Escaneando redes - Guia de escaner de puertos para newbies
By: Krishna Shekhar http://www.KrisinDigitalAge.com
Traducirdo por: SeSoX http://www.govannom.org

Los escaneos nos ayudan a saber que servicios estan corriendo en una maquina.
Esto nos muestra los puertos habiertos en los cuales hay servicios escuchando
a la espera de conexiones. Primero determinaremos si la maquina esta conectada
a la red o no.

Esto lo podemos hacer enviando un paquete icmp echo request al servidor. El
servidor responderia con un paquete icmp echo reply mostrando que esta activo.
El proceso para hacer esto en un rango de ordenadores o direcciones ip es
conocido como ping sweep.

De los muchos metodos utilizados, aqui veremos ICMP ping y echo port ping.

ICMP ping:

Tu maquina enviara un icmp echo request (type 8) a la direccion de la maquina
y esta respondera con un icmp echo reply (type 0) en caso de que este activo.
Puede usted utilizar el comando ping de Unix para hacer esto:

[root@ns2 root]# ping -c 3 66.218.71.86
PING 66.218.71.86 (66.218.71.86) from 203.41.193.140 : 56(84) bytes of data.
64 bytes from 66.218.71.86: icmp_seq=1 ttl=51 time=207 ms
From 203.41.193.137: icmp_seq=2 Redirect Host(New nexthop: 202.5.165.81)
64 bytes from 66.218.71.86: icmp_seq=2 ttl=51 time=204 ms
64 bytes from 66.218.71.86: icmp_seq=3 ttl=51 time=203 ms

--- 66.218.71.86 ping statistics ---
3 packets transmitted, 3 received, 0% loss, time 2019ms
rtt min/avg/max/mdev = 203.938/205.171/207.287/1.503 ms
[root@ns2 root]#

Al final esto te proporcionara unos resultados, mostrando las estadisticas del
numero de paquetes recividos y enviados asi como el tiempo de vida de los
paquetes.

Echo port ping (7):

El puerto de eco (echo) era antiguamente usado para comprobaciones de respuesta
de red entre dos máquinas, de tal forma que todo lo que se enviaba a una
máquina era devuelto íntegramente exactamente igual a como se enviaba. Este
uso ha ido quedando fuera de moda y en varias distribuciones Linux/Unix viene
cerrado por defecto, pero es conocida su presencia en otros sistemas como el
Solaris de Sun Microsystems. Dado que la mayoría de los administradores
conscientes de los peligros que acechan desde internet cierran dichos puertos
no debemos esperar que estén abiertos sino que pueden ser cebos realizados con
herramientas como portsentry o tcp_wrappers.


Dos programas interesantes para linux son Fping y Nmap.

Fping:

Fping envia multiples paquetes icmp request simultaneamente y procesa las
respuestas cuando llegan. Esto hace que el ping sweeps sea mas rapido. Fping
puede trabajar directamente con direcciones ip o se le puede proporcionar
una lista de direcciones ip desde un fichero.

[root@Krishna]# fping -a -g 203.122.1.0 203.122.1.80
203.122.1.9
203.122.1.26
203.122.1.37
203.122.1.47
203.122.1.54
203.122.1.42
203.122.1.68
203.122.1.80
[root@Krishna]#

Escribe fping -h para un listado completo de las opciones disponibles.

Nmap:

Nmap es una potente herramienta que entre muchas otras cosas tambien puede
realizar barridos de ping. Para realizar los barridos con nmap tendremos
que usar el argumento -sP.

[root@ns2 root]# nmap -sP 203.122.58.0/24

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )
Host (203.122.58.1) appears to be up.
Host (203.122.58.2) appears to be up.
Host (203.122.58.5) appears to be up.
Host (203.122.58.6) appears to be up.
Host (203.122.58.9) appears to be up.
Host (203.122.58.10) appears to be up.
Host (203.122.58.13) appears to be up.
Host (203.122.58.14) appears to be up.
caught SIGINT signal, cleaning up
[root@ns2 root]#

Si se esta bloqueando el trafico ICMP en el firewall de la maquina, se pueden
utilizar tecnicas adicionales para determinar si la maquina se encuentra activa.
Nmap tiene una opcion avanzada que se llama TCP ping scan. Para utilizarla
debemos usar el argumento -PT con el numero de puerto como por ejemplo el 80,
los paquetes dirigidos a estepuerto estan en permitidos en muchas ocasiones
por los cortafuegos y routers que protegen la DMZ.

[root@ns2 root]# nmap -sP -PT80 203.122.58.0/24

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )
Host (203.122.58.1) appears to be up.
Host (203.122.58.2) appears to be up.
Host (203.122.58.5) appears to be up.
Host (203.122.58.6) appears to be up.
Host (203.122.58.9) appears to be up.
Host (203.122.58.10) appears to be up.
Host (203.122.58.13) appears to be up.
Host (203.122.58.14) appears to be up.
caught SIGINT signal, cleaning up
[root@ns2 root]#

Icmpenum:

Puedes descargarlo de (http://www.nmrc.org/project/misc/icmpenum-1.1.1.tgz)
En caso de que un router o firewall bloquee los paquetes icmp echo, podemos
determinar si el sistema esta activo utilizando diferentes tipos de ICMP, tal
como time stamp e info request.

[krishna]# icmpenum -i2 -c 192.168.1.0

En el ejemplo de arriba, enumeramos la red de clase C 192.168.1.0 usando el
icmp de tipo time stamp. Icmpenum puede enviar paquetes spoofeados para evitar
la deteccion del escan. Utilice el argumento -s para enviar paquetes spoofeados
y -p para recivir la respuesta.

[krishna]# icmpenum -i2 -s 10.10.10.10 -p -v 192.168.1.1 192.168.1.2

Esto enumeraria los host 192.168.1.1 y 192.168.1.2 utiliando paquetes de tipo
time stamp con la direccion ip spoofeada (10.10.10.10).

N.d.T: podeis ver mas info de los tipos de icmp en el RFC1700:
http://www.faqs.org/rfcs/rfc1700.html

Icmpquery:

Puede descargarse Icmpquery desde http://packetstormsecurity.com/UNIX/scanners/icmpquery.c
Los barridos de ping hacen uso de los paquetes icmp echo, pero hay algunos
otros tipos de paquetes icmp que nos pueden permitir obtener informacion del
sistema. Por ejemplo usted puede hacer una peticion de la hora del sistema
enviando un mensaje ICMP de tipo 13 (TIMESTAMP) y usted puede hacer una peticion
de la mascara de red del dispositivo de red con el ICMP de tipo 17 (ADDRESS MASK
REQUEST). Para hacer peticiones a routers puede usted ejecutar el siguiente
comando:

[root@ns2 files]# ./icmpquery -t 213.206.75.252
213.206.75.252 : Sun Jun 8 16:46:30 2003
[root@ns2 files]#

y para solicitar la mascara de red, seria

[Krishna]# icmpquery -m 213.206.75.252

Herramientas de windows

Para realizar barridos de ping en windows, puede usar la herramienta gratuita
de Rhino9 (http://nmrc.org/snt).

Algunas otras herramientas para windows son:

Ping Sweep from Solarwinds (http://www.solarwinds.net)
WS_Ping ProPack (http://www.ipswitch.com)
NetScan Tools (http://www.nwpsw.com)

Escaneo de puertos

El escaneo de puertos es el proceso de conexion a un puerto TCP o UDP de la
maquina para determinar si el puerto esta a la escucha o que servicio esta
corriendo tras el. Identificar los puertos que estan a la escucha es esencial
para determinar que sistema operativo utiliza y las aplicaciones del sistema.

N.D.T: podeis encontrar un listado de puertos oficial aqui:
http://www.iana.org/assignments/port-numbers

Tipos de escaneo de puertos:

1.- TCP connect scan: Este tipo de escaneo realiza una conexion completa
a la maquina realizando los 3 pasos de conexion (SYN, SYN/ACK and ACK).

2.- TCP SYN scan: Es conocido como escaneo half-open, el motivo es por que
no se completan los 3 pasos de la conexion, primero se envia el paquete
SYN, luego si la respuesta es SYN/ACK esto indica que el puerto esta en
modo de escucha y si la respuesta es RST/ACK indicaria que el puerto no
esta a la escucha. Si se recibe un SYN|ACK, se envía un RST inmediatamente
para cortar la conexion.

3.- TCP FIN scan: Esta tecnica envia paquetes FIN puerto y segun el RFC 793
el sistema objetivo deberia enviar un RST para todos los puertos cerrados.

4.- TCP Xmas Tree scan: Esta tecnica envia paquetes FIN,URG y PUSH a la maquina
objetivo y en base al RFC 793 deberia responder con un RST para todos los
puertos que esten cerrados.

5.- TCP Null scan: Esta tecnica pone en off todos los flags y en base al
RFC 793 la maquina objetivo deberia responder con un RST para todos los
puertos que esten cerrados.

6.- TCP ACK scan: Esta tecnica no proporciona puertos abiertos, solo es para
mapear reglas de filtrado de un firewall. Nos puede ayudar a determinar si
el firewall actua simplemente como un filtro para permitir conexoines o
usa un sistema avanzado de filtrado de paquetes. Manda un paquete TCP ACKi
al que todo puerto que no este filtrado respondera con un RST.

7.- TCP Windows scan: Este tipo de escaneo puede detectar los puertos filtrados
y no filtrados en varios sistemas debido a una anomalia en el sistema de
notificacion del tamaño del paquete.

8.- TCP RPC scan: Esta tecnica es especifica para entornos UNIX y es utilizada
para detectar e identificar los puertos asociados al servicio y version de
RPC (Remote Procedure Call).

9.- UDP scan: Esta tecnica envia paquetes UDP a los puertos de la maquina. Si
responde con el mensaje "ICMP port unreachable", significa que el puerto
esta cerrado, sino, el puerto esta habierto. Este es un proceso lento
debido a que el protocolo UDP no es orientado a conexion, la exactitud de
esta tecnica depende mucho de factores realcionados con la utilizacion de
los recursos de la red y del sistema.


Ahora discutiremos algunos de los mas populares escaneres.

Strobe

Puede descargarlo de:
ftp://ftp.rpmfind.net/linux/redhat/7.1/en/powertools/i386/RedHat/RPMS/strobe-1.04-8.i386.rpm

Es uno de los escaneres TCP mas rapido y fiables, y tambien puede obtener el
banner asociado al puerto. Strobe es un escaner TCP y no tiene soporte para
escanear puertos UDP, es muy sencillo que la maquina escaneada detecte los
escaneres de esta utilidad.


[root@ns2 files]# strobe 213.206.75.252
strobe 1.04 (c) 1995-1997 Julian Assange (proff@suburbia.net).
213.206.75.252 21 ftp File Transfer [Control] [96,JBP]
-> 220-FTP server ready.
-> 220 Only anonymous FTP is allowed here
213.206.75.252 80 http www www http World Wide Web HTTP
www World Wide Web HTTP [TXL]
[root@ns2 files]#


Para un escaner UDP use udp_scan creado por SATAN(Security Administrator Tool
for Analyzing Networks).

Netcat

Esta herramienta de seguridad es conocida como la navaja suiza. Posee
propiedades para realizar escaneos TCP y UDP. La opcion -v y -vv permiten
examinar el intercambio de informacion entre cliente y servidor, la opcion
-z es utilizada para el escaneo de puertos, y la opcion -w2 proporciona un
timeout para las conexiones. Por defecto nc usa los puertos TCP, para realizar
escaneos UDP tendremos que valernos de la opcion -u.


[root@ns2 files]# nc -v -z -w2 203.122.61.154 1-140
ns2.spectra.com [203.122.61.154] 111 (sunrpc) open
ns2.spectra.com [203.122.61.154] 80 (http) open
ns2.spectra.com [203.122.61.154] 53 (domain) open
ns2.spectra.com [203.122.61.154] 23 (telnet) : No route to host
[root@ns2 files]#

[root@ns2 files]# nc -u -v -z -w2 203.122.61.154 1-140
ns2.spectranet.com [203.122.61.154] 132 (?) open
ns2.spectranet.com [203.122.61.154] 131 (?) open
ns2.spectranet.com [203.122.61.154] 130 (?) open
ns2.spectranet.com [203.122.61.154] 129 (?) open
ns2.spectranet.com [203.122.61.154] 128 (?) open
ns2.spectranet.com [203.122.61.154] 127 (?) open
ns2.spectranet.com [203.122.61.154] 126 (?) open
ns2.spectranet.com [203.122.61.154] 125 (?) open
ns2.spectranet.com [203.122.61.154] 124 (?) open
ns2.spectranet.com [203.122.61.154] 123 (ntp) open
ns2.spectranet.com [203.122.61.154] 122 (?) open
ns2.spectranet.com [203.122.61.154] 121 (?) open
ns2.spectranet.com [203.122.61.154] 120 (?) open
ns2.spectranet.com [203.122.61.154] 119 (nntp) open
punt!
[root@ns2 files]#

Network Mapper (nmap)

Nmap esta aqui http://www.insecure.org/nmapes una utilidad todo en uno. Para
ver la lista de las opciones posibles puede usar:

[root@ns2 files]# nmap -h

[root@ns2 files]# nmap -sP 192.168.0.172

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )
Host ns2.krishna.com (192.168.0.172) appears to be up.
Nmap run completed -- 1 IP address (1 host up) scanned in 3 seconds
[root@ns2 files]#

Nmap permite introducir rangos en formato CIDR(Classless Inter-Domain Routing).
El parametro -oN le permite guardar la salida en formato legible para nosotros
y usando la opcion -oG se guardara con tabulaciones.

[root@ns2 files]# nmap -sF 203.122.58.0/24 -oN outfile

Escaneres de puertos para windows:

NetScanTools Pro 2000 http://www.nwpsw.com
SuperScan http://www.foundstone.com/rdlabs/termsofuse.php?filename=superscan.exe
WinScan: http://www.prosolve.com
IpEye http://www.ntsecurity.com
NetCat http://www.atstake.com/research/tools/nc11nt.zip
WUPS http://www.ntsecurity.nu
Fscan http://www.foundstone.com/rdlabs/termsofuse.php?filename=fscan.exe

Krishna
http://www.KrisinDigitalAge.com