, Steganography, Tunneling, Rootkits y la alteración de los “log files” (Archivos donde se almacenan todos los eventos ocurridos en un sistema informático y permite obtener información detall ada sobre los hábitos de los usuarios), una vez que el Hacker logra plantar cab allos de Troya en el sistema este asume que tiene control total del sistema.
1. Visita los siguientes enlaces: http://www.isecauditors.com/es/test-intrusion.html
http://pentestmag.com/
------1. Ejecuta y busca información del comando: nslookup [-opción] [nombre de host] [servidor] Nslookup.exe es una herramienta administrativa de la línea de comandos para probar y solucionar problemas de los servidores DNS. Esta herramienta se instala junto con el protocolo TCP/IP a través del Panel de control. En este artículo se incluyen varias sugerencias para utilizar Nslookup.exe. Para utilizar Nslookup.exe, tenga en cuenta lo siguiente: • •
•
•
El protocolo TCP/IP debe estar instalado en el equipo donde se ejecuta Nslookup.exe Se debe especificar al menos un servidor DNS cuando se ejecuta el comando IPCONFIG /ALL desde un símbolo del sistema. Nslookup siempre devolverá el nombre del contexto actual. Si no califica totalmente una consulta de nombre (es decir, si no utiliza el punto del final), la consulta co nsulta se anexará al contexto actual. Por ejemplo, la configuración de DNS actual es att.com y se realiza una consulta en www.microsoft.com; la primera consulta saldrá como c omo www.microsoft.com.att.com porque la consulta no está completa. Este comportamiento puede ser incoherente con las versiones de otro proveedor de Nslookup y este artículo pretende clarificar el comportamiento de Nslookup.exe de Microsoft Windows NT. Si ha implementado el uso de la lista de búsquedas en el Orden de búsqueda del sufijo de dominio definido en la ficha DNS de DNS de la página Propiedades de Microsoft TCP/IP, TCP/IP, la devolución no se producirá. La consulta se anexará a los sufijos de dominio especificados en la lista. Para evitar utilizar la lista de búsquedas, utilice siempre un Nombre de dominio completo (es decir, agregue el punto final al nombre).
Nslookup.exe se puede ejecutar en dos modos: interactivo y no interactivo. El modo no interactivo es útil cuando sólo se necesita devolver un fragmento de datos. La sintaxis para el modo no interactivo es la siguiente: nsl ookup kup [ - opt i on] [ host name] [ ser ser ver ver ]
Para iniciar Nslookup.exe en modo interactivo, basta con escribir "nslookup" en el símbolo del sistema: C: \ > nsl ooku ookup p Def aul aul t Ser Ser ver ver : nameser eser ver ver 1. dom domai n. com Addr ess: 10. 0. 0. 1 >
Si se escribe "help" o "?" en el símbolo del sistema se generará una lista de comandos disponibles. Todo lo que escriba en el símbolo del sistema que no se reconozca como un comando válido se supone que es un nombre de host y se intenta resolver utilizando el servidor predeterminado. Para interrumpir comandos interactivos, presione CTRL+C. Para salir del modo interactivo y volver al símbolo del sistema, escriba exit en el símbolo del sistema. Lo siguiente es la ayuda generada y contiene la lista completa de opciones: Command ands:
( i dent ent i f i er s ar e show shown i n uppercase, [ ] mean eans opt i onal onal )
NAME NAME1 NAME2 hel hel p or ? set OPTI PTI ON
- pr i nt i nf o abou aboutt t he host / dom domai n NAME usi ng def aul aul t server - as above, but use NAME2 as s er ver - pr i nt i nf o on common commands ands - set an opt opt i on
al l - pr i nt opt i ons, cur cur r ent ser ser ver and host [ no] debug - pr i nt debuggi ng i nf or mat i on [ no] d2 - pr i nt exha xhaust i ve debuggi ng i nf or mat i on [ no] def name - append append domai n name t o each quer quer y [ no] r ecur cur se - ask f or r ecur cur si ve answer t o quer y [ no] sea sear ch - use domai n sea sear ch l i st [ no] vc - al ways use a vi r t ual ci r cui cui t domai n=NAME - s et def aul t domai n name t o NAME sr chl chl i st =N1[ / N2/ . . . / N6] - set set domai n t o N1 and sea sear ch l i st t o N1, N2, and so on r oot =NAME - set r oot ser ver t o NAME r et r y=X - set number of r et r i es t o X t i meout =X - set set i ni t i al t i me- out i nt er val t o X seco secon nds t ype= ype=X - set quer quer y t ype ype ( f or exam exampl e, A, ANY, CNAME, MX, NS, PTR, PTR, SOA, SRV SRV) quer quer yt ype=X - s ame as t ype cl ass=X - set set quer y cl ass ( f or exam xampl e, I N ( I nt er net ) , ANY) [ no] msxf r - use MS f ast zone zone t r ansf er i xf r ver ver =X - cur cur r ent ver ver si on t o use i n I XFR t r ansf er r equest ser ver ver NAME l ser ser ver ver NAME f i nger [ USER] r oot l s [ opt ] DOMAI N
- set set def aul t ser ver ver t o NAME, usi usi ng cur cur r ent def aul t ser ver ver - set set de def aul t ser ser ver ver t o NAME, usi usi ng i ni t i al ser ver ver - f i nger t he opt i onal NAME at t he cur cur r ent def def aul t host host - set set cur cur r ent def aul t ser ser ver ver t o t he r oot [ > FI LE] LE] - l i st addr esses sses i n DOMAI N ( opt i onal : out put t o FI L E) E)
-a -d - t TYPE vi ew FI LE exi t
-
l i st can canoni cal cal names and al i ases ses l i s t al l r ec ec or ds ds l i st r ecor cor ds of t he gi ven ven t ype ype ( f or exam xampl e, A, A, CN CNAME, MX, NS, PTR, PTR, and and so on) on) - sor sor t an ' l s' ou out put f i l e and vi ew i t wi t h pg - exi t t he pr ogr am
Se pueden establecer varias opciones diferentes en Nslookup.exe ejecutando el comando set en set en el símbolo del sistema. Para ver una lista completa de estas opciones, escriba set all. Vea arriba, bajo el comando set, set, para obtener una lista de las opciones disponibles.
Buscar tipos de datos diferentes Para buscar tipos de datos diferentes dentro del espacio de nombres de dominio, utilice el comando set type o type o set q[uerytype] en q[uerytype] en el símbolo del sistema. Por ejemplo, para consultar los datos del intercambiador de correo, escriba lo siguiente: C: \ > nsl ooku ookup p Def aul aul t Ser ver ver : ns1. s1. domai n. com com Addr ess: 10. 0. 0. 1 > s et q=m q=mx > mai l host host Server : ns1. s1. domai n. com com Addr ess: 10. 0. 0. 1 mai l host host . dom domai n. com mai l host . domai n. com com >
MX pr ef er ence ence = 0, mai l exchang exchanger er = mai l host . domai n. com com i nt ernet ernet addr ess = 10. 0. 0. 5
La primera vez que se realiza una consulta de un nombre remoto, la respuesta es autoritativa, pero las consultas subsiguientes no lo son. La primera vez que se consulta un host remoto, el servidor DNS local se pone en contacto con el servidor DNS que es autoritativo para ese dominio. El servidor DNS local almacenará en memoria caché esa información, por lo que las consultas subsiguientes se responderán de forma no autoritativa a partir de la caché del servidor local.
Consultar directamente directamente desde otro servidor de nombres Para consultar directamente otro servidor de nombres, utilice los comandos server o server o lserver para lserver para cambiar a ese servidor de nombres. El comando lserver utiliza lserver utiliza el servidor local para obtener la dirección del servidor al que se desea cambiar, mientras que el comando server utiliza server utiliza el servidor predeterminado actual para obtener la dirección.
Ejemplo: C: \ > nsl ookup Def aul t Ser ver : nameser ver 1. domai n. com Addr ess: 10. 0. 0. 1 > ser ver 10. 0. 0. 2 Def aul t Ser ver : nameser ver 2. domai n. com Addr ess: 10. 0. 0. 2 >
Utilizar Nslookup.exe para transferir toda la zona Nslookup puede utilizarse para transferir toda una zona mediante el comando ls. Esto es útil para ver todos los hosts que hay dentro de un dominio remoto. La sintaxis del comando ls es la siguiente: l s [ - a | d | t t ype] domai n [ > f i l ename]
Si se utiliza ls sin argumentos se devolverá una lista de todas las direcciones y datos del servidor de nombres. El modificador -a devolverá alias y nombres canónicos, -d devolverá todos los datos y -t filtrará por tipo. Ejemplo:
>l s domai n. com [ nameser ver 1. domai n. com] nameser ver 1. domai n. com. nameser ver 2. domai n. com nameser ver 1 nameser ver 2
NS
ser ver = ns1. domai n. com NS ser ver = ns2. domai n. com A 10. 0. 0. 1 A 10. 0. 0. 2
>
Las transferencias de zona se pueden bloquear en el servidor DNS de manera que sólo las direcciones o las redes autorizadas puedan realizar esta función. Se devolverá el error siguiente si se ha establecido la seguridad de la zona: *** No se puede hacer una lista del dominio ejemplo.com.: Consulta rechazada
Para obtener información adicional, consulte el artículo o los artículos siguientes en Microsoft Knowledge Base: 193837 Configuración predeterminada de seguridad de la zona del servidor DNS de Windows NT 4.0
Solucionar problemas de Nslookup.exe El servidor predeterminado superó el tiempo de espera
Al iniciar la utilidad Nslookup.exe pueden producirse los errores siguientes: *** No se puede encontrar el nombre de servidor para la dirección w.x.y.z: Agotado el tiempo de espera
NOTA: w.x.y.z es el primer servidor DNS mostrado en la lista Orden de búsqueda de servicio DNS. *** No se puede encontrar el nombre de servidor para la dirección 127.0.0.1: Agotado el tiempo de espera El primer error indica que no se puede alcanzar el servidor DNS o que el servicio no está ejecutándose en ese equipo. Para corregir este problema, inicie el servicio DNS en ese servidor o compruebe si hay problemas de conectividad. El segundo error indica que no se ha definido ningún servidor en la lista Orden de búsqueda de servicio DNS. Para corregir este problema, agregue a esta lista la dirección IP de un servidor DNS válido. Para obtener información adicional, consulte el siguiente artículo en Microsoft Knowledge Base: 172060 NSLOOKUP: no se puede encontrar el nombre de servidor para la dirección 127.0.0.1 No se puede encontrar el nombre de servidor al iniciar Nslookup.exe Al iniciar la utilidad Nslookup.exe puede producirse el siguiente error: *** No se puede encontrar el nombre de servidor para la dirección w.x.y.z: Dominio inexistente
Este error se produce cuando no hay ningún registro PTR para la dirección IP del servidor de nombres. Cuando Nslookup.exe se inicia, hace una búsqueda inversa para obtener el nombre del servidor predeterminado. Si no existen ningún dato PTR, se devuelve este mensaje de error. Para corregirlo, asegúrese de que existe una zona de búsqueda inversa y que contiene registros PTR para los servidores de nombres. Para obtener información adicional, consulte el siguiente artículo en Microsoft Knowledge Base: 172953 Cómo instalar y configurar el servidor DNS de Microsoft Nslookup no funciona en dominios secundarios Cuando se consulta o se realiza una transferencia de zona en un dominio secundario, Nslookup puede devolver los errores siguientes: *** ns.domain.com no puede encontrar child.domain.com.: Dominio i nexistente *** No se puede hacer una lista del dominio child.domain.com.: Dominio inexistente
En el Administrador de DNS se puede agregar un nuevo dominio bajo la zona primaria, creando así un dominio secundario. Al crear un dominio secundario de esta manera no se crea un archivo de base de datos independiente para el dominio, por lo que al consultar así ese dominio o ejecutar una transferencia de zona
en él se generarán los errores anteriores. Al ejecutar una transferencia de zona en el dominio primario se mostrarán datos tanto para el dominio primario como para el dominio secundario. Para evitar este problema, cree una nueva zona primaria en el servidor DNS para el dominio secundario. ping
/parámetro valor /parametro2 valor
El comando ping sirve para verificar la conectividad de IP. Cuando esté resolviendo problemas, puede usar ping para enviar una solicitud de eco ICMP a un nombre de host de destino o a una dirección IP. Use ping siempre que necesite comprobar que un equipo host puede conectarse a l a red TCP/IP y a los recursos de red. También puede usar ping para aislar problemas de hardware de red y configuraciones incompatibles. Siga este proceso para diagnosticar la conectividad de la red:
1. Haga ping a la dirección de bucle invertido para verificar que TCP/IP está configurado correctamente en el equipo local. ping 127.0.0.1 2. Haga ping a la dirección IP del equipo local para verificar que se agregó correctamente a la red. ping dirección_IP_de_host_local 3. Haga ping a la dirección IP de la puerta de enlace predeterminada para verificar que funciona y que se puede comunicar con un host local en la red local. ping dirección_IP_de_puerta_enlace_predeterminada 4. Haga ping a la dirección IP de un host remoto para verificar que se puede comunicar a través de un enrutador. ping dirección_IP_de_host_remoto En la siguiente tabla se muestran algunas opciones útiles del comando ping.
Opción
Uso
-n cuenta
Determina el número de solicitudes de eco para enviar. El valor predeterminado es de 4 solicitudes.
-w tiempo de espera
Permite ajustar el tiempo de espera (en milisegundos). El valor predeterminado es de 1.000 (tiempo de espera de un segundo).
-l tamaño
Permite ajustar el tamaño del paquete de ping. El tamaño predeterminado es de 32 bytes.
-f
Establece el bit No fragmentar en el paquete de ping. De manera predeterminada, el paquete de ping permite la fragmentación.
/?
Proporciona la ayuda del comando.
En el siguiente ejemplo se muestra cómo enviar dos pings, cada uno con un tamaño de 1.450 bytes, a la dirección IP 131.107.8.1: C: \ >pi ng - n 2 - l 1450 131. 107. 8. 1 Haci endo pi ng a 131. 107. 8. 1 con 1450 byt es de dat os: Respuest a desde 131. 107. 8. 1: byt es=1450 t i empo<10ms TTL=32 Respuest a desde 131. 107. 8. 1: byt es=1450 t i empo<10ms TTL=32 Est adí st i cas de pi ng par a 131. 107. 8. 1: Paquet es: envi ados = 2, r eci bi dos = 2, perdi dos = 0 ( 0% perdi dos) , Ti empos apr oxi mados de i da y vuel t a en mi l i segundos: Mí ni mo = 0ms, Máxi mo = 10ms, Medi a = 2ms
De manera predeterminada, ping espera 4.000 milisegundos (4 segundos) para que se devuelva cada respuesta antes de mostrar el mensaje "Tiempo de espera agotado para esta solicitud". Si el sistema remoto al que se hace ping se encuentra en un vínculo con grandes retrasos, como los vínculos por satélite, la devolución de las respuestas puede tardar más tiempo. Puede usar la opción -w (tiempo de espera) para especificar un mayor tiempo de espera. Una respuesta de "Red de destino inaccesible" significa que no hay una ruta al destino. Deberá comprobar la tabla de enrutamiento del enrutador indicado en la direcci ón "Respuesta desde" en el mensaje "Red de destino inaccesible". Para obtener más información sobre la tabla de enrutamiento, consulte Administración de la tabla de enrutamiento IPv4. La respuesta "Tiempo de espera agotado para est a solicitud" significa que no hubo respuesta al ping en el período de tiempo predeterminado (1 segundo). Puede comprobar las opciones siguientes: •
El comando ping está bloqueado en el firewall corporativo o personal. Configure el firewall corporativo para que permita el acceso a red del comando ping. Configure el firewall personal para que permita los paquetes de eco ICMP y de respuesta al eco.
•
Un enrutador está fuera de servicio. Para comprobar los enrutadores de la ruta entre el origen y el destino, use el comando tracert.
•
El host de destino está fuera de servicio. Verifique físicamente que el host está funcionando o compruebe la conectividad mediante otro protocolo.
•
No hay una ruta de vuelta al equipo. Si el host está funcionando, puede comprobar si existe una ruta de vuelta; para ello, consulte la puerta de enlace predeterminada y la tabla de enrutamiento local del host de destino.
•
La latencia de la respuesta es de más de un segundo. Use la opción -w del comando ping para incrementar el tiempo de espera. Por ejemplo, para permitir respuestas en un período de 5 segundos, use ping-w 5000.
El comando ping usa la resolución de nombres de tipo Windows Sockets para resolver un nombre de equipo en una dirección IP, de modo que si el proceso de hacer ping mediante direcciones es
correcto pero da error cuando se hace con nombres, el problema se encontraría en la resolución de nombres o de direcciones y no en la conectividad de la red.
tracert
WINDOWS XP. Este artículo describe TRACERT (Trace Route), una utilidad de línea de comandos que se utiliza para determinar la ruta que toma un paquete de protocolo de Internet (IP) para alcanzar su destino. En este artículo se tratan los siguientes temas: • • •
Cómo utilizar la utilidad TRACERT Cómo utilizar TRACERT para solucionar problemas Cómo utilizar las opciones de TRACERT
Cómo utilizar la utilidad TRACERT La utilidad de diagnóstico TRACERT determina la ruta a un destino mediante el envío de paquetes de eco de Protocolo de mensajes de control de Internet (ICMP) al destino. En estos paquetes, TRACERT utiliza valores de período de vida (TTL) IP variables. Dado que los enrutadores de la ruta deben disminuir el TTL del paquete como mínimo una unidad antes de reenviar el paquete, el TTL es, en realidad, un contador de saltos. Cuando el TTL de un paquete alcanza el valor cero (0), el enrutador devuelve al equipo de origen un mensaje ICMP de "Tiempo agotado". TRACERT envía el primer paquete de eco con un TTL de 1 y aumenta el TTL en 1 en cada transmisión posterior, hasta que el destino responde o hasta que se alcanza el TTL máximo. Los mensajes ICMP "Tiempo agotado" que devuelven los enrutadores intermedios muestran la ruta. Observe, sin embargo, que algunos enrutadores colocan paquetes que han agotado el TTL sin avisar y que estos paquetes son invisibles para TRACERT. TRACERT imprime una lista ordenada de los enrutadores intermedios que devuelven mensajes ICMP "Tiempo agotado". La opción -d con el comando tracert le indica a TRACERT que no efectúe una búsqueda de DNS en todas las direcciones IP, de manera que TRACERT devuelve la dirección IP de la interfaz del lado cercano de los enrutadores. En el siguiente ejemplo del comando tracert y su resultado, el paquete viaja a través de dos enrutadores (157.54.48.1 y 11.1.0.67) para llegar al host 11.1.0.1. En este ejemplo, la puerta de enlace predeterminada es 157.54.48.1 y la dirección IP del enrutador de la red 11.1.0.0 es 11.1.0.67 . El comando: C:\>tracert 11.1.0.1 El resultado del comando: Tr aza a l a di r ecci ón 11. 1. 0. 1 sobr e cami nos de 30 sal t os como máxi mo --------------------------------------------------1 2 ms 3 ms 2 ms 157. 54. 48. 1 2 75 ms 83 ms 88 ms 11. 1. 0. 67
3
73 ms
79 ms
93 ms
11. 1. 0. 1
Tr aza compl et a.
Cómo utilizar TRACERT para solucionar problemas Puede utilizar TRACERT para averiguar en qué lugar de la red se detuvo un paquete. En el siguiente ejemplo, la puerta de enlace predeterminada ha determinado que no existe una ruta válida para el host en 22.110.0.1. Probablemente haya un problema de configuración del enrutador o no exista la red 22.110.0 .0, lo que indicaría que la dirección IP es incorrecta. El comando: C:\>tracert 22.110.0.1 El resultado del comando: Tr aza a l a di r ecci ón 22. 110. 0. 1 sobr e cami nos de 30 sal t os como máxi mo ----------------------------------------------------1 157. 54. 48. 1 devuel ve: r ed de dest i no i naccesi bl e. Tr aza compl et a.
TRACERT es útil a la hora de solucionar problemas en las redes grandes, donde se pueden tomar varias rutas para llegar a un destino o donde existen muchos componentes intermedios (enrutadores o puentes).
Cómo utilizar las opciones de TRACERT Hay varias opciones de la línea de comandos que se pueden utilizar con TRACERT, aunque generalmente estas opciones no son necesarias para solucionar los problemas más habituales. El siguiente ejemplo de sintaxis de comandos muestra todas las opciones posibles: tracert -d -h n_max_saltos -j lista_host -w tiempo_esperahost_destino Descripción de los parámetros: -d Especi f i ca que no se r esuel van l as di r ecci ones en nombr es de host - h n_max_s al t os Especi f i ca el número máxi mo de sal t os par a al canzar el dest i no - j l i st a- host Especi f i ca l a r ut a de or i gen a l o l ar go de l a l i st a de host s - w t i empo_esper a Esper a el númer o de mi l i segundos especi f i cados en t i empo_esper a par a cada r espuest a host _dest i no Especi f i ca el nombr e de l a di r ecci ón I P del host de dest i no
Tracert Determina la ruta tomada hacia un destino Enviar soli citud de eco de protocolo de mensajes de Control de Internet (ICMP) o los mensajes ICMPv6 al desti no con tiempo de incremento gradual a los valores de campo de vida (TTL). La ruta mostrada es la lista de interfaces de enrutador casi al lado de los enrutadores de la ruta de acceso entre un host de origen y destino. La interfaz del lado cercano es la interfaz del enrutador más cercano al host remitente en la ruta de acceso. Si se utiliza sin parámetros, tracert muestra la Ayuda. Sintaxis
tracert [-d] -h saltosMáximos -h saltosMáximos ] -jlistaHost ] -wtiempo de espera] [-R]-S SSrcAddr ] [-4][-6] [-6]TargetName TargetName Parámetros
-d Impide que tracert intente resolver las direcciones IP de los enrutadores intermedios en sus nombres. Esto puede acelerar la visualización de los resultados de tracert . -h SaltosMáximos Especifica el número máximo de saltos en la ruta de acceso para buscar el destino (destino). El valor predeterminado es 30 saltos. -j ListaHost Especifica que los mensajes de solicitud de eco utilizarán la opción ruta de origen no estricta en el encabezado IP con el conjunto de destinos intermedios especificados en listaHost . Con el enrutamiento de origen no estricta, destinos intermedios sucesivos pueden separarse por uno o varios enrutadores. El número máximo de direcciones o nombres en la lista de hosts es 9. ListaHost ListaHost es una serie de direcciones IP (en notación decimal con puntos) separadas por espacios. Utilice este parámetro sólo cuando el seguimiento de las direcciones IPv4. -w Tiempo de espera Especifica la cantidad de tiempo en milisegundos de espera para el mensaje de tiempo excedido de ICMP o de respuesta de eco correspondiente a un mensaje de solicitud de eco dado que se recibirá. Si no se recibe en el tiempo de espera, se muestra un asterisco (**). El tiempo de espera predeterminado es 4000 (4 segundos). -R Especifica que se utilizará el encabezado de extensión de enrutamiento IPv6 para enviar un mensaje de solicitud de eco al host local, usando el destino como destino intermedio y comprobando la ruta inversa. -S Especifica la dirección de origen en los mensajes de solicitud de eco. Utilice este parámetro sólo cuando el seguimiento de las direcciones IPv6.
-4 Especifica que Tracert.exe solamente puede utilizar IPv4 para la traza. -6 Especifica que Tracert.exe solamente puede utilizar IPv6 para la traza. TargetName
Especifica el destino, identificado por el nombre de host o dirección IP. -? Muestra la Ayuda en el símbolo del sistema. Observaciones •
•
•
Esta herramienta de diagnóstico determina la ruta tomada hacia un destino mediante el envío de mensajes de solicitud de eco de ICMP con variables de tiempo para los valores de vida (TTL) para el destino. Cada enrutador de la ruta de acceso es necesario para disminuir el valor de TTL de un paquete IP por al menos 1 antes de reenviarlo. De hecho, el TTL es un contador del número máximo de vínculos. Cuando el TTL de un paquete llega a 0, el enrutador debe devolver un mensaje de tiempo excedido de ICMP para el equipo de origen. Para determinar la ruta, Tracert envía el primer mensaje de solicitud de eco con un TTL de 1 y se alcanza incrementando el TTL en 1 en cada transmisión siguiente hasta que responda el destino o el número máximo de saltos. El número máximo de saltos predeterminado es 30 y se puede especificar mediante el parámetro -h . La ruta de acceso se determina examinando los mensajes de tiempo excedido de ICMP devueltos por los enrutadores intermedios y el mensaje de respuesta de eco devuelto por el destino. Sin embargo, algunos enrutadores no devuelven mensajes de tiempo excedido para paquetes con valores de período de vida caducados y son invisibles para el comando tracert. En este caso, se muestra una fila de asteriscos (**) para ese salto. Para trazar una ruta de acceso y proporcionar latencia de red y pérdida de paquetes para cada enrutador y vínculo de la ruta de acceso, utilice el comando pathping . Este comando sólo está disponible si el Protocolo de Internet (TCP/IP) está instalado como un componente en las propiedades de un adaptador de red en conexiones de red.
Ejemplos
Para trazar la ruta de acceso al host llamado corp7.microsoft.com, escriba:
tracert corp7.microsoft.com Para trazar la ruta de acceso al host llamado corp7.microsoft.com e impedir que la resolución de cada dirección IP a su nombre, escriba:
tracert -d corp7.microsoft.com Para trazar la ruta de acceso al host llamado corp7.microsoft.com y usar el 10.12.0.1-10.29.3.110.1.44.1 de la ruta de origen no estricta, escriba:
tracert -j 10.12.0.1 10.29.3.1 10.1.44.1 corp7.microsoft.com
Formato de leyenda Formato
Significado
Cursiva
Información que debe suministrar el usuario
Negrita
Elementos que el usuario debe escribir exactamente como se muestra
Puntos suspensivos (...)
Parámetro que puede repetirse varias veces en una línea de comandos
Entre corchetes ([])
Elementos opcionales
Entre llaves ({});opciones separadas por barras verticales (|). Ejemplo: {par|impar}
Conjunto de opciones desde el que el usuario debe elegir sólo una
Cour i er f ont
Salida de código o programa
netstat [-a] [-e] [-n] [-o] [-s] [-p PROTO] [-r] [interval]
Netstat Muestra las conexiones TCP activas, puertos en el que el equipo escucha, las estadísticas de Ethernet, la tabla de enrutamiento IP, las estadís ticas de IPv4 (para los protocolos IP, ICMP, TCP y UDP) y las estadísticas de IPv6 (para el IPv6, ICMPv6, TCP sobre IPv6 y UDP a través de protocolos IPv6). Si se utiliza sin parámetros, netstat muestra las conexiones TCP activas. Sintaxis
netstat [-a] [-e] [-n] [-o] -p [-n] Protocolo [-o] ] [-r] Protocolo[-s] [-r][Intervalo] [-s] Parámetros
-a Muestra todas las conexiones TCP activas y los puertos TCP y UDP en el que está escuchando el equipo. -e Muestra las estadísticas de Ethernet, tales como el número de bytes y paquetes enviados y recibidos. Este parámetro se puede combinar con -s. -n Muestra las conexiones TCP activas, sin embargo, direcciones y números de puerto se expresan numéricamente y se realiza ningún intento para determinar los nombres. -o Muestra las conexiones TCP activas e incluye el identificador de proceso (PID) para cada conexión. Puede encontrar la aplicación basada en el PID en la ficha de procesos en el Administrador de tareas de Windows. Este parámetro se puede combinar con - a-n -n y -p. -p Protocolo
Muestra las conexiones del protocolo especificado por Protocolo. En este caso, el Protocolo puede ser tcp, udp, tcpv6o udpv6. Si este parámetro se utiliza con -s para mostrar estadísticas por protocolo, el Protocolo puede ser tcp, udp, icmp, ip, tcpv6, udpv6, icmpv6o ipv6. -s Muestra estadísticas por protocolo. De forma predeterminada, se muestran las estadísticas para los protocolos TCP, UDP, ICMP e IP. Si está instalado el protocolo IPv6, las estadísticas se muestran para el protocolo TCP sobre IPv6, UDP sobre IPv6, ICMPv6 y IPv6 protocolos. El parámetro -p puede utilizarse para especificar un conjunto de protocolos. -r Muestra el contenido de la tabla de enrutamiento IP. Esto es equivalente al comando route print . Intervalo
Vuelve a mostrar la información seleccionada cada intervalo de segundos. Presione CTRL+C para detener el volver a mostrar. Si se omite este parámetro, netstat imprimirá la información seleccionada una sola vez. /? Muestra la Ayuda en el símbolo del sistema. Observaciones •
•
Los parámetros utilizados con este comando deben ir precedidos de un guión (-) en lugar de una barra diagonal (/).-/ / Netstat proporciona estadísticas para lo siguiente: o
Proto El nombre del protocolo (TCP o UDP).
o
Dirección local La dirección IP del equipo local y el número de puerto que se utiliza. A menos que se especifica el parámetro -n , se muestran el nombre del equipo local que corresponde a la dirección IP y el nombre del puerto. Si el puerto no está aún establecido, el número de puerto se muestra como un asterisco (**).
o
Dirección externa La dirección IP y puerto número del equipo remoto al que está conectado el socket. A menos que se especifica el parámetro -n , se muestran los nombres que se corresponde con la dirección IP y el puerto. Si el puerto no está aún establecido, el número de puerto se muestra como un asterisco (**).
o
(estado) Indica el estado de una conexión TCP. Los Estados posibles son los siguientes:
CLOSE_WAIT CERRADO ESTABLECIDO FIN_WAIT_1 FIN_WAIT_2 LAST_ACK ESCUCHAR SYN_RECEIVED SYN_SEND TIMED_WAIT Para obtener más información acerca de los Estados de una conexión TCP, consulte RFC 793. •
Este comando sólo está disponible si el Protocolo de Internet (TCP/IP) está instalado como un componente en las propiedades de un adaptador de red en conexiones de red.
Ejemplos
Para mostrar las estadísticas de Ethernet y las estadísticas de todos los protocolos, escriba:
netstat -e -s Para mostrar las estadísticas de los protocolos TCP y UDP, escriba:
netstat -s -p tcp udp Para mostrar las conexiones TCP activas y el ID de proceso cada 5 segundos, escriba:
netstat -o 5 Para mostrar TCP activas las conexiones y el proceso de identificadores mediante el uso de forma numérica, escriba:
netstat - n -o
Formato de leyenda Formato
Significado
Cursiva
Información que debe suministrar el usuario
Negrita
Elementos que el usuario debe escribir exactamente como se muestra
Puntos suspensivos (...)
Parámetro que puede repetirse varias veces en una línea de comandos
Entre corchetes ([])
Elementos opcionales
Entre llaves ({});opciones separadas por barras verticales (|). Ejemplo: {par|impar}
Conjunto de opciones desde el que el usuario debe elegir sólo una
Cour i er f ont
Salida de código o programa
Otros recursos Referencia de línea de comandos A-z Introducción al shell de comandos 2. Visita los siguientes enlaces: http://www.internic.net/whois.html
http://www.whois.com
http://www.dnsstuff.com
http://network-tools.com/
http://www.chatox.com/
http://www.yougetsignal.com/tools/visual-tracert/
3. Busca el significado de fingerprinting y footprinting
1. Fingerprinting activo. El fingerprinting activo se define como aquel en el que el atacante realiza alguna acción que provoque algún tipo de respuesta en la vıctima. Esto se traduce en el envío de paquetes destinados a la maquina víctima, con los que comprobar su comportamiento en situaciones anómalas o no especificadas por los estándares. Las pruebas más usuales que se suelen realizar son: •
Sonda FIN . Se envía un paquete FIN a un puerto abierto del objetivo y se espera respuesta.
•
Windows, BSDI, CISCO, MVS, IRIX o HP-UX responden con un RESET. Flags TCP incorrectos. Consiste en el envío de un paquete con flags no definidos (64 o 128) en la cabecera de un paquete SYN. ISN o numero de secuencia inicial . Se trata de comprobar el numero inicial de secuencia elegido
•
por la vıctima en una conexión TCP. Bit de no fragmentación. Algunos sistemas operativos como Solaris activan este bit en algunos de
•
•
•
sus paquetes para mejorar el rendimiento. Inundación de paquetes SYN . Una técnica muy agresiva basada en el envío masivo de paquetes SYN a la maquina remota. Muchas dejan de aceptar conexiones tras recibir 8 paquetes seguidos. Por lo general los sistemas modernos implementan contramedidas para este tipo de ataques, que además son muy “ruidosos” y pueden tener efectos colaterales no deseados. …
Algunas herramientas de este tipo de fingerprinting serían nmap,xprobe,hping…
2. Fingerprinting pasivo. Cuando se utiliza la variante pasiva de la técnica del fingerprinting los paquetes a analizar se obtienen directamente de la red local, lo cual quiere decir que el sistema atacante no genera ningún tipo de comunicación hacia el destino con el fin de provocar una respuesta. Esta es sin duda mi técnica favorita, ya que te permite pasar totalmente inadvertido. La implicación inmediata de esta técnica es que no permite analizar sistemas fuera de la red local o ambito de broadcast en el que se esté, y que obliga al atacante a configurar su dispositivo de red en modo promıscuo. Adicionalmente significa que el atacante está a merced del trafico que circule por la red. Si desea obtener información de una maquina concreta es posible que tenga que esperar bastante tiempo o que incluso nunca llegue a ver un paquete proveniente de dicha maquina hacia otra. Una de las herramientas de este tipo de fingerprinting sería p0f y sus versiones posteriores. Aunque ya veremos en un post dedicado posteriormente a P0f como se puede obtener el s o de una máquina realizando conexiones a ella y de forma pasiva! Los dos terminos anteriormente explicados los podemos mostrar mediante la siguiente figura, sacada de securityfocus:
footpriting es un proceso que se hace antes de hacer un ataque a alguna empresa. Consiste en hacer una recopilación de toda la información necesaria para hacer un perfecto ataque intrusión, En esta parte del Footpriting es donde el atacante obtiene, reúne y organiza toda la información posible sobre su objetivo o su víctima, mientras más información obtiene con mayor precisión puede lanzar un ataque, información
como: • Rango de Red y sub-red (Network Range y subnet mask) • Acertar maquinas o computadoras activas • Puertos abiertos y las aplicaciones que están corriendo en ellos. • Detectar Sistemas Operativos • Nombres de Dominios (Domain Names) • Bloques de Red (Network Blocks) • Direcciones IP específicas • País y Ciudad donde se encuentran los Servidores • Información de Contacto (números telefónicos, emails, etc.) • DNS records
Mucha de la información, antes mencionada, como Domain Names, algunas direcciones IP, País, Ciudad, e información de contacto los Crackers la obtienen buscando en las bases de datos de WHOIS. Las bases de datos WHOIS mantienen detalles de direcciones IP registradas en 5 regiones del Mundo. Estas bases de datos son manejadas por 5 organizaciones llamadas Regional Internet Registry (RIR). Las 5 bases de datos WHOIS están localizadas en: 1. América del Norte (ARIN) 2. América del Sur, América Central y el Caribe (LACNIC) 3. Europa, el medio Este y Asia Central (RIPE NCC) 4. Asia del Pacifico (APNIC) 5. África (AfriNIC) También se tocada algunos temas como la descripción de las tools (herramientas) , se hará una breve descripción sobre cada funcionamiento de cada una y un breve ejemplo. ¿qué Hace un hacker malicioso?
El Footpriting es el proceso de creación de un mapa de redes y de sistema una organización , es este proceso esta incluido la recopilación de información de cualquier medio, en el Footpriting se hace determinación de la target ( definición….) y después de ello hace un tipo de recopilación e información con métodos no intrusivos, una de las herramientas mas esenciales y primordiales es GOOGLE , es indispensable conocer (Como intittle, site, allinurl, etc) . Junto al escaneo, enumeración y Footpriting es una de las tres etapas utilizada antes de hacer un ataque , en esta etapa se toma el 90% y el otro 10% si atacando. Los siete pasos que se toman antes del ataque son divididos en las tres etapas nombradas anteriores: -
Detectar la información inicial Ubicar el rango de la red Comprobación de los equipos activos Descubricion de los puerto abiertos y puntos de acceso Detención del sistema operativo Descubricion de servicios en los puertos Mapa de la red
Footpriting El Footpriting se aplica en los dos primeros pasos de las etapas de un ataque de un hacker , algunas de las fuentes comunes de información incluyen el uso de :
- Domain name lookup - Whois - Nslookup
La mayoría parte de la información que puede recopilar libremente y de manera legal, es muy importante comprender el sistema de resolución de dominio (DNS) para lograr una profunda compresión de esta etapa y del funcionamiento de internet. Inteligencia competitiva: Implica la averiguación de información sobre la competencia (productos, tecnologías, marketing, etc.) existen varias herramientas que pueden ser utilizadas para esto, la inteligencia competitiva incluye diversos temas como: -
Recopilación de datos Análisis de datos Verificación de información Seguridad de información
Existen muchas empresas privadas que ofrecen el servicio de inteligencia competitiva, buscando en internet la dirección de correo electrónica o el nombre de una empresa podemos entrar en las listas de correo, foros, etc. Información sobre la empresa de donde trabaja ( esta parte es unas de las primordiales en el Footpriting), otra fuente de información de útil son las redes sociales y los sitios de empleos. En esta parte podemos hacer el uso de una herramienta llamada Wayback Machine.
Este es un simple ejemplo del funcionamiento de Wayback Machine, hay nos muestra las modificaciones que ha tenido la página de 1997 hasta la fecha. Enumeración de DNS
El sistema de resolución de nombres permite básicamente transformar nombres de domino en direcciones IP, le corresponde a los RFC 1034 y 1035, la enumeración de DNS es el proceso de ubicación de todos los servidores DNS y sus correspondientes registros de una organización, una compañía puede tener DNS internos y externos que pueden brindar diferentes datos del objetivo, el sistema DNS utiliza tres componentes principales: - Clientes DNS - Servidores DNS - Zonas de autoridad El DNS cosiste en un conjunto jerárquico de servidores DNS, cada dominio o subdominio tiene una o mas zonas de autoridad que publican la información acerca del dominio, la jerarquía de las zonas de autoridad coincide con la jerarquía de los dominios, al inicio de esa jerarquía se encuentra los servidores de raíz , que corresponden cuando se busca resolver un dominio de primer y segundo nivel, es posible utilizar herramientas varias y sitios web especializados para realizar esta etapa de enumeración de DNS, tal ves la herramienta elemental para la enumeración de DNS es NSLookup, dispone en toso los sistemas operativos.
Durante el año 2008 se encontraron diversas vulnerabilidades al sistema DNS y a una de las herramientas más difundidas, es muy importante conocer esta parte de un punto de vista técnico e histórico.
DNS Zone Transfer: Los datos contenidos en una zona DNS son sensibles por naturaleza, Individualmente, los registros DNS no son sensibles, pero si un atacante obtiene una copia entera de un dominio, obtiene una lista completa de todos los host de ese dominio, un atacante no necesita herramientas especiales para obtener una zona DNS este mal configurado y que permita a cualquiera realizar una transferencia de zona, en generalmente solo los servidores DNS dependientes necesitan realizar transferencia de zona. DNS Denial of Servicie: Si un atacante puede realizar una transferencia de zona, también puede realizar ataques de denegación de servicio contra esos servidores DNS realizando múltiples peticiones.
Whois
Es una herramienta y un protocolo que identifica información de registración de un dominio. Esta definido en el RFC 3912. El Whois evoluciono desde los primero Unix hasta los actuales. Las consultas se han realizados tradicionalmente usando una interfaz de línea de comandos , pero actualmente existen multitud de páginas web que permiten realizar estas consultas, aunque siguen dependiendo internamente del protocolo original. Utilizando el whois, es posible recopilar información de registro como ser el nombre de la persona que realizo el registro, dominio , su correo electrónico, número telefónico y números IP de sus servidores principales, esta información puede atentar contra la integridad y la privacidad y permitir a los spammer capturar direcciones. Las herramientas whois recogen información sobre esta registración oficial obligatoria. Su base de datos incluye información sobre direcciones IP y datos del dueño de un sitio, Puede ser consultadas mediante herramientas de whois o su propio sitio web. Un ethical hacker deberá conocer
sobre direcciones IP y sobre cómo encontrar la ubicación geográfica y camino hacia un objetivo.
Órganos autorizados de asignación de números IANA la IANA es el órgano responsable de la coordinación de algunos de los elementos clave que mantener el buen funcionamiento de internet, si bien la internet es conocido por ser una red mundial libre del centro de coordinación, existe una necesidad técnica de algunas de las principales partes de internet para ser coordinada a nivel mundial y esta función está a cargo de la IANA. La IANA las diversas actividades se pueden agrupar en tres categorías: Nombres de dominios: IANA administra el DNS raíz, el Int y. Arpa dominios IDN practicas y un recurso. Numero de recursos: IANA coordina la reserva mundial de la propiedad intelectual y en forma de números proporcionándoles a los registros de internet. Protocolos de asignaciones: Protocolo de internet, (los sistemas de enumeración son gestionados por la IANA , en relación con los organismos de normalización. ICANN Es una organización sin fines de lucro que opera nivel internacional, responsable de asignar espacio de direcciones numéricas de protocolo de internet (IP), identificadores de protocolo y de las funciones de gestión (o administración) del sistema de nombre sd de dominio de primer nivel genéricos ( gTLD ) y de códigos de funciones de gestión.
Entre otros.
Entidades de registro por región geográfica AFRINIC - Afrincan Network Información Centre AfriNIC es una organización no gubernamental y sin fines de lucro basada en las membrecía de organización. Su principal función es servir a la región de áfrica como del registro regional de internet, como los otros cuatro continentes que tienen sus propios RIR. ARIN - American Registry for Internet Proporciona un mecanismo para encontrar el contacto y registro Información registrada por los recursos con ARIN. Contiene la base de datos de propiedad intelectual direcciones, números de sistema autónomo, las organizaciones o clientes que son. Asociados con estos recursos, y los Puntos de Contacto [POC]. El ARIN WHOIS NO localiza cualquier información relacionada con el dominio, ni ninguna información relativa a las redes militares. Localizar la información de dominio, y whois.nic.mil militar para la información de la red.
LACNIC – Latin America & Caribbean Network Information Center Administra recursos de numeración de internet contribuyendo a la creación de oportunidades de colaboración y cooperación en beneficio de la comunidad regional , la visión de esta entidad es ser líder en construcción y articulación de esfuerzos colaborativos para el desarrollo y estabilidad de internet en América latina y el caribe.
RIPE – Reseaux IP Europeens Network Coordinación Centre ( Registrate para ver este link. Registrate ó Login ) Es una entidad encargada de distribuir y asignar los recursos de internet (IP4 y IP6 espacio de direcciones, sistemas autónomo AS los números de delegaciones DNS invertida) a las organizaciones en la región de servicio de RIP NCC.
APNIC - Asia Pacific Network Information Centre ( Registrate para ver este link. Registrate ó Login )
APNIC es un proceso abierto, basada en membrecía, sin fines de lucro. Es uno de los cinco Registros Regionales de Internet (RIR), encargada de asegurar la distribución justa y responsable de gestión de direcciones IP y los recursos conexos. Estos recursos son necesarios para el funcionamiento estable y fiable de la Internet mundial.
Herramientas
WEB DATA EXTRACTOR Una utilidad de gran alcance del extractor de los datos del acoplamiento de la tela. Extraiga el URL, la etiqueta del meta (título, desc, palabra clave), el texto del cuerpo, el email, el teléfono, el fax de Web site, los resultados de la búsqueda o la lista de URLs. Extracción de alta velocidad, multi-roscada, exacta - ahorra directamente datos al archivo de disco. El programa tiene filtros numerosos para restringir la sesión, como el filtro del URL, la fecha modificada, el tamaño del archivo, el etc. Permite niveles seleccionables por el usuario de la repetición, los hilos de rosca de la recuperación, descanso, la ayuda del poder y muchas otras opciones.
Nslookup Nslookup es un programa, utilizado para saber si el DNS está resolviendo correctamente los nombres y las IP. Se utiliza con el comando nslookup, que funciona tanto en Windows como en UNIX para obtener la dirección IP conociendo el nombre, y viceversa.
HTTrack web Copier Le permite descargar un sitio Web desde Internet a un directorio local, construyendo recursivamente todos los directorios, la obtención de HTML, imágenes y otros archivos desde el servidor a su ordenador. HTTrack organiza el sitio original en la estructura de enlaces relativos. Simply open a page of the "mirrored" website in your browser, and you can browse the site from link to link, as if you were viewing it online. Basta con abrir una página de los "espejos" en el sitio web de su navegador, y puede navegar por el sitio de un enlace a otro, como si estuviera viendo en línea. HTTrack can also update an existing mirrored site, and resume interrupted downloads. HTTrack también puede actualizar un sitio reflejado existente, y reanudar descargas interrumpidas. HTTrack is fully configurable, and has an integrated help system. HTTrack es totalmente configurable, y se ha integrado un sistema de ayuda
Tracert
Tracert envía un paquete de eco ICMP con el nombre de acogida, pero con un TTL de 1 y, a co ntinuación, con un TTL de 2 y, a continuación, con un TTL de 3 y así sucesivamente. Tracert entonces obtener "TTL expiró en tránsito" mensaje de los destinos a los enrutadores hasta que el equipo host, finalmente se llega y responde con la norma ICMP "respuesta de eco" de paquetes.
Sam Spade
Esta herramienta provee información sobre el DNS, WHOIS, IPBlock y permite hacer Ping, Dig, Trace, etc.
(software)
Path Analyzer Pro Analizador de ruta Pro ofrece avanzadas de red con la ruta de búsqueda de pruebas de rendimiento, DNS, Whois, y la red de resolución para investigar problemas de red. Mediante la integración de todas estas características de gran alcance en una sencilla interfaz gráfica, el Analizador de Ruta Pro se ha convertido en una herramienta indispensable para cualquier red, sistemas, profesionales o de seguridad en Windows y Mac OS X
Website Watcher Es una utilidad para detectar si ha habido algún cambio en una página web que denote un actualización de
la misma. Usando un mínimo de conexión , almacena las dos versiones de la página en la que se ha detectado el cambio y destaca los cambios producidos en el texto, dispone de multitud de filtros para ignorar cambios que no interesen como por ejemplos nuevos banners, incluye también un gestor de favoritos integrado y se integra con internet Explorer, Netscape y opera
1. Visita la Academia Virtual de Microsoft: http://www.microsoftvirtualacademy.com/#fbid=XzJ8jMdoENg
2. Lee e instala la herramienta Microsoft EMET: Documentación: http://support.microsoft.com/kb/2458544/es
Descarga: http://www.microsoft.com/en-us/download/details.aspx?id=39273
3. Visita Karspersky Internet Security: http://www.kaspersky.es/virusscanner
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS PARTE 2 MIGUEL 1. Completa la siguiente tabla de técnicas de escaneo: NOTA: La Pila o Niveles OSI TÉCNICA DESCRIPCION ESCANEO TCP Connect Scanning
TCP SYN Scanning:
esta es la forma más popular de escaneo TCP y consiste básicamente en usar la llamada a sistema connect() del sistema operativo, si se logra establecer la conexión con el puerto de la otra computadora entonces este puerto esta abierto. Las ventajas que tiene esta forma de escaneo es que no se necesita ningún privilegio especial para poder llevarla a cabo, en la mayoría de los Unix cualquier usuario puede hacer uso de la llamada connect(). Otra gran ventaja es la velocidad. El lado negativo que encontramos es que es muy fácil de detectar y de filtrar, y generalmente el host loguea que establecemos una conexión e inmediatamente nos
desconectamos. TCP SYN scanning: esta técnica es la llamada escaneo "half-open" (o mitad-abierta), porque no establecemos una conexión TCP completa. Lo que hacemos es enviar un paquete SYN como si fuéramos a entablar una conexión TCP completa y esperamos por una respuesta. Podemos recibir un SYN|ACK si el puerto esta escuchando o un RST si el puerto esta cerrado. Si recibimos un SYN|ACK en respuesta, inmediatamente le enviamos un RST. La mayor ventaja de esta técnica es que muy pocos servers nos loguean; y la desventaja es que se necesita privilegios de root para construir estos paquetes SYN a enviar.
IMAGEN
TCP SYN Scanning:
desconectamos. TCP SYN scanning: esta técnica es la llamada escaneo "half-open" (o mitad-abierta), porque no establecemos una conexión TCP completa. Lo que hacemos es enviar un paquete SYN como si fuéramos a entablar una conexión TCP completa y esperamos por una respuesta. Podemos recibir un SYN|ACK si el puerto esta escuchando o un RST si el puerto esta cerrado. Si recibimos un SYN|ACK en respuesta, inmediatamente le enviamos un RST. La mayor ventaja de esta técnica es que muy pocos servers nos loguean; y la desventaja es que se necesita privilegios de root para construir estos paquetes SYN a enviar.
TCP FIN Scanning (Escaneo Oculto de puertos)
algunos firewalls y packets filters escuchan por los paquetes SYN en algunos puertos, y programas como el synlogger pueden detectar este tipo de escaneo. En cambio los paquetes FIN pueden penetrar sin mayor problemas. La idea consiste en que al enviar un paquete FIN si el puerto esta cerrado nos va a devolver un RST, y si el puerto esta abierto nos va a ignorar. Esto se debe a un error en las implementaciones TCP pero no funciona en un 100%. La mayoría de los sistemas parecen susceptibles excepto los sistemas Microsoft que son inmunes..
TCP Null Scanning
Null Scan Enviamos segmentos TCP sin ningún flag activado y de nuevo el comportamiento esperado es el mismo. Ahora realizamos la prueba con el gateway (puerto 80 abierto y el 21 cerrado) y una máquina corriendo
TCP FIN Scanning (Escaneo Oculto de puertos)
algunos firewalls y packets filters escuchan por los paquetes SYN en algunos puertos, y programas como el synlogger pueden detectar este tipo de escaneo. En cambio los paquetes FIN pueden penetrar sin mayor problemas. La idea consiste en que al enviar un paquete FIN si el puerto esta cerrado nos va a devolver un RST, y si el puerto esta abierto nos va a ignorar. Esto se debe a un error en las implementaciones TCP pero no funciona en un 100%. La mayoría de los sistemas parecen susceptibles excepto los sistemas Microsoft que son inmunes..
TCP Null Scanning
Null Scan Enviamos segmentos TCP sin ningún flag activado y de nuevo el comportamiento esperado es el mismo. Ahora realizamos la prueba con el gateway (puerto 80 abierto y el 21 cerrado) y una máquina corriendo
Debian GNU/Linux (puerto 21 abierto y 80 cerrado) respectivamente: # nping --tcp -flags NONE --destport 80,21 --count 1 192.168.1.254
1Starting Nping ... SENT (0.0033s) TCP 2192.168.1.14:4505 > 3192.168.1.254:21 .. 4. 5RCVD (0.0889s) TCP 192.168.1.254:21 > 6 192.168.1.14:4505 RA ... SENT (1.0040s) TCP 192.168.1.14:4505 > 192.168.1.254:80 .. .
Ahora con Debian GNU/Linux: # nping --tcp -flags NONE --destport 80,21 --count 1 192.168.1.10
1 2Starting Nping ... 3SENT (0.0049s) TCP 4192.168.1.14:22467 > 5192.168.1.10:21 ... SENT (1.0051s) TCP 6192.168.1.14:22467 > 192.168.1.10:80 ... RCVD (1.0083s) TCP 192.168.1.10:80 >
Debian GNU/Linux (puerto 21 abierto y 80 cerrado) respectivamente: # nping --tcp -flags NONE --destport 80,21 --count 1 192.168.1.254
1Starting Nping ... SENT (0.0033s) TCP 2192.168.1.14:4505 > 3192.168.1.254:21 .. 4. 5RCVD (0.0889s) TCP 192.168.1.254:21 > 6 192.168.1.14:4505 RA ... SENT (1.0040s) TCP 192.168.1.14:4505 > 192.168.1.254:80 .. .
Ahora con Debian GNU/Linux: # nping --tcp -flags NONE --destport 80,21 --count 1 192.168.1.10
1 2Starting Nping ... 3SENT (0.0049s) TCP 4192.168.1.14:22467 > 5192.168.1.10:21 ... SENT (1.0051s) TCP 6192.168.1.14:22467 > 192.168.1.10:80 ... RCVD (1.0083s) TCP 192.168.1.10:80 >
192.168.1.14:22467 RA ...
A diferencia de Windows XP, Debian GNU/Linux sí responde como debería a este tipo de escaneos. Para hacer un Null Scan con Nmap se usa la opción -sN . TCP ACK Scanning
Mediante este procedimiento puede determinarse si un firewall es simplemente de filtro de paquetes (manteniendo el tráfico de sesiones abiertas, caracterizadas por el flag ACK) o si mantiene el estado, con un sistema de filtro de paquetes avanzado.
192.168.1.14:22467 RA ...
A diferencia de Windows XP, Debian GNU/Linux sí responde como debería a este tipo de escaneos. Para hacer un Null Scan con Nmap se usa la opción -sN . TCP ACK Scanning
Mediante este procedimiento puede determinarse si un firewall es simplemente de filtro de paquetes (manteniendo el tráfico de sesiones abiertas, caracterizadas por el flag ACK) o si mantiene el estado, con un sistema de filtro de paquetes avanzado.
TCP Fragmentati on Scanning
Fragmentation scanning: esta no es una tecnica en si misma, sino una modificacion de otras tecnicas. Consiste en hacer una divicion de los paquetes que enviamos, para no ser detectados por los packet filters y los firewalls. Por ejemplo podemos hacer un SYN o un FIN scanning fragmentando los paquetes que enviamos, y al ir quedando en cola en los firewalls y en los packet filters no somos detectados.
TCP Windows Scanning
En Nmap el Window Scan es igual al TCP ACK Scan pero analiza el campo Window Size de los segmentos TCP recibidos para llegar a la conclusión si el puerto está abierto o cerrado, los cuales son los únicos reportes de este tipo de escaneo. Algunos sistemas responden con un valor positivo para puertos abiertos y con un valor negativo o cero para
TCP Fragmentati on Scanning
TCP Windows Scanning
Fragmentation scanning: esta no es una tecnica en si misma, sino una modificacion de otras tecnicas. Consiste en hacer una divicion de los paquetes que enviamos, para no ser detectados por los packet filters y los firewalls. Por ejemplo podemos hacer un SYN o un FIN scanning fragmentando los paquetes que enviamos, y al ir quedando en cola en los firewalls y en los packet filters no somos detectados.
En Nmap el Window Scan es igual al TCP ACK Scan pero analiza el campo Window Size de los segmentos TCP recibidos para llegar a la conclusión si el puerto está abierto o cerrado, los cuales son los únicos reportes de este tipo de escaneo. Algunos sistemas responden con un valor positivo para puertos abiertos y con un valor negativo o cero para
puertos cerrados. 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 2 0 2
nmap -Pn -n -sW -p T:21,80,135 -reason --maxretries 0 192.168.1.21,10,254 Starting ... Nmap scan report for 192.168.1.21 Host is up, received arpresponse (0.00045s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ... Nmap scan report for 192.168.1.10 Host is up, received arpresponse (0.00040s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ...
puertos cerrados. 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 2 0 2
1 2 2 2 3 2 4 2 5 2 6
nmap -Pn -n -sW -p T:21,80,135 -reason --maxretries 0 192.168.1.21,10,254 Starting ... Nmap scan report for 192.168.1.21 Host is up, received arpresponse (0.00045s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ... Nmap scan report for 192.168.1.10 Host is up, received arpresponse (0.00040s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ...
Nmap scan report for 192.168.1.254 Host is up, received arpresponse (0.0054s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ...
En este caso todos los puertos son reportados como closed pero sabemos que esto no es cierto. Es debido que los segmentos TCP RST recibidos no tienen un valor positivo para ser reportados como open, en mis pruebas y mediante una captura con Wireshark todos las respuestas de los tres sistemas sistemas fueron de tamaño 0.
1 2 2 2 3 2 4 2 5 2 6
Nmap scan report for 192.168.1.254 Host is up, received arpresponse (0.0054s latency). PORT STATE SERV ICE REASON 21/tcp closed ftp reset 80/tcp closed http reset 135/tcp closed msrpc reset MAC Address: ...
En este caso todos los puertos son reportados como closed pero sabemos que esto no es cierto. Es debido que los segmentos TCP RST recibidos no tienen un valor positivo para ser reportados como open, en mis pruebas y mediante una captura con Wireshark todos las respuestas de los tres sistemas sistemas fueron de tamaño 0.
TCP RCP Scanning
El escaneo RPC tiene por objetivo encontrar aplicac iones RPC (Remote Procedure Calls) a partir de puertos encontrados po r una técnica de escaneo TCP o UDP, por ejemplo: SYN Scan. Una vez que haya encont rado la aplicación este 17 protocolo es capaz de ejecutar código remotamente, por lo cual implica un riesgo a gran escala si esta técnica logra su objetivo
UDP ICMP Port Unreacheabl e Scanning
UDP es un protocolo que no está orientado a conexión, a diferencia de TCP. Los paquetes UDP son enviados a un puerto, si este puerto no está abierto el sistema responderá con mensajes ICMP port unreachable , al no recibir respuesta se asume que el puerto está abierto. Las desventajas de este método es que en el caso de que el puerto esté protegido o bloqueado por un firewall , éste aparecerá como abierto y que es afectado por la tasa limitada de ICMP . Sin embargo, estas limitaciones se pueden compensar con que algunos scanners ofrecen un método híbrido de scanning
OTAS TÉCNICAS ICMP
ICMP Echo (Ping sw eep). Mediante esta técnica se pretenden identificar los equipos existentes en las redes objetivo de un ataque, típicamente accesibles desde Internet. Constituye uno de los pasos principales en la obtención de información.
TCP RCP Scanning
El escaneo RPC tiene por objetivo encontrar aplicac iones RPC (Remote Procedure Calls) a partir de puertos encontrados po r una técnica de escaneo TCP o UDP, por ejemplo: SYN Scan. Una vez que haya encont rado la aplicación este 17 protocolo es capaz de ejecutar código remotamente, por lo cual implica un riesgo a gran escala si esta técnica logra su objetivo
UDP ICMP Port Unreacheabl e Scanning
UDP es un protocolo que no está orientado a conexión, a diferencia de TCP. Los paquetes UDP son enviados a un puerto, si este puerto no está abierto el sistema responderá con mensajes ICMP port unreachable , al no recibir respuesta se asume que el puerto está abierto. Las desventajas de este método es que en el caso de que el puerto esté protegido o bloqueado por un firewall , éste aparecerá como abierto y que es afectado por la tasa limitada de ICMP . Sin embargo, estas limitaciones se pueden compensar con que algunos scanners ofrecen un método híbrido de scanning
OTAS TÉCNICAS ICMP
ICMP Echo (Ping sw eep). Mediante esta técnica se pretenden identificar los equipos existentes en las redes objetivo de un ataque, típicamente accesibles desde Internet. Constituye uno de los pasos principales en la obtención de información.
Empleando para ello los paquetes ICMP de tipo echo (8) y echo reply (0), se sabrá si una determinada dirección IP está o no activa. Se envía un paquete de tipo echo, y si se recibe el paquete de echo reply es que dicha dirección está siendo utilizada. La técnica envía numerosos paquetes de este estilo para conocer todos los equipos disponibles en una subred. Existen numerosas herramientas que implementan este proceso, como por ejemplo, Fping, Gping, el propio Nmap, o la utilidad Pinger de Rhino9. Para detectar este tipo de paquetes enviados de forma masiva puede analizarse el log del servidor DNS asociado al dominio escaneado, ya que aparecerán múltiples intentos de resolución de nombres de direcciones IPs consecutivas. Asimismo, se podrá obtener la dirección IP del atacante. Los sistemas IDS también permiten su detección, tanto cuando se usa de forma secuencial, como cuando se lanzan los pings en paralelo. ICMP Broadcast. Cuando se envía un paquetes ICMP echo a la dirección de broadcast o a la dirección de red, con un único paquete enviado se consigue que todos los equipos respondan con su echo reply asociado. Las implementaciones de los diferentes sistemas operativos se comportan de manera diferente. Esta técnica puede emplearse en las variantes de Unix, pero los SO de Microsoft, Windows, no responden a este tipo de paquetes. El RFC1122 especifica que este comportamiento mencionado en último lugar debería ser el correcto: “ if we send an ICMP echo request to an IP Broadcast or IP multicast addresses it may be silently discarded by a host”. Existen técnicas de escaneo más avanzadas basadas en ICMP, pero NO en los paquetes de tipo echo. Podrían considerarse técnicas tanto de ICMP Sweep como de ICMP Broadcast, pero con otros tipos de paquetes ICMP, no echo. Estos paquetes se van a a analizar a continuación. ICMP Timestamp. Mediante el envío de un paquete ICMP de tipo timestamp, si un sistema está activo, se recibirá un paquete de timestamp reply indicando que implementa este tipo de transferencia de información que permite conocer la referencia de tiempo en el sistema destino. Tal y como denota el RFC 1122, la decisión de responder a estos paquetes depende de la implementación. Algunos sistemas Windows sí responden mientras que otros no, sin embargo la mayoría de los Unix sí que lo implementan. ICMP Information. El propósito de los paquetes ICMP de información y su respuesta asociada, information reply, es permitir que ciertos equipos que no poseían disco del que extraer su propia configuración, pudieran autoconfigurarse en el momento de su arranque, principalmente para obtener su dirección IP. En el paquete, tanto la dirección origen como destino tienen el valor cero. Tanto el RFC 1122 como el 1812 indican que los sistemas no deberían generar ni responder a este tipo de paquetes, pero la realidad de las implementaciones existentes es otra. Algunos sistemas operativos responderán cuando la dirección IP destino del paquete tiene el valor de una dirección IP específica. En la respuesta, en lugar de tener la dirección IP de la red en el campo de dirección origen, se tiene la dirección IP del host. Algunos UNIX comerciales y equipos Cisco implementan la respuesta ante este tipo de paquetes. ICMP Addres s Mask. El propósito de los paquetes de tipo Address Mask y Address Mask Reply, era que los equipos o estaciones de trabajo sin disco pudiesen obtener la máscara de red asociada a la s ubred en la que estaban conectados en el momento de arrancar. Se supone que un sistema no debería responder con un paquete de este tipo salvo que fuera un agente autorizado para notificar la máscara, típicamente el router de la subred. Mediante esta información, un atacante puede conocer la estructura interna de la red y el esquema de enrutamiento empleado. Asimismo, permite identificar los routers existentes en el camino que une al atacante con la red objetivo. Un ejemplo de SO que “ayuda” mucho en
Empleando para ello los paquetes ICMP de tipo echo (8) y echo reply (0), se sabrá si una determinada dirección IP está o no activa. Se envía un paquete de tipo echo, y si se recibe el paquete de echo reply es que dicha dirección está siendo utilizada. La técnica envía numerosos paquetes de este estilo para conocer todos los equipos disponibles en una subred. Existen numerosas herramientas que implementan este proceso, como por ejemplo, Fping, Gping, el propio Nmap, o la utilidad Pinger de Rhino9. Para detectar este tipo de paquetes enviados de forma masiva puede analizarse el log del servidor DNS asociado al dominio escaneado, ya que aparecerán múltiples intentos de resolución de nombres de direcciones IPs consecutivas. Asimismo, se podrá obtener la dirección IP del atacante. Los sistemas IDS también permiten su detección, tanto cuando se usa de forma secuencial, como cuando se lanzan los pings en paralelo. ICMP Broadcast. Cuando se envía un paquetes ICMP echo a la dirección de broadcast o a la dirección de red, con un único paquete enviado se consigue que todos los equipos respondan con su echo reply asociado. Las implementaciones de los diferentes sistemas operativos se comportan de manera diferente. Esta técnica puede emplearse en las variantes de Unix, pero los SO de Microsoft, Windows, no responden a este tipo de paquetes. El RFC1122 especifica que este comportamiento mencionado en último lugar debería ser el correcto: “ if we send an ICMP echo request to an IP Broadcast or IP multicast addresses it may be silently discarded by a host”. Existen técnicas de escaneo más avanzadas basadas en ICMP, pero NO en los paquetes de tipo echo. Podrían considerarse técnicas tanto de ICMP Sweep como de ICMP Broadcast, pero con otros tipos de paquetes ICMP, no echo. Estos paquetes se van a a analizar a continuación. ICMP Timestamp. Mediante el envío de un paquete ICMP de tipo timestamp, si un sistema está activo, se recibirá un paquete de timestamp reply indicando que implementa este tipo de transferencia de información que permite conocer la referencia de tiempo en el sistema destino. Tal y como denota el RFC 1122, la decisión de responder a estos paquetes depende de la implementación. Algunos sistemas Windows sí responden mientras que otros no, sin embargo la mayoría de los Unix sí que lo implementan. ICMP Information. El propósito de los paquetes ICMP de información y su respuesta asociada, information reply, es permitir que ciertos equipos que no poseían disco del que extraer su propia configuración, pudieran autoconfigurarse en el momento de su arranque, principalmente para obtener su dirección IP. En el paquete, tanto la dirección origen como destino tienen el valor cero. Tanto el RFC 1122 como el 1812 indican que los sistemas no deberían generar ni responder a este tipo de paquetes, pero la realidad de las implementaciones existentes es otra. Algunos sistemas operativos responderán cuando la dirección IP destino del paquete tiene el valor de una dirección IP específica. En la respuesta, en lugar de tener la dirección IP de la red en el campo de dirección origen, se tiene la dirección IP del host. Algunos UNIX comerciales y equipos Cisco implementan la respuesta ante este tipo de paquetes. ICMP Addres s Mask. El propósito de los paquetes de tipo Address Mask y Address Mask Reply, era que los equipos o estaciones de trabajo sin disco pudiesen obtener la máscara de red asociada a la s ubred en la que estaban conectados en el momento de arrancar. Se supone que un sistema no debería responder con un paquete de este tipo salvo que fuera un agente autorizado para notificar la máscara, típicamente el router de la subred. Mediante esta información, un atacante puede conocer la estructura interna de la red y el esquema de enrutamiento empleado. Asimismo, permite identificar los routers existentes en el camino que une al atacante con la red objetivo. Un ejemplo de SO que “ayuda” mucho en
este aspecto es Sun Solaris y versiones personales de Windows. Es posible emplear técnicas de detección de equipos más avanzadas, no ya en función del tipo de paquete ICMP, sino en base al comportamiento de las implementaciones del protocolo ICMP. Para ello se analizarán los mensajes de error de ICMP, generados desde las máquinas que sirven como prueba, lo que nos permitirá saber si existe algún dispositivo de filtrado presente, así como descubrir la configuración de las listas de acc eso empleadas. De manera general, los métodos a emplear incluyen: Modificación maliciosa de la cabecera IP de un paquete, por ejemplo cambiando el campo de la longitud de la cabecera, o los campos de opciones del protocolo IP. Uso de valores inválidos en los c ampos de la cabecera IP. Posibilidad de abusar de la fragmentación. Emplear el método de escaneo basado en el protocolo UDP: es el protocolo ICMP el que se encarga de notificar las anomalías de éste. IP Bad Headers Fields: Fijando un valor incorrecto de los campos de la cabecera IP, se pretende obtener de la máquina objetivo un mensaje ICMP de error: ICMP Parameter Problem. Este mensaje se obtiene cuando un router o sistema procesa un paquete y encuentra un problema con los parámetros de la cabecera IP que no está contemplado en ningún otro mensaje de error ICMP. Es enviado sólo si el paquete es descartado debido al error. Los routers deberían generar este tipo de error, pero no todos ellos comprueban que ciertos campos de la cabecera IP son correctos. Las comprobaciones varían en función del router , por lo que es posible según su comportamiento identificar el fabricante del mismo. Por ejemplo, típicamente comprueban el checksum, y si no es correcto, descartan el paquete. Los sistemas implementan generalmente la verificación de versión IP, y si no es 4, descartan el paquete. Igualmente, comprueban el valor del checksum, para protegerse frente a errores producidos en el transporte de los datos por la red. Un atacante empleará esta funcionalidad para escanear el rango de IPs completo asociado a una subred. En el caso de que exista un firewall protegiéndola, mediante el envío de paquetes falsos a los puertos que supuestamente deberían estar abiertos, como HTTP(80), FTP(21), DNS(53), Sendmail(25)..., se podrá saber si hay algún equipo. Los sistemas IDS deberían avisar de este tipo de tráfico anormal. En el caso de querer descubrir la configuración de ACLs existente, deberá escanearse todo el rango de IPs con todos los protocolos y puertos posibles, de forma que se obtenga la visión más detallada posible de la topología y servicios de la red. Esto permitirá saber las ACLs empleadas, al poder visualizar que tráfico pasa y cual no. Una red se puede proteger frente a este ataque si los firewalls o screening routers se encargan de verificar y descartar este tipo de errores, no permitiendo este tipo de tráfico. Asimismo, si el dispositivo de filtrado no implementa esta característica, es posible filtrar los paquetes ICMP Parameter Problem en su camino de vuelta. Existe una herramienta, ISIC: IP Stack Integrity Check, de Mike Frantzen, disponible para este tipo de pruebas, que permite poner a prueba la pila TCP/IP, encontrar debilidades en un firewall, y comprobar la implementación de firewalls e IDS. Permite especificar si los paquetes se fragmentan, sus opciones IP, las opciones TCP y el bit URG. IP Non-Valid Field Values. Es posible modificar un paquete IP para que contenga valores no válidos en algunos de sus campos. Cuando un equipo recibe un paquete de este estilo modificado, generará un mensaje ICMP Destination Unreachable. Por ejemplo, es posible fijar un valor en el campo que especifica el protocolo, que no represente un protocolo válido. Cuando el sistema objetivo reciba este paquete generará el error ICMP. Si no se recibe esta respuesta, podemos asumir que existe un dispositivo de filtrado que no permite que el paquete llegue a su destino, salvo en algunos Unix, como AIX o HP-UX. Es posible, por tanto, realizar un escaneo probando todos los valores de protocolo posibles, 256 (8 bits). Esta funcionalidad está implementada en la utilidad Nmap. Sí se detectan muchos protocolos abiertos, indicará que existe un dispositivo de filtrado. Si el dispositivo filtra los mensajes de ICMP Protocol Unreachable, entonces parecerá que los 256 protocolos existen y están disponibles. Existen dos opciones para protegerse frente a este ataque.
este aspecto es Sun Solaris y versiones personales de Windows. Es posible emplear técnicas de detección de equipos más avanzadas, no ya en función del tipo de paquete ICMP, sino en base al comportamiento de las implementaciones del protocolo ICMP. Para ello se analizarán los mensajes de error de ICMP, generados desde las máquinas que sirven como prueba, lo que nos permitirá saber si existe algún dispositivo de filtrado presente, así como descubrir la configuración de las listas de acc eso empleadas. De manera general, los métodos a emplear incluyen: Modificación maliciosa de la cabecera IP de un paquete, por ejemplo cambiando el campo de la longitud de la cabecera, o los campos de opciones del protocolo IP. Uso de valores inválidos en los c ampos de la cabecera IP. Posibilidad de abusar de la fragmentación. Emplear el método de escaneo basado en el protocolo UDP: es el protocolo ICMP el que se encarga de notificar las anomalías de éste. IP Bad Headers Fields: Fijando un valor incorrecto de los campos de la cabecera IP, se pretende obtener de la máquina objetivo un mensaje ICMP de error: ICMP Parameter Problem. Este mensaje se obtiene cuando un router o sistema procesa un paquete y encuentra un problema con los parámetros de la cabecera IP que no está contemplado en ningún otro mensaje de error ICMP. Es enviado sólo si el paquete es descartado debido al error. Los routers deberían generar este tipo de error, pero no todos ellos comprueban que ciertos campos de la cabecera IP son correctos. Las comprobaciones varían en función del router , por lo que es posible según su comportamiento identificar el fabricante del mismo. Por ejemplo, típicamente comprueban el checksum, y si no es correcto, descartan el paquete. Los sistemas implementan generalmente la verificación de versión IP, y si no es 4, descartan el paquete. Igualmente, comprueban el valor del checksum, para protegerse frente a errores producidos en el transporte de los datos por la red. Un atacante empleará esta funcionalidad para escanear el rango de IPs completo asociado a una subred. En el caso de que exista un firewall protegiéndola, mediante el envío de paquetes falsos a los puertos que supuestamente deberían estar abiertos, como HTTP(80), FTP(21), DNS(53), Sendmail(25)..., se podrá saber si hay algún equipo. Los sistemas IDS deberían avisar de este tipo de tráfico anormal. En el caso de querer descubrir la configuración de ACLs existente, deberá escanearse todo el rango de IPs con todos los protocolos y puertos posibles, de forma que se obtenga la visión más detallada posible de la topología y servicios de la red. Esto permitirá saber las ACLs empleadas, al poder visualizar que tráfico pasa y cual no. Una red se puede proteger frente a este ataque si los firewalls o screening routers se encargan de verificar y descartar este tipo de errores, no permitiendo este tipo de tráfico. Asimismo, si el dispositivo de filtrado no implementa esta característica, es posible filtrar los paquetes ICMP Parameter Problem en su camino de vuelta. Existe una herramienta, ISIC: IP Stack Integrity Check, de Mike Frantzen, disponible para este tipo de pruebas, que permite poner a prueba la pila TCP/IP, encontrar debilidades en un firewall, y comprobar la implementación de firewalls e IDS. Permite especificar si los paquetes se fragmentan, sus opciones IP, las opciones TCP y el bit URG. IP Non-Valid Field Values. Es posible modificar un paquete IP para que contenga valores no válidos en algunos de sus campos. Cuando un equipo recibe un paquete de este estilo modificado, generará un mensaje ICMP Destination Unreachable. Por ejemplo, es posible fijar un valor en el campo que especifica el protocolo, que no represente un protocolo válido. Cuando el sistema objetivo reciba este paquete generará el error ICMP. Si no se recibe esta respuesta, podemos asumir que existe un dispositivo de filtrado que no permite que el paquete llegue a su destino, salvo en algunos Unix, como AIX o HP-UX. Es posible, por tanto, realizar un escaneo probando todos los valores de protocolo posibles, 256 (8 bits). Esta funcionalidad está implementada en la utilidad Nmap. Sí se detectan muchos protocolos abiertos, indicará que existe un dispositivo de filtrado. Si el dispositivo filtra los mensajes de ICMP Protocol Unreachable, entonces parecerá que los 256 protocolos existen y están disponibles. Existen dos opciones para protegerse frente a este ataque.
Por un lado, comprobar que el firewall bloquea los protocolos que no están soportados, denegando todo por defecto salvo lo permitido. Por otro, el firewall puede bloquear la salida de los paquetes ICMP Protocol Unreachable como respuesta al paquete falso.
-----1. Descarga e instala la siguiente herramienta:
NetScan Tools: http:www.nwpsw.com 2. Define las funciones de los programas:
Nmap: http://nmap.org/ Es capaz se utilizar diferentes técnicas de evasión de detección como escaneo sealth. Soporta escaneos sobre ciertos puertos específicos, entre rangos IP específicos, uso se paquetes Null, FIN, Xmas y ACK, además SYN que es el paquete por defecto. Esto significa que se mandan cierto tipo de paquetes a cada puerto y estos responderán con alguna señal que permitirá a scanner encontrar versiones y servicios. • • • • •
1
Descubrimiento de servidores: Identifica computadoras en una red, por ejemplo listando aquellas que responden ping. Identifica puertos abiertos en una computadora objetivo. Determina qué servicios está ejecutando la misma. Determinar qué sistema operativo y versión utiliza dicha computadora, (esta técnica es también conocida como fingerprinting). Obtiene algunas características del hardware de red de la máquina objeto de la prueba.
SuperScan: http://www.mcafee.com/us/downloads/free-tools/superscan.aspx Potente escáner de puertos TCP , emisor de ultrasonidos , resolver. SuperScan 4 es una actualización de la herramienta de escaneo de puertos de Windows muy popular, SuperScan . Windows XP Service Pack 2 se ha eliminado sockets raw apoyo que ahora limita SuperScan y muchas otras herramientas de exploración de red. Parte de la funcionalidad puede ser restaurada mediante la ejecución del siguiente en el símbolo del sistema de Windows antes de iniciar SuperScan : net stop Estas son algunas de las nuevas características de esta versión. Velocidad de escaneo superior Soporte para rangos de IP ilimitadas
Por un lado, comprobar que el firewall bloquea los protocolos que no están soportados, denegando todo por defecto salvo lo permitido. Por otro, el firewall puede bloquear la salida de los paquetes ICMP Protocol Unreachable como respuesta al paquete falso.
-----1. Descarga e instala la siguiente herramienta:
NetScan Tools: http:www.nwpsw.com 2. Define las funciones de los programas:
Nmap: http://nmap.org/ Es capaz se utilizar diferentes técnicas de evasión de detección como escaneo sealth. Soporta escaneos sobre ciertos puertos específicos, entre rangos IP específicos, uso se paquetes Null, FIN, Xmas y ACK, además SYN que es el paquete por defecto. Esto significa que se mandan cierto tipo de paquetes a cada puerto y estos responderán con alguna señal que permitirá a scanner encontrar versiones y servicios. • • • • •
1
Descubrimiento de servidores: Identifica computadoras en una red, por ejemplo listando aquellas que responden ping. Identifica puertos abiertos en una computadora objetivo. Determina qué servicios está ejecutando la misma. Determinar qué sistema operativo y versión utiliza dicha computadora, (esta técnica es también conocida como fingerprinting). Obtiene algunas características del hardware de red de la máquina objeto de la prueba.
SuperScan: http://www.mcafee.com/us/downloads/free-tools/superscan.aspx Potente escáner de puertos TCP , emisor de ultrasonidos , resolver. SuperScan 4 es una actualización de la herramienta de escaneo de puertos de Windows muy popular, SuperScan . Windows XP Service Pack 2 se ha eliminado sockets raw apoyo que ahora limita SuperScan y muchas otras herramientas de exploración de red. Parte de la funcionalidad puede ser restaurada mediante la ejecución del siguiente en el símbolo del sistema de Windows antes de iniciar SuperScan : net stop Estas son algunas de las nuevas características de esta versión. Velocidad de escaneo superior Soporte para rangos de IP ilimitadas
Mejora de la detección de host que utiliza múltiples métodos de ICMP Escaneo TCP SYN Escaneo UDP ( dos métodos ) Rangos de dirección IP que apoyan la importación y formatos CIDR Simple generación de informes HTML Escaneo de puertos Fuente Hostname Fast resolver El acaparamiento de flags Masiva lista de puertos Descripción base de datos integrada IP y el puerto de la aleatorización orden de exploración Una selección de herramientas útiles (ping , traceroute, whois , etc) Capacidad de enumeración host Windows Am plia Tenga en cuenta que SuperScan 4 está diseñado para Windows 2000 y XP solamente . Se requieren privilegios de administrador para ejecutar el programa. No se ejecutará en Windows 95/98/ME . Es posible que tenga que probar v3 SuperScan si esto no funciona con su sistema.
Netcat: http://netcat.sourceforge.net/ Netcat es una utilidad de red aparece que lee y escribe datos a través de conexiones de red , utilizando el protocolo TCP / IP. Está diseñado para ser una h erramienta fiable "back -end" que se pu ede utilizar directamente o fácilmente conducida por otros programas y scripts. Al mismo tiempo, es una red de depuración rico en funciones y la herramienta de la exploración , ya que puede crear casi cualquier tipo de conexión que se necesita y cuenta con varias interesantes capacidades incorporadas . Proporciona acceso a las siguientes características principales : Las conexiones salientes y entrantes , TCP o UDP , hacia o desde cualquier puerto . El modo de túnel destacado que permite también un túnel especial, como UDP a TCP , con la posibilidad de especificar todos los parámetros de red ( puerto de origen / de interfaz, puerto de escucha / interfaz, y el host remoto permitido para conectar con el túnel. Capacidades integradas de escaneo de puertos , con distribución al azar . Opciones de uso avanzadas , tales como el modo de envío buffer (una línea cada N segundos ) , y hexdump ( a stderr oa un archivo específico) de datos trasmitted y recibidos. Códigos telnet RFC854 opcionales analizador y el contestador .
Mejora de la detección de host que utiliza múltiples métodos de ICMP Escaneo TCP SYN Escaneo UDP ( dos métodos ) Rangos de dirección IP que apoyan la importación y formatos CIDR Simple generación de informes HTML Escaneo de puertos Fuente Hostname Fast resolver El acaparamiento de flags Masiva lista de puertos Descripción base de datos integrada IP y el puerto de la aleatorización orden de exploración Una selección de herramientas útiles (ping , traceroute, whois , etc) Capacidad de enumeración host Windows Am plia Tenga en cuenta que SuperScan 4 está diseñado para Windows 2000 y XP solamente . Se requieren privilegios de administrador para ejecutar el programa. No se ejecutará en Windows 95/98/ME . Es posible que tenga que probar v3 SuperScan si esto no funciona con su sistema.
Netcat: http://netcat.sourceforge.net/ Netcat es una utilidad de red aparece que lee y escribe datos a través de conexiones de red , utilizando el protocolo TCP / IP. Está diseñado para ser una h erramienta fiable "back -end" que se pu ede utilizar directamente o fácilmente conducida por otros programas y scripts. Al mismo tiempo, es una red de depuración rico en funciones y la herramienta de la exploración , ya que puede crear casi cualquier tipo de conexión que se necesita y cuenta con varias interesantes capacidades incorporadas . Proporciona acceso a las siguientes características principales : Las conexiones salientes y entrantes , TCP o UDP , hacia o desde cualquier puerto . El modo de túnel destacado que permite también un túnel especial, como UDP a TCP , con la posibilidad de especificar todos los parámetros de red ( puerto de origen / de interfaz, puerto de escucha / interfaz, y el host remoto permitido para conectar con el túnel. Capacidades integradas de escaneo de puertos , con distribución al azar . Opciones de uso avanzadas , tales como el modo de envío buffer (una línea cada N segundos ) , y hexdump ( a stderr oa un archivo específico) de datos trasmitted y recibidos. Códigos telnet RFC854 opcionales analizador y el contestador .
3. Averigua cómo ver el código html de una web en tu navegador Mozilla FireFox:
3. Averigua cómo ver el código html de una web en tu navegador Mozilla FireFox:
Internet Explorer:
Internet Explorer:
Google Chrome:
Google Chrome:
En todos los navegadores se puede ver parte de un elemento seleccionado seleccionado con botón derecho>>inspeccionar derecho>>inspeccionar elemento
En todos los navegadores se puede ver parte de un elemento seleccionado seleccionado con botón derecho>>inspeccionar derecho>>inspeccionar elemento
1. Lee detenidamente el siguiente artículo: http://www.elladodelmal.com/2010/07/metasploit-con-adobe-flash-player-un.html
Ahora se pueden aprovechar las características de meterpreter para por ejemplos hacer un volcado de las cuentas de usuario almacenadas en la maquina local junto con sus hashes. Para ello se puede mover el control al proceso de Winlogon en Windows XP para volcarlas así que, primero, tal y como se ve en la figura 12, con el comando ps se puede localizar el PID asociado al proceso winlogon.exe para saltar hacia él.
1. Lee detenidamente el siguiente artículo: http://www.elladodelmal.com/2010/07/metasploit-con-adobe-flash-player-un.html
Ahora se pueden aprovechar las características de meterpreter para por ejemplos hacer un volcado de las cuentas de usuario almacenadas en la maquina local junto con sus hashes. Para ello se puede mover el control al proceso de Winlogon en Windows XP para volcarlas así que, primero, tal y como se ve en la figura 12, con el comando ps se puede localizar el PID asociado al proceso winlogon.exe para saltar hacia él.
Figura 12: Listado de procesos con meterpreter Con el comando migrate 952 se mueve el control de meterpreter al proceso de winlogon y, ejecutando el comando de dumpeado de hash se obtienen los hashes de las cuentas.
Figura 13: Migración al proceso de winlogon y volcado de hashes
http://unaaldia.hispasec.com/2013/10/apple-publica-os-x-mavericks-v109-de.html#comments
Figura 12: Listado de procesos con meterpreter Con el comando migrate 952 se mueve el control de meterpreter al proceso de winlogon y, ejecutando el comando de dumpeado de hash se obtienen los hashes de las cuentas.
Figura 13: Migración al proceso de winlogon y volcado de hashes
http://unaaldia.hispasec.com/2013/10/apple-publica-os-x-mavericks-v109-de.html#comments
http://unaaldia.hispasec.com/2013/10/comprometen-el-sitio-oficial-de-php.html
http://unaaldia.hispasec.com/2013/10/comprometen-el-sitio-oficial-de-php.html
2. Consulta la siguiente base de datos: http://www.exploit-db.com/
2. Consulta la siguiente base de datos: http://www.exploit-db.com/
http://nvd.nist.gov/home.cfm
http://nvd.nist.gov/home.cfm
3. Mira estas dos programas: Los dos son para bloquear ventanas emergentes, banners, etc. Adblock Plus Bloquea banners, pop-ups y los anuncios de vídeo - incluso en Facebook y YouTube Anuncios discretos no está bloqueando los comandos para los sitios web de soporte (configurable)
3. Mira estas dos programas: Los dos son para bloquear ventanas emergentes, banners, etc. Adblock Plus Bloquea banners, pop-ups y los anuncios de vídeo - incluso en Facebook y YouTube Anuncios discretos no está bloqueando los comandos para los sitios web de soporte (configurable)
Adblock Pr o Con AdBlock, la mayoría de los anuncios ni siquiera se descargan en absoluto. Así que usted puede centrarse en disfrutar el contenido que desea, y pasar menos tiempo esperando. AdBlock requiere Chrome o Safari en el escritorio. 4.Ejemplo práctico de explotación de vulnerabilidad: http://www.hackplayers.com/2013/10/ejemplo-practico-de-como-comprometer-un.html
Adblock Pr o Con AdBlock, la mayoría de los anuncios ni siquiera se descargan en absoluto. Así que usted puede centrarse en disfrutar el contenido que desea, y pasar menos tiempo esperando. AdBlock requiere Chrome o Safari en el escritorio. 4.Ejemplo práctico de explotación de vulnerabilidad: http://www.hackplayers.com/2013/10/ejemplo-practico-de-como-comprometer-un.html
5. Conoce y documéntate sobre las siguientes herramientas: http://www.metasploit.com/ Software de pruebas de penetración más utilizado del mundo Ponga las defensas de su red a la prueba http://www.backtrack-linux.org/ BackTrack es un arsenal de pruebas de penetración basada en Linux que ayuda a profesionales de la seguridad en la capacidad de realizar evaluaciones en un entorno puramente indígena dedicada a la piratería. Sin importar si usted está haciendo BackTrack BackTrack que instalar, arrancar desde un Live DVD o pendrive, la distribución de la penetración se ha personalizado hasta el último paquete, la configuración del núcleo, la escritura y el parche con el único propósito de la prueba de intrusión. http://www.kali.org/
Kali Linux es una distribución de Linux avanzada para pruebas de penetración y auditorías de seguridad. Kali es una completa re-construcción de BackTrack Linux desde la base hacia arriba, y se adhiere completamente a los estándares de desarrollo de Debian. Toda la nueva infraestructura ha sido puesta en el lugar, todas las herramientas fueron revisadas y fueron embaladas, y hemos cambiado a Git para nuestro VCS. Kali Linux está orientado a pruebas de penetración profesional y auditorías de seguridad. Como tal, varios cambios han sido implementados en Kali Linux para que reflejen estas necesidades: 1. Un solo usuario, acceso root por diseño: Debido a la naturaleza de las auditorías de seguridad, Kali linux esta diseñado para ser usado en un escenario “de un solo usuario, root“. 2. Servicio de redes deshabilitado en forma predeterminada: Kali Linux contiene ganchos sysvinit los cuales deshabilitan los servicios de redes por defecto. Estos ganchos nos permiten instalar various servicios en Kali Linux, mientras aseguran que nuestra distribución permanesca segura en forma predeterminada, no importando que paquetes esten instalados. Adicionalmente los servicios tales como Bluetooth son tambien puestos en lista negra por defecto. 3. kernel de linux modificado: Kali Linux usa un kernel, parchado para la inyección wireless.
5. Conoce y documéntate sobre las siguientes herramientas: http://www.metasploit.com/ Software de pruebas de penetración más utilizado del mundo Ponga las defensas de su red a la prueba http://www.backtrack-linux.org/ BackTrack es un arsenal de pruebas de penetración basada en Linux que ayuda a profesionales de la seguridad en la capacidad de realizar evaluaciones en un entorno puramente indígena dedicada a la piratería. Sin importar si usted está haciendo BackTrack BackTrack que instalar, arrancar desde un Live DVD o pendrive, la distribución de la penetración se ha personalizado hasta el último paquete, la configuración del núcleo, la escritura y el parche con el único propósito de la prueba de intrusión. http://www.kali.org/
Kali Linux es una distribución de Linux avanzada para pruebas de penetración y auditorías de seguridad. Kali es una completa re-construcción de BackTrack Linux desde la base hacia arriba, y se adhiere completamente a los estándares de desarrollo de Debian. Toda la nueva infraestructura ha sido puesta en el lugar, todas las herramientas fueron revisadas y fueron embaladas, y hemos cambiado a Git para nuestro VCS. Kali Linux está orientado a pruebas de penetración profesional y auditorías de seguridad. Como tal, varios cambios han sido implementados en Kali Linux para que reflejen estas necesidades: 1. Un solo usuario, acceso root por diseño: Debido a la naturaleza de las auditorías de seguridad, Kali linux esta diseñado para ser usado en un escenario “de un solo usuario, root“. 2. Servicio de redes deshabilitado en forma predeterminada: Kali Linux contiene ganchos sysvinit los cuales deshabilitan los servicios de redes por defecto. Estos ganchos nos permiten instalar various servicios en Kali Linux, mientras aseguran que nuestra distribución permanesca segura en forma predeterminada, no importando que paquetes esten instalados. Adicionalmente los servicios tales como Bluetooth son tambien puestos en lista negra por defecto. 3. kernel de linux modificado: Kali Linux usa un kernel, parchado para la inyección wireless.
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS PARTE 3 1. Define que es una vulnerabilidad y sus tipos (afectan a equipos y afectan a programas y aplicaciones). Pon un ejemplo de cada una de ellas)
Vulnerabilidades de un sistema informático En un sistema informático lo que queremos proteger son sus activos, es decir, los recursos que forman parte del sistema y que podemos agrupar en: •
Hardware: elementos físicos del sistema
•
Software
•
•
informático, tales como procesadores, electrónica y cableado de red, medios de almacenamiento (cabinas, discos, cintas, DVDs,...). , tanto si es el propio
sistema operativo como las aplicaciones. Datos: comprenden la información lógica que procesa el software haciendo uso del hardware. En general serán informaciones estructuradas en bases de datos o paquetes de información que viajan por la red. Otros: fungibles, personas, infraestructuras,.. aquellos que se 'usan y gastan' como puede ser la tinta y papel en las impresoras, los soportes tipo DVD o incluso cintas si las copias se hacen en ese medio, etc.
De ellos los mas críticos son los datos, el hardware y el software. Es decir, los datos que están
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS PARTE 3 1. Define que es una vulnerabilidad y sus tipos (afectan a equipos y afectan a programas y aplicaciones). Pon un ejemplo de cada una de ellas)
Vulnerabilidades de un sistema informático En un sistema informático lo que queremos proteger son sus activos, es decir, los recursos que forman parte del sistema y que podemos agrupar en: •
Hardware: elementos físicos del sistema
•
Software
•
•
informático, tales como procesadores, electrónica y cableado de red, medios de almacenamiento (cabinas, discos, cintas, DVDs,...). , tanto si es el propio
sistema operativo como las aplicaciones. Datos: comprenden la información lógica que procesa el software haciendo uso del hardware. En general serán informaciones estructuradas en bases de datos o paquetes de información que viajan por la red. Otros: fungibles, personas, infraestructuras,.. aquellos que se 'usan y gastan' como puede ser la tinta y papel en las impresoras, los soportes tipo DVD o incluso cintas si las copias se hacen en ese medio, etc.
De ellos los mas críticos son los datos, el hardware y el software. Es decir, los datos que están almacenados en el hardware y que son procesados por las aplicaciones software.
Incluso de todos ellos, el activo mas crítico son los datos. El resto se puede reponer con facilidad y los datos ... sabemos que dependen de que la empresa tenga una buena política de copias de seguridad y sea capaz de reponerlos en el estado mas próximo al momento en que se produjo la pérdida. Esto puede suponer para la empresa, por ejemplo, la dificultad o imposibilidad de reponer dichos datos con lo que conllevaría de pérdida de tiempo y dinero. Vulnerabilidad: definición y clasificación
Definimos Vulnerabilidad como debilidad de cualquier tipo que compromete la seguridad del sistema informático. Las vulnerabilidades de los sistemas informáticos las podemos agrupar en función de: Diseño • •
Debilidad en el diseño de protocolos utilizados en las redes. Políticas de seguridad deficientes e inexistentes.
Implementación •
Errores de programación.
• •
Existencia de “puertas traseras” en los sistemas informáticos. Descuido de los fabricantes.
Uso • • • •
Mala configuración de los sistemas informáticos. Desconocimiento y falta de sensibilización de los usuarios y de los responsables de informática. Disponibilidad de herramientas que facilitan los ataques. Limitación gubernamental de tecnologías de seguridad.
Vulnerabilidad del día cero •
Se incluyen en este grupo aquellas vulnerabilidades para las cuales no existe una solución “conocida”, pero se sabe como explotarla.
Vulnerabilidades conocidas •
Vulnerabilidad de desbordamiento de buffer. Si un programa no controla la cantidad de datos que se copian en buffer, puede llegar un momento en que se sobrepase la capacidad del buffer y los bytes que sobran se almacenan en zonas de memoria adyacentes. En esta situación se puede aprovechar para ejecutar código que nos de privilegios de administrador.
•
Vulnerabilidad de condición de carrera (race condition).
Si varios procesos acceden al mismo tiempo a un recurso compartido puede producirse este tipo de vulnerabilidad. Es el caso típico de una variable, que cambia su estado y puede obtener de esta forma un valor no esperado. •
Vulnerabilidad de Cross Site Scripting (XSS). Es una vulnerabilidad de las aplicaciones web, que permite inyectar código VBSript o JavaScript en páginas web vistas por el usuario. El phishing es una aplicación de esta vulnerabilidad. En el phishing la víctima cree que está accediendo a una URL (la ve en la barra de direcciones), pero en realidad está accediendo a otro sitio diferente. Si el usuario introduce sus credenciales en este sitio se las está enviando al atacante.
1.
Vulnerabilidad de denegación del servicio. La denegación de servicio hace que un servicio o recurso no esté disponible para los usuarios. Suele provocar la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos informáticos del sistema de la víctima.
•
Vulnerabilidad de ventanas engañosas (Window Spoofing). Las ventanas engañosas son las que dicen que eres el ganador de tal o cual cosa, lo cual es mentira y lo único que quieren es que el usuario de información. Hay otro tipo de ventanas que si las sigues obtienen datos del ordenador para luego realizar un ataque.
En http://www.cert.org/stats/ hay disponibles unas tablas que indican el nº de vulnerabilidades detectadas por año. Es interesante visitar la web de vez en cuando y comprobar el elevado número de vulnerabilidades que se van detectando. Habría que ver cuántas no se detectan...
Una vulnerabilidad o fallo de seguridad, es todo aquello que provoca que nuestros sistemas informáticos funcionen de manera diferente para lo que estaban pensados, afectando a la seguridad de los mismos, pudiendo llegar a provocar entre otras cosas la pérdida y robo de información sensible. Para entenderlo mejor hagamos una analogía con el mundo real. Es fácil imaginar qué ocurriría si dejáramos abierta la puerta de nuestro domicilio o nuestro coche, y es que tendríamos bastantes posibilidades de que al menos nos sustrajeran nuestras pertenencias. El descuidar este detalle no implica que seamos objeto de un hurto, pero si que nos encontramos predispuestos a que se produzca. En este sentido la única manera de protegernos sería cerrando la puerta. En el mundo de las vulnerabilidades informáticas el funcionamiento es muy similar; existe un agujero de seguridad y mientras éste permanezca abierto estaremos predispuestos a sufrir un ataque que utilice dicho agujero.
En un plano más formal el término vulnerabilidad, se puede definir como la posibilidad de que una amenaza se materialice sobre un activo. En este contexto debemos entender "activo" como un recurso del sistema de información o relacionado con éste, necesario para que la organización funcione correctamente y alcance los objetivos propuestos. Esto incluye tanto elementos físicos como abstractos: información, servicios, etc.Y una "amenaza" es definida como un evento que pueden desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales en sus activos. Por ejemplo la pérdida de información, deterioro de hardware, indisponibilidad de un servicio, etc. Aunque esta sección se centra en los fallos de seguridad basados en software asumiendo que son los más empleados para realizar intrusiones e infectar sistemas, también podemos encontrar otro tipo de vulnerabilidades que se centran en el ámbito físico. En este sentido podemos pensar que estamos completamente protegidos desde el punto de vista de ataques infomáticos, virus, etc. pero puede que no sirva de nada todo ese esfuerzo si por el contrario no se ha previsto cómo hacer frente ante un posible incendio o permitimos el acceso no autorizado al CPD. Para entender más en profundidad. El proceso existente para proteger un sistema que adolece de un fallo de seguridad viene determinado por el ciclo de vida de una vulnerabilidad. A través de éste ciclo se pueden conocer las diferentes fases y actores que entran en escena desde el inicio o descubrimiento hasta la publicación de la solución.
En función del fallo de seguridad podemos encontrar distintos tipos de vulnerabilidades. Éstos se distinguen en función del mecanismo que está comprometido y el método que se emplea para aprovechar la vulnerabilidad. Para obtener información acerca de un determinado producto, software o fabricante, se puede consultar nuestro buscador de vulnerabilidades. Además la suscripción a nuestro servicio de RSS, a través del cual mantendremos informado con las últimas vulnerabilidades aparecidas.
2. Envía un email a [email protected], según: http://www.egarante.com/eg-doc/ 3. Averigua cuál es tu dirección IP pública: http://cual-es-mi-ip-publica.com/
Dirección IP privada
Dirección IP pública
192.168.2.1
46.25.204.187
4. Accede al enlace y geolocaliza tu IP (pública). Busca otras 2 webs que te posicionen lo más exacto posible: http://www.elhacker.net/geolocalizacion.html
static-187-204-25-46.ipcom.comunitel.net dice que estamos en Pontevedra. http://www.adslayuda.com/geolocalizacion.html Dice que en el Mar de Irlanda http://www.geoiptool.com/es/ Estamos en Hoya Gonzalo http://myip.es/ Tambien en Hoya Gonzalo 5. Visita lo siguientes enlaces e indica una breve descripción de cada herramienta de auditoría de sistemas: Nessus: http://www.tenable.com/ enable Network Security está en una transición en la tecnología cibernética que va a cambiar la forma en las empresas a proteger sus redes. Tenable comenzó la revolución , cuando uno de sus co-fundadores crearon el analizador Nessus ® vulnerabilidad , la primera solución robusta para la detección de vulnerabilidades que los virus y los hackers pueden explotar. La plataforma Tenable ha convertido en la tecnología de detección de la vulnerabilidad y la amenaza más poderosa de hoy. Fundadores defendibles Ron Gula , Renaud Deraison , y Jack Huffard construir tecnología que asegura y protege cualquier dispositivo de amenazas en Internet - el software malicioso, los hackers , los virus , y más. Tenable quiere que sus clientes y todas las empresas que tienen acceso a la última y mejor tecnología que asegurará que permanecen conectados , en línea y en los negocios. nuestra Tecnología Tenable SecurityCenter ™ es la plataforma cibernética de confianza en uso en todo el Departamento de Defensa de EE.UU. (DoD ) y por muchas de las empresas Fortune 500 de . Estas instituciones confían Tenable para alertarlos sobre las amenazas que po drían hacer caer sus redes. Nessus , el corazón de la
plataforma de Tenable , cuenta con más de un millón de usuarios - la protección de casi todas las principales redes de la empresa en el mundo.
GFI LanGuard Network: http://www.gfi.com/ GFI Software™ proporciona soluciones potentes y económicas para permitirle abordar fácilmente su problemas diarios de TI.
Security Scanner: http://www.microsoft.com/security/scanner/es-es/
Microsoft Safety Scanner es una herramienta de seguridad que se descarga de forma gratuita y que proporciona análisis a petición para ayudar a eliminar virus, spyware y otro software malintencionado. Funciona con el software antivirus que ya posee. Nota: Microsoft Safety Scanner expira 10 días después de la descarga. Para volver a ejecutar un análisis con las últimas definiciones contra malware, debe descargar y volver a ejecutar Microsoft Safety Scanner. Microsoft Safety Scanner no reemplaza el uso de programas de software antivirus que proporcionen una protección continua. Shadow Security: www.safety-lab.com/en/products/securityscanner.htm Lab Safety Shadow Security Scanner es una evaluación de la vulnerabilidad de escáner de seguridad de red proactiva ordenador con más de 5.000 auditorías. Esta es una nueva generación de software de alta tecnología (escáner de evaluación de vulnerabilidades de red) que perforShadow Seguridad Scannermed enormemente en el siglo 20 y se mantiene en la primera línea en el nuevo milenio ! Shadow Security Scanner (escáner evaluación de la vulnerabilidad de la red) se ha ganado el nombre de los más rápidos - y de mejor rendimiento - escáner de seguridad en su sector de mercado , superando muchas marcas famosas . Shadow Security Scanner ha sido desarrollado para proporcionar una detección segura , rápida y confiable de una amplia gama de los agujeros de seguridad del sistema . Después de completar el análisis del sistema , Shadow Security Scanner analiza los datos recogidos , localiza las vulnerabilidades y los posibles errores en las opciones de optimización del servidor, y sugiere posibles vías de solución del problema. Shadow Security Scanner emplea un algoritmo de análisis de seguridad único sistema basado en un "núcleo intelectual " patentado . Shadow Security Scanner realiza la exploración del sistema a tal velocidad y con una precisión tal manera que sea capaz de competir con los servicios de seguridad de TI y los hackers profesionales , tratando de entrar en su red.
E-eye Retina: http://www.amtsoft.com/retina/ Retina ™ Network Security Scanner Reconocido como el escáner de seguridad más rápido en el mercado hoy en día, Retina está diseñado para identificar las vulnerabilidades conocidas y desconocidas, sugerir correcciones para las vulnerabilidades identificadas, y reportar posibles agujeros de seguridad en Internet de una red, intranet, extranet y entornos. La tecnología patentada de El producto eclipsa las capacidades de la última generación de escáneres de seguridad y emplea un motor de inteligencia artificial única que permite que el producto a pensar como un hacker o un analista de seguridad de la red intentar penetrar en su red. Retina es un escáner de best-of-breed el apoyo de poderosas características que son atractivas para el administrador de la red y el consultor de seguridad por igual. eEye ha comprometido a hacer que el escáner de retina más rica en características en el mercado y solicita activamente e incorpora la retroalimentación del cliente y de las solicitudes.
1. Visita las siguientes webs: http://www.hackersforcharity.org/ghdb/ Base de datos de Google Hacking (GHDB)! Los llamamos 'googledorks': ineptos o insensatos según lo revelado por Google. Como se llame a estos tontos, que ha encontrado el centro del Universo hacking Google! http://www.securityfocus.com/
Desde su creación en 1999 , SecurityFocus ha sido un pilar en la comunidad de seguridad . Desde el contenido original de noticias a detalle los documentos técnicos y columnistas invitados , hemos luchado por ser la fuente de la comunidad para que todos las cosas relacionadas con la seguridad . SecurityFocus se formó con la idea de que la comunidad necesitaba un lugar para reunirse y compartir su sabiduría y el conocimiento recogido . En SecurityFocus , la comunidad ha sido siempre nuestro principal objetivo . La página web SecurityFocus ahora se centra en unas pocas áreas clave que son de mayor importancia para la comunidad de seguridad . BugTraq es un alto volumen , lista de correo divulgación completa para el análisis detallado y el anuncio de las vulnerabilidades de seguridad informática. BugTraq sirve como la piedra angular de la comunidad de seguridad en toda la Internet. La vulnerabilidad de base de datos SecurityFocus proporciona profesionales de la seguridad con la información más actualizada sobre las vulnerabilidades para todas las plataformas y servicios. Listas de correo SecurityFocus permiten a los miembros de la comunidad de seguridad de todo el mundo para discutir todo tipo de problemas de seguridad. En este momento hay 31 listas de correo ; la mayoría son moderados para mantener discusiones sobre - tema y para eliminar el spam . http://cve.mitre.org/cve/ Base de datos Nacional de Vulnerabilidad Funcionalidad de base de datos completa para la Lista CVE se proporciona a través de la asociación de MITRE con los EE.UU. Nacional de Vulnerabilidad Database (NVD). CVE Buscar en NVD Información Fix CVE CVE SCAP Asignaciones Lista CVE copia maestra La copia maestra de la lista CVE se mantiene para la comunidad por MITRE en este sitio Web público de CVE. Búsqueda copia maestra del CVE La lista de descargas CVE Ver la Lista de CVE http://secunia.com/advisories Comprometidos con la eliminación de las amenazas de vulnerabilidad Al proporcionar una seguridad óptima para los clientes empresariales y usuarios domésticos en todo el mundo Secunia es reconocido en toda la industria como un pionero y actor global en el ecosistema de la seguridad de TI , en el nicho de gestión de vulnerabilidades . Nuestra galardonada cartera equipa a los clientes corporativos y privados en todo el mundo con la Inteligencia de la vulnerabilidad , evaluación de la
vulnerabilidad , y las herramientas de gestión de parches automatizados para gestionar y controlar las vulnerabilidades a través de sus redes y puntos finales. Una fuerte visión estratégica de convertirse en número uno es, y siempre ha sido, uno de los pilares de Secunia . Por lo tanto, ofrecemos soluciones mejores en su clase que tienen menos superficial de envoltura para regalo en lugar contenemos verdadero valor. Todos los productos de gestión de la vulnerabilidad de la cartera de Secunia proporcionan protección endpoint probada contra las vulnerabilidades , debido a nuestra combinación especial de escaneado única aplicación , experiencia sin igual y un servicio al cliente impecable . Todo esto se logra mediante la dedicación de la Secunia Research Team prestigio en el sector y reforzada por Secunia de las funciones de apoyo de ventas y enfocados . Un historial de excelencia hace Secunia un proveedor preferido para las empresas , tales como Fortune 500 y Global 2000 empresas y agencias gubernamentales de todo el mundo . 2. Busca información acerca de: Red TOR: https://www.torproject.org/ Tor fue originalmente diseñado , implementado y desplegado como un proyecto de enrutamiento cebolla de tercera generación del Laboratorio de Investigación Naval de EE.UU. . Originalmente fue desarrollado con la Marina de EE.UU. en mente, con el propósito principal de proteger las comunicaciones gubernamentales . Hoy en día , se utiliza todos los días para una amplia variedad de propósitos de la gente normal , los militares, los periodistas, los funcionarios encargados de hacer cumplir la ley , activistas y muchos otros. Tor es una red de túneles virtuales que permite a las personas y grupos mejorar su privacidad y seguridad en Internet. También permite a los desarrolladores de software para crear nuevas herramientas de comunicación con características de privacidad incorporadas. Tor proporciona la base para una serie de aplicaciones que permiten a las organizaciones ya los individuos compartir información sobre redes públicas sin comprometer su privacidad. Los individuos usan Tor para evitar que los sitios web de seguimiento de ellos y de sus miembros de la familia , o para conectarse a nuevos sitios, servicios de mensajería instantánea o similares cuando estos son bloqueados por sus proveedores locales de Internet . Servic ios ocultos de Tor permiten a los usuarios publicar sitios web y otros servicios sin necesidad de revelar la ubicación del sitio . Los individuos también usan Tor para la comunicación sensible socialmente : salas y foros web de supervivientes de violaciones y abusos o gente con enfermedades de chat.
Freenet: https://freenetproject.org/?language=es
Freenet es software libre el cual te permite compartir archivos anónimamente, navegar y publicar "freesites" (sitios web accesible solamente mediante Freenet) y discutir en foros, sin temor de censura. Freenet es descentralizada para hacerla menos vulnerable a ataques, y si es usada en modo "darknet", dónde los usuarios conectan solamente con sus, es muy difícil de detectar. Las comunicaciones por los nodos Freenet están cifradas y son dirigidas a través de otros nodos para hacer extremadamente difícil de determinar quién está solicitando la información y cual es su contenido.
I2P: http://www.i2p2.de/index_es.html
I2P es una red de capa anónima - una red dentro de una red. Está pensada para proteger la comunicación del seguimiento de las redes de vigilancia y la monitorización por terceras partes como los ISPs (proveedores de Internet). I2P es usado por muchas personas que se preocupan por su privacidad: activistas, poblaciones oprimidas, periodistas, denunciantes, así como por el ciudadano medio. Ninguna red puede ser "perfectamente anónima". El objetivo continuado de I2P es hacer los ataques más y más difíciles de montar. Su anónimato se volverá más fuerte al crecer el tamaño de la red, y con la revisión académica que está en marcha. I2P está disponible para escritorios, sistemas embebidos (como el Rapsberry Pi) y teléfonos Android. •
•
•
•
GNUnet: GNUnet es un marco para la seguridad de redes peer-to-peer que no utiliza ningún servicio centralizados o de confianza de otro modo. Nuestro objetivo de alto nivel es proporcionar una sólida base de software libre para una red mundial que proporciona seguridad y, en particular, los aspectos de privacidad. GNUnet comenzó con una idea para el intercambio de archivos anónimos resistente a la censura, pero ha crecido hasta incorporar otras aplicaciones, así como muchos en los componentes genéricos para aplicaciones de redes seguras. En partic ular, GNUnet ahora incluye el sistema de nombres de GNU, una infraestructura de clave pública descentralizada privacidad de preservación. 3. Indica como configurar tu navegador con la o pción: “Navegación privada”
Firefox
Explorer
Chrome
4. Familiarízate con la configuración de un router: Trendnet: http://www.trendnet.com/emulators/
Linksys: http://ui.linksys.com/files/
Netgear: http://www.voiproblem.com/emulators/Netgear/
PRÁCTICA 1. Visita una web www.villalgordodeljucar.com Descárgate una imagen de dicha web http://www.villalgordodeljucar.com/images/iglesiayplaza/P8290010.jpg 2.
3.
Analiza la foto mediante la web:
http://www.informatica64.com/foca/
http://regex.info/exif.cgi
Here's the full data:
APP14
DCT Encode Version 100 APP14 Flags 0
[14], Encoded with Blend=1 downsampling
APP14 Flags 1
(none)
Color Transform
YCbCr
Ducky
Quality 50%
JFIF
JFIF Version 1.02
Resolution
100 pixels/None
File — basic information derived from the file.
File Type
JPEG
MIME Type
image/jpeg
Encoding Process
Baseline DCT, Huffman coding
Bits Per Sample
8
Color Components
3
File Size
72 kB
Image Size
600 × 802
Y Cb Cr Sub Sampling YCbCr4:2:0 (2 2) http://www.findexif.com/?l=cow#results
Exif data This photo does NOT contain EXIF metadata
http://www.verexif.com/
4. Programa para eliminar metadatos: BatchPurifier LITE: http://www.digitalconfidence.com/downloads.html http://www.verexif.com/ los elimina en linea 5. Casos curiosos de metadatos: http://www.elladodelmal.com/2012/04/analisis-forense-de-metadatos-15.html
Ejemplo 1: Word bytes Tony Blair in the butt:
Tony Blair presentó un documento y afirmó que no lo habían editado. La información de los metadatos demostró como personal de su equipo lo había copiado, editado, etcétera.
- Word Bytes Tony Blair in the butt
Ejemplo 2: El programa electoral del PP
Se publicó en PDF . El análisis de los metadatos mostraba un título del que se había copiado el documento y que los datos de la persona que había publicado el documento. Un becario de las FAES.
- El programa electoral del PP para salir de la crisis lo publica un becario
Ejemplo 3: La ministra de la SGAE
Desde Security By Default analizaron los documentos de la sociedad DAMA, donde trabajaba la ministra Sinde. En los documentos se pudo leer que el propietario de las licencias era la SGAE , lo que dejaba a las claras la relación entre Dama y SGAE.
- La ministra de la SGAE
Ejemplo 4: La piratería de software en una empresa
Analizando los metadatos de los documentos se pueden sacar versiones de software utilizadas internamente. Si la compañía no tiene esas licencias puede ser un escándalo. Yo revisé con FOCA el software de la SGAE .
- ¿Cuánto pagará la SGAE por su Software?
Ejemplo 5: El pliego de condiciones del ayuntamiento de Leganés
Un pliego de condiciones de un concurso fue adjudicado a una empresa. Cuando se analizaron los metadatos del documento que recogía las condiciones del concurso se pudo comprobar que el creador del mismo pertenecía a la empresa que ganó el concurso.
- Pillados: El pliego de condiciones lo redacta la empresa adjudicataria
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS PARTE 4 1. Descarga e instala: SMAC: http://www.klcconsulting.net/smac/
ETHERCHANGE: http://ntsecurity.nu/toolbox/etherchange/
2. Información acerca de: APTs (Advanced Persistent Threats): http://www.redseguridad.com/opinion/articulos/por-que-tienenexito-los-advanced-persistent-threat-apt
¿Por qué tienen éxito los 'Advanced Persistent Threat' (APT)? Sin duda, los últimos años 2010 y 2011 han supuesto un duro despertar en materia de seguridad para muchas compañías y gobiernos de todo el mundo, que no han sabido valorar la información de su negocio y protegerla adecuadamente.
Se habla mucho de los Advanced Persistent Threat (APT) en referencia a individuos o grupos con la capacidad, persistencia y efectividad para comprometer la seguridad de los sistemas informáticos de cualquier organización que se propongan. En algunos casos, estos APT pueden ser representativos de Estados-Naciones con el objetivo de robar información o sabotear infraestructuras críticas de otras naciones “amigas” o “enemigas”. Lo cierto es que los ataques informáticos, ya sean provocados por individuos, grupos de hackers u operativos de Estados-Naciones, se han sucedido desde décadas, pero ha sido más recientemente cuando se ha comenzado a hablar de los APT como una verdadera amenaza para emp resas o
instituciones, como se puede apreciar en los medios, donde prácticamente cada semana se puede leer alguna noticia de una organización comprometida. Funcionamiento de los APT
Entendemos los APT, con independencia de su sofisticación, como atacantes que buscan permanencia en los sistemas comprometidos con el claro objetivo de sustraer información de manera continua, por lo que según esta definición no todos los ataques que s uceden hoy en día son APT. A lo largo de este artículo estudiaremos detalladamente esta tipología y cómo actúan, además de las malas prácticas empleadas por las organizaciones, que se convierten en presas fáciles. Los APT son diferentes de los clásicos atacantes a los que la mayoría de organizaciones están acostumbradas. Los tiempos de los script-kiddies y la búsqueda de notoriedad de los jóvenes han pasado a la historia, y ahora hablamos de "sector ofensivo profesional". Un aspecto importante es que aunque los llamemos avanzados, -“advanced”-, no si gnifica que utilicen los últimos exploits o herramientas hacker de última generación, sino que hace referencia a que son más avanzados por su sofisticación y profesionalización. Por desgracia, en muchas ocasiones, los APT siguen utilizando técnicas de los años 80 y 90, pero con mayor eficiencia y sabiendo combinar ataques con éxito. Las acciones avanzadas disponen de amplios recursos (humanos, tecnológicos, económicos y, además, tiempo) para llegar a buen puerto. Es ampliamente conocido que muchos Estados-Naciones invierten cientos de millones de euros en programas ofensivos, convirtiéndolo en todo un lucrativo negocio, en el marco de un escenario estratégico cada vez más organizado. Ejemplos de ataques APT
En la última década se han identificado multitud de ataques avanzados contra importantes organizaciones y parece que esta tendencia se está agravando. En el gráfico se pueden ver algunos ejemplos reales de ataques considerados APT en los últimos tres años. Posiblemente a usted le resultarán familiares muchos de ellos.
Desde la Operación Aurora hasta el ataque al Fondo Monetario Internacional, pasando por Stuxnet. La sofisticación y perfeccionamiento de los ataques no tiene límites.
En un amplio número de ocasiones, estos ataques fueron realizados mediante técnicas sobradamente conocidas, como ingeniería social, USB infectados y correos maliciosos. Para más detalle se aconseja leer el documento “Advanced Persistent Threats: A Decade in Review”, por Command Five. Desde el grupo de Seguridad de Microsoft (InfoSec) hemos ayudado a varios clientes a luchar contra APT, en los que hemos podido analizar y comprender los métodos empleados, que varían
desde el uso de conocidos troyanos hasta usos más creati vos de la infraestructura como la subversión de servicios Windows o la distribución de malware a través de actualizaciones. Toda esta recolección y análisis de información sobre la materia que nos ocupa es de vital importancia para Microsoft, ya que aporta inteligencia sobre sus métodos, permitiendo mejorar la seguridad de nuestros productos y servicios, además de ayudar al cli ente, proporcionándole mecanismos de protección efectivos. Igualmente, esta información se puede consultar gratuitamente en el "Microsoft Security Intelligence Report (SIR)". A continuación, enumeramos algunos ejemplos de los métodos empleados por los APT que hemos podido analizar en InfoSec, siendo algunos de estos ataques de una sofisticación muy elevada: •
• • •
Instalación de servicios que detectan todos los ficheros, carpetas y correos nuevos y son enviados al atacante. Compromiso de la PKI y certificados. Subversión de los mecanismos de actualización. Espionaje mediante la activación de micró fonos y webcams en los sistemas comprometidos.
No debemos caer en la falsa sensación de que esto sólo pasa en entornos Windows porque no es así. Cualquier plataforma es susceptible de ser atacada por APT, como ya están apreciando otros grandes fabricantes de software. En el último año, los smartphones han ganado popularidad como víctimas de ataques avanzados, tras el desarrollo de sofisticados troyanos, aprovechando otro vector de entrada en las organizaciones. 1. 2. 3. 4.
Inicio Instituciones Administración
La UE y EEUU realizan el primer simulacro de ciberseguridad
Valoración •
Actualmente 0 de 5 Estrellas.
Tu valoración • • • • • •
Actualmente 0 de 5 Estrellas. 1 2 3 4 5
Haz tu comentario Imprimir NOTICIA ENISA auspició el ejercicio en Bruselas el 3 de noviembre
La UE y EEUU realizan el primer simulacro de ciberseguridad 01/11/2011 - Redacción Noviembre es el mes de la seguridad por excelencia y este año más que nunca, ya que se ha puesto en boga la importancia estratégica del ciberespacio, desde distintos países. No en balde se llevó a cabo Cyber Atlantic 2011, se celebró la LondonCyber y se conmemoró el Día Internacional de la Seguridad Informática (DISI).
Bruselas acogió el pasado 3 de noviembre el primer ej ercicio de ciberseguridad realizado conjuntamente entre la Unión Europea (UE) y Estados Unidos (EEUU). La Agencia Europea de Seguridad de la Información y Redes (ENISA) ha hecho posible “Cyber Atlantic 2011”, donde se trabajó con hipotéticos escenarios que pusieron a prueba a l a capacidad de cooperación entre un lado y otro del Atlántico en caso de cib erataque o amenaza a infraestructuras críticas.
El primer ensayo planteaba ataque dirigido Advanced Persistent Threat (APT) contra la información confidencial en poder de las agencias de seguridad de los países miembros. El segundo simulacro se centró en la interrupción de sistemas SCADA en infraestructuras industriales. Más de 20 países miembros participaron en los ejercicios, como actividad contemplada en Cyber Atlantic, parte del compromiso suscrito por el país norteamericano y la UE el 20 de noviembre de 2010 en Lisboa. LondonCyber
También a principios de noviembre -los días 1 y 2- se cel ebró en la capital londinense la “LondonCyber”, en la que se habló de la importancia estratégica del ciberespacio para el desarrollo económico, social y político de las sociedades actuales . Mandatarios de más de 60 naciones junto a representantes de la industria y organizaciones de control y gestión del ciberespacio trataron asuntos como el crecimiento y desarrollo económico, los beneficios sociales de Internet, la seguridad internacional, el cibercrimen y la necesidad de ciberaccesos seguros y confiables. Reino Unido, país anfitrión, propuso los siguientes siete principios básicos para fomentar la colaboración entre estados, industria y organismos de control y gestión del ciberespacio: 1. Aplicación de la legislación internacional vigente relacionada con el manejo del ciberespacio. 2. Universalización del acceso a Internet.
3. Tolerancia y respeto por parte de todos los cibernautas. 4. Fomentar la innovación, salvaguardando la libertad de expresión y la compartición e intercambio de información. 5. Respeto a los derechos individuales y a la privacidad y protección de la propiedad intelectual. 6. Colaboración internacional contra el cibercrimen. 7. Creación de un entorno que fomente la competitividad en Internet.
LondonCyber contó con ponentes de primer nivel que transmitieron, cada u no en su ámbito, las posturas oficiales de gobiernos, las inquietudes de la industria y la necesidad de una regulación responsable sobre el manejo del ciberespacio. Además, se puso de manifiesto, aun más si cabe, l a concepción bipolar en el manejo del ciberespacio. Por un lado, la mayoría de los países, encabezados por Estados Unidos y Reino Unido, defienden la convergencia hacia un ciberespacio basado en los si ete pilares arriba enunciados; mientras que por otro lado, una minoría, liderada por China, defiende el derecho al control gubernamental del ciberespacio y, por tanto, limitar muchos de l os principios propuestos por Reino Unido. De LondonCyber no han salido grandes acuerdos globales pero ha cumplido, con creces, sus objetivos, al ser el primer gran foro global que tien e al ciberespacio y su seguridad como protagonista. Si bien, algunos actores del sector en nuestro país han echado en falta la presencia de profesionales españoles en este simposio. Afortunadamente, parece que esta cita tendrá continuidad, de manera itinerante, con la Conferencia sobre Ciberespacio de Hungría en 2012 y la de Corea del Sur en 2013, en las que esperamos que España y sus profesionales empiecen a lucir. WHONIX: https://www.whonix.org/wiki/Main_Page Es un Sistema operativo anónimo
3. Visita los siguientes enlaces: http://www.reiniciado.com/20-sitios-recomendados-para-navegar-anonimamente/720/
http://www.seculert.com/
4. Prueba el siguiente programa: Ultrasurf: http://ultrasurf.us/ UltraSurf es un producto de UltraReach Internet Corporation. Originalmente creado para ayudar a los usuarios de Internet en China encontrar la seguridad y la libertad en línea, Ultrasurf se ha convertido en uno de los anti-censura más popular del mundo, el software pro-vida privada, con millones de personas que lo utilizan para eludir la censura en Internet y proteger su privacidad en línea.
Hide My IP: http://www.hide-my-ip.com/?l=es
5. Configura manualmente el proxy de tu navegador mediante las siguientes listas: http://www.proxys.com.ar/ http://www.proxy4free.com/list/webproxy_rating1.html
1. Visita el siguiente enlace: http://www.seguridaddelmal.com/2013/06/detectando-ataques-man-in-middle-mitm.html 2. Lee el siguiente artículo: http://seguridadyredes.wordpress.com/2009/11/27/detectando-sniffers-en-nuestra-red-redesconmutadas-y-no-conmutadas-actualizacion/ 3. Busca información acerca de las herramientas: Arpwatch: http://manpages.ubuntu.com/manpages/precise/man8/arpwatch.8.html WinARP Watch: http://www.windowsreference.com/free-utilities/arp-skwinarp-watch-arpwatch-forvistaxp20032000/
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS PARTE 5 1. Visita el siguiente enlace: http://public-root.com/root-server-check/index.htm
https://maps.google.com/maps/ms?ie=UTF8&hl=en&msa=0&msid=103993808347197645891.00043a30 b2657ea61ea33&ll=11.424429,26.178063&spn=142.883537,288.632813&z=2&om=1
http://www.antiphishing.com.ar/
http://www.osi.es/es/actualidad/avisos/2013/10/detectados-correos-fraudulentos-que-suplantan-laidentidad-de-apple?origen=boletin
2. Descarga e instala la siguiente herramienta: Advanced IP Scanner: http://www.advanced-ip-scanner.com/es/
3. Envía un email a tu cuenta: http://anonymouse.org/cgi-bin/anon-email.cgi
4. Enlaces de interés: https://www.gdt.guardiacivil.es/webgdt/home_alerta.php
http://www.policia.es/org_central/judicial/udef/bit_alertas.html
1. Lee los siguientes artículos: http://blog.trendmicro.es/cibercrimen-en-la-deep-web/#more-2393
http://www.gitsinformatica.com/botnet.html
http://www.dnssec.net/
2. Mira el siguiente enlace: http://www.digitalattackmap.com
https://www.virustotal.com/es/
3. Infórmate de las siguientes herramientas: RUBotted: http://www.trendmicro.es/productos/herramientas-y-servicios-gratuitos/index.html
BotHunter : http://www.bothunter.net/ ¿Qué es BotHunter BotHunter NO es un sistema de detección de intrusos, firewall, bloqueador de spam , o de la herramienta antivirus. Estas herramientas generalmente no funcionan para ayudar a librar su red de las infecciones de malware . Más bien, BotHunter tiene un enfoque diferente . Es todo un nuevo algoritmo de defensa de la red diseñado para ayudar a todos, desde los administradores de red a usuarios individuales conectados a Internet PC detectan si sus sistemas están funcionando coordinación centrada malware ( tales como redes de bots , spam , spyware, exfiltrators Troya, gusanos, adware ) . Se basa en un algoritmo llamado correlación de diálogo red , desarrollado bajo el programa de investigación de Cyber -TA ( http://www.cyber-ta.org ) , por el Laboratorio de Ciencias de la Computación en el SRI International. BotHunter monitorea los flujos de comunicación de doble vía entre hosts dentro de la red interna e Internet. Es agresiva clasifica intercambios de datos que se crucen en tu límite de la red como posibles pasos de diálogo en el ciclo de vida de una infección de malware en curso. BotHunter emplea Snort como un motor de generación de eventos de diálogo , y Snort está muy modificada y personalizada para llevar a cabo este proceso de clasificación de diálogo. Eventos de diálogo se alimentan directamente a un motor de correlación de diálogo independiente , donde los mapas BotHunter los patrones de producción de diálogo de cada host en contra de un modelo de ciclo de vida de una infección de malware abstracto. Cuando se adquiere suficiente evidencia para declarar un huésped infectado , BotHunter produce un perfil de la infección de resumir toda la evidencia que se ha reunido con respecto a la infección. En resumen, BotHunter le ayuda a identificar rápidamente los equipos infectados dentro de la red que son claramente y sin poder hacer nada bajo el control de los hackers externos. Correlación de diálogo es un algoritmo que clasifica cada intercambio de tr áfico de red que se produce en toda la frontera de la red como posibles pasos de secuencia de infección que ocurren cuando un host está infectado con malware. No todos los eventos de tráfico de red genera un evento de diálogo. Eventos de
diálogo se introducen directamente en un mo tor de correlación de diálogo independiente , donde se asignan patrón de producción de diálogo individual de cada huésped y anotó en contra de un modelo de ciclo de vida de una infección de malware abstracto. Cuando el algoritmo de correlación de diálogo determina que los patrones de producción de diálogo de un anfitrión mapas suficientemente cerca del modo de ciclo de vida , el anfitrión se declara infectados , y un perfil de la infección se genera para resumir todas las pruebas con respecto a la infección. BotHunter es financiado a través de la Cyber- Amenaza beca de investigación Analítica de la Oficina de Investigación del Ejército de EE.UU. , y es gratis para todos los usuarios finales para ayudarle a combatir las infecciones de malware . Además , BotHunter incluye un servicio de actualización automática que permite a los sistemas desplegadas para recibir la última inteligencia de amenazas en relación con nuevas fuentes para los puertos de anuncios y de gestión spyware , sitios de control de botnet , puerta trasera y de control, y las búsquedas de nombres de dominio relacionados con el malware . El servicio de actualización también publica nuevas reglas de análisis de diálogo para ayudar BotHunter reconoce exploits emergentes y los patrones de comunicación de malware. Defensas de malware mo dernos deben ser adaptables y tanto de las últimas estrategias utilizadas por el malware de Internet y BotHunter está listo para afrontar este reto .
4. Descarga e instala las siguientes herramientas: Cain & Abel: http://www.oxid.it/cain.html
Whireshark: http://www.wireshark.org/
5. Video sobre el uso del programa Cain & Abel: http://www.youtube.com/watch?v=VrinUjptVYY
PRÁCTICA: Manual Cain & Abel http://www.youtube.com/watch?v=9mkPVaYnGcI 1) Desactivar antivirus y firewall 2) Ejecutar Cain & Abel: Sniffer y Configure 3) Ejecutar cmd: ipconfig 4) Cain & Abel: Pestaña: ARP (añadir dir. puerta de enlace) 5) Pulsar icono: Sniffer y ARP 6) Icono Add List -> All test 7) 192.168.1.100 8) Resolve Host Name 9) Pestaña: APR \ Add List (IP analizar: 192.168.1.100 y IP route: 192.168.4.1) 10) Icono ARP 11) Pestaña Password
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS
ACTIVIDADES PARTE 6 1. Busca información relaciona con el siguiente nombre: Qhosts/Delude
QHosts/Delude, el troyano secuestrador Un nuevo troyano que infecta automáticamente un o rdenador con sólo visualizar una página HTML con Microsoft Internet Explorer o Microsoft Outlook. Si bien no es especialmente peligroso, existen un par de consideraciones que lo hacen merecedor de su propio boletín: se instala incluso si se ha aplicado el parche más reciente de Internet Explorer y modifica la configuración de TCP/IP en el ordenador infectado. QHosts/Delude es un troyano que tiene l a capacidad de instalarse automáticamente con sólo visualizar una página HTML con Internet Explorer o bien un mensaje en formato HTML con Microsoft Outlook. Esas páginas o mensajes HTML contienen un código VBScript (x.hta) que contiene el troyano y se ejecuta con solo visualizar la página o mensaje. Esto sucede incluso si se está al día de las actualizaciones de seguridad, lo que incluye el último boletín acumulativo de Microsoft publicado a finales de agosto. Cuando consigue introducirse en un o rdenador, este troyano realiza una serie de cambios en la configuración del protocolo TCP/IP. Modifica las direcciones de los servidores de DNS y crea un nuevo archivo HOSTS para, de esta forma, poder redireccionar de forma transparente determinadas peticiones de acceso a servicios de Internet como pueden ser buscadores o directorios. El troyano es fácilmente identificable debido a la serie de modificaciones que realiza en el sistema infectado, que afectan al acceso a determinadas páginas de Internet especialmente populares como Google o Altavista. Cuando se abre una página o mensaje HTML que contiene el código del troyano, éste procede a descargar archivo AOLFIX.EXE en el directorio temporal (%TEMP%) o en el directorio de sistema (%SYSTEM%). A continuación lo ejecuta realizando estas o peraciones: 1. Crea un directorio oculto c:\Bdtmp\Tmp 2. Dentro de este directorio, se genera un archivo batch, cuyo nombre
es un nombre aleatorio entre el 100 y el 9999. A continuación lo ejecuta y lo borra. Este archivo batch, por su parte, realiza estas acciones: 1. Crea los archivos %WinDir%\o.reg, %WinDir%\o2.reg y %WinDir%\o.vbs 2. Ejecuta los dos archivos .REG para aplicar una serie de modificaciones en el registro: En HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VxD\MS TCP añade los siguientes valores: * "EnableDNS"="1" * "NameServer"=[Dirección IP indicada en el archivo batch] * "Hostname"="host" * "Domain"="mydomain.com" De esta forma se modifica la dirección del servidor de DNS co nfigurado en el ordenador infectado para que, en su lugar, se utilice un servidor de nombres bajo el control del creador del troyano. En HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings modifica la configuración de Internet Explorer para que no utilice ningún servidor intermedio (Proxy): * "ProxyEnable"="0" * "MigrateProxy"="0" A continuación configura el buscador por defecto de Internet Explorer para que se utilice Google (que posteriormente será también redireccionado) * HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main * "User Search Asst"="no" * Search Page"="http://www.google.com" * "Search Bar"="http://www.google.com/ie" * HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchURL * ""="http://www.google.com/keyword/%%s" * "provider"="gog1" * HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search * "SearchAssistant"="http://www.google.com/ie" Por último, añade el valor "r0x"="your s0x"
en las siguientes claves del registro * HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Tcpip\Parameters\interfaces\windows * HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Tcpip\Parameters\interfaces\windows 3. Crea un nuevo archivo HOSTS en %WinDir%\Help que contiene una relación de nombres de dominio populares, apuntando a una dirección IP fija. Para que el sistema utilice este archivo HOSTS, modifica nuevamente el registro: * HKEY_LOCAL_MACHINA\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters * "DataBasePath"="%SystemRoot%\Help" 4. Crea un archivo indicador de que el troyano se encuentra en el sistema: %WinDir%\winlog Una vez infectado, cualquier intento de acceder a determinadas direcciones de Internet serán automáticamente redireccionadas hacia una página con publicidad muy especifica. Prevención La forma más eficiente de prevenir este troyano en concreto co nsiste en aplicar la versión más reciente del archivo de firmas del antivirus presente en el ordenador. Afortunadamente se trata de un troyano fácilmente identificable por los antivirus, por lo que no debería ocasionar grandes problemas. De hecho, su grado de distribución puede considerarse casi testimonial. No obstante, para prevenir otros troyanos que utilicen la misma técnica deberemos esperar a que Microsoft publique un nuevo parche para Internet Explorer que impida la ejecución automática de scripts VBScript con solo visualizar una página o un mensaje HTML. Este parche, hoy por hoy, todavía no existe.
PremiumSearch:
Estás en: Panda Security > Usuarios Domésticos > Security Info > about-malware > encyclopedia > detalle
Enciclopedia de Virus Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
PremiumSearch Peligrosidad
Daño
Propagación
De un vistazoDetalles técnicos | Solución Nombre común: Nombre
PremiumSearch Adware/PremiumSearch
técnico:: técnico Peligrosidad:: Peligrosidad
Baja
Tipo:: Tipo
Spyware
SubTipo:: SubTipo
Adware
Efectos:: Efectos
Presenta resultados interesados a los usuarios que intentan acceder a determinados buscadores web, web, y cambia la página de inicio de Internet Explorer. Llega al ordenador cuando se visitan páginas web que explotan vulnerabilidades para afectar ordenadores que no han sido parcheados. parcheados.
Plataformas que infecta: infecta: Fecha de detección:: detección Detección actualizada:: actualizada Estadísticas Protección proactiva:
Windows 2003/XP/2000/NT/ME/98/95 2003/XP/2000/NT/ME/98/95 22/04/2005
04/10/2005 No Sí, mediante las Tecnologías TruPrevent
Descripción Breve PremiumSearch es un programa de tipo adware que redirige las aplicaciones que intentan acceder a
una serie de buscadores web, como por ejemplo Google, Yahoo y MSN, entre otros, hacia llaa dirección IP 69.31.81.22, presentando presentando resultados elegidos por el autor de este adware. También descarga desde el servidor servidor localizado localizado en http://ovxeas.biz una barra de herramientas que imita la de Google, siendo muy similar a ella. Browser Además, cambia la página de inicio de Internet Explorer, empleando para ello un BHO ( Browser Helper Object ). ). PremiumSearch llega al
ordenador cuando se visitan páginas web que explotan vulnerabilidades para afectar ordenadores ordenadores que no no han sido convenientemente convenientemente parcheados. parcheados. Síntomas Visibles
PremiumSearch es fácil de reconocer una vez ha afectado el ordenador, ya que cambia la página de inicio de Internet Explorer por la siguiente:
DNSChanger:
DNSChanger
DNSChanger es un virus que modifica la configuración DNS del equipo infectado. DNSChanger es i nfectado. En el siguiente artículo se explica cómo detectarlo y reparar los cambios que realiza en el ordenador. Como comprobar manualmente si DNSChanger ha infectado el ordenador
Para comprobar si su ordenador está infectado por el virus DNSChanger puede puede hacerlo a través de la web www.dns-changer.eu o comprobando manualmente si los servidores DNS configurados en su PC son maliciosos. Para verificarlo manualmente, en primer lugar, debe obtener las direcciones IP de los servidores DNS que utiliza su PC. PC . A continuación, debe comprobar que ninguna de estas direcciones IP de los servidores DNS está comprendida en alguno de los siguientes rangos que corresponden corresponden a direcciones IP de servidores DNS maliciosos que configura DNSChanger en el ordenador infectado: • • • • • •
85.255.112.0 - 85.255.127.255 67.210.0.0 - 67.210.15.255 93.188.160.0 - 93.188.167.255 77.67.83.0 - 77.67.83.255 213.109.64.0 - 213.109.79.255 64.28.176.0 - 64.28.191.255
Aunque no estén comprendidas en estos rangos, si sospecha que pueden pertenecer a servidores DNS maliciosos o que no pertenecen a su proveedor de Internet, puede realizar una consulta whois para obtener más información sobre sobre estas direcciones direcciones IP o consultar la web listado de servidores DNS de AdslAyuda para AdslAyuda para verificar que se corresponden con las de su su ISP. Los servidores maliciosos están controlados por el FBI e ISC por lo que devuelven las direcciones IP genuinas. Por otra parte, esto posibilita comprobar a través de la web www.dns-changer.eu si se tiene configurado un DNS malicioso. Como eliminar DNSChanger y rehacer la configuración de red
Para restaurar su ordenador debe realizar las siguientes si guientes 4 tareas: • •
Eliminar el virus. Deshacer los cambios en la configuración DNS.
• •
Revisar el archivo hosts. hosts. Revisar la configuración DNS del router.
Eliminar el virus
Utilice un antivirus actualizado para eliminar DNSChanger. Puede encontrar antivirus gratuitos en la sección de "Útiles Gratuitos". Gratuitos" . En el caso particular de sistemas Mac, se puede utilizar la herramienta DNSChanger Removal Tool para Tool para eliminar el virus (además de para para restaurar la configuración DNS). Deshacer los cambios en la configuración DNS
Aunque haya eliminado el virus, el antivirus no puede deshacer los cambios en la configuración DNS realizados por DNSChanger. Puede deshacer los cambios en la configuración DNS utilizando herramientas automáticas, existentes para Windows y para Mac OS, OS, o manualmente. Para hacerlo manualmente debe acceder a la configuración DNS de su ordenador y sustituir las direcciones de los servidores DNS maliciosos por las que proporciona su ISP. Las direcciones de los servidores DNS de su ISP se pueden obtener: • •
llamando al teléfono de soporte del ISP consultando el listado de servidores DNS de AdslAyuda
Revisar el archivo hosts
Se han detectado variantes de DNSChager que modifican el archivo hosts del ordenador, por lo que debe comprobar que no existen entradas maliciosas en él . Revisar la configuración DNS del router
Por último, es recomendable recomendable revisar la configuración DNS del router , ya que el virus también ha podido modificarla para servir mediante mediante DHCP las direcciones direcciones IP de servidores servidores DNS maliciosos. PenWes: zonavirus / noticias / nueva variante de malware penwes que cambia los dns a 127.0.0.1, muy poco detectado actualmente (solo 1 de 48)
NUEVA VARIANTE DE MALWARE PENWES que cambia los DNS a 127.0.0.1, muy poco detectado actualmente (solo 1 de 48) msc hotline sat viernes, 10 de enero de 2014
Otra muestra de este malware que, salvo que el ordenador LOCAL HOST sea un servidor de DNS, impide navegar al cambiar la configuracion de los DNS a 127.0.0.1 A partir del ElistarA 29.12 pasamos a controlar dicho malware, indicando además del cambio de los DNS si se observa lo antes indicado. El usuario deberá reconfigurar la configuracion del servidor de DNS que tuviera antes programado, si no puede navegar.
El preanalisis de virustotal ofreec este informe: SHA256: 1f94a960c059d3e489e6b5dbc0606249c16f81ae554911670b38e7280cb422ea Nombre: PENWESSERVICE.EXE.Muestra EliStartPage v29.09 Detecciones: 1 / 48 Fecha de análisis: 2014-01-10 12:07:30 UTC ( hace 0 minutos ) 01 Antivirus Resultado Actualización Malwarebytes PUP.Optional.PenWes.A 20140110
2. Lee el siguiente artículo: http://geekland.hol.es/elegir-el-mejor-servidor-dns/
3. Comprueba la velocidad de los servidores dns públicos: Namebench: http://code.google.com/p/namebench/
4. Indica cuales serían los pasos a seguir en tu sistema operativo para cambiar las direcciones del servicio del servidor dns
1. Busca información relaciona con: InterNIC:
InterNIC InterNIC, la abreviatura de Internet Network Information Center, fue el principal organismo
gubernamental de internet responsable de los nombres de dominio y las Direcciones IP, las asignaciones fueron hasta el 18 de septiembre de 1998, cuando este papel fue asumido por la Internet Corporation for Assigned Names and Numbers (ICANN), Se accede a través del sitio web http://internic.net/ que fue gestionado por Network Solutions, Inc y AT&T. Termino
"InterNIC" es un servicio registrado marca de el Departamento de Commercio. Este termino es licenciado a la Internet Corporation for Assigned Names and Numbers (ICANN). Historia
La primera autoridad central a coordinacion de operacion de la red fue el Network Information Center (NIC) en Stanford Research Institute (SRI) en Menlo Park , California). En 1972, la gestión de estas cuestiones se dio a la recién creada Internet Assigned Numbers Authority (IANA). Además
de su papel como el RFC Editor, Jon Postel trabajó como el administrador de la IANA hasta su muerte en 1998. Como los primeros ARPANet creció, los hosts fueron referidos por sus nombres, y un archivo llamado HOSTS.TXT fue distribuido por el SRI Internacional, y fue instalado manualmente en cada servidor de la red. A medida que la red creció, se convirtió cada vez más engorroso, Una solución técnica se produjo en la forma del sistema de nombres de dominio, creado por Paul Mockapetris, la DDN-NIC, en todos los SRI manejan los servicios de registro, incluido el de los dominios de nivel superior (.mil, .gov, .edu, .org, .net, .com y .us, así como la raíz administrativa de nombres de Internet y número de tareas en virtud de el Departamento de Defensa de contrato de los Estados Unidos. En 1991 la DISA, adjudicó la administración y mantenimiento de DDN-NIC, que había sido hasta ese momento bajo la dirección del SRI desde hace muchos años, al Gobierno Systems, Inc., que subcontrató a la empresa Network Solutions, Inc. ICANN
¿Qué es ICANN?
ICANN es una organización que opera a nivel multinacional/internacional y es la responsable de asignar las direcciones del protocolo IP, de los identificadores de protocolo, de las funciones de gestión del sistema de dominio y de la administración del sistema de servidores raíz. En un principio, estos servicios los realizaba IANA (Internet Assigned Numbers Authority) y otras entidades del gobierno estadounidense. ICANN se dedica a preservar la estabilidad de Internet por medio de procesos basados en el consenso. El papel de ICANN
ICANN coordina la administración de los elementos técnicos del DNS para garantizar la resolución unívoca de los nombres, para que los usuarios puedan encontrar todas las direcciones sin ser repetidas. El funcionamiento de ICANN
En la actualidad, la ICANN está formalmente organizada como una corporación sin fines de lucro y de utilidad pública. Está administrada por una Junta de Directores, que está compuesta por seis representantes de las organizaciones de apoyo, sub-grupos que se ocupan de las secciones específicas de las políticas de ICANN en virtud de la competencia, ocho representantes independientes del interés público general, seleccionados a través de un Comité de Nominaciones que representa a todas las circunscripciones de la ICANN, y el Presidente y Director Ejecutivo, nombrado por el resto de la Junta. En la actualidad hay tres organizaciones de apoyo: la GNSO (Generic Names Supporting Organization) se ocupa de la formulación de políticas sobre dominios genéricos de nivel superior, ccNSO (Country Code Names Supporting Organization) se ocupa de la elaboración de políticas relativas a códigos de países en dominios de nivel superior, la ASO (Address Supporting Organization) se ocupa de la formulación de políticas en direcciones IP. ICANN también se basa en algunos comités consultivos para recibir asesoramiento sobre los intereses y necesidades de los interesados que no participen directamente en las organizaciones de
apoyo. Entre ellos figuran el Comité Asesor Gubernamental (GAC), que está integrado por representantes de un gran número de gobiernos nacionales de todo el mundo; el ALAC (At-Large Advisory Comité), que está integrado por representantes de organizaciones de los distintos usuarios de Internet de todo el mundo; el sistema DNS y TLG (Technical Liaison Group) compuesto por representantes de otras organizaciones técnicas internacionales de Internet. Procedimientos
ICANN periódicamente sostiene reuniones públicas de rotación entre los continentes para fomentar la participación mundial en sus procesos. Los críticos argumentan que los lugares de estas reuniones se encuentran a menudo en los países con menor uso de Internet. Lo que se quiere dar a conocer es que ICANN tiene mandato en todo el mundo y una parte esencial de su misión es fomentar el uso de Internet donde es débil. Se creó en California debido a la iniciativa de Jon Postel, uno de sus fundadores. ICANN sigue en el mismo edificio donde se creó, que es una oficina del Instituto de Ciencias de la Información en la Universidad del Sur de California. Las resoluciones de la junta de ICANN se publican en su página web para que las pueda consultar todo el mundo. Política Uniforme
Una de las tareas que se le pidió que realizara es abordar la cuestión del nombre de dominio propiedad del gTLD. ICANN intentó que esa política fuera elaborada en estrecha cooperación con la Organización Mundial de la Propiedad Intelectual (OMPI), y el resultado ha pasado a ser conocido como la Política de Resolución de Disputas de Nombres de Dominio Uniformes (UDRP). Esta política esencialmente intenta proporcionar un mecanismo de respuesta rápida, económica y razonable de resolución de conflictos de nombres de dominio. Historia
El mandato original de la ICANN provino del Gobierno de los Estados Unidos durante el gobierno de Bill Clinton y George W. Bush. El 30 de enero de 1998, el Consejo Nacional de Telecomunicaciones y Administración de Información ( NTIA), una agencia del Departamento de Comercio de los EE.UU., comentó que era necesaria "una propuesta para mejorar la gestión técnica de Internet los nombres y las direcciones". La propuesta de elaboración de normas, o "Libro Verde".2 Se publicó en el Registro Federal el 20 de febrero de 1998, y ofrecía oportunidades para comentarios del público. NTIA ha recibido más de 650 observaciones desde el 23 de marzo de 1998, cuando se cerró el periodo de comentarios.2 El Libro Verde propone ciertas acciones destinadas a privatizar la gestión de Internet, los nombres y las direcciones de una manera que permita el desarrollo de sólidas competencias y facilite la participación global en la gestión de Internet. Además, propone para la discusión una serie de cuestiones relacionadas con la gestión de DNS, incluido el sector privado. ICANN se creó en respuesta a esta política.
En septiembre y octubre de 2003, la ICANN desempeñó un papel crucial en el conflicto en torno a VeriSign's "wild card", un servicio de DNS. Después de una carta abierta de la ICANN, un ultimátum a VeriSign3 4 , la empresa voluntariamente terminó el servicio el 4 de octubre de 2003. Tras este paso, VeriSign presentó una demanda contra ICANN el 27 de febrero de 2004, alegando que ICANN había sobrepasado su autoridad, buscando a través de la demanda para reducir la ambigüedad sobre la autoridad de ICANN. La lucha contra los monopolios VeriSign componente de la reclamación fue desestimada en agosto de 2004. El 17 de mayo de 2004, ICANN publicó un proyecto de presupuesto para el año 2004-05. Incluye propuestas para aumentar la transparencia y el profesionalismo de sus operaciones, y aumenta en gran medida su propuesta de gasto. El Consejo Europeo Nacional de dominio de nivel superior Registros (CENTR), que representa los registros de Internet de 39 países, rechazó el aumento, acusando a ICANN de una falta de prudencia financiera. A pesar de las críticas, se llegó a un acuerdo de registro para los dominios de nivel superior .JOBS y .TRAVEL que incluye una tasa de 2 dólares por cada dominio de las empresas autorizadas. Junto con el éxito de las negociaciones .TRAVEL y .JOBS, los nombres de dominio .MOBI, y .CAT son algunos de los nuevos dominios de nivel superior establecidos por ICANN. El 10 de mayo de 2006 la ICANN no aprobó un plan para un nuevo ".XXX" sufijo que han sido designados para los sitios web con contenido pornográfico. ICANN rechazó formalmente .XXX el 30 de marzo de 2007 durante su reunión en Lisboa, Portugal, aunque posteriormente, el 25 de junio de 2010, decidieron dar vía libre al sufijo que finalmente verá la luz a principios de 2011. El 26 de julio de 2006, el Gobierno de los Estados Unidos renovó el contrato con la ICANN para la ejecución de la IANA por un período adicional de cinco años .5 Logros
ICANN estableció la competencia en el mercado para los registros de nombres de dominio genéricos de primer nivel quitando el monopolio. Implementó la Política de Resolución de Disputas de Nombres de Dominio Uniformes (UDRP). Ha adoptado normas generales para nombres de dominios internacionalizados (IDN), lo que ha permitido el registro de dominios en muchos idiomas, cada zona tiene sus registros permitidos. Alternativas
Se han sugerido alternativas a ICANN para la gestión de nombres DNS y el espacio de direcciones, entre ellas: • • • • •
Dejar que el Gobierno de los EE. UU. realice las tareas de la ICANN directamente. Asignación de tareas del ICANN a la Unión Internacional de Telecomunicaciones. Dejar al Registro Regional de Internet gestionar las direcciones. El abandono de todo control y dejar que los nombres DNS sean gratuitos para todos. La creación de una nueva organización sin fines de lucro sin ningún vínculo con la actual, como por ejemplo OpenNIC.
Próximos retos •
•
Implementar nombres de dominio internacionalizados y nuevos dominios de nivel superior genéricos. Aumentar la seguridad y estabilidad de los identificadores únicos de Internet.
•
• • •
• •
Supervisar el agotamiento del espacio de direcciones IPv4 y liderar el cambio hacia la adopción del IPv6. Mantener y mejorar la confianza en el mercado de dominios de nivel superior genéricos. Luchar por la excelencia en las operaciones clave. Fortalecer el modelo de múltiples partes interesadas de ICANN para atender la creciente demanda y las necesidades cambiantes. Reforzar la responsabilidad y el gobierno. Garantizar la estabilidad financiera y la responsabilidad.
http://www.espanix.net/
http://www.catnix.net/es/
http://www.rediris.es/
Sobre RedIRIS
RedIRIS es la red académica y de investigación española y proporciona servicios avanzados de comunicaciones a la comunidad científica y universitaria nacional. Está financiada por el Ministerio de Economía y Competitividad, e incluida en su mapa de Instalaciones Científico-Técnicas Singulares (ICTS). Se hace cargo de su gestión la entidad pública empresarial Red.es, del Ministerio de Industria, Energía y Turismo. RedIRIS cuenta con más de 450 instituciones afiliadas, principalmente universidades y centros públicos de investigación, que llegan a formar parte de esta comunidad mediante la firma de un acuerdo de afiliación. 2. Visita las siguiente webs de entidades registradoras de nombres de dominio: http://www.red.es/redes/inicio
Red.es es una entidad pública que trabaja para que la sociedad española aproveche al máximo el potencial de Internet y las nuevas tecnologías. Nuestro objetivo es fomentar el empleo, apoyando a las empresas que aspiran a estar en la vanguardia digital y creando programas de formación y asesoría para pymes y emprendedores. También impulsamos el ahorro y la eficiencia en el sector público, mediante la implantación de Tecnologías de la Información y la Comunicación (TIC).
http://www.dominios.es/dominios/es/agentes-registradores/todos-los-agentes-registradores
3. Herramientas para descargar: NetInfo: http://netinfo.tsarfin.com/download.html
BobUp Scanner: http://www.bopup.com/products/scanner/
Plax Network Suite: http://www.bestsecuritytips.com/content+index.id+18.htm
4. Componente para instalar en tu navegador y ver el código de la web: Wappalyzer: http://wappalyzer.com/
1. Diferencias entre: SPAM vs SMTP spoofing
Se llama spam, correo basura o mensaje basura a los mensajes no solicitados, no deseados o de remitente no conocido (correo anónimo), habitualmente de tipo publicitario, generalmente enviados en grandes cantidades (incluso masivas) que perjudican de alguna o varias maneras al receptor. La acción de enviar dichos mensajes se denomina spamming . La palabra spam proviene de la segunda guerra mundial, cuando los familiares de los soldados en guerra les enviaban comida enlatada; entre estas comidas enlatadas estaba una carne enlatada llamada spam, que en los Estados Unidos era y sigue siendo muy común.1 2 Aunque se puede hacer spam por distintas vías, la más utilizada entre el público en general es la basada en el correo electrónico. Otras tecnologías de Internet que han sido objeto de correo basura incluyen grupos de noticias, usenet, motores de búsqueda, redes sociales, páginas web, wiki, foros, blogs, a través de ventanas emergentes y todo tipo de imágenes y textos en la web. El correo basura también puede tener como objetivo los teléfonos móviles (a través de mensajes de texto) y los sistemas de mensajería instantánea como por ejemplo Outlook , Lotus Notes, Windows live ,etc. También se llama correo no deseado a los virus sueltos en la red y páginas filtradas (casino, sorteos, premios, viajes, drogas, software y pornografía), se activa mediante el ingreso a páginas de comunidades o grupos o acceder a enlaces en diversas páginas o inclusive sin antes acceder a ningún tipo de páginas de publicidad.
SMTP spoofing Suplantación en correo electrónico de la dirección de correo electrónico de otras personas o entidades. Esta técnica es usada con asiduidad para el envío de mensajes de c orreo electrónico hoax como suplemento perfecto para el uso de suplantación de identidad y para SPAM, es tan sencilla como el uso de un servidor SMTP configurado para tal fin. Para protegerse se debería comprobar la IP del remitente (para averiguar si realmente esa ip pertenece a la entidad que indica en el mensaje) y la dirección del servidor SMTP utilizado. SMTP vs IMAP
Existen tres estándares que utilizan actualmente la mayoría de servicios de correo electrónico (email). Estos son el SMTP, el POP3 y el IMAP. El estándar SMTP son las siglas de Simple Mail Transfer Protocol (Protocolo Simple de Transferencia de Correo). POP es el acrónimo de Post Office Protocol (Protocolo de Oficina Postal). Aunque pueda sonar algo confuso, POP es el protocolo de almacenamiento de email mientras que SMTP es el protocolo de envío y recepción. POP3 es la tercera versión desarrollada del estándar POP. IMAP ( Internet Message Access Protocol ) es otro protocolo de almacenamiento más moderno que POP3 y con más posibilidades. Si hacemos una analogía con el correo postal, el protocolo SMTP sería el análogo al cartero o a los servicios de transporte de cartas. El o ella entrega y recoge el correo para transferirlo a otra localización. El protocolo POP3 y el protocolo IMAP serían como el buzón de correos de tu casa o un apartado postal. Es el sitio dónde el correo es enviado y dónde permanece hasta que el receptor está listo para leerlo. El correo saliente también puede ser puesto en el buzón de correo, es decir, los protocolos POP3 e IMAP también se utilizan para almacenar el correo enviado. SMTP: el transporte de emails
La inmensa mayoría de emails que viajan por internet lo hacen utilizando el estándar SMTP, un protocolo de transferencia. Aunque fue inventado a principios de la década de 1980, se considera un protocolo muy fiable, principal motivo por el que sigue siendo el más utilizado de forma casi
universal. La mayoría de correos electrónicos enviados utilizando SMTP llegan rápido al receptor sin problemas. No obstante, SMTP presenta algunos inconvenientes ante eventos que no se tuvieron en cuenta cuándo se inventó, principalmente por ser problemas que no existían entonces y que no fueron anticipados. Por ejemplo, el protocolo SMTP no tiene forma de verificar si el remitente de un email es realmente quien dice ser. Si volvemos la vista a los años 1980, cuándo internet era utilizado por un selecto grupo de personas, principalmente en organismos gubernamentales y centros de docencia e investigación, esto no era un gran problema. A partir de los años 1990 la incapacidad de verificación del remitente comenzó a ser un problema importante y lo que ha permitido el continuo incremento del SPAM y otros usos malintencionados del email, como la transferencia de virus o el email spoofing (suplantación de identidad). Por ejemplo, un programa puede buscar en el buzón de email y enviar un virus como archivo adjunto a toda la lista de contactos de una persona en nombre de esa persona en la que los receptores confían. Se han realizado avances para mejorar la seguridad del estándar SMTP pero está aún muy lejos de ser verdaderamente seguro. POP3 e IMAP: el almacenamiento y organización
El estándar POP es el protocolo utilizado para el almacenamiento y organización de los correos electrónicos. Se diseñó en 1984 con la idea de permitir a los usuarios tener acceso a un servidor de correo, recibir los mensajes y almacenarlos en una carpeta local del ordenador propio y poder desconectarse de internet para leer y escribir mensajes. La capacidad de estar offline para leer o escribir era realmente útil cuándo permanecer conectado a internet era caro y se pagaba por minutos de conexión. Actualmente la mayoría de servidores de correo utilizan POP3, la tercera versión del estándar POP que fue desarrollada en 1988, o el estándar IMAP. El protocolo IMAP es más moderno y ofrece más posibilidades que POP3. Por ejemplo, permite administrar varias bandejas de entrada, varios accesos a la vez o múltiples criterios de organización. IMAP vs POP3 POP: Post Office Protocol (Protocolo de oficina de correos) es un protocolo de comunicación que se utiliza para obtener desde un programa de escritorio (Thunderbird, Outlook, Windows Mail, etc.) los mensajes de correo electrónico almacenados en un servidor remoto IMAP: Internet Message Access Protocol (Protocolo de
acceso a mensajes de internet), esto es, igualmente, un protocolo de comunicación que se utiliza para acceder a los mensajes electrónicos alojadas en un servidor remoto.
¿Qué diferencias, ventajas e inconvenientes ofrece uno sobre el otro?
El protocolo IMAP, de forma predeterminada, permite al usuario conservar todos los mensajes en el servidor. Constantemente se sincroniza el programa de correo electrónico con el servidor, mostrando los mensajes que están presentes en la carpeta en cuestión. Todas las acciones realizadas en los mensajes (leer, mover, eliminar…) se realizan directamente en el servidor. El protocolo POP, por defecto, está configurado para descargar todos los mensajes del servidor de correo electrónico al ordenador desde el que se conecta. Esto significa que todas las acciones
realizadas en los mensajes (leer, mover, borrar…) se realizarán en el propio ordenador. Al descargarse, por defecto, se eliminan los mensajes del servidor y, por ello, el usuario no podrá volver a ver los mensajes desde cualquier lugar que no sea el equipo en el que los mensajes han sido descargados. En ambos casos, como ves, se habla de configuración por defecto (o predeterminada), por lo que deja ver que es una configuración que se puede cambiar. Así, con el protocolo IMAP se pueden descargar mensajes y conservarlos únicamente en nuestro PC (al menos con Thunderbird y Outlook -no sé si otros clientes disponen de esta opción-, si se archiva el mensaje en una carpeta local en vez de archivarlos en una carpeta dependiente de tu cuenta IMAP) y el protocolo POP se puede configurar para que deje una copia de los mensajes en el servidor y que se borren una vez pasado un determinado periodo de tiempo (o que no se borren nunca). Correo POP3
La ventaja principal que tiene este protocolo es que carpetas, mensajes, etc. se guardan en nuestro ordenador, con lo que nos permite leer el correo recibido sin estar conectado a la red. Además, al leer los mensajes y bajarlos a nuestro ordenador, liberamos espacio en nuestro buzón del Host, con lo cual tenemos menos probabilidades que por descuido se nos llene el buzón y no podamos recibir más mensajes. Es el más extendido (prácticamente todos los programas de correo lo soportan) y es el ideal para conectarse siempre desde un mismo ordenador. Correo Imap
La principal diferencia que encontramos respecto al anterior protocolo es que tanto los mensajes como las carpetas se guardan en el Host. Esto, que puede parecer un inconveniente, es muy útil para conectarse desde ordenadores compartidos, ya que los mensajes no pueden ser leídos por terceras personas, al no quedarse en el PC. Además, si no tenemos la posibilidad de conectarnos siempre del mismo ordenador, conseguimos siempre acceder a la totalidad de nuestros mensajes. Hay que tener la precaución de ir borrándolos de vez en cuando para no sobrepasar el límite de capacidad de nuestro buzón. En cuanto al soporte de este protocolo, aunque son pocos los programas de correo que lo soportan por ahora, tenemos la suerte que los dos navegadores más extendidos (Firefox e Internet Explorer - Con Outlook Express u Outlook 2000 -) sí que pueden trabajar con él. Por ejemplo un uso muy útil para el correo Imap es el de buzones compartidos. Cuando más de una persona tiene que acceder a ese buzón, es bueno tener este método disponible ya que se quedarán marcados los que se han leído y los que no. Aunque con programas como Outlook 2000 o superiores, podemos usar la opción de "dejar una copia en el servidor", y nos haría un efecto parecido. 2. Visita el siguiente enlace: http://www.segu-info.com.ar/malware/hoax.htm
http://www.hoaxbusters.org/
http://tecnologia.uncomo.com/articulo/como-elegir-el-mejor-filtro-anti-spam-para-windows-15872.html
3. Busca en tu servicio de correo la configurac ión de reglas de filtrado para spam o la Opción de corr eo no deseado.
4. Si tienes algún email con indicios de ser spam pruébalo mediante: http://www.emailspamtest.com/#
http://whatismyipaddress.com/blacklist-check
http://www.dnsstuff.com/tools
VIDEO Creo en internet – Chema Alonso (Eleven Paths) http://www.youtube.com/watch?v=8dBH1ocToFw Certificados y Autoridades
La Autoridad de Certificación (AC o CA, según las siglas de Certification Authority ), es la entidad que garantiza la autenticidad y veracidad de los datos recogidos en el certificado digital expedido. Se trata de una suerte de institución notarial que ofrece fidelidad a un hecho jurídico. El procedimiento de la Autoridad de Certificación se produce gracias a la posesión y utilización de una clave privada que garantiza la identidad del propietario del certificado digital. Esto provoca la posibilidad de firmar electrónicamente los certificados emitidos. Por otra parte, la Autoridad de certificación ofrece el servicio de verificación de validez de los certificados , ya que estos pueden ser revocados (pueden perder su
validez por caducidad o sanción). La emisión de certificados puede realizarse a personas y empresas, así como a Autoridades de Certificación de menor rango, estableciéndose una jerarquía de emisión de certificados. La estructura se organiza en función de una Autoridad de Certificación auto-firmada (convirtiéndose en la CA raíz). El certificado de la última Autoridad de Certificación es avalado, para asegurar su autenticidad, mediante su instalación en un almacén de certificados del propio ordenador, que luego usarán los navegadores. Así, se descarga el certificado raíz de la Autoridad de Certificación desde su sitio Web, ofreciendo confianza en la seguridad que ofrece su propia página. Un concepto esencial para la comprensión de las Autoridades de Certificación es el de infraestructura de clave pública o, según sus siglas en inglés, PKI (P ublic I nfrastructure).
K ey
PKI es una combinación de software y hardware, políticas y
procedimientos de seguridad que permiten ejecutar operaciones criptográficas, como el cifrado, la firma digital o el no repudio de transacciones electrónicas, con las garantías necesarias. Las partes que intervienen cuando se usa infraestructuras PKI son:
Comprobación de certificados Primero vamos a aclarar algunos conceptos necesarios para entender cómo funciona la comprobación de certificados. •
•
•
•
•
Autoridad de certificación (AC) : También conocida como «Autoridad Certificadora» o «entidad emisora raíz», es una entidad de confianza que crea certificados digitales para aquellas personas/entidades que lo soliciten. Estos certificados sirven para identificarse en Internet y por ello, antes de crearlos, la autoridad verifica que los solicitantes son quienes dicen ser, además de cumplir con una normativa estricta en el proceso de creación de estos certificados. Certificado de clave pública o certificado digital: Es el elemento que sirve para identificarse en Internet. Consiste en un documento digital que ha sido emitido por una Autoridad de Certificación y que, por tanto, asegura que quién nos presenta dicho certificado es, en el mundo real, el mismo que figura en la información del certificado. Certificado raíz: Las «Autoridades de Certificación» utilizan su propio certificado digital para la creación de los distintos certificados digitales, que serán utilizados como mecanismos de identificación en Internet. El certificado de la propia «Autoridad» es el que se denomina «certificado raíz». Si el navegador tiene instalado este certificado raíz, podrá verificar con él todas las páginas que tengan un certificado, emitido por dicha autoridad de certificación. Autoridad intermedia o entidad emisora intermedia: Una autoridad puede emitir un certificado digital a una empresa que permitirá que dicha empresa cree otros certificados digitales. Esta empres se convierte en una «autoridad de certificación intermedia» o «entidad emisora intermedia» y deberá cumplir una estricta normativa en la creación de los certificados que emite. Ruta de certificación: La creación de «entidades emisoras intermedias» va creando una cadena o árbol de certificaciones, que es lo que se conoce como «ruta de certificación», donde como entidad inicial estará la «Autoridad de certificación raíz».
Los navegadores normalmente contienen los «certificados raíz» de la mayoría de las «autoridades de certificación», lo que significa que podrán verificar los certificados emitidos por cada una de ellas y, por tanto, confiar en los sitios web que se identifiquen con ellos. Para determinar si un sitio web es de confianza, el navegador comprueba su certificado digital y qué autoridad lo ha emitido. Si conoce dicha autoridad y confía en ella, tendrá instalado su certificado raíz como de confianza, y podrá comprobar que el certificado digital del sitio web ha sido emitido por dicha entidad emisora, así como la vigencia de su validez.
Aunque la mayoría de las veces, el navegador comprueba sin problemas la validez del certificado digital, hay ocasiones en las que, aunque queramos acceder a un sitio que sabemos es de confianza, el navegador nos dice que no es confiable. Esto sucede, habitualmente, porque el navegador no dispone del certificado raíz de la autoridad que ha creado el certificado digital con el que se está identificando el sitio web. En ese caso debemos indicar al navegador, de forma manual, que sí confiamos en el sitio y en la autoridad que «lo certifica». Bot y Payload
Bot: Contracción de la palabra robot. Es un programa que permite que el sistema sea controlado remotamente sin el conocimiento ni consentimiento del usuario. Payload: Son los efectos producidos por un virus.
Muleros
Los muleros
Seguramente al oír hablar de muleros lo relacionáis con el mundo de la droga, pero en la práctica puede hablarse de cualquier sector. Son personas como tú y como yo, que tienen su pareja y su trabajo, y viven en un pisito o en una casa familiar. Un buen día, recibes una oferta de trabajo interesante. Un empleo desde la comodidad de tu casa, en el que harás de intermediario entre una conocida empresa y sus clientes. Puesto que la empresa normalmente está en el extranjero, y suele operar en tu país, prefieren pagarte justo a tí un 5% de todas las transferencias que hagan. El interesado se pondrá a investigar, y en efecto la empresa existe, y quizás le de por llamar y también tendrán servicio al cliente. Te pasarán contrato, te pasarán todo lo que pidas, porque la empresa funciona como un organismo legal. Si aceptas, periódicamente ingresarán en tu cuenta dinero. Un dinero que tendrás que sacar (descontando el porcentaje acordado), y enviar mediante un sistema de pagos inrrastreable de los muchos que existen ( Western Union, Adac Rentals Ltd,… ). Dinero fácil y rápido, ¿verdad? Pero un día te llega una llamada. Es tu banco, que te pregunta si sabes de dónde te está viniendo ese dinero. Tú le explicas tranquilamente que tienes ese negocio, que es totalmente legal y que tienes todos los papeles, pero la policía que te detiene no opina lo mismo. Acabas de transformarte en un mulero, y te enfrentas a años de cárcel por blanqueo de dinero. Lamentablemente, en estos casos, lo más probable es que sea el mulero quien paga y echa a perder su vida, ya que la verdadera mafia que hay por detrás destituyen la compañía y montan otra en cualquier otro lado. Esta estafa puede ser llevada de muchas otras maneras, y de hecho solo es un engranaje más en la cadena de estafas de las mafias digitales. Con tu trabajo, has favorecido el buen quehacer de los interesados en lo ajeno, y serás tú el damnificado, no ellos. Casos: Aurora, Stuxnet, Murdoch, Apple, .. Herramientas: iSpy Manuales de Al qaeda Spyware, Adware, Troyano, Crawler, … 0days, Ingenieríasocial, … Práctica: Vulnerabilidad sobre Safari Metasploit Listas webcams grabadas Troyano Reversing Remote Administration Tools Falsos Antivirus: Security Essentials, Byte Defender, … Black home Websense iCracked
5. Infórmate que son las listas Robinson (http://listarobinson.es/default.asp)
El Servicio de Lista Robinson es un servicio de exclusión publicitaria gestionado por la Asociación Española de la Economía Digital , creado conforme a lo previsto en la normativa sobre Protección de Datos. Este servicio se enmarca en el ámbito de la publicidad dirigida a nombre de una persona y a una dirección de correo postal, a una dirección de correo electrónico o a un número de teléfono concreto.
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS
ACTIVIDADES PARTE 7 1. Lee el siguiente artículo: http://es.wikipedia.org/wiki/Tabla_arco%C3%ADris
Las tablas Rainbow son tablas de consulta que ofrecen un compromiso entre tiempo y espacio para obtener claves en texto simple a partir del resultado de una función de hash.
Hash Hash es una función que se aplica a un archivo de cualquier tipo, ya sea documentos, fotos, música,... y de la cual se obtiene una clave que representa de manera única a ese archivo. Este método se utiliza mucho en las descargas de Internet para comprobar la integridad del a rchivo, es decir, poder comprobar si en la descarga del fichero ha habido algún tipo de error. Para ell o se comprueba a ver si el hash obtenido del fichero es igual tanto al principio de la descarga (normalmente los autores de los archivos suelen indicarlo) como al final. Las funciones Hash más importantes son: • • • •
SHA MD5 LM NTLM
Funcionamiento A continuación se explica mediante un ejemplo el funcionamiento de las Tablas Rainbow. El ejemplo consiste en averiguar cuál es la contraseña que produce el hash r e3xes
1. Lo primero consiste en aplicar la reducción (aplicar una función hash pero en sentido contrario) que se utilizó por última vez en la tabla y comprobar si la contraseña obtenida aparece en la última columna de la tabla ( paso 1). 2. Si no resulta (en nuestro caso, rambo no aparece en la tabla) se vuelve a repetir el proceso, pero en este caso con las dos últimas reducciones ( paso 2). Si en este proceso se fallara de nuevo, se volvería a repetir el proceso pero aplicando 3 reducciones, después 4 reducciones y así hasta que se encontrase la contraseña. En el caso de no ser así, el ataque habría fracasado. 3. Si el proceso ha sido positivo ( paso 3, en este caso linux23 aparece en la tabla al final de la cadena), la contraseña se recupera en el principio de la cadena que produce linux23. Aquí nos encontramos con passwd al principio de la cadena almacenada en la tabla. 4. En este punto ( paso 4) se genera una cadena y en cada iteración se compara el hash con el que queremos obtener. En este caso nos encontramos con el hash re3xes en la cadena. Por tanto la contraseña actual (culture) genera este hash que es la que se busca.
Es importante saber que las tablas rainbow son cre adas a partir de una función de hash específica, por ejemplo, para romper los hashes de MD5 necesitaremos unas tablas rainbow basadas en hashes de MD5 y para SHA, tablas rainbow SHA. Esta técnica fue desarrollada por Philippe Oechslin como un método basado en el compromiso espacio-tiempo o tiempo-memoria.
Aplicaciones Los programas que utilizan las tablas rainbow siempre han de utilizarse como auditoria de tus contraseñas en lo que se llama hacking ético. Un ejemplo de herramienta que utiliza estas tablas es el programa Ophcrack , el cual permite crackear las contraseñas de Windows. Para evitar que aplicaciones como esta no rompan contraseñas tan fácilmente, es aconsejable utilizar Salts.
Salts En criptografía, se denomina salt a un fragmento aleatorio (caracteres, números...) que se le añade a un hash dado para conseguir que si dos usuarios generan una misma contraseña, su hash no sea idéntico y con ello evitar problemas de seguridad. Los salts también ayudan contra las tablas rainbow ya que extienden la longitud y con ello la complejidad de la contraseña.
Enlaces externos Rainbow Crack página donde se puede descargar el programa para crear Tablas Rainbow. Tablas Rainbow aquí se pueden descargar tablas creadas, las cuales pueden llegar a ocupar 80 GB. Ophcrack programa para poder utilizar las Tablas Rainbow.
http://www.securitybydefault.com/2013/09/mecanismos-de-autenticacion.html
2. Comprueba una correcta política de contraseñas: http://www.passwordmeter.com
https://www.microsoft.com/es-es/security/pc-security/password-checker.aspx
http://www.onlinehashcrack.com/index.php
3. Indica la ruta dónde está el fichero del sistema operativo (Windows, Linux) que contiene las contraseñas de los usuarios
Toda la información sobre usuarios, grupos y contraseñas se guarda en los archivos:
•
/etc/passwd (información sobre usuarios) /etc/group (información sobre grupos) /etc/shadow (contraseñas cifradas)
•
/etc/gshadow (contraseñas cifradas de los grupos) [normalmente no se usa este fichero]
• •
En estos archivos de texto, se almacena la información línea a línea (cada una es un usuario o un grupo). Dentro de cada línea hay varios campos separados por “:” Fichero /etc/passwd
Cada una de las líneas representa un usuario y responde al esquema: usuario : x : UID : GID : comentarios : directorio_home : shell • • •
• •
usuario: es el login o nombre de usuario (nombre único para cada usuario) x: contraseña: aparece una x; la contraseña se encuentra cifrada en /etc/shadow UID: User IDentifier (nº de Identidad de Usuario). Es único. Debe ser un entero≥0 (el cero se reserva para root y del 1 al 99 se reservan para tareas del sistema). Usar de 100 en adelante. GID: nº de Identidad de Grupo (el cero se reserva para el grupo root) comentarios: nombre real u otros comentarios sobre el usuario (puede contener espacios)
• •
directorio_home: directorio_home: directorio de inicio del usuario shell : intérprete de comandos (normalmente bash). Si ponemos /bin/false el usuario no podrá ejecutar ningún comando del sistema
Ejemplo: dani@guadalinex:~$ cat /etc/passwd root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/bin/sh bin:x:2:2:bin:/bin:/bin/sh ... identd:x:100:65534::/var/run/identd:/bin/false sshd:x:101:65534::/var/run/sshd:/bin/false gdm:x:102:103:Gnome Display Manager:/var/lib/gdm:/bin/false dani:x:1000:100::/home/dani:/bin/bash yaiza:x:1001:1001:,,,:/home/yaiza:/bin/bash
Tecleando en un terminal cat /etc/passwd nos muestra el contenido del fichero /etc/passwd Observe como el primer usuario que aparece (primera línea) l ínea) es root A continuación una serie de usuarios (no reales) del sistema Por último (dos últimas líneas) los usuarios "dani" y " yaiza" Podemos comprobar como en esta distribución dist ribución de Linux ( GuadaLinex 2004) los números de usuarios empiezan desde 1000 en adelante (en otras dis tribuciones lo hacen desde 100 o desde 500) Fichero /etc/group
Cada una de las líneas representa un grupo y responde al esquema: grupo : x : GID : lista_usuarios • •
• •
grupo: grupo: es el nombre del grupo x: x: contraseña: aparece una x; la contraseña se encuentra cifrada en /etc/shadow. Si este campo aparece vacío, significa que el grupo no necesita contraseña. GID: GID: nº de Identidad de Grupo (el cero se reserva para el grupo root) lista_usuarios: lista_usuarios: lista de usuarios que pertenecen al grupo separados por comas. También se pueden añadir usuarios de otros grupos, con con lo que tendrían todos los privilegios de este grupo
Nota
Para añadir un nuevo usuario a un grupo, basta con agregarlo en la lista de usuarios (sin olvidar poner la coma de separación entres usuarios) Fichero /etc/shadow
Cada una de las líneas representa un usuario y responde al esquema: usuario : contraseña_cifrada : d1 : d2 : d3 : d4 : d5 : d6 : reservado •
usuario: usuario: es el login o nombre de usuario (el mismo que en /etc/passwd)
• • • • • • • •
x: x: contraseña: aparece una x; la contraseña se encuentra cifrada en /etc/shadow. d1: d1: nº de días desde el 01/01/1970 hasta último cambio de la contraseña. d2: d2: nº de días que deben pasar hasta que se pueda cambiar la contraseña. d3: d3: nº de días que deben pasar para que caduque la contraseña y deba ser cambiada. d4: d4: nº de días de antelación con los que avisará el sistema de la caducidad de la contraseña. d5: d5: nº de días con contraseña caducada antes de deshabilitar la cuenta. d6 : nº de días desde el 01/01/1970 y el día en que se deshabilitó la cuenta. reservado: reservado: campo reservado
Fichero /etc/gshadow
Al igual que el fichero /etc/shadow de las contraseñas encriptadas para usuarios, también se puede usar un fichero /etc/gshadow de contraseñas encriptadas para grupos. Se suele usar para permitir el acceso al grupo, a un usuario que no es miembro del grupo. Ese usuario tendría entonces los mismos privilegios que los miembros de su nuevo grupo. 4- Busca dispositivos que capturen contraseñas
5. Documéntate y prueba con tu compañero las siguientes herramientas: KeyGhost: http://www.keyghost.com
KeyLogger: http://www.keylogger.com
PWDump: http://www.tarasco.org/security/pwdump_7/ fgdump: http://foofus.net/goons/fizzgig/fgdump/ 6. Video: http://www.securitytube.net/video/4573
PRÁCTICA 1) Crear usuarios en el sistema operativo 2) Usaropchcrack (Tablas) 2.1) LiveUSBOphcrack 2.2) Programa: ophcrack.exe 3) Arrancar en otros sistemas y copiar ficheros: C:\Windows\System32\config\SAM C:\Windows\System32\config\System 4) Uso de Hiren´sBoot
1. Lee los siguientes artículos: http://www.elrincondejavier.net/html/Article395.html No funciona
http://kalilinux.foroactivo.com/t18-tutorial-fragrouter-en-kali-linux Fragrouter es un programa para el encaminamiento de tráfico de la red de tal manera como para eludir la mayoría de los sistemas de detección de intrusos. La mayoría de los ataques implementados se corresponden con los que figuran en las Redes Seguras'' Inserción, Evasión, y denegación de servicio: Detección de intrusos en la red'' Eludir papel de enero de 1998.
Sintaxis fragrouter [ -i interface] [ -p] [ -g hop] [ -G hopcount] ATTACK
ATTACK -B1: base-1: reenvío de IP normal -F1: frag-1: Enviar los datos solicitados en los fragmentos IP 8 -byte. -F2: frag-2: Enviar datos ordenados en fragmentos IP de 24 bytes. -F3: frag-3: Enviar datos ordenados en fragmentos IP de 8 bytes, con un f ragmento enviado fuera de orden. -F4: frag-4: Envíe los datos en orden de 8 bytes fragmentos IP, duplicando el penúltimo fragmento en cada paquete.
-F5: frag-5: Enviar los datos de salida del orden de 8 bytes fragmentos IP, duplicando el penúltimo fragmento en cada paquete.
-F6: frag-6: Enviar datos ordenados en fragmentos IP de 8 bytes, el envío del último fragmento marcado en primer lugar.
-F7: frag-7: Enviar datos ordenados en fragmentos IP de 16 bytes, que precede a cada fragmento con un 8byte nulo fragmento de datos que se superpone a la segunda mitad de la misma. Esto equivale a la visión de superposición de 16-byte fragmento reescribir los datos nulos de nuevo al ataque real.
-T1: tcp-1: Completa el protocolo de enlace TCP, envía FIN y RST falso (con sumas de comprobación incorrectas) antes de enviar los datos de pedidos 1-byte segmentos.
-T3: tcp-3: Completa el protocolo de enlace TCP, enviar datos o rdenados en 1-byte segmentos, duplicando el penúltimo segmento de cada original paquete TCP.
-T4: tcp-4: Completa el protocolo de enlace TCP, enviar datos o rdenados en 1-byte segmentos, el envío de un adicional de 1-byte del segmento que se superpone al segmento penúltimo de cada o riginal paquete TCP con una carga útil de datos nulo.
-T5: tcp-5: Completa el protocolo de enlace TCP, envía los datos solicitados en los segmentos de 2 bytes, que precede a cada segmento con un 1-byte nulo segmento de datos que se superpone a la segunda mitad de la misma. Esto equivale a la visión de la superposición de 2 bytes segmento reescribir los datos nulos de nuevo al ataque real.
-T7: tcp-7: Completa el protocolo de enlace TCP, enviar datos o rdenados en 1-byte segmentos intercalados con segmentos de 1 byte nulo para la misma conexión, pero con números de secuencia drásticamente
diferentes.
-T8: tcp-8: Completa el protocolo de enlace TCP, enviar datos o rdenados en 1-byte segmentos con un segmento enviado fuera de orden.
-T9: tcp-9: Completa el protocolo de enlace TCP, enviar datos de salida del orden de 1 byte segmentos. -C2: TCBC-2: Completa el protocolo de enlace TCP, enviar datos ordenados en 1-byte segmentos intercalados con paquetes SYN para los parámetros de conexión mismos.
-C3: TCBC-3: No complete protocolo de enlace TCP, pero enviar datos nulos en pedidos 1-byte segmentos como si se hubiera producido. A continuación, lleve a cabo un apretón de manos con los parámetros de conexión TCP mismos, y enviar los datos reales en pedidos 1-byte segmentos.
-R1: tcbt-1: Complete TCP apretón de manos, cierra la conexión abajo con un RST, vuelva a conectar con números de secuencia drásticamente diferentes y enviar los datos de pedidos 1-byte segmentos.
-I2: ins-2: Completa el protocolo de enlace TCP, enviar datos ordenados en 1-byte segmentos, pero c on malas sumas de comprobación TCP.
-I3: ins-3: Completa el protocolo de enlace TCP, enviar datos ordenados en 1-byte segmentos, pero sin conjunto bandera ACK.
-M1: misc-1: Windows Thomas Lopatic de ataque NT 4 Service Pack 2 de fragmentación IP de julio de 1997 (ver http://www.dataprotect.com/ntfrag/ para más detalles). Este ataque sólo se im plantó para UDP.
-M2: misc-2: Cadenas de Linux John McDonald IP ataque de fragmentación IP de julio de 1998 (ver http://www.dataprotect.com/ipchains/ para más detalles). Este ataque sólo ha sido implemento para TCP y UDP. http://danteslab.blogspot.com.es/2009/03/evitando-las-escuchas-en-redes.html
Evitando las escuchas en redes conmutadas En un artículo que publiqué en Diciembre hablé sobre distintas técnicas para realizar escuchas en redes conmutadas. Me quedó pendiente desarrollar qué opciones tenemos frente a este tipo de ataques. Las ataques de ARP Spoofing, también llamados envenenamiento ARP, se basan en introducir información falsa en las tablas de ARP de uno (o ambos) de los de los extremos de una comunicación con el fin de que este utilice inadvertidamente al atacante como intermediario a la hora de trasnmitir y recibir información. Esto permite al atacante no sólo espiar la información intercambiada por el atacado, sino también modificarla a su antojo. Para combatir con eficacia este tipo de amenazas, un ingeniero de seguridad debe ser consciente de las técnicas de prevención, detección y reacción que puede emplear contra ellas. La principal técnica de prevención es un buen diseño de la red. Muchos ingenieros no se dan cuenta, pero poner PCs de usuario en redes de paso supone un verdadero riesgo ya que si alguno decidiese utilizar herramientas de ARP Spoofing podría interceptar no sólo el tráfico destinado y originado hacia/ desde su segmento sino todo aquel que lo utilice como red de tránsito. Un diseño correcto puede limitar a un único segmento de red el daño que un atacante puede realizar mediante ARP Spoofing. La manera de evitar esto es mantener las redes intermedias de tránsito vacías de PCs de usuarios, concentrando a estos en
segmentos localizados en las "hojas" de nuestra red.
A la izquierda de la figura anterior (no se por qué pero Blogger la saca muy borrosa, si quiere ver el original, mucho más definido, pulse sobre la imagen) se puede ver una red mal diseñada al permitir que la red de paso (B) contenga PCs de usuario. Cualquiera de estos PCs de usuario puede lanzar un ataque de ARP Spoofing para desviar el tráfico cursado entre el router interior y el exterior co n el resultado de que podría espiar todo el tráfico saliente de la red A. A la derecha de la figura anterior se encuentra un diseño correcto. En él, la red B se ha vaciado de PCs de usuario. Los PCs que antes estaban en B han pasado a una red "hoja", C. Gracias a este diseño, un atacante de la red C sólo podría escuchar el tráfico de su red pero no de la B. Este buen diseño sobre el papel debe desplegarse en la práctica de manera correcta. Si a pesar de haber vaciado de PCs las redes de tránsito, un intruso puede pinchar un portátil a una de estas redes seremos igual de vulnerables que antes. Para evitarlo hay que tomar medidas preventivas en los niveles de la capa OSI 2 y 1 (enlace y físico): •
•
En la capa 2 hay que segmentar los conmutadores que dan servicio a las distintas redes en VLANs separadas asignando a cada VLAN única y exclusivamente los puertos dedicados a cada uno de los equipos residentes en ellas. Muchos administradores dejan puertos libres en cada VLAN por si un día se necesita pinchar urgentemente un equipo a ellas sin tener que esperar a que el administrador lo configure en el conmutador; esa comodidad tiene su contrapartida negativa y es que se deja abierta una puerta a nuestra red, puerta que puede aprovechar un atacante para pinchar su equipo a nuestra red si consigue acceso físico al conmutador (cosa no demasiado difícil en algunas organizaciones). Además, los puertos en uso de las redes de tránsito deben protegerse de alguna manera para evitar que máquinas no autorizadas se conecten a ellas. Lo ideal sería desplegar una solución del tipo NAC o 801.1X, pero la mayor parte de las redes actuales carece por ahora de la infraestructura necesaria para algo tan complejo. Al menos, lo que sí se puede hacer es limitar el uso de esos puertos concretos del conmutador a las MACs concretas de los equipos legítimos. No es una solución definitiva porque es muy fácil falsificar la MAC de un equipo, pero al menos servirá para retrasar al atacante y, con suerte, generará algún log de error en el equipo que servirá para alertar a los administradores si estos cuentan con una infraestructura de correlación de logs adecuada (del tipo Cisco Mars, Bitácora, logICA, etc). Por último, habrá que configurar los conmutadores correctamente para evitar que se utilicen contra ellos algunas de las VLAN Hopping existentes para acceder a una VLAN desde un puerto perteneciente a otra diferente. En la capa 1 las medidas de seguridad son evidentes y se corresponden, al fin y al cabo, con las medidas de seguridad habitualmente recomendadas para las instalaciones de comunicaciones y tratamiento de datos. Básicamente se trata de impedir que una persona no autorizada pueda interactuar físicamente con alguno de nuestros conmutadores, por ejemplo pinchando su portátil a
una VLAN no autorizada, apagando el conmutador para forzar una redirección del tráfico, o accediendo al puerto de consola del conmutador para reconfigurarlo. Para ello, el equipamiento de comunicaciones debe situarse en armarios cerrados con llave y preferiblemente vigilados con un circuito cerrado de cámaras, en salas de acceso restringido y con un soporte eléctrico y clim ático controlado y a prueba de fallos. También está la opción de desplegar infraestructuras especializadas en combatir este tipo de ataques. Tal es el caso de algunas propuestas de código abierto enfocadas a integrar en la red un servidor dedicado a responder a las peticiones ARP a partir de una tabla centralizada con todas las correspondencias IP-MAC de la red, de manera que los conmutadores bloquearían todas las respuestas ARP (incluidas las utilizadas por el atacante para envenenar las tablas de ARP) excepto los originadas desde el puerto de este servidor. El problema de esta opción es la complejidad al no existir herramientas ya desarrolladas que implementen estos mecanismos y depender de las soluciones artesanales que se prog rame cada uno. Para seguir el resto de las explicaciones le recomiendo que descargue y experimente con la maqueta de Netkit que he utilizado para escribir este artículo, es similar a la que se usó de ejemplo en los artículos "Creación de laboratorios virtuales con Netkit" I y II (lea estos artículos si no sabe como utlizar una maqueta realizada con Netkit) pero le he añadido una red de gestión, de manera que tenga una puerta trasera para acceder a los equipos por SSH sin mezclarse con el tráfico de la red de pruebas. En el escenario de ejemplo, Alice quiere navegar por internet a través de un conmutador y un enrutador que le sirve de puerta de enlace; y PC-Sniffer quiere espiar el tráfico que Alice intercambia con Internet. Teniendo en cuenta lo anterior y a partir de ahora, el esquema de la red de pruebas que vamos a utilizar en este artículo es el siguiente:
En lo que se refiere a las técnicas de detección, la vigilancia de los paquetes intercambiados en la red y de las tablas de ARP de los equipos clave serán nuestras principales armas. Vigilando el tráfico de red se pueden detectar anomalías que nos alerten del trascurso de un ataque de ARP Spoofing. Examinando con Wireshark capturas del tráfico cursado a través del Switch de la maqueta podemos ver las siguientes anomalías: •
•
En la captura del ataque con Ettercap podemos ver (paquetes 1 a 4) como el PC Sniffer (192.168.0.3) pregunta a la red por la MAC del Router (192.168.0.1) y por la de Alice (192.168.0.2). En los paquetes 5 y 6 ya aparecen las primeras señales de alerta; aparentemente el Router y Alice se lanzan pings entre sí, pero si examinamos la MAC de origen de ambos ping podemos ver que ¡en realidad se trata la MAC del PC-Sniffer!. Inmediatamente después, y sin esperar respuesta a los ping, el PC Sniffer manda actualizaciones de ARP para "envenenar" las tablas de Alice y el Router (paquetes 7 y 9). El resultado es que las respuestas a los pings le llegan al PC-Sniffer, lo que le permite saber que su ataque ha tenido éxito. En los paquetes 15 y 16 se puede ver como las respuestas a los pings se reenvían a sus legítimos destinarios, tal y como se hará con el resto del tráfico una vez que el PC-Sniffer lo haya visualizado. A partir de ahí (paquetes 19 a 26) se puede ver como el PC-Sniffer insiste machaconamente en enviar paquetes de actualización ARP para mantener las tablas de Alice y del Router "correctamente envenenadas". Si todo lo anterior ya debería inquietarnos, es cuando Alice comienza a navegar cuando vemos que algo va definitivamente mal. Porque a partir del paquete 43 vemos que todo el tráfico parece duplicado. Esto se debe a que el tráfico tiene que atravesar el Switch una vez, de camino al PC-Sniffer, y otra, de camino a su destinatario, en vez de atravesar el Switch una única vez (que sería lo lógico). D e hecho, al mismo Wireshark le parece rara la situación y a partir del paquete 48 comienza a colorear de negro los paquetes repetidos para alertar de que algo no va nada bien. Por su parte, en la captura del ataque realizado con Arppoison (incluido en la carpeta /root/scripts del PC-Sniffer de la maqueta), se pueden observar comportamientos anómalos. Arpoison es una herramienta programada con fines didácticos, así que su funcionamiento es algo más primitivo que el de Ettercap. Para empezar no hace un ping previo para comprobar que el envenenamiento se ha realizado con éxito y luego produce las mismas anomalías en los paquetes intercambiados e incluso alguna más. Y es que, cuando se usa Arpoison, se puede ver como en las capturas realizadas en el Switch aparece paquetes de ICMP Redirect (el primero aparece en el paquete 12), tan raros en las redes modernas que el Wireshark lo colorea de negro para señalarlo como anomalía. Esto se debe a que Arpoison utiliza Scapy para manejar paquetes y este a su vez Libpcap para realizar las escuchas. el problema es que Libpcap saca copias de los paquetes recibidos y se las entrega a las aplicaciones de usuario, pero no impide que los paquetes originales sigan siendo procesados por el kernel del PC. El kernel del PC-Sniffer no sabe nada de las aviesas intenciones de su dueño por lo que reacciona automáticamente cuando recibe un paquete que no está dirigido a su dirección IP enviando un paquete de ICMP Redirect alertando al remitente de que esos paquetes no le corresponden. Esta anomalía es tan evidente que cualquier IDS/IPS, por malo que fuese, lo habría detectado; para evitarla el dueño del PC-Sniffer podría haber activado su cortafuegos local para bloquear con él todos los paquetes ICMP salientes (si su cortafuegos le permite afinar bastaría con bloquear los paquetes ICMP Redirect salientes).
A nivel local, las inconsistencias en las tablas de ARP son síntomas muy serios de un posible ataque. Generalmente, es muy difícil que un PC y el enrutador que hace de puerta de enlace de la red tengan la misma MAC por lo que cuando esto ocurra deberían encenderse nuestras alarmas. Otra anomalía que debería ponernos en alerta es el cambio de la MAC conocida de equipos clave de la red, como por ejemplo los enrutadores que hacen de puerta de enlace. En estado normal, la tabla de ARP de Alice tiene el siguiente aspecto:
PC-Alice:~# arp -i eth0 -a ? (192.168.0.1) at EA:0E:85:D7:58:04 [ether] on eth0
Si el atacante (PC-Sniffer) iniciase un ataque con Ettercap: PC-Sniffer:~# ettercap -M arp:remote -T /192.168.0.1/ /192.168.0.2/ ettercap NG-0.7.3 copyright 2001-2004 ALoR & NaGA Listening on eth0... (Ethernet) eth0 -> CA:88:E3:51:83:57 192.168.0.3 255.255.255.0 SSL dissection needs a valid 'redir_command_on' script in the etter.conf file Privileges dropped to UID 65534 GID 65534... 28 plugins 39 protocol dissectors 53 ports monitored 7587 mac vendor fingerprint 1698 tcp OS fingerprint 2183 known services Scanning for merged targets (2 hosts)... * |==================================================>| 100.00 % 2 hosts added to the hosts list... ARP poisoning victims: GROUP 1 : 192.168.0.1 EA:0E:85:D7:58:04 GROUP 2 : 192.168.0.2 BA:4E:E3:B8:96:91 Starting Unified sniffing...
Text only Interface activated... Hit 'h' for inline help
Sat Mar 14 10:59:44 2009 TCP 192.168.10.1:49581 --> 192.168.0.2:22 | AP ...`..........I.S.4S..o^...D./~.....u.i....K...gaK5J
El resultado sobre la tabla de ARP de Alice sería el siguiente: PC-Alice:~# arp -i eth0 -a ? (192.168.0.1) at CA:88:E3:51:83:57 [ether] on eth0 ? (192.168.0.3) at CA:88:E3:51:83:57 [ether] on eth0 Como se puede ver, desde el punto de vista de Alice, no sólo ha cambiado la MAC del enrutador (192.168.0.1) sino que además ahora parece coincidir con la MAC de un PC (192.168.0.3), lo que es señal inequívoca de que se está produciendo un ataque de ARP Spoofing que intenta desviar el tráfico de Alice destinado al enrutador hacia un PC intruso. Cuando este PC finaliza Ettercap, este se encarga de restablecer las tablas de ARP a su estado correcto. Lo que deja a Alice de la siguiente manera: PC-Alice:~# arp -i eth0 -a ? (192.168.0.1) at EA:0E:85:D7:58:04 [ether] on eth0 ? (192.168.0.3) at CA:88:E3:51:83:57 [ether] on eth0 Como se puede ver, el ataque deja huellas tanto durante su transcurso como durante un corto tiempo tras él (hasta la expiración de la entrada en la tabla de ARP). Esto se debe a que el intruso debe interactuar con sus víctimas, antes de iniciar el ataque, para recopilar las MACs de dichos equipos con el fin de reparar las tablas de ARP tras él. Se puede estudiar la estructura interna de un programa similar a Ettercap en el mencionado artículo sobre escuchas en redes conmutadas. En ese programa, el Arpoison mencionado antes, la función que deja la huella "incriminatoria" en las tablas de ARP es la función gatherData(), ejecutada antes del ataque mismo. Como esta función debe preguntar a Alice y al Router por sus MAC mediante una llamada de ARP (representada en el código fuente del artículo por la llamada a la f unción scapy.getmacbyip() dentro de gatherData()), es el momento en el que el atacante PC-Sniffer "toca" directamente a sus víctimas dejando las huellas mencionadas. Se podría plantear la pregunta de si el atacante podría renunciar a ejecutar esta función para minimizar su huella, pero lo cierto es que no, porque si no averigua las MACs originales de los equipos a espiar no podrá lanzar el ataque ni reconstruir las tablas de ARP tras él. Visto lo anterior, es evidente que son necesarias herramientas automatizadas que nos permitan defender las tablas de ARP de los equipos críticos que queramos salvaguardar de este tipo de ataques. Una de las herramientas clásicas a este respecto es Arpwatch. Esta herramienta monitoriza la tabla de ARP y alerta por correo electrónico al administrador cuando se produce el cambio de una correspondencia IPMAC. Lo ideal es instalar dicha herramienta en todas las estaciones de trabajo Linux de la red. En redes con direccionamiento estático, si se tiene la certeza de que no se ha producido el recambio de la tarjeta de red de ningún ordenador, la llegada de un correo de Arpwatch suele ser alerta inequívoca de que se está produciendo un ataque de ARP Spoofing. En redes con direccionamiento dinámico (DHCP), los pares IPMAC cambian con cierta frecuencia, por lo que puede ser complicado monitorizar todos los cambios, aunque lo que sí se puede vigilar es el registro IP-MAC de la puerta de enlace por defecto de cada red, la cual debería permanecer inalterable en las tablas de ARP de todas las estaciones de trabajo. Otra opción, algo más compleja pero con más posibilidades es ArpON. A diferencia de Arpwatch, ArpON no se limita a alertar al administrador sino que reacciona para bloquear el ataque. ArpON tiene dos modos de funcionamiento, estático y dinámico. En modo estático (SARPI), ArpON toma nota al arrancar de las
entradas de la tabla de ARP, guardando esta información en una caché alternativa. A partir de ahí, ArpON sólo permite que se tramiten las peticiones y respuestas ARP de pares IP-MAC que no entren en contradicción con la información previa de su caché. El modo dinámico (D ARPI) es similar, pero permite que la caché de ArpON vaya incorporando nuevos pares IP-MAC desconocidos en el momento de su arranque. En redes con DHCP se puede optar también por activar un sistema de DHCP Snooping. Aparte de evitar que aparezcan servidores DHCP "furtivos", este sistema mantiene un registro de las MACs asociadas a las IPs concedidas y los puertos de los conmutadores donde se encuentran estas MACs. Con esta información, el sistema monitoriza los intercambios de ARP que se producen en sus puertos y si detecta un paquete ARP cuyo origen a nivel IP no se corresponde con la MAC registrada lo bloquea para impedir el envenenamiento. Esta opción se encuentra ampliamente disponible, por ejemplo en los equipos de Cisco donde recibe el nombre de Dynamic ARP Inspection.
2. Conoce el siguiente lenguaje de programación: http://pyspanishdoc.sourceforge.net/
http://mundogeek.net/tutorial-python/
http://es.diveintopython.net/odbchelper_divein.html
3. Conoce las siguientes herramientas:
SolarWinds
Muy caro
RainbowCrack Brutus
1. Visita los siguientes enlaces: http://www.viruslist.com/sp/index.html http://www.offensive-security.com/metasploit-unleashed/Password_Sniffing
2 Busca información relacionado sobre las siguientes personas: MerceMolist Barret Brown Brian Kreps 4. Utiliza la siguiente herramienta: AngryIP: http://angryip.org/w/Home SuperScan: http://www.mcafee.com/es/downloads/free-tools/superscan.aspx NetStumbler: http://www.netstumbler.com/ CommView for WiFi: http://descargar.cnet.com/CommView-for-WiFi/3000-2085_4-10218782.html 5. Componente para instalar en tu navegador: Enigma GPG http://www.enigmagpg.com/ GNU PG: http://www.gnupg.org/gph/es/manual.html
MÓDULO: SEGURIDAD EN EQUIPOS INFORMÁTICOS TEMA 2. AMENAZAS A LA SEGURIDAD Y TIPOS DE ATAQUES INFORMÁTICOS
ACTIVIDADES 1. Lee el artículo: http://www.infospyware.com/articulos/que-son-los-malwares/ http://www.informatica-hoy.com.ar/software-seguridad-virus-antivirus/Como-saber-si-tu-computadora-tiene-unvirus.php http://es.wikipedia.org/wiki/Anexo:Lista_de_software_antivirus http://www.infospyware.com/blog/antivirus-que-menos-ralentizan-el-pc-av-comparatives-mayo-2013/ http://www.eduteka.org/Virus.php http://www.mejor-antivirus.es/ http://www.expresionbinaria.com/la-heuristica-y-los-antivirus/ http://www.pandasecurity.com/img/enc/infection_spain.htm
http://mukom.mondragon.edu/socialmedia/como-saber-si-mi-sitio-web-tiene-virus/ http://www.securityartwork.es/2013/10/30/badbios/
2. Escanea online y compara los resultados de dos de ellas: Listado general: http://www.zonavirus.com/anti-spyware-removal/ http://www.pandasecurity.com/spain/homeusers/solutions/activescan/ http://latam.kaspersky.com/productos/antivirus-online-gratis http://www.bitdefender.es/scanner/online/free.html
3. Prueba, al menos 2 de cada una de las siguientes herramientas, puedes basarte en: Listado general: http://www.zonavirus.com/descargas/ Opinión malware: http://www.techsupportalert.com/es/mejor-limpiador-gratuito-de-adware-spywarescumware.htm
Opinión rootkits: http://www.techsupportalert.com/es/mejor-escaner-limpiador-de-rootkits.htm#GMER
PRÁCTICA 1) En la máquina virtual arranca un sistema operativo 2) Descarga la herramienta Kaspersky Virus RemovalTool http://www.kaspersky.com/virus-scanner 2.1) Crea el arranque desde CD/USB 2.2) Arranca y ejecuta la herramienta Descarga un virus, siguiendo las instrucciones: (buscar información del tipo y la infección) http://norfipc.com/virus/probar-antivirus.html http://ultranet.webcindario.com/virus/virus.html http://vxheavens.com/vl.php http://www.viruszoo.com/
3) Descarga la aplicación Microsoft Malicious Software RemovalTool http://www.microsoft.com/es-es/download/malicious-software-removal-tool-details.aspx
3.1) Arranca el sistema en Modo Seguro (F8) 3.2) Ejecuta la aplicación. 4) Descarga otra herramienta para eliminar malware y ejecútala 5. Lee los siguientes artículos: http://www.soaagenda.com/journal/articulos/cross-site-scripting/ http://www.seguridad.unam.mx/documento/?id=35 http://www.hacktimes.com/robo_de_sesiones_http_mediante_xss/ http://wiki.elhacker.net/bugs-y-exploits/nivel-web/xss http://cwe.mitre.org/data/definitions/79.html http://www.cgisecurity.com/csrf-faq.html
