Segundo encuentro

Internet protocol Suit( modelo tcp/ip)

Es un modelo que incluye protocolos y capas que nos permite comunicar datos sobre internet.

Capas Protocol data unit PDU Funcion
Aplicacion Mensaje compresion, cifrado, encoding, sesiones, apis
Transporte Segemento) transmision de data entre puntos de una red
internet datagrama
Link frames
Physical bit

Como identificar dispositivos

MAC address (capa link):es un valor que identifica fisicamente a una placa de red. Direccion IP: (capa internet)*es un valor que permite identificar a un dispositivo en una red. Hostname: (capa aplicacion) Es una palabra o valor que se traduce a una ip

Encapsulacion y headers en las capas

Cada capa le agrega un header al mensaje.

Capa Formato
Aplicacion Mensaje
Transporte Ht + Mensaje
Network Hn +Ht +Mensaje
Link Hl+Hn+Ht+Mensaje
Fisica ex:101001001001

Capa Aplicacion

Sirve para definir como formatear la data/mensaje.

Protocolos comunes de esta capa:

  • DNS : 53 - generalmente UDP pero tmb TCP para zone transfers
  • FTP : 21 tcp , se usa para compartir archivos
  • HTTP: 80 tcp 443 https , se usa para navegar
  • IMAP: 143 o 993(con ssl) tcp , se usa para administrar casillas de mail
  • LDAP: 389 , 636 tcp o udp(LDAPS over ssl) es un protocolo para gestionar el acceso de usuarios a directorios
  • POP: 110 o 995 tcp , te deja descargar y borrar mails de tu casilla
  • NTP 123 udp , sirve para sincronizacion de relojes/tiempo entre sistemas
  • SMTP 25 tcp comunicacion entre servers, 587 tcp submission desde el cliente
  • SSH/SCP 22 tcp es un canal seguro para acceder a servicios remotos
  • TLS/SSL ssl es el viejo, son protocolos que cifran la data para enviarla en una red y garantizar comunicacion segura
  • RDP: 3389 tcp y udp, remote desktop de microsoft
  • DHCP: 67-68
  • MYSQL: 3306 tcp servidor mysql
  • SMB -445 tcp compartir archivos
  • NetBios- 137,138 udp o 137,139 tcp

Capa Transporte

Define como se va a transmitir la data.

Protocolos comunes

  • TCP
  • UDP

Sockets

Los sockets estan en esta capa

TCP Three way handshake

iniciar

 -> syn  Se le manda con un squence number x
<-  syn+ack Se responde con un  sequence number propio(y) y un  ack nmber que es x+1
 -> ack  se res[ponde con un ack number que sea y +1

Terminar una conexion

-> fin
<- ack
<- fin
-> ack

Header TCP

tcpheader.jpg

Header UDP

udp-datagram.jpg

Capa Internet

Indica como mover los paquetes

Protocolos comunes

  • IP(v4 v6)
  • ICMP
  • IPsec

Formato header ip

ip_header.gif

CIDR

  • clase B 255.255.0.0 = /16
  • Clase C 255.255.255.0 = /24

Se encarga de organizar y distribuir la data usando la capa fisica

Protocolos Comunes

ARP NDP MAC

Capa fisica

Se encarga enviar la data por medios fisicos

#NMAP

Estados

Los puertos nos pueden devolver distintos estados, los primeros 4 son los mas comunes/importantes

  • open
  • closed
  • filtered
  • open|filtered : cuando la falta de respuesta es un indicador (null, xmas) puede estar en cualquiera de los dos estados
  • unfiltered : no esta filtardo, pero no sabemos si open or closed, solo -sA (ACK scan, lo marca asi)
  • close|filtered : Solo se usa en el IP idle scan

Tecnicas

Podemos mapear puertos usando distintas tecnicas

-sS (SYN scan) half open , es el default nunca termina la conexion tcp, mandas un SYN 
-sT (TCP connect scan) lo podemos usar cuando un usuario no tiene permisos para trabajar con raw packets. nmap  le manda al sistema operativo  el connect syscall  sy -sS esta disponible es mejor opcion
-sU (UDP scan)  se puede convinar con sS para chequear ambos protocolos. UDP scan le manda packetes a cada puerto, Si no se recibe respuesta se marca como open|filtered.
-sY (SCTP)  es relativamente nuevo, ni idea la verdad

-sN (TCP NULL) tcp flag es 0
- sF (FIN)  solo manda TCP FIN bit
-sX (Xmas) Setea FIN, PSH y URG flags 

NULL FIN y Xmas funcionan igual, si reciven un RST packet, se considera closed , si no hay respuesta es open|filtered, es filtered si se recive ICMP unreacable error

Opciones comunes/copadas

-Pn  no hace el host discovery (no usa icmp)
-iL  para pasarle una lista de ips en un archivo ex:hosts.txt
-sn disable port scan, solo hace ping scan.
-p : especificar puerto ej  -p80,443   o -p1-65535
-F: fast mode (scanea menos puertos)
--top-ports <numero>  escanea los <numero> puertos mas comunes
--script=" script"
-O  OS detection

-T paranoid|sneaky|polite|normal|aggressive|insane (Set a timing template)
   el default es -T3 que es normal, son templates para las distintas variables de tiempo, los primeros dos sirven para evadir IDS's

Outputs

-oN output normal
-oX output XML ( lo podemos importar a metasploit despues)
-oG  grepeable
-oA  tenes el output de los tres en el mismo
-v incrementa verbosidad -vv todavia mas
-6 enable ipv6

Ejemplos

Network sweeping

 root@kali:~# nmap -v -sn 10.10.1.1-254 -oG ping-sweep.txt
 root@kali:~# grep Up ping-sweep.txt | cut -d " " -f 2

Un scan global

:~# nmap -iL ping-sweep.txt -p- –min-hostgroup 100 -sS -n -T4 -oG full.txt

OS fingerprinting

:~# nmap -O 10.0.0.15

Banner Grabbing

:~# nmap -sV 10.0.0.15

ENUMERANDO NETBIOS

:~# nmap -sV -v -p 139,445 10.0.1.0/24
:~# nmap -sU --script nbstat.nse -p 137 10.0.1.12
:~# nmap --script-args=unsafe=1 --script smb-check-vulns.nse -p 445 10.0.0.1 // para ver si es vulnerable a ms08-067

ANEXO

UNICORNSCAN

Buscar informacion y compararlo con nmap

OSI

7 aplication
6 presentacion
5 sesion
5 transporte
4 network
3 internet
2 data link
1 physical
No Comments
Back to top