ANLISIS DE SERVICIOS ACTIVOS.

1

Comprobar con la orden netstat todos los servicios activos en los equipos del alumno tanto en linux como en windows, describir su uso y comprobar su puerto de escucha. En Linux ejecutamos la orden netstat tua:root@debian:~# netstat -a Active Internet connections (including servers) Proto Recv-Q Send-Q Local Address Foreign Address (state) tcp6 0 0 ip6-localhost.smtp *.* LISTEN tcp4 0 0 localhost.smtp *.* LISTEN tcp4 0 0 *.sunrpc *.* LISTEN udp4 0 0 *.sunrpc *.* udp4 0 0 *.bootpc *.*

En la mquina se encuentran activos protocolos de correo (SMTP - Simple de Transferencia de Correo) tanto para IPv4 como para IPv6. Tambin se encuentran activos NFS a travs de los servicios RPC de Sun ("Remote Procedure Call", llamada a procedimientos remotos). Tiene una vulnerabilidad:

As que vamos a cerrarlo ejecutando los siguientes comandos: service portmap stop cd /etc/init.d rm portmap bootpc, un cliente bootp. Es un protocolo de arranque de cliente usado para asignar IP, DNS y otra informacin til a la mquina.

2

En Windows al ejecutar netstat a:bConexiones activas Proto Direccin local Direccin remota Estado TCP 0.0.0.0:135 George7:0 LISTENING RpcSs [svchost.exe] TCP 0.0.0.0:443 George7:0 LISTENING [vmware-hostd.exe] TCP 0.0.0.0:445 George7:0 LISTENING No se puede obtener informaci n de propiedad TCP 0.0.0.0:902 George7:0 LISTENING [vmware-authd.exe] TCP 0.0.0.0:912 George7:0 LISTENING [vmware-authd.exe] TCP 0.0.0.0:1688 George7:0 LISTENING [KMService.exe] TCP 0.0.0.0:49152 George7:0 LISTENING [wininit.exe] TCP 0.0.0.0:49153 George7:0 LISTENING eventlog [svchost.exe] TCP 0.0.0.0:49160 George7:0 LISTENING [lsass.exe] TCP 0.0.0.0:49165 George7:0 LISTENING Schedule [svchost.exe] TCP 0.0.0.0:49177 George7:0 LISTENING [spoolsv.exe] TCP 0.0.0.0:49178 George7:0 LISTENING [services.exe] TCP 127.0.0.1:2559 George7:0 LISTENING [daemonu.exe] TCP 127.0.0.1:8307 George7:0 LISTENING [vmware-hostd.exe] TCP 127.0.0.1:12001 George7:0 LISTENING [vmware-hostd.exe] TCP 127.0.0.1:12025 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12080 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12110 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12119 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12143 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12465 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12563 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12993 George7:0 LISTENING [AvastSvc.exe] TCP 127.0.0.1:12995 George7:0 LISTENING [AvastSvc.exe] TCP 192.168.1.3:139 George7:0 LISTENING No se puede obtener informacin de propiedad TCP 192.168.1.50:139 George7:0 LISTENING No se puede obtener informacin de propiedad TCP 192.168.137.1:139 George7:0 LISTENING No se puede obtener informacin de propiedad TCP 192.168.149.1:139 George7:0 LISTENING No se puede obtener informacin de propiedad TCP 192.168.204.1:139 George7:0 LISTENING No se puede obtener informacin de propiedad TCP [::]:135 George7:0 LISTENING RpcSs [svchost.exe] TCP [::]:443 George7:0 LISTENING [vmware-hostd.exe] TCP [::]:445 George7:0 LISTENING No se puede obtener informacin de propiedad TCP [::]:1688 George7:0 LISTENING [KMService.exe] TCP [::]:49152 George7:0 LISTENING [wininit.exe] TCP [::]:49153 George7:0 LISTENING eventlog [svchost.exe] TCP [::]:49160 George7:0 LISTENING [lsass.exe] TCP [::]:49165 George7:0 LISTENING Schedule [svchost.exe] TCP [::]:49177 George7:0 LISTENING [spoolsv.exe] TCP [::]:49178 George7:0 LISTENING [services.exe] TCP [::1]:8307 George7:0 LISTENING [vmware-hostd.exe] TCP [::1]:12001 George7:0 LISTENING [vmware-hostd.exe] UDP 0.0.0.0:500 *:* IKEEXT [svchost.exe] UDP 0.0.0.0:4500 *:* IKEEXT [svchost.exe] UDP 0.0.0.0:5355 *:* Dnscache [svchost.exe] UDP 127.0.0.1:1900 *:* SSDPSRV [svchost.exe] UDP 127.0.0.1:48000 *:* [daemonu.exe] UDP 127.0.0.1:48001 *:* [nvtray.exe] UDP 127.0.0.1:53322 *:* SCardSvr [svchost.exe]

3

UDP propiedad UDP propiedad UDP UDP UDP propiedad UDP propiedad UDP UDP UDP propiedad UDP propiedad UDP UDP UDP propiedad UDP propiedad UDP UDP UDP propiedad UDP propiedad UDP UDP UDP UDP UDP UDP

192.168.1.3:137 192.168.1.3:138 192.168.1.3:1900 192.168.1.3:53318 192.168.1.50:137 192.168.1.50:138 192.168.1.50:1900 192.168.1.50:53319 192.168.137.1:137 192.168.137.1:138

*:* *:* *:* *:* *:* *:* *:* *:* *:* *:*

No se puede obtener informacin de No se puede obtener informacin de SSDPSRV [svchost.exe] SCardSvr [svchost.exe] No se puede obtener informacin de No se puede obtener informacin de SSDPSRV [svchost.exe] SCardSvr [svchost.exe] No se puede obtener informacin de No se puede obtener informacin de SSDPSRV [svchost.exe] SCardSvr [svchost.exe] No se puede obtener informacin de No se puede obtener informacin de SSDPSRV [svchost.exe] SCardSvr [svchost.exe] No se puede obtener informacin de No se puede obtener informacin de SSDPSRV [svchost.exe] SCardSvr [svchost.exe] IKEEXT [svchost.exe] IKEEXT [svchost.exe] SSDPSRV [svchost.exe] SCardSvr [svchost.exe]

192.168.137.1:1900 *:* 192.168.137.1:53317 *:* 192.168.149.1:137 *:* 192.168.149.1:138 *:*

192.168.149.1:1900 *:* 192.168.149.1:53321 *:* 192.168.204.1:137 *:* 192.168.204.1:138 *:*

192.168.204.1:1900 *:* 192.168.204.1:53320 *:* [::]:500 *:* [::]:4500 *:* [::1]:1900 *:* [::1]:53316 *:*

-

135 es el portmapper de Windows (mapeador de Windows). El programador de tareas mantiene el puerto abierto. 135 correspondiente al Proceso RPC Llamada a Procedimiento Remoto, o Remote Procedure Call. En realidad este proceso existe en otros sistemas operativos, y su funcin siempre suele ser la misma: habilitar conexiones entre Programas y Conexiones remotas sin tener que entender un protocolo de comunicacin entre redes. 139 NetBIOS Servicio de sesiones. Hay otros puertos muy populares y que es importantsimo no tener nunca abiertos, entre ellos, los puertos 137, 138 y 139, correspondientes a protocolos que utilizan Netbios o el ya desfasado Netbeui que son protocolos de comunicacin utilizados para comunicarse en redes de trabajo. La importancia de ternerlos cerrados, es que estos puertos son los que proporcionan informacin de los recursos compartidos en un nuestra red. 445 Microsoft-DS (Active Directory, comparticin en Windows). Puerto correspondiente al proceso LSASS, y que tambin es esencial para el correcto funcionamiento del sistema. LSASS (Local Security Authority Subsystem Service) est encargado de gestionar todos los procesos de autentificacin en el sistema y la seguridad local. 4

-

-

-

1900 SSDPSRV Habilita el descubrimiento de dispositivos UPnP en la red domstica. 1688 Servicio de administracin de claves (KMService). Microsoft Key Management Service for KMS Windows Activation. 49152 Winnit.exe Se encarga de cargar servicios bsicos del sistema operativo: el administrador de servicios, el subsistema LSA y el administrador de sesiones locales. 48000 y 48001 Pertenece a la actualizacin de componentes de la tarjeta grfica de la empresa NVIDIA. 5355 Dnscache Link-Local Multicast Name Resolution, permite la resolucin de nombres en una red local sin necesidad de un servidor de DNS (exactamente igual que bounjuor en MacOS X). 53316, 53317, 53318, 53319, 53320 y 53321 El proceso SCardSvr es una aplicacin que pertenece a Windows y da servicios de autenticacin para las tarjetas inteligentes (Smart cards) de seguridad.

-

-

Un gran nmero de puertos estn abiertos debido al Antivirus AvastSvc, a la mquina virtual VMware y a os mdulos IKE y AuthIP IPsec Keying (IKEEXT) servicio que implementa los protocolos Key Exchange (IKE) y Authenticated Internet Protocol (AuthIP).

Con la orden nmap comprobar los puertos abiertos de otro equipo del laboratorio de prcticas. Describir alguna de las tcnicas de sondeo de puertos que puede utilizarse con nmap. Hemos utilizado con Nmap las siguientes opciones: Opcin S. SYN: Se trata en enviar un paquete TCP SYN al puerto a comprobar, y si hay algn servicio activo, el sistema escaneado continuar con la secuencia de conexin enviando un paquete TCP/SYN. En este punto Nmap tendra que proseguir enviando el ACK, pero no contina con la secuencia de conexin y al no consumarse la conexin no queda registrado en los logs. Una tcnica parecida es enviar una secuencia incorrecta de paquetes TCP con la intencin de valerse de los mensajes recogidos para obtener informacin. Por ejemplo, enviar un paquete TCP FIN que corresponde al final de una conexin o enviar paquetes sin ningn flag activado. Las respuestas pueden servir para identificar los puertos abiertos o el sistema operativo. Nmap puede averiguar el sistema operativo del objetivo usando las pequeas diferencias en la implementacin de los protocolos. Aunque siguen el mismo estndar al programar los sistemas, existen algunas disimilitudes que

5

usa Nmap para determinar el sistema operativo para ver como responde a ciertas secuencias TCP/IP. El atributo es O. La otra tcnica de Fingerprinting se usa para comprobar las versiones del software que escucha en los puertos, es decir el servidor ftp, la versin de apache, etc El parmetro es -sV Opciones -sF -sX sN. Modos Stealth FIN, Xmas Tree o Nul scan respectivamente. Con estos modos podremos ser suficientemente clandestinos por si hay un firewall o filtros que no dejan enviar paquetes SYN a determinados puertos. Si queremos sacar las versiones de los servicios, por ejemplo la versin de ssh que se esta usando en una determinada ip o host, debemos usar la opcin sV. nmap v sV O sF 192.168.1.3Starting Nmap 5.00 ( http://nmap.org ) at 2011-12-19 17:25 CET NSE: Loaded 3 scripts for scanning. Initiating Ping Scan at 17:25 Scanning 192.168.1.3 [4 ports] Completed Ping Scan at 17:25, 0.20s elapsed (1 total hosts) Initiating Parallel DNS resolution of 1 host. at 17:25 Completed Parallel DNS resolution of 1 host. at 17:25, 0.06s elapsed Initiating FIN Scan at 17:25 Scanning 192.168.1.3 [1000 ports] Completed FIN Scan at 17:25, 22.30s elapsed (1000 total ports) Initiating Service scan at 17:25 Scanning 996 services on 192.168.1.3 Discovered open port 135/tcp on 192.168.1.3 Discovered open|filtered port 135/tcp on 192.168.1.3 is actually open Discovered open port 139/tcp on 192.168.1.3 Discovered open|filtered port 139/tcp on 192.168.1.3 is actually open Discovered open port 443/tcp on 192.168.1.3 Discovered open|filtered port 443/tcp on 192.168.1.3 is actually open Discovered open port 445/tcp on 192.168.1.3 Discovered open|filtered port 445/tcp on 192.168.1.3 is actually open Discovered open port 902/tcp on 192.168.1.3 Discovered open|filtered port 902/tcp on 192.168.1.3 is actually open Discovered open port 912/tcp on 192.168.1.3 Discovered open|filtered port 912/tcp on 192.168.1.3 is actually open Service scan Timing: About 25.50% done; ETC: 17:27 (0:01:31 remaining) Discovered open port 1688/tcp on 192.168.1.3 Discovered open|filtered port 1688/tcp on 192.168.1.3 is actually open Discovered open port 2869/tcp on 192.168.1.3 Discovered open|filtered port 2869/tcp on 192.168.1.3 is actually open Service scan Timing: About 49.50% done; ETC: 17:27 (0:01:02 remaining) Service scan Timing: About 73.30% done; ETC: 17:27 (0:00:33 remaining) Discovered open port 49152/tcp on 192.168.1.3 Discovered open|filtered port 49152/tcp on 192.168.1.3 is actually open Discovered open port 49153/tcp on 192.168.1.3 Discovered open|filtered port 49153/tcp on 192.168.1.3 is actually open Discovered open port 49160/tcp on 192.168.1.3 Discovered open|filtered port 49160/tcp on 192.168.1.3 is actually open Discovered open port 49165/tcp on 192.168.1.3

6

Discovered open|filtered port 49165/tcp on 192.168.1.3 is actually open Completed Service scan at 17:28, 160.64s elapsed (1000 services on 1 host) Initiating OS detection (try #1) against 192.168.1.3 Retrying OS detection (try #2) against 192.168.1.3 NSE: Script scanning 192.168.1.3. NSE: Starting runlevel 1 scan Initiating NSE at 17:28 Completed NSE at 17:28, 1.00s elapsed NSE: Script Scanning completed. Host 192.168.1.3 is up (0.0014s latency). Interesting ports on 192.168.1.3: Not shown: 988 open|filtered ports PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn 443/tcp open ssl/https? 445/tcp open netbios-ssn 902/tcp open ssl/vmware-auth VMware Authentication Daemon 1.10 (Uses VNC, SOAP) 912/tcp open vmware-auth VMware Authentication Daemon 1.0 (Uses VNC, SOAP) 1688/tcp open msrpc Microsoft Windows RPC 2869/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) 49152/tcp open msrpc Microsoft Windows RPC 49153/tcp open msrpc Microsoft Windows RPC 49160/tcp open msrpc Microsoft Windows RPC 49165/tcp open msrpc Microsoft Windows RPC 1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at http://www.insecure.org/cgi-bin/servicefp-submit.cgi : SF-Port443-TCP:V=5.00%T=SSL%I=7%D=12/19%Time=4EEF65A2%P=i686-unknownkfreebsd7.2-gnu%r(GetRequest,88,"HTTP/1\.1\x20403\x20Forbidden\r\nDate:\x20Mon,\ SF:x2019\x20Dec\x202011\x2016:26:10\x20GMT\r\nConnection:\x20close\r\nCont SF:ent-Type:\x20text;\x20charset=plain\r\nContent-Length:\x200\r\n\r\n")%r SF:(HTTPOptions,BB,"HTTP/1\.1\x20501\x20Not\x20Implemented\r\nDate:\x20Mon SF:,\x2019\x20Dec\x202011\x2016:26:15\x20GMT\r\nConnection:\x20close\r\nCo SF:ntent-Type:\x20text/html\r\nContent-Length:\x2054\r\n\r\n501\x20Not\x20Implemented")%r(RTSPRequest,BB,"HTTP SF:/1\.1\x20501\x20Not\x20Implemented\r\nDate:\x20Mon,\x2019\x20Dec\x20201 SF:1\x2016:26:15\x20GMT\r\nConnection:\x20close\r\nContent-Type:\x20text/h SF:tml\r\nContent-Length:\x2054\r\n\r\n501\x20Not\x20Imple SF:mented")%r(FourOhFourRequest,88,"HTTP/1\.1\x20404\x2 SF:0Not\x20Found\r\nDate:\x20Mon,\x2019\x20Dec\x202011\x2016:26:52\x20GMT\ SF:r\nConnection:\x20close\r\nContent-Type:\x20text;\x20charset=plain\r\nC SF:ontent-Length:\x200\r\n\r\n")%r(SIPOptions,BB,"HTTP/1\.1\x20501\x20Not\ SF:x20Implemented\r\nDate:\x20Mon,\x2019\x20Dec\x202011\x2016:27:03\x20GMT SF:\r\nConnection:\x20close\r\nContent-Type:\x20text/html\r\nContent-Lengt SF:h:\x2054\r\n\r\n501\x20Not\x20Implemented"); Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port Device type: general purpose|webcam|storage-misc|print server|printer Running (JUST GUESSING) : Apple Mac OS X 10.5.X (94%), DVTel embedded (90%), BlueArc embedded (90%), Brother embedded (86%), Toshiba embedded (86%), Lexmark embedded (85%), Ricoh embedded (84%) Aggressive OS guesses: Apple Mac OS X 10.5.5 (Leopard) (94%), DVTel DVT-9540DW network camera (90%), BlueArc Titan 2100 NAS device (90%), Brother NC-3100h print server (86%), Brother DCP-8045D printer (86%), Brother HL-1270N printer (86%), Brother HL-5070N printer (86%), Brother HL-5170DN printer (86%), Toshiba e-STUDIO 280 multifunction printer (86%), Toshiba e-STUDIO 4511 multifunction printer (86%) No exact OS matches for host (test conditions non-ideal). TCP Sequence Prediction: Difficulty=256 (Good luck!) IP ID Sequence Generation: Incremental

7

Service Info: OS: Windows

Read data files from: /usr/share/nmap OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 192.48 seconds Raw packets sent: 2093 (89.188KB) | Rcvd: 64 (4644B) Buscar en Internet alguna herramienta de anlisis de puertos, describir sus caractersticas y realizar algunas pruebas de su uso. Nsauditor Network Security Auditor es un escner de seguridad de red que permite controlar y auditar ordenadores remotos en red de posibles vulnerabilidades, control de la red para todos los mtodos potenciales que un hacker podra utilizar para atacarla. Nsauditor es un paquete completo de utilidades de red que incluye una amplia gama de herramientas para la auditora de red, monitoreo de exploracin, y mucho ms. Se pueden descubrir los servicios de red y buscar vulnerabilidades, la lista de todos los puntos finales TCP y UDP con sus procesos asociados, descubre nombres NetBIOS, auditora servidores MS SQL, buscar huellas comunes Adware, etc. El programa tambin incluye en tiempo real filtrado y anlisis de paquetes de red de, monitoreo remoto del rendimiento de la red, escaneado web proxy, auditora de contraseas, sistema de deteccin de intrusos basado en analizador de registro de seguridad de eventos y un sistema de firewall que permite detener las amenazas de Internet y bloquear conexiones no deseadas, bsquedas de DNS y WHOIS, validacin e-mail y un generador de trfico HTTP. Contiene una base de datos integrada de vulnerabilidades conocidas de seguridad de red, que permite seleccionar los elementos para el anlisis y aadir entradas personalizadas. Nsauditor puede revelar y catalogar una variedad de informacin, incluyendo el software instalado, las acciones de los usuarios, las unidades, hotfixes, NetBios, RPC, SQL e informacin SNMP, puertos abiertos. Tambin puede auditar contraseas y polticas de seguridad, as como realizar una serie de ataques de red, como los escaneos de puertos stealth, HTTP/CGI, etc. El programa puede oler y el uso de fuerza bruta y ataques de diccionario sobre hashes LM y NTLM contrasea y exponer a los inseguros. Nsauditor hace la deteccin de sistema operativo y crea automticamente las huellas dactilares sistema operativo que no estn incluidos en la base de datos. Los informes pueden ser generados en formato HTML y XML. 8

Monitorizando la red.

Realizando un escaneo de puertos.

9

Realizando una auditoria al equipo local

Bibliografa. http://es.wikipedia.org/wiki/Anexo:N%C3%BAmeros_de_puerto http://www.insecure.in/hacktools.asp http://debianitas.net/doc/minicomos/Utilizando%20Nmap/html/nmap-v1.html http://www.nsauditor.com/network_security/network_security_auditor_install ed.html http://conocimientolibre.wordpress.com/2007/06/30/nmap-a-fondo-escaneode-redes-y-hosts/

10