Source: https://www.scribd.com/doc/55764375/NMAP
Timestamp: 2017-03-29 01:14:06+00:00

Document:
BrowseInterestsStay InformedCareerPersonal GrowthFiction & BiographiesHealth & FitnessLifestyleCultureBrowse byBooksAudiobooksNews & MagazinesSheet MusicBrowse allUploadSign inJoin1NMAP Manual de Usuario
Thomas J Ramírez Rozo Cod: 0801551 Franklin Aguirre Cadena Cod: 0801501 Andres
Abstract— A continuación se describe el manual de intalacion y la guia de funcionamiento del NMAP y se tratara de acceder a un host objetivo usando la conbinacion de NMAP y NC. Index Terms— nmap, port, services, nc
Se da click en "I gree" luego sale el siguiente pantallazo: v
I. I NTRODUCCION El escaneado de redes es casi tan antiguo como las propias redes. Antes los hackers solían usar módems para comprobar bloques de números telefónicos y grabar las respuestas en un proceso conocido como “wardialing”. Hoy en día, los escáneres de puertos envían paquetes IP especialmente manipulados a través de Internet para detectar e identi car sistemas en funcionamiento. Nmap (Network Mapper), que fue en un primer momento presentado por Fyodor en septiembre de 1997, es probablemente una de las utilidades más completas para escanear redes. Fyodor no estaba muy contento con las características que proporcionaban herramientas como Strobe o scan. Quería una herramienta que realizara algo que aún no se había visto, algo que consiguió con Nmap. II. I NSTALACIÓN A. Windows Self-installer Todo NMAP release incluye una version Windows self-installer llamada nmap-<version>-setup.exe (donde <version> es el numero de la version del release especi co). MUchos de los usuarios escogen esta opcion por el hecho de que es muy sencilla.Otra ventaja del self-installer es que nos da la posibilidad de intalar el Zenmap GUI. Simplemente ejecute el instalador y vaya a travez de pantallasos que lo guian para la selección de la ubicación del WinPcap. El installador fue creado con software libre Nullsoft Scriptable Install System. Aca se seleccionan los componentes del NMAP que se desean instalara y los que no luego se da click en "Next"
Se selecciona la ruta en la cual se desea intalar el NMAP y se da click en "Install" A continuación se instala el producto como se muetra en la grá ca:
Microsoft Windows XP y Vista incluyen zip extracción simplemente haciendo haciendo click derecho en el archivo en el explorer. un ejemplo puede ser C:nProgram Files.org. esta viene incluida en el archivo zip o se puede bajar de la web http://www. 3) Para mejorar el rendimiento de los scaneos (problema propio de windows por su de ciencia en el manejo de recursos de red) se aplican los cambios en el registro simplemente ejecutando el archivo de registro que viene en el archivo zip. 2) Descomprimir el archipo zip en el directorio que se desee.0 o superior si se decide bajarla de la dirección anterior. Muchos sistemas ya tienen estos paquetes instalados pero se deberia ejecutar el erchivo vcredist_x86. Muchos usuarios pre eren esta instalacion porque como es software libre pueden colaborar con la creacion del nmap
Se selecciona si se quieren accesos directos y woallaa
.winpcap. este requiere el paquete de Microsoft Visual C++ 2008 Redistributable.org/download.2
se da click en "Finish" y con esto se da por terminada la instalación del NMAP con el self-installer. 4) Nmap requiere el paquete WinpCap de libreria de captura. si no se tiene un archivo de descomresion puede usar el 7-Zip que es de software libre o alternatuivas comerciales como son el WinZip y PKZIP.html. Un directorio llamado nmap-<version> se crea automaticamente el cual incluye los ejecutables del nmap y los archivos de datos. Nmap zip binaries 1) Se descarga el archivo de la siguiente dirección http://nmap.exe del archivo zip en caso de necesitarlo. 5) Debido a que el nmap es compilado. Se debe instalar la version 4.
Hssta que se completa la instalacion y ha sido exitosa:
.. 5) DETECCIÓN DE SERVICIO/VERSIÓN: : -sV: Sondear puertos abiertos. -iR <número de sistemas>: Selecciona objetivos al azar
–exclude <sist1[. -iL <archivo_entrada>: Lee una lista de sistemas/redes del archivo. FIN. Nmap ofrece información de los protocolos IP soportados. La salida de Nmap es un listado de objetivos analizados. pero para los que Nmap no puede determinar si se encuentran abiertos o cerrados.) -sO: Análisis de protocolo IP -b <servidor ftp rebote>: Análisis por rebote FTP 4) ESPECIFICACIÓN DE PUERTOS Y ORDEN DE ANÁLISIS: : -p <rango de puertos>: Sólo sondear los puertos indicados -F: Rápido . y direcciones MAC. u otro obstáculo en la red está bloqueando el acceso a ese puerto.>: Excluye ciertos sistemas o redes –exclude le < chero_exclusión>: Excluye los sistemas indicados en el chero 2) DESCUBRIMIENTO DE HOSTS: : -sL: Sondeo de lista .usage.serv2]. del T.. qué sistemas operativos (y sus versiones) ejecutan. y Xmas –scan ags <indicador>: Personalizar los indicadores TCP a utilizar -sI <sistema zombi[:puerto_sonda]>: Análisis pasivo («Idle». Nmap puede dar información adicional sobre los objetivos. para obtener información de servicio/versión –version-intensity <nivel>: Fijar de 0 (ligero) a 9 (probar todas las sondas) –version-light: Limitar a las sondas más probables (intensidad 2) –version-all: Utilizar todas las sondas (intensidad 9) –version-trace: Presentar actividad detallada del análisis (para depurar) 6) DETECCIÓN DE SISTEMA OPERATIVO : -O: Activar la detección de sistema operativo (SO) –osscan-limit: Limitar la detección de SO a objetivos prometedores –osscan-guess: Adivinar el SO de la forma más agresiva 7) TEMPORIZADO Y RENDIMIENTO:: -T[0-5]: Seleccionar plantilla de temporizado (los números altos son más rápidos) –min-hostgroup/max-hostgroup <tamaño>: Paralelizar los sondeos –min-parallelism/max-parallelism <msegs>: Paralelización de sondeos –min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <msegs>: indica el tiempo de ida y vuelta de la sonda. Nmap utiliza paquetes IP "crudos" en formas originales para determinar qué equipos se encuentran disponibles en una red.sist2][. y su estado.
. Puede encontrar siempre la última versión en http://www.Sólo determina si el objetivo está vivo -P0: Asume que todos los objetivos están vivos -PS/PA/PU [listadepuertos]: Análisis TCP SYN. el nombre más común del servicio. como puede ser el inventariado de la red. incluyendo el nombre de DNS según la resolución inversa de la IP. Aunque generalmente se utiliza Nmap en auditorías de seguridad. NMAP Nmap (“mapeador de redes”) es una herramienta de código abierto para exploración de red y auditoría de seguridad. N. Además de la tabla de puertos interesantes. con información adicional para cada uno dependiente de las opciones utilizadas.txt.insecure.3
III. muchos administradores de redes y sistemas lo encuentran útil para realizar tareas rutinarias. ACK o UDP de los puertos indicados -PE/PP/PM: Solicita un análisis ICMP del tipo echo. no al azar. La tabla de puertos también puede incluir detalles de la versión de la aplicación cuando se ha solicitado detección de versiones. la plani cación de actualización de servicios y la monitorización del tiempo que los equipos o servicios se mantiene activos. redes. etc. marca de fecha y máscara de red -n/-R: No hacer resolución DNS / Siempre resolver [por omisión: a veces] –dns-servers <serv1[.>: Especi car servidores DNS especí cos –system-dns: Utilizar la resolución del sistema operativo 3) TÉCNICAS DE ANÁLISIS: : -sS/sT/sA/sW/sM: Análisis TCP SYN/Connect()/ACK/Window/Maimon -sN/sF/sX: Análisis TCP Null. Algunas de las opciones menos conocidas no se incluyen aquí. La información primordial es la “tabla de puertos interesantes”. Un ltered (no ltrado): son aquellos que responden a los sondeos de Nmap.. 1) ESPECIFICACIÓN DE OBJETIVO:: Se pueden indicar nombres de sistema. qué servicios (nombre y versión de la aplicación) ofrecen. aunque funciona muy bien contra equipos individuales.sist3]. Se diseñó para analizar rápidamente grandes redes.org/nmap/data/nmap.Simplemente lista los objetivos a analizar -sP: Sondeo Ping . qué tipo de ltros de paquetes o rewalls se están utilizando así como docenas de otras características. Filtered ( ltrado): indica que un rewall. A. por lo que Nmap no puede saber si se encuentra abierto o cerrado Closed (cerrado): no tienen ninguna aplicación escuchando en los mismos. Dicha tabla lista el número de puerto y protocolo. en vez de puertos abiertos. ltro. los tipos de dispositivo.. direcciones IP. Nmap informa de las combinaciones de estado openj ltered y closedj ltered cuando no puede determinar en cuál de los dos estados está un puerto. –max-retries <reintentos>: Limita el número máximo de retransmisiones de las sondas de análisis de puertos.Analizar sólo los puertos listados en el archivo nmap-services -r: Analizar los puertos secuencialmente. un listado de sistemas operativos posibles.. Los estados son: Open (abierto): signi ca que la aplicación en la máquina destino se encuentra esperando conexiones o paquetes en ese puerto. aunque podrían abrirse en cualquier momento. Resumen de opciones Cuando se ejecuta Nmap sin parámetros se muestra este resumen de opciones.
ME]. respectivamente.0 o por .0 y la dirección 192.10. que analizaría media Internet. analizaría únicamente la IP o nombre de sistema indicados porque todos los bits estarían jos..168.10. ambas inclusive. IPv6 o rangos de octeto).. -S <Dirección_IP>: Falsi car la dirección IP origen -e <interfaz>: Utilizar la interfaz indicada -g/–source-port <numpuerto>: Utilizar el número de puerto dado –data-length <num>: Agregar datos al azar a los paquetes enviados –ttl <val>: Fijar el valor del campo time-to-live (TTL) de IP –spoof-mac <dirección mac/pre jo/nombre de fabricante>: Falsi car la dirección MAC –badsum: Enviar paquetes con una suma de comprobación TCP/UDP falsa 9) SALIDA: : -oN/-oX/-oS/-oG < le>: Guardar el sondeo en formato normal. a los archivos indicados con -o.. y Grepeable (para usar con grep(1)).. Si se utiliza el valor 0.> (Excluir equipo o redes) Indica con una lista separada por comas los objetivos que deben excluirse del análisis.equipo2][.0-255. Para sondear un número elevado de objetivos sólo tiene que generar la lista en un archivo. o nombre de sistema. CIDR. XML. para que sea analizado. Sólo puede especi car direcciones IPv6 si utiliza su nombre IPv6 totalmente cuali cado o su nombre de sistema. sistemas> (Elegir objetivos al azar) Cuando se quieren realizar encuestas que cubran toda Internet uno puede querer elegir objetivos al azar. /32.. nombres de sistema. El caso más sencillo es la indicación de sólo una IP.37 se realizará un sondeo en todo Internet de las direcciones IP que terminan en 13. No se soporta el uso de CIDR o rangos de octetos para IPv6 porque raramente son útiles. La opción <cant. Por ejemplo. Se excluirán aunque se encuentren dentro de un rango especi cado en la línea de órdenes.señuelo2[. Por ejemplo.13. –send-eth/–send-ip: Enviar paquetes utilizando tramas Ethernet o paquetes IP "crudos".40/24 obtendría exactamente el mismo resultado. si especi ca 0255.168. Aunque habitualmente se especi can los objetivos en la línea de órdenes puede utilizar las siguientes opciones para controlar la selección de objetivos: -iL <archivo_entrada> (Entrada de una lista) Toma la especi cación de objetivos del archivo <archivo_entrada>. -oA <nombre_base>: Guardar en los tres formatos principales al mismo tiempo -v: Aumentar el nivel de mensajes detallados (-vv para aumentar el efecto) -d[nivel]: Fijar o incrementar el nivel de depuración (Tiene sentido hasta 9) –packet-trace: Mostrar todos los paquetes enviados y recibidos –i ist: Mostrar interfaces y rutas (para depurar) –append-output: Agregar. incluyendo las direcciones privadas.4
–host-timeout <msegs>: Abandonar un objetivo pasado este tiempo –scan-delay/–max-scan-delay <msegs>: Ajusta el retraso entre sondas 8) EVASIÓN Y FALSIFICACIÓN PARA CORTAFUEGOS/IDS:: -f.0. 192. o por líneas.>: Disimular el análisis con señuelos «ME» es «YO» mismo. sj<rIpt kIddi3 (n3n3b4n4n4). Especi cación de objetivos Todo lo que se escriba en la línea de parámetros de Nmap que no sea una opción se considera una especi cación de
sistema objetivo.37. de multicast o direccionamiento no asignado. Si se desea analizar una red completa de equipos adyacentes Nmap soporta el direccionamiento estilo CIDR.255 ya que son habitualmente direcciones de difusión. en vez de sobreescribir.Org para tener un XML más portable –no_stylesheet: No asociar la salida XML con ninguna hoja de estilos XSL 10) MISCELÁNEO:: -6: Habilitar análisis IPv6 -A: Habilita la detección de SO y de versión –datadir <nombreDir>: Indicar la ubicación de los archivos de datos Nmap personalizados. Se ltran de forma automática las direcciones no deseables.0/16 pero omitir cualquier IP que termine por . sistemas> indica a Nmap cuántas direcciones IP debe generar aleatoriamente. Si quiere leer el archivo de la entrada estándar puede especi car un guión (-) como nombre de archivo.10. De hecho.10. Cada elemento debe estar separado por uno o más espacios. Es posible hacer esto con Nmap mediante el direccionamiento por octetos. En lugar de especi car una dirección IP normal puede especi car una lista separada por comas de números o rangos para cada octeto. La máscara más pequeña permitida es /1. -iR <cant..0/24 analizaría los 256 sistemas que existen entre la dirección 192. La más grande. Nmap realizará un análisis que no acabará nunca. Las entradas de ese archivo pueden estar en cualquiera de los formatos aceptados por Nmap (direcciones IP.equipo3]. La notación CDIR es breve pero no siempre es su cientemente exible. si usa 192. Por ejemplo.168. Puede añadir /<numBits> a una dirección IP o nombre de sistema para que Nmap sondee toda IP cuyos primeros <numBits> sean los mismos que los de la dirección IP o nombre de sistema indicado. –mtu <valor>: fragmentar paquetes (opción con el MTU indicado) -D <señuelo1.168. –privileged: Asumir que el usuario tiene todos los privilegios -V: Muestra el número de versión -h: Muestra esta página resumen de la ayuda.255. puede querer sondear la red 192. –resume <archivo>: Retomar un análisis abortado/detenido –stylesheet <ruta/URL>: Convertir la salida XML a HTML según la hoja de estilo XSL indicada –webxml: Referenciar a la hoja de estilo de Insecure.168. Esto puede ser útil cuando la red a analizar tiene objetivos que no
. tabuladores. –exclude <equipo1[. Los rangos no tienen por qué estar limitados a los últimos octetos. al archivo indicado. B. y entregárselo a Nmap con la opción -iL.
o análisis ping no pueden combinarse con este sondeo. Estos valores por omisión son el equivalente a las opciones -PA -PE. como análisis de puertos. porque es generalmente más rápido y efectivo. -PS [lista de puertos] (Ping TCP SYN) Esta opción envía un paquete TCP vacío con la bandera SYN puesta. Al igual que con el sondeo de lista. Si no se hace así pueden llegar a pasarse por alto ciertos equipos. ya que algunos equipos no responden a ese tipo de consultas. Adicionalmente. Si hace esto se enviarán sondas en paralelo a cada uno de los puertos. Las opciones -P* (permiten seleccionar los tipos de ping) pueden combinarse. Si se deshabilita el descubrimiento de sistemas con la opción -P0 entonces Nmap utilizará las funciones de análisis solicitadas contra todas las direcciones IP especi cadas. ya que el rewall anularía las sondas o las respuestas a las mismas. Ya que la idea es simplemente emitir un listado de los sistemas objetivo. o monitorizar servidores. La opción -sP puede combinarse con cualquiera de las opciones de sondas de descubrimiento (las opciones -P*. el análisis ping es intrusivo. y usualmente innecesario. compruebe la documentación de la opción -P0. Cuando un usuario privilegiado intenta analizar objetivos en la red Ethernet local se utilizan solicitudes ARP (-PR) a no ser que se especi que la opción –send-ip. -sL (Sondeo de lista) El sondeo de lista es un tipo de descubrimiento de sistemas que tan solo lista cada equipo de las redes especi cadas. Puede aumentar sus probabilidades de penetrar rewalls estrictos enviando muchos tipos de sondas utilizando diferentes puertos o banderas TCP y códigos ICMP. Bajo circunstancias normales. –exclude le <archivo> (Excluir desde una Lista) Al igual que –exclude. Normalmente. para los objetivos que se encuentren en la red Ethernet local. que pueden reaccionar adversamente a un análisis de puertos. C. También se puede especi car una lista de puertos. si el puerto destino está cerrado se recibirá un paquete RST (reset). -sP (Sondeo ping) Esta opción le indica a Nmap que únicamente realice descubrimiento de sistemas mediante un sondeo ping. Permite un reconocimiento liviano de la red objetivo sin llamar mucho la atención.536 direcciones IP. Los usuarios pueden evitar el paso de ping utilizando un sondeo de lista (-sL) o deshabilitando el ping (-P0). Nmap no realiza la etapa de descubrimiento. sin enviar paquetes de ningún tipo a los objetivos. para obtener sus nombres. Analizar cada puerto de cada una de las direcciones IP es lento. un paquete SYN es enviado en vez del ACK. utilizando la llamada al sistema connect(). como puedan ser servidores de misión crítica. se evita el descubrimiento apropiado de sistemas. Nmap envía un paquete TCP ACK al puerto 80 y un ICMP Echo Request a cada máquina objetivo. Puede ser fácilmente utilizada para contabilizar las máquinas disponibles en una red. Nmap realiza una resolución inversa DNS en los equipos. Si no se proveen opciones de descubrimiento de sistemas. pero. Cuando un usuario sin privilegios ejecuta Nmap se envía un paquete SYN (utilizando la llamada connect()) al puerto 80 del objetivo. pero en lugar de utilizar la línea de órdenes toma el listado de un <archivo>. Descubriendo sistemas Uno de los primeros pasos en cualquier reconocimiento de red es el de reducir un conjunto de rangos de direcciones IP en una lista de equipos activos. A diferencia del sondeo de lista. o enviando combinaciones arbitrarias de sondas TCP SYN/ACK. y que
luego emita un listado de los equipos que respondieron al mismo. Para usuarios de shell UNIX que no posean privilegios. Una excepción a este comportamiento es cuando se utiliza un análisis ARP. Se recomienda utilizar estas técnicas si hay un cortafuegos con un ltrado estricto entre el sistema que ejecuta Nmap y la red objetivo. Si desea deshabilitar el análisis ping aún realizando dicha funcionalidad de mayor nivel. esta función permite excluir objetivos. Si se especi ca una red del tamaño de una clase B cuyo espacio de direccionamiento es de 16 bits. pero se puede añadir un puerto alternativo como parámetro. UDP e ICMP a múltiples puertos de la red remota. Nmap sólo realiza ese tipo de sondeos. Si el puerto está abierto el objetivo responderá con el segundo paso del
se deben tocar. Nmap ofrece una gran variedad de opciones para personalizar las técnicas utilizadas. ya que envía paquetes a los objetivos. Las siguientes opciones controlan el descubrimiento de sistemas. Si se utilizan cualquiera de las opciones de sondas de descubrimiento y número de puerto. excepto -P0) para disponer de mayor exibilidad. y es más able que hacer ping a la dirección de broadcast. en vez de detenerse y emitir un listado de objetivos. Nmap reporta el número total de direcciones IP. Nmap continúa y realiza las funciones solicitadas como si cada IP objetivo se encontrara activa. se ignoran las sondas por omisión (ACK y solicitud de eco ICMP). -P0 (No realizar ping) Con esta opción. El propósito de estas sondas es solicitar respuestas que demuestren que una dirección IP se encuentra activa . o si la red incluye subredes administradas por otras personas. en la línea de órdenes. las opciones de mayor nivel de funcionalidad como análisis de puertos.h). pero es usualmente utilizado con el mismo propósito. detección de versión o de sistema operativo contra los equipos que están vivos. No se realizan más sondeos (como un análisis de puertos o detección de sistema operativo). detección de sistema operativo. se analizará cada una de las 65. La bandera SYN indica al sistema remoto que quiere establecer una conexión. La opción -sP envía una solicitud de eco ICMP y un paquete TCP al puerto 80 por omisión. Nmap utiliza dicha etapa para determinar qué máquinas se encuentran activas para hacer un análisis más agresivo. Por omisión. que utiliza la misma sintaxis que la opción -iL. El puerto destino por omisión es el 80 (se puede con gurar en tiempo de compilación cambiando el valor de DEFAULT_TCP_PROBE_PORT en nmap. El sondeo de lista es una buena forma de asegurarse de que tenemos las direcciones IP correctas de los objetivos. El ARP discovery (-PR) se realiza por omisión contra objetivos de la red Ethernet local incluso si se especi ca otra de las opciones -P*. A esto se lo suele llamar barrido ping.
Otros errores ICMP. El sistema donde se ejecuta Nmap romperá la conexión que se está estableciendo enviando un paquete RST en lugar de enviar el paquete ACK que completaría el saludo TCP. Si se recibe una respuesta de huella de tiempo (código ICMP 14) o de máscara de red (código 18) entonces es que el sistema está disponible. lo que sirve para determinar que están vivos. Muchos administradores con guran los enrutadores y algunos rewalls sencillos para que bloqueen los paquetes SYN salvo para aquellos destinados a los servicios públicos.6
saludo en tres pasos TCP respondiendo con un paquete TCP SYN/ACK. Ésta es la razón por la que se utiliza el puerto 31338 ya que es poco probable que esté utilizándose. La sonda UDP debería generar un paquete ICMP de puerto no alcanzable si da contra un puerto cerrado en el equipo objetivo. Esta opción envía un paquete UDP vacío (salvo que se especi que – data-length) a los puertos indicados. que hace categorías de paquetes en base a su estado de conexión. Si un usuario sin privilegios intenta hacer esto. Esto hace que se envíe el paquete SYN al sistema. Aunque en este caso el procedimiento no es perfecto porque la llamada connect() enviará un paquete SYN en lugar de un ACK. Las consultas de huella de tiempo y máscara de red se pueden enviar con las opciones -PP y -PM. dado que los paquetes ACK no esperados se reconocen como falsos y se descartan. 15 y 17 respectivamente. La lista de puertos se debe dar en el mismo formato que se ha indicado anteriormente para las opciones -PS y -PA. Nmap envía paquetes ICMP tipo 7 (echo request) a las direcciones IP objetivos y espera recibir un tipo 0 (Echo Reply) de los sistemas que estén disponibles. El estándar ICMP también especí ca solicitudes de huellas de tiempo. -PE. para establecer la conexión. Esto evita que se realicen otras conexiones entrantes al mismo tiempo que permite a los usuarios realizar conexiones salientes a Internet. Este paquete indica que se han recibido datos en una conexión TCP establecida. Si llega éste entonces Nmap puede identi car ese sistema como vivo y alcanzable. -PP. Si se alcanza un puerto abierto la mayoría de los servicios simplemente descartarán el paquete vacío y no devolverán ninguna respuesta. Algunos servicios responderán con un paquete UDP vacío lo que ayuda a Nmap a determinar que el sistema está disponible. ya que no están muy soportados. El sistema se puede marcar como no disponible si el intento de conexión se mantiene parado hasta que vence un temporizador. como el de sistema o red inalcanzable o TTL excedido indican un sistema que está muerto o que no es alcanzable. las sondas ACK podrían saltarse las reglas y llegar a su destino. -PU [lista de puertos] (Ping UDP) El ping UDP es otra opción para descubrir sistemas. Si. en estos casos. Lamentablemente muchos sistemas y rewalls bloquean esos paquetes en lugar de responder como requiere el estándar RFC 1122. Nmap no implementa los paquetes de solicitud de información en sí. Nmap no envía este paquete. En estos sistemas
es más probable que funcione una sonda SYN. sino que lo envía el núcleo del sistema donde se ejecuta Nmap respondiendo al paquete SYN/ACK que no esperaba. generalmente sólo el usuario privilegiado root puede enviar paquetes TCP crudos. llega una respuesta RST ó SYN/ACK entonces Nmap sabrá que el sistema está disponible y responde. La principal ventaja de este tipo de sondeos es que atraviesan rewalls y ltros que sólo analizan TCP. Se puede con gurar este puerto por omisión en el momento de compilar cambiando DEFAULT_UDP_PROBE_PORT en nmap. pero se envían sabiendo que la conexión no existe. -PR (Ping ARP) Una de las formas de uso más comunes de Nmap es el
. o se especi ca un objetivo IPv6. En sistemas UNIX. La diferencia es que en este caso se envía un paquete con la bandera ACK en lugar de la SYN. Los usuarios no privilegiados tienen una forma de evitar esta restricción utilizando la llamada al sistema connect() contra el puerto destino. Aunque el objetivo de estas solicitudes es obtener la máscara de red o fecha actual de un sistema también pueden utilizarse para descubrir sistemas. A Nmap no le importa si el puerto está abierto o cerrado. se utiliza el procedimiento descrito anteriormente. En este caso los sistemas deberían responder con un paquete RST.h. -PA [lista de puertos] (Ping TCP ACK) El ping TCP ACK es muy parecido al ping SYN. Si no se especi ca ningún puerto se utiliza el puerto 31338. como el servidor web o el servidor de correo de la organización. que corresponden con los códigos 13. El sistema Net lter/iptables de Linux soporta esta posibilidad a través de la opción –state. Esta es también la forma en la que se gestiona esto en conexiones IPv6 ya que Nmap aún no puede crear paquetes IPv6 crudos. Un sistema que responde es porque está vivo y disponible. La opción -PA utiliza el mismo puerto por omisión que la sonda SYN (el puerto 80) y también puede tomar una lista de puertos destino en el mismo formato. Utilice la opción -PE para activar este comportamiento de solicitud de eco. El programa Net lter/iptables de Linux ofrece la opción –syn para implementar este acercamiento sin estados. Si no llega ninguna respuesta también se entiende que el sistema no está disponible. de información y de máscara de red. Sin embargo. tal y como se acaba de describir. aunque la solicitud eco es la consulta estándar de ping ICMP. Por ésta razón los sondeos que sólo utilizan el protocolo ICMP no son muy ables para analizar sistemas desconocidos en Internet. Si la llamada connect() devuelve un resultado de éxito rápidamente o un fallo ECONNREFUSED entonces se puede deducir que la pila TCP que tiene bajo ésta ha recibido un SYN/ACK o un RST y que puede marcar el sistema como disponible. Nmap no hace sólo esto. -PM (Tipos de ping ICMP) Nmap puede enviar los paquetes estándar que envía el programa ping además de los tipos de descubrimiento de equipos con TCP y UDP. Este acercamiento de ltrado sin estados toma pocos recursos de los cortafuegos/enrutadores y está ampliamente soportado por ltros hardware y software. Cuando se han implementado reglas de ltrado como éstas es posible que se bloqueen las sondas ping SYN (-PS) cuando éstas se envíen a un puerto cerrado. Se utiliza un puerto alto y poco común porque no es deseable enviar este sondeo a otro tipo de puertos.
Si no se recibe ninguna respuesta después de realizar algunas retransmisiones entonces el puerto se marca como ltrado. y ltrado. Nmap resuelve direcciones IP por si mismo enviando las consultas directamente a los servidores de nombres con gurados en el sistema. Si se recibe un paquete SYN/ACK esto indica que el puerto está abierto. Ya que DNS es generalmente lento. -R (Realizar resolución de nombres con todos los objetivos) Le indica a Nmap que deberá realizar siempre la resolución DNS inversa de las direcciones IP objetivo. SNMP. También funciona contra cualquier pila TCP en lugar de depender de la idiosincrasia especí ca de una plataforma concreta.conf (UNIX) o del registro (Win32). También muestra una clara y able diferenciación entre los estados abierto. Puede realizarse rápidamente. pero la mayoría de los equipos no tienen este tipo de sistemas de alarma. como pudiera ser una solicitud de eco ICMP. Se envía un paquete SYN. 161/162.7
sondeo de una red de área local Ethernet. algunos auditores de seguridad ignoran estos puertos. Nmap utiliza esta API para obtener la información de estado de cada intento de conexión. Nmap utiliza ARP para objetivos en la misma red local aún cuando se utilicen distintos tipos de ping (como -PE o -PS).> (Servidores a utilizar para las consultas DNS) Nmap generalmente determina los servidores DNS de su archivo resolv. y luego espera las respuestas. –dns-servers <servidor1[. porque es muy frecuente encontrarse servicios UDP vulnerables y los atacantes no ignoran estos protocolos. –system-dns (Utilizar resolución DNS del sistema) Por omisión. dado que los sistemas operativos no se escribieron pensando en que tendrían que hacer millones de consultas ARP contra sistemas no disponibles en un corto periodo de tiempo. Si recibe una respuesta. También. Maimon o pasivo. ya que no llega a completar las conexiones TCP. esto acelera un poco las cosas. Un IDS decente detectará cualquiera de los dos. porque no se llega a abrir una conexión TCP completa. Este método es más lento y raramente útil. Si no quiere hacer un sondeo ARP tiene que especi car la opción —send-ip. Esto hace que el sondeo ARP sea mucho más rápido y able que los sondeos basados en IP. pero también signi ca que los sistemas objetivos van a registrar probablemente la conexión. -sU (sondeos UDP) La mayoría de los servicios más habituales en Internet utilizan el protocolo TCP. También se marca el puerto como ltrado si se recibe un error de tipo ICMP no alcanzable (tipo 3. el sistema operativo debe determinar primero la dirección (ARP) correspondiente a la IP objetivo para poder dirigirse a ella en la trama Ethernet. ó 13). y DHCP (puertos registrados 53. los servicios UDP también son muy comunes. Varias solicitudes son realizadas en paralelo para mejorar el rendimiento. -n (No realizar resolución de nombres) Le indica a Nmap que nunca debe realizar resolución DNS inversa de las direcciones IP activas que encuentre. La llamada al sistema completa las conexiones para abrir los puertos objetivo. como los navegadores web o los clientes P2P. Esta opción no se utiliza si utiliza la opción –system-dns o está realizando un sondeo IPv6. Cuando Nmap intenta enviar un paquete IP crudo.
. -sS (sondeo TCP SYN) El sondeo SYN es el utilizado por omisión y el más popular . Esto es habitualmente un proceso lento y problemático. Puede utilizar esta opción para especi car sus propios servidores. 10. que escriben los paquetes a bajo nivel. en lugar de realizar el reseteo de la conexión medio abierta como hace el sondeo SYN. Afortunadamente. mientras que si se recibe un RST (reset) indica que no hay nada escuchando en el puerto. en lugar de leer las respuestas directamente de la línea. Especi ca esta opción si desea que sí utilice la resolución del sistema (una IP por vez utilizando la llamada getnameinfo()). lo que hace que sea menos e ciente. Por ello se utiliza por omisión cuando se analizan sistemas Ethernet si Nmap detecta que están en la red local. Dado que el sondeo UDP es generalmente más lento y más difícil que TCP. Éste es el método por omisión para los sondeos IPv6. Sólo puede utilizarse un método en un momento concreto. El sondeo SYN es relativamente sigiloso y poco molesto. Esto sucede cuando el usuario no tiene privilegios para enviar paquetes en crudo o cuando se están sondeando redes IPv6. D. a diferencia de otros tipos de sondeo. utilizan para establecer una conexión. Técnicas de sondeo de puertos Existen aproximadamente doce técnicas de sondeos de puertos que soporta Nmap. a no ser que hubiera un error en el código DNS de Nmap... como si se fuera a abrir una conexión real y después se espera una respuesta. 3. Nmap le pide al sistema operativo subyacente que establezcan una conexión con el sistema objetivo en el puerto indicado utilizando la llamada del sistema connect(). cerrado. Tres de los más comunes son los servicios DNS. La resolución a través de más de un servidor de DNS es generalmente más rápida que la consulta a uno solo. 9. Esto signi ca que se tarda más tiempo y son necesarios más paquetes para obtener la información.2. Nmap tiene menos control sobre la llamada de alto nivel Connect() que cuando utiliza paquetes en crudo. y 67/68 respectivamente). Nmap puede utilizarse para hacer un inventario de puertos UDP. Esto es un error. al contrario de lo que pasa con los sondeos de Nmap Fin/Null/Xmas. códigos 1.servidor2]. El sondeo ARP hace que sea Nmap y su algoritmo optimizado el que se encargue de las solicitudes ARP. -sT (sondeo TCP connect()) El sondeo TCP Connect() es el sondeo TCP por omisión cuando no se puede utilizar el sondeo SYN.. Ésta es la misma llamada del sistema de alto nivel que la mayoría de las aplicaciones de red. salvo por el sondeo UDP (-sU) que puede combinarse con cualquiera de los sondeos TCP. Normalmente se realiza esto sólo si se descubre que el objetivo se encuentra vivo. no se tiene ni que preocupar de los paquetes basados en IP dado que ya sabe que el sistema está vivo. A esta técnica se la conoce habitualmente como sondeo medio abierto. sondeando miles de
puertos por segundo en una red rápida en la que no existan cortafuegos.
FIN. lo que prueba que el puerto está abierto. Sólo tienes que juntar una combinación de URG. 25 ó 53) están ltrados. 3. Si su sondeo muestra 1000 puertos abiertos y 3 puertos cerrados o ltrados entonces es posible que sean estos últimos los que están abiertos en realidad. lo que signi ca que son alcanzables por el paquete ACK. -sA (sondeo TCP ACK) Es distinto de otros que se han discutido hasta ahora en que no puede determinar puertos abiertos (o incluso abiertosj ltrados). Así. Sondeo Xmas (-sX): Fija los bits de FIN. en lugar de imprimir no ltrado cuando se devuelve un RST. 9. código 1. código 3) entonces se marca el puerto como cerrado. Otra ventaja es que este tipo de sondeos son algo más sigilosos que. 9. a diferencia de los paquetes RST que envían los puertos TCP cerrados cuando responden a un sondeo SYN o Connect. Estos tres tipos de sondeos son exactamente los mismos en comportamiento salvo por las banderas TCP que se jen en los paquetes sonda. Depende de un detalle de implementación de una minoría de sistemas que existen en Internet. es posible que el sistema no tenga ningún puerto abierto. Si se recibe cualquier error ICMP no alcanzable (tipo 3. 3. -sX (sondeos TCP Null. Cuando se sondean sistemas no ltrados los puertos abiertos y cerrados devolverán un paquete RST.8
El sondeo UDP se activa con la opción -sU. Por supuesto. pero no se puede determinar si están abiertos o cerrados. incluso. PSH. muchos sistemas imponen una tasa máxima de mensajes ICMP de puerto inalcanzable por omisión. y Xmas) Estos tres tipos de sondeos aprovechan una inde nición en la RFC de TCP que diferencia los puertos abiertos y cerrados. Según el RFC 793 (TCP). un sondeo SYN considera que si no se recibe respuesta el puerto está ltrado mientras que si no se recibe una respuesta en un sondeo FIN se trata como abiertoj ltrado. Esto signi ca que el puerto podría estar abierto o que hay un ltro de paquetes bloqueando la comunicación. y para determinar si son rewalls con inspección de estados y qué puertos están ltrados. Mientras que no se enviará una respuesta si el puerto está cerrado. Los sistemas que no hacen ésto habitualmente harán que se muestren los puertos como cerrados. e IBM OS/400. Nmap marca el puerto como no ltrado. –scan ags (Sondeo TCP a medida) La opción –scan ags le permite diseñar su propio sondeo mediante la especi cación de banderas TCP arbitrarias. códigos 1. Los puertos cerrados son aún más comunes y son un problema mayor. Nmap se comportará igual que para el sondeo tipo base. Si no se recibe ninguna respuesta el puerto se marca como cerradoj ltrado. Además de poder especi car las banderas que desee se puede especi car el tipo de sondeo TCP Esto le dice a Nmap cómo debe interpretar las respuestas. Este sondeo no funciona contra sistemas basados en UNIX.
La sonda de un sondeo ACK sólo tiene jada la bandera ACK (a menos que utilice –scan ags). y FIN. y Xmas. Hace esto examinando el campo de ventana TCP del paquete RST devuelto. Nmap aprovecha esto con tres tipos de sondeo: Sondeo Null(-sN): No ja ningún bit (la cabecera de banderas TCP es 0) Sondeo FIN (-sF) : Solo ja el bit TCP FIN. iluminando el paquete como si fuera un árbol de Navidad. Si la mayoría de los puertos están cerrados pero alguno de los números de puertos comunes (como pueda ser el 22. Si se obtiene un error ICMP que indica que el puerto no es alcanzable (tipo 3. 10. 9. Se marca ltrado si se recibe un error ICMP no alcanzable (tipo 3. sin embargo. 2. Algunos sistemas operativos muy utilizados que hacen ésto son Microsoft Windows. Otro problema de estos sondeos es que no se puede distinguir los puertos abiertos de algunos puertos ltrados.
. Si no se ha recibido ninguna respuesta después de algunas retransmisiones entonces se clasi ca el puerto como abiertoj ltrado. código 1. -sM (sondeo TCP Maimon) Es exactamente la misma a los sondeos Null. y URG ags. 10. Algunos sistemas jan un tamaño de ventana positivo para puertos abiertos (incluso para paquetes RST) mientras que se utiliza una ventana de tamaño cero para los cerrados. -sN. PSH. o 13). SYN. Algunas veces hay sistemas que mostrarán el comportamiento justo contrario. o 13). con la diferencia de que utilizará las banderas TCP que usted especi que. Uno de los grandes problemas con el sondeo UDP es hacerlo rápidamente. Pero. un sondeo SYN. de que muchos sistemas derivados de BSD simplemente descartan el paquete si el puerto está abierto. ACK. o 13) se marca el puerto como ltrado. en lugar de listar el puerto como no ltrado cuando se recibe un RST. Se usa para mapear reglas de rewalls. -sW (sondeo de ventana TCP) Es igual al sondeo ACK que se aprovecha de un detalle de implementación de algunos sistemas que permite diferenciar puertos abiertos de los cerrados. aunque es más sencillo utilizar nombres simbólicos. Siempre y cuando se incluyan esos tres bits es válida la combinación de cualquiera de los otros tres (FIN. En algunas ocasiones se recibirá una respuesta al paquete UDP. RST. muchos dispositivos Cisco. respectivamente. 10. 2. Si se recibe un paquete RST entonces se considera que el puerto está cerrado. -sF. PSH. Los puertos que no responden o que envían mensajes de error ICMP en respuesta (tipo 3. entonces el sistema es posible que sea susceptible a ésto. pero en los que se envía una sonda FIN/ACK. Generalmente envían un error ICMP de puerto no alcanzable. y URG). Uriel se dio cuenta. así que no es siempre able. FIN. el sondeo de ventana permite listar el puerto como abierto o cerrado en función de si el valor de la ventana TCP en ese paquete RST es positivo o cero. BSDI. La opción –scan ags puede ser un valor numérico como el 9 (PSH y FIN). Puede combinarse con un tipo de sondeo TCP como el sondeo SYN (-sS) para comprobar ambos protocolos al mismo tiempo. La ventaja fundamental de este tipo de sondeos es que pueden atravesar algunos rewalls que no hagan inspección de estados. Los sondeos UDP funcionan mediante el envío (sin datos) de una cabecera UDP para cada puerto objetivo. lo que resulta en la respuesta abiertoj ltrado. Por ejemplo. 2. se debería generar un paquete RST cuando se responde a dicha sonda independientemente de si el puerto está cerrado o abierto. se marcan como ltrados.
El protocolo se marca como abiertoj ltrado si no se recibe ninguna respuesta después de las retransmisiones. Las tres excepciones son TCP.200 puertos conocidos. Informará que esos puertos se corresponden habitualmente con un servidor de correo (SMTP). códigos 1. Esto es más rápido que sondear todos los 65535 puertos de un sistema. técnicamente. Nmap puede hacer sondeos con rebotes de FTP con la opción -b.para sondear todos los puertos desde el 1 al 65535. Simplemente hace falta decirle al servidor de FTP que envíe un chero a cada puerto interesante del servidor objetivo cada vez. 9. Esta es una buena manera de atravesar cortafuegos porque. Nmap marca el protocolo como abierto si recibe una respuesta en cualquier protocolo del sistema objetivo. De esta forma. -sO (sondeo de protocolo IP) El sondeo de protocolo IP le permite determinar qué protocolos (TCP. código 2). -F (Sondeo rápido (puertos limitados)) Indica que sólo quiere sondear los puertos listados en el chero nmap-services que se incluye con nmap (o el chero de protocolos si indica -sO). dado que cambia los números de protocolo IP en lugar de los números de puerto TCP ó UDP. habitualmente. Generalmente
. Puede especi car un protocolo especí co cuando sondee puertos TCP y UDP si precede el número de puerto con T: o U:. Envía cabeceras de paquetes IP iterando por el campo de 8 bits que indica el protocolo IP. Es tan parecido a un sondeo de puertos que debe tratarse aquí. ICMP.9
-sI <sistema zombi [:puerto_sonda]> (Sondeo ocioso) Es un método de sondeo avanzado que le permite hacer un sondeo de puertos TCP a ciegas (lo que signi ca que no se envía ningún paquete al sistema objetivo desde su dirección IP real). IGMP. Nmap. Se incluye una cabecera de protocolo válida para éstos porque algunos sistemas no los enviarán sin ellas y porque Nmap ya tiene funciones para crearlas. Puede omitir el valor inicial y/o el valor nal del rango.) soportan los sistemas objetivo. 80/tcp y 53/udp. Pero también se puede utilizar la opción -p para seleccionar los números de protocolo a analizar. etc. en lugar de iterar por el campo de número de puerto de un paquete UDP. Esta opción puede abusarse a muchos niveles así que muchos servidores han dejado de soportarla. sondea todos los puertos hasta el 1024 además de algunos puertos con números altos listados en el chero nmap-services para los protocolos que se sondeen. Especi cación de puertos y orden de sondeo Nmap ofrece distintas opciones para especi car los puertos que se van a sondear y si el orden de los sondeos es aleatorio o secuencial. Las cabeceras generalmente están vacías y no contienen datos. En lugar de esto se utiliza un ataque con un canal alternativo que se aprovecha de la generación de la secuencia de los identi cadores de fragmentación IP del sistema zombi para obtener información de los puertos abiertos en el objetivo. 3. Esta opción especi ca el número de protocolo que quiere sondear (de 0 a 255) en el caso de que esté sondeando protocolos IP (-sO). -b <sistema de rebote ftp> (sondeo de rebote FTP) Una funcionalidad interesante en el protocolo FTP es la posibilidad de utilizar conexiones FTP de pasarela. los resultados se muestran en el formato de tabla utilizado para los puertos e incluso utiliza el mismo motor de sondeo que los métodos de sondeo de puertos reales. Esto no es. Tenga en cuenta que para sondear tanto UDP como TCP deberá especi car la opción -sU y al menos un tipo de sondeo TCP. -r (No aleatorizar los puertos) Nmap ordena de forma aleatoria los puertos a sondear por omisión. un sondeo de puertos. Una de las formas de abusar de ésta es utilizar el servidor de FTP para hacer un sondeo de puertos a otro sistema. los servidores de FTP de una organización están ubicados en un lugar en el que tienen más acceso a otros sistemas internos que el acceso que tiene un equipo en Internet. La diferencia puede ser muy grande si especi ca su propio chero nmap-services más pequeño si utiliza la opción –datadir. E. Detección de servicios y de versiones Si le indica a Nmap que mire un sistema remoto le podrá decir que tiene abiertos los puertos 25/tcp. Si no se da un cali cador de protocolo se añadirán los números de puerto a las listas de todos los protocolos. así como rangos de puertos. El cali cador dura hasta que especi que otro cali cador. El sondeo de protocolos utiliza mecanismos parecidos al sondeo UDP. Los sistemas IDS mostrarán que el sondeo lo está realizando el sistema zombi que especi que (que debe estar vivo y cumplir algunos requisitos). El mensaje de error devuelto indicará si el
puerto está abierto o no. Nmap utilizará 1 ó 65535 respectivamente. puede especi car -p. UDP e ICMP. Así que puede analizar el mismo objetivo con zombis distintos que cree que podrían ser de con anza para éste. El sondeo de protocolos espera la recepción de mensajes de ICMP protocolo no alcanzable en lugar de mensajes ICMP puerto no alcanzable. Si se reciben otros errores ICMP no alcanzable (tipo 3.
F. pero si lo desea puede especi car la opción -r para analizar de forma secuencial los puertos. 10. -p <rango de puertos> (Sólo sondea unos puertos especícos) Esta opción especi ca los puertos que desea sondear y toma precedencia sobre los valores por omisión. Puede especi car tanto números de puerto de forma individual. por omisión. La diferencia de velocidad con el sondeo TCP por omisión (unos 1650 puertos) no es muy alta dado que esta lista contiene muchos puertos TCP (más de 1200). ni siquiera tienen una cabecera apropiada para el protocolo que se indica. servidor de web (HTTP) o servidor de nombres (DNS). Esta aleatorización generalmente es deseable. El listado de puertos muestra los puertos abiertos desde la perspectiva del sistema zombi. Se permite sondear el puerto cero siempre que lo especi que explícitamente. Se marca como cerrado si se recibe un error ICMP de protocolo no alcanzable (tipo 3. si utilizas su base de datos nmapservices con más de 2. De hecho. Además de ser extraordinariamente sigiloso este tipo de sondeo permite determinar las relaciones basadas en IP entre distintos sistemas. o 13) se marca el protocolo como ltrado (aunque al mismo tiempo indican que el protocolo ICMP está abierto).
telnet ó http). la familia de sistema operativo (Windows o Linux) y algunas veces algunos detalles misceláneos . El valor de intensidad puede variar de 0 a 9. el soporte de opciones TCP y su orden. –version-light (Activar modo ligero) Éste es un alias conveniente para –version-intensity 2. Los señuelos no funcionan con el sondeo RPC actualmente. Nmap compara los resultados de una docena de pruebas como puedan ser el análisis de ISN de TCP. Esta base de datos consta de más de 1500 huellas de sistema operativo y cuando existe una coincidencia se presentan los detalles del sistema operativo. un número de versión. Es un conjunto de lo que obtendría si utilizara la opción –packet-trace. lo que da lugar a la impresión de múltiples páginas con solicitudes HTTP get. los programas y número de versión que están detrás. mayor las probabilidades de identi car el servicio. Así. intentos de conexión de SSL. o especi cando –allports para sondear todos los puertos independientemente de lo de nido en la directiva Exclude. servidores de correo. ssh. Puede utilizar la opción -A en su lugar para activar tanto la detección de versiones como la detección de sistema operativo. De esta forma se asegura que las sondas de DNS se probarán contra cualquier puerto abierto 53.por ejemplo. Tenga en cuenta que la opción -A de Nmap actualiza la detección de versiones entre otras cosas. Los puertos TCP en estado openj ltered se tratan de forma similar. una clasi cación que indica el nombre del proveedor
. la mayoría de los servicios no ofrecen toda esta información. Toma todos los puertos TCP/UDP que se han encontrado y los inunda con órdenes de programa NULL SunRPC con el objetivo de determinar si son puertos RPC y. Algunos puertos UDP se quedan en estado openj ltered si un barrido de puertos UDP no puede determinar si el puerto está abierto o ltrado. –version-all (Utilizar todas las sondas) Éste es un alias para –version-intensity 9. con su base de datos nmap-os.
–version-intensity <intensidad> (Fijar la intensidad de la detección de versiones) Nmap envía una serie de sondas cuando se activa la detección de versiones (-sV) con un nivel de rareza pre-asignado y variable de 1 a 9. Aún en el caso de que Nmap tenga razón y el servidor está ejecutando servidores de SMTP. La detección de versiones le ayuda a obtener esta información. Detección de sistema operativo Uno de los aspectos más conocidos de Nmap es la detección del sistema operativo en base a la comprobación de huellas TCP/IP. etc. Este modo hace que la detección de versiones sea más rápida pero también hace que sea menos probable identi car algunos servicios. si es así. la versión de protocolo SSH o el nombre de usuario Kazaa). etc. Este comportamiento puede cambiarse modi cando o eliminando la directiva Exclude en nmap-service-probes. en realidad. un tipo de dispositivo ( impresora o router). HTTP y DNS esto no dice mucho. Se probará una sonda independientemente del nivel de intensidad cuando ésta se registra para el puerto objetivo a través de la directiva nmapservice-probes ports.10
este informe es correo dado que la gran mayoría de demonios que escuchan en el puerto 25 TCP son. el análisis de IPID y las comprobaciones de tamaño inicial de ventana. G. el nombre de la aplicación ( Bind de ISC.ngerprints. Nmap intenta determinar el protocolo del servicio (ftp. mientras que las de números más altos se utilizan rara vez. Cada huella contiene una descripción en texto libre del sistema operativo. Cuando haga un análisis de vulnerabilidades (o tan sólo un inventario de red) en su propia empresa o en su cliente lo que habitualmente también quiere saber es qué versión se está utilizando del servidor de correcto y de DNS. hace que se utilicen todas las sondas contra cada puerto. Nmap envía una serie de paquetes TCP y UDP al sistema remoto y analiza prácticamente todos los bits de las respuestas. las sondas SSL contra el puerto 443. La base de datos nmap-service-probes contiene sondas para consultar distintos servicios y reconocer y tratar distintas respuestas en base a una serie de expresiones. La detección de versiones pregunta para obtener más información de lo que realmente se está ejecutando una vez se han detectado los puertos TCP y/o UDP con alguno de los métodos de sondeo. –version-trace (Trazar actividad de sondeo de versiones) Esta opción hace que Nmap imprima información de depuración detallada explicando lo que está haciendo el sondeo de versiones. los sondeos de alta intensidad tardan más tiempo. telnetd de Solaris). La detección de versiones se activa y controla con las siguientes opciones: -sV (Detección de versiones) Activa la detección de versiones como se ha descrito previamente. La detección de versiones intentará obtener una respuesta de estos puertos y cambiará al estado abierto si lo consigue. Puede ayudar mucho a la hora de determinar qué ataques pueden afectar a un servidor el saber el número de versión exacto de éste. Sin embargo. Esta opción se activa automáticamente como parte de la detección de versiones (-sV) si la ha seleccionado. Se utiliza la herramienta de pruebas RPC de Nmap (-sR) de forma automática para determinar el programa RPC y el número de versión si se descubren servicios RPC. –allports (No excluir ningún puerto de la detección de versiones) La detección de versiones de Nmap omite el puerto TCP 9100 por omisión porque algunas impresoras imprimen cualquier cosa que reciben en este puerto. si un servidor X acepta cualquier conexión externa. http de Apache. Las sondas con un número bajo son efectivas contra un amplio número de servicios comunes. Si se ha compilado Nmap con soporte OpenSSL se conectará también a servidores SSL para determinar qué servicio escucha detrás de la capa de cifrado. -sR (Sondeo RPC) Este método funciona conjuntamente con los distintos métodos de sondeo de puertos de Nmap. Por supuesto. El valor por omisión es 7. Cuanto más alto sea el número. El nivel de intensidad indica que sondas deberían utilizarse. puede obtener de una forma efectiva la misma información que rpcinfo -p aunque el mapeador de puertos está detrás de un cortafuegos (o protegido por TCP wrappers).
La detección de sistema operativo activa. una cabecera TCP de veinte bytes se dividiría en 3 paquetes.
H. La mayoría de los equipos estarán en la clase “incremental”. De esta forma. sistemas de detección de intrusos y otras molestias detecten lo que se está haciendo. Aunque la utilización de paquetes fragmentados no le ayudará a saltar los ltros de paquetes y cortafuegos que encolen todos los fragmentos IP (como cuando se utiliza la opción CONFIG_IP_ALWAYS_DEFRAG del núcleo de Linux). Especi ca la opción -f otra vez para utilizar fragmentos de dieciséis bytes (reduciendo la cantidad de fragmentos). Dos con ocho bytes de cabecera TCP y uno con los últimos ocho. Esta prueba mide de forma aproximada cuánto de difícil es crear una conexión TCP falsa contra el sistema remoto. Aunque esta técnica puede vencerse mediante el seguimiento
.señuelo2][. que utiliza la opción de marca de tiempo TCP (RFC 1323) para adivinar cuánto hace que un equipo fue reiniciado. Esto hace que sean vulnerables a algunos ataques avanzados de obtención de información y de falseo de dirección. El sniffer da un fallo de segmentación inmediatamente después de recibir el primero de estos pequeños fragmentos. pero no sabrán qué dirección IP está realizando el análisis y cuáles son señuelos inocentes. están monitorizando cada vez más el trá co con sistemas de detección de intrusos (IDS. una serie de pruebas que hacen uso de la información que ésta recoge. -f (fragmentar los paquetes). –osscan-limit (Limitar la detección de sistema operativo a los objetivos prometedores) La detección de sistema operativo funcionará mejor si se dispone de un puerto TCP abierto y otro cerrado. algunas redes no pueden tolerar la pérdida de rendimiento que esto produce y deshabilitan esa opción. Una de estas pruebas es la medición de tiempo de actividad. Si envía esta información contribuirá al conjunto de sistemas operativos que Nmap conoce y la herramienta será así más exacta para todo el mundo. Esta opción puede ahorrar tiempo. Nmap ofrece varias funcionalidades para ayudar a entender estas redes complejas. No utilice la opción -f si utiliza –mtu. además de restringir la actividad de red. lo que signi ca que incrementan el campo ID en la cabecera IP para cada paquete que envían. en cualquier caso. De na esta opción si no quiere que Nmap intente siquiera la detección de sistema operativo contra sistemas que no cumplan este criterio. Nmap le indicará una URL donde puede enviar las huellas si conoce con seguridad el sistema operativo que utiliza el equipo si no puede adivinar el sistema operativo de éste y las condiciones son óptimas (encontró al menos un puerto abierto y otro cerrado). También se puede utilizar la opción -A para activar la detección de sistema operativo y de versiones. la versión del SO y el tipo de dispositivo. Esto no va a ser más fácil en el futuro. Evasión de cortafuegos/IDS y falsi cación Los ltros de red como los rewalls pueden hacer muy difícil el análisis de una red. cada fragmento tiene su propia cabecera IP. Un ejemplo de ésto es Linux con el módulo de seguimiento de conexiones de iptables. De esta manera sus IDS pueden llegar a informar de que se están realizando de 5 a 10 sondeos de puertos desde distintas direcciones IP. Incluso tiene mecanismos para saltarse las defensas que no hayan sido implementadas del todo correctamente. Se utiliza cuando se quiere hacer uso de relaciones de con anza basadas en la dirección IP origen para ocultar la fuente de un ataque. a veces. Esto hace creer que los equipos que utilice como señuelos están también haciendo un sondeo de la red. Ya no se hace habitualmente este tipo de malversación pero aún existen muchos equipos que son vulnerables a ésta. Cualquiera de estas dos opciones (equivalentes) harán que Nmap intente aproximar los resultados de una forma más agresiva. –osscan-guess.11
. Otra prueba que se realiza es la clasi cación de predicción de número de secuencia TCP.. Especi ca esta opción una sola vez y Nmap dividirá los paquetes en ocho bytes o menos después de la cabecera de IP. Las compañías. –fuzzy (Aproximar los resultados de la detección de sistema operativo) Cuando Nmap no puede detectar un sistema operativo que encaje perfectamente a veces ofrecerá posibilidades que se aproximen lo su ciente. se realizan sondeos previos a un ataque. La detección de sistema operativo se activa y controla con las siguientes opciones: -O (Activa la detección de sistema operativo) Activa la detección de sistema operativo. Las opciones tienen que aproximarse mucho al detectado para que Nmap haga esto por omisión. y que también sirven para veri car que los ltros funcionan como se espera de ellos..ME]. El tamaño debe ser múltiplo de 8. Obviamente. -D <señuelo1 [. Todos los IDS principales vienen preinstalados con reglas diseñadas para detectar sondeos de Nmap porque. Muchos de estos productos han mutado recientemente para convertirse en sistemas de prevención de intrusiones (IPS) que bloquean activamente el trá co reconocido como maligno. sobre todo si está realizando sondeos -P0 sobre muchos sistemas.> (Esconde un sondeo con señuelos) Realiza un sondeo con señuelos. el sistema operativo subyacente. ya que uno de los objetivos de estos dispositivos es generalmente limitar el reconocimiento casual de la red. Otros no pueden habilitar esta opción porque los fragmentos pueden tomar distintas rutas para entrar en su red. Algunos sistemas desfragmentan los paquetes salientes en el núcleo. –mtu (utilizar el MTU especicado) La opción -f hace que el sondeo solicitado utilicen paquetes IP fragmentados pequeños. Esta prueba sólo funciona en sistemas que ofrecen esta información.. O puedes especi car tu propio tamaño con la opción –mtu. También se informa de la generación de números de secuencia IPID cuando se activa el modo detallado conjuntamente con la opción -O. La idea es dividir la cabecera del paquete TCP entre varios paquetes para hacer más difícil que los ltros de paquetes. Intrusion Detection Systems). Esta información sólo se ofrece en la salida normal en el modo detallado (-v). En cualquier caso.
puede utilizar la opción -S con la dirección IP de la interfaz a través de la cual quieres enviar los paquetes. Esta opción le dice a Nmap que añada el número indicado de bytes aleatorios a la mayoría de los paquetes que envía. La MAC dada puede tener varios formatos. Nmap mirará en nmap-mac-pre xes para encontrar un fabricante cuyo nombre coincida con el parámetro utilizado (en esta búsqueda no diferenciará entre mayúsculas y minúsculas). Esta opción activa implícitamente la opción –send-eth para asegurar que Nmap envía los paquetes del nivel Ethernet. al igual que los sondeos UDP. SYN. –source-port <número_de_puerto>. Esto puede hacer que el sondeo sea menos obvio para algunos sistemas de monitorización de la red. Otro caso conocido es el de las versiones de Zone Alarm Firewall Personal que. ACK. pero se lo dirá si no. Nmap utilizará la MAC indicada si el parámetro es un número par de dígitos hexadecimales. Los administradores de red con mucho trabajo no son los únicos que caen en esta trampa. muchos administradores caen en la trampa de con gurar su sistema de ltrado para permitir el trá co entrante desde estos puertos. –badsum (Envía paquetes con sumas de comprobación
. Si se encuentra algún fabricante. Nmap elegirá una MAC completamente aleatoria para la sesión si se utiliza el valor “0”. Nmap debe utilizar distintos números de puerto para ciertos tipos de prueba en la detección de sistema operativo para que funcionen correctamente. permitían cualquier
paquete entrante UDP desde el puerto 53 (DNS) o 67 (DHCP). Una solución alternativa es generar la lista de sistemas a sondear con un sondeo de lista (-sL -n -oN < chero>). y las solicitudes de DNS ignoran la opción –source-port porque Nmap depende de las librerías del sistema para hacerlas. En esta situación. Nmap debería detectar esto automáticamente.12
del camino de los enrutadores. ordenarlo aleatoriamente con un script de Perl. y también sería recomendable la opción -P0. Se utilizan los señuelos tanto para el sondeo de ping inicial (si se utiliza ICMP. incluyendo el sondeo SYN. Así. recibe de repente quejas de todos sus usuarios desagradecidos que le dicen que sus aplicaciones han dejado de funcionar. Otro ejemplo habitual es el caso del FTP. descarte de respuesta (responsedropping). Desgraciadamente. ¡Imagine una compañía a los que les sondea repetidamente la competencia! Generalmente es necesaria la opción -e si lo quiere utilizar así. pre jo o nombre del fabricante> (Falsi ca la dirección MAC) Solicita a Nmap que use la MAC dada para todas las tramas de Ethernet enviadas. –randomize-hosts (Mezclar aleatoriamente la lista de equipos a sondear) Indica a Nmap que debe mezclar aleatoriamente cada grupo de hasta 8096 equipos antes de hacer un sondeo. generalmente es una técnica efectiva para esconder su dirección IP. En particular. Nmap rellenará los 6 bytes restantes con valores aleatorios si se dan menos de 12 dígitos hexadecimales. Si el argumento no es ni 0 ni un conjunto de dígitos hexadecimales. -e <interfaz> (Utilizar la interfaz especi cada) Indica a Nmap a través de qué interfaz debe enviar y recibir los paquetes. Los ltros de IPsec que se preinstalan con Windows 2000 y Windows XP contienen una regla implícita que permite todo el trá co TCP o UDP desde el puerto 88 (Kerberos).h y recompile el programa. Si quiere mezclar aleatoriamente listas más grandes. Existen soluciones seguras para estos problemas. el servidor remoto intenta establecer una conexión de vuelta con el cliente para transferir el archivo solicitado. Nmap le pondrá en una posición aleatoria. o cualquier otro) como durante la fase de sondeo. Si no utiliza ME. especialmente cuando se combina con las opciones que ralentizan el sondeo. y puede utilizar ME (YO) como uno de los señuelos para representar la posición de su verdadera dirección IP. los paquetes TCP que envía son generalmente de 40 bytes y las solicitudes echo de ICMP son de tan sólo 28. Muchos productos se lanzan al mercado con estas reglas inseguras. Al darse cuenta que las respuestas de DNS vienen del puerto 53 y que las conexiones activas de FTP vienen del puerto 20. y luego darle a Nmap la lista entera con la opción -iL. y otros mecanismos activos. –spoof-mac <dirección MAC. Simplemente indique el número de puerto y Nmap enviará los paquetes desde ese puerto cuando sea posible. -S <Dirección_IP> (Falsi ca la dirección de origen) Nmap puede que no sea capaz de determinar tu dirección IP en algunas ocasiones (Nmap se lo dirá si pasa). Esta opción hace que el sondeo sea un poco más lento.25. Otro uso alternativo de esta opción es la de falsi car la dirección para que los objetivos del análisis piensen que algún otro los está sondeando. pero también que el sondeo sea un poco más difícil de detectar. Se debe separar cada equipo de distracción mediante comas. pero sí a la mayoría de los paquetes de ping y de sondeo de puertos. Si pone ME en la sexta posición o superior es probable que algunos detectores de sondeos de puertos habituales ni siquiera muestren su dirección IP. puede romperse el DNS porque las respuestas UDP de DNS de servidores externos ya no pueden entrar en la red. Esta opción no afecta a los paquetes enviados para la detección de sistema operativo (-O). Hasta Microsoft lo ha hecho. Nmap ofrece las opciones -g y –source-port para aprovecharse de estas debilidades. Esta opción se soporta completamente en muchos sondeos TCP. como las pasarelas en el nivel de aplicación o los módulos de cortafuegos que realizan un análisis del protocolo. Un administrador que está con gurando su nuevo rewall. -g <número_de_puerto> (Falsi car el puerto de origen) Un error de con guración sorprendentemente común es conar en el trá co basándose únicamente en el número de puerto origen.1. Es fácil entender por qué pasa esto. –data-length <número> (Añadir datos aleatorios a los paquetes enviados) Normalmente Nmap envía paquetes mínimos que contienen sólo la cabecera. Nmap utilizará el OUI del fabricante (pre jo de 3 bytes) y rellenará los otros 3 bytes aleatoriamente. también hay soluciones más fáciles y menos seguras. hasta la versión 2. En una transferencia activa de FTP. incremente el valor de la constante PING_GROUP_SZ en nmap. –ttl <valor> (Indica el valor del campo tiempo-de-vida de la cabecera IP) Establece el campo tiempo de vida (time-to-live) en la cabecera de los paquetes IPv4 al valor especi cado. También se utilizan los señuelos durante la detección de sistema operativo (-O).
TCP/UDP erróneas) Esta opción le indica a Nmap que debe generar sumas de comprobación inválidas para los paquetes que se envíen a los equipos objetivos. dado que la mayoría de las pilas IP descartan estos paquetes.
. Cualquier respuesta que se reciba vendrá de un cortafuegos o un IDS que no comprobó la suma.
Sign up to vote on this titleUsefulNot usefulNMAP by Thomas Ramirez0.0 (0)EmbedDownloadRead on Scribd mobile: iPhone, iPad and Android.Copyright: Attribution Non-Commercial (BY-NC)List price: $0.00Download as PDF, TXT or read online from ScribdFlag for inappropriate contentMore informationShow less

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución