FrikiDeTodoUnPoco: Nmap

Mostrando entradas con la etiqueta Nmap. Mostrar todas las entradas

martes, 8 de noviembre de 2011

Miniguia de nmap

En muchos casos nos encontramos con problemas en la red que requieren de pruebas rigurosas para poder ser detectados. La herramienta nmap, es gratuita y nos sirve para saber que Servicios, puertos, NetBIOS, Sistemas Operativos, etc están en el PC o bien en un equipo remoto.

Estas características suelen sernos de mucha ayuda al ver si un PC dentro de la red con un servicio particular realmente es accesible al puerto configurado desde otro ordenador.

La forma en la cual muestra el estado de los puertos es:

OPEN: Esto indica que la aplicación de la máquina remota se encuentra esperando conexiones en el puerto indicado.
CLOSED: Esto indica que no hay ninguna aplicación escuchando en dicho puerto.
FILTERED: Indica que un cortafuegos, filtro u otro obstáculo en la red está bloqueando el acceso a ese puerto.

Para lanzar la aplicación, deberemos escribir en la consola nmap (opción) (IP).

Lista de Opciones

Escaneo:
nmap -sP 192.168.1.10  # solo ping
nmap -sS 192.168.1.10 # tcp syn
nmap -sT 192.168.1.10 # tcp connect (three-way-handshake)
nmap -sU 192.168.1.10 # udp
nmap -sN 192.168.1.10  # tcp null
nmap -sF 192.168.1.10  # tcp fin
nmap -sA 192.168.1.10  # tcp ack
nmap -sX 192.168.1.10   # tcp christmas tree (fin + push + urg)
nmap –scanflags URGACKPSHRSTSYNFIN 192.168.1.10  # tcp a medida
nmap -F 192.168.1.10 # escaneo rápido (los 100 puertos más conocidos)
nmap –top-ports 192.168.1.10  # los 10 puertos más conocidos
nmap -p http,https 192.168.1.10  # nombre de puertos
nmap -p 1-80 192.168.1.10  # rango de puertos
nmap -p U:1-50,T:51-100 192.168.1.10  # rango de puertos por protocolo
nmap -p “*” -r 192.168.1.10  # todos los puertos secuencialmente

Detección:
nmap -O 192.168.1.10 # sistema operativo
nmap -sV 192.168.1.10 # versión de los servicios

Evasión:
nmap -f 192.168.1.10 # fragmentar en paquetes ip de 8 bytes
nmap –mtu 16 192.168.1.10 # fragmentar en paquetes ip de 16 bytes
nmap -D RND:5 192.168.1.10 # genera 5 @ip aleatorias (señuelos)
nmap -sI 192.168.1.20 192.168.1.10 # escaneo utilizando un zombie
nmap –source-port 80 192.168.1.10 # puerto de origen 80
nmap –data-length 40 bytes 192.168.1.10 # añade 40 bytes
nmap –spoof-mac 0 192.168.1.10 # utiliza una @mac de origen aleatoria

Logs:
nmap -oN ft.txt 192.168.1.10 # fichero de texto
nmap -oX fx.xml 192.168.1.10 # fichero xml

Descubrimiento:
nmap -PN 192.168.1.10 # no hagas ping
nmap -PS 192.168.1.10 # ping tcp syn
nmap -PA 192.168.1.10 # ping tcp ack
nmap -PU 192.168.1.10 # ping udp
nmap -PY 192.168.1.10 # ping sctp init
nmap -PE 192.168.1.10 # ping icmp echo
nmap -PP 192.168.1.10 # ping icmp timestamp
nmap -PM 192.168.1.10 # ping icmp address mask
nmap -PO 192.168.1.10 # ping protocolo ip
nmap -PP 192.168.1.10 # ping arp
nmap —traceroute 192.168.1.10 # traceroute

Os invito a probar esta interesante herramienta.

Fuente:http://www.nosolounix.com/2011/11/uso-de-nmap.html

Como saber si alguien se conecta-me roba wiffi

Este tema puede ser interesante si queremos saber cómo detectar a los pcs intrusos que se puedan estar colando en nuestra wifi:
Lo primero seria averiguar cuales son las direcciones IP de nuestro Pc y de nuestro Router, para ello:
Averiguar la dirección IP de nuestro PC:
* Para saber la IP de nuestro Pc ejecutamos en la terminal el comando ifconfig
y nos fijamos en la linea:
wlan0 Link encap:Ethernet direcciónHW 00:1c:bf:6f:1d:39
Direc. inet: 192.168.0.XXX
Esa dirección es la de nuestro Pc: 192.168.0.XXX
Averiguar la dirección IP de nuestro Router:
Si la IP de tu ordenador es 192.168.0.XXX , seguramente la IP de tu router sera 192.168.0.1
Si la IP de tu ordenador es 192.168.1.XXX , seguramente la IP de tu router sera 192.168.1.1
Viendo la IP de tu pc , puedes “deducir” la de tu router, ya que por norma general es la misma IP pero acabado en “1″. Para confirmar la dirección del router lo mejor es ingresar dicha dirección en el Navegador ( Firefox ) y ver si se abre la ventana de configuración del router.
Detección con la terminal:
1.- Instalar el paquete nmap. En Ubuntu y derivados, esto sería así:
sudo apt-get install nmap
2.- Ejecutar nmap
nmap -sP IP_del_Router (por ejemplo nmap -sP 192.168.0.1/24 …donde 192.168.0.1 es la dirección IP del router ).
Con este comando, le pedimos al nmap que nos muestre sólo (-sP) las IPs de los hosts conectados en la red; cabe mencionar que el .1 del final no importa ya que al mandarle la mascara de red /24 explorara 255-2=253 hosts posibles.
La salida va a ser algo parecido a esto:
Starting Nmap 5.51 at 2011-08-23 01:27 ART
Nmap scan report for 192.168.0.1
Host is up (0.0019s latency).
Nmap scan report for 192.168.0.XXX
Host is up (0.00037s latency).
Nmap done: 256 IP addresses (2 hosts up) scanned in 2.78 seconds
En este caso, sólo se encuentran activos el router (192.168.0.1 ) y el pc conectado a la wifi de forma “legal” ( 192.168.0.XXX)
Si aparece alguna otra dirección ésta será la de algún pc intruso, en cuyo caso lo mejor que podemos hacer es: desactivar momentáneamente la wifi del pc, conectar el pc con el router de forma cableada, acceder a la dirección del router y cambiar la contraseña de la wifi, volver a conectar el pc via wifi, y por último realizar la detección para comprobar que esta vez no hay intrusos.
————————
Detección con un programa gráfico:
- Se puede instalar el paquete zenmap , que es un programa gráfico del comando nmap.
- Se ejecuta el programa con la orden: gksu zenmap ( hay que ejecutarlo con permisos de root )
- Se crea un perfil nuevo ( detectar intrusos) con el comando arriba indicado:
( nmap -sP IPdelrouter ) , y se guarda dicho perfil
- Se selecciona y ejecuta dicho perfil, y nos da la misma información que en la terminal

Fuente:http://hatteras.wordpress.com/2011/11/07/como-detectar-si-alguien-se-conecta-a-nuestra-wifi/

viernes, 2 de septiembre de 2011

Más allá de las medidas de seguridad que implementemos en nuestras redes WiFi, estas son víctimas potenciales a ser invadidas por conexiones indeseadas que no solo consumirán nuestro ancho de banda, sino que también podrán acceder a nuestros archivos, por eso es mejor estar preparados ante este eventualidad con un script que monitoree nuestra red WiFi.

Hace un tiempo vimos cómo utilizar una herramienta llamada nmap para descubrir los puertos abiertos de una PC, laptop, teléfono o inclusive un router apenas especificando su dirección IP.

Esta misma herramienta permite, además, detectar las IPs de las PCs, laptops, teléfonos, routers o cualquier otra cosa que se haya conectado a tu red. Esto puede ser de gran utilidad, como es obvio, para detectar intrusos en tu red wifi.

Cómo detectar a los intrusos

1.- Instalar nmap. En Ubuntu y derivados, esto sería así:

sudo apt-get install nmap

Aquellos que usen otras distros encontrarán nmap en los repositorios oficiales, así que su instalación es bien sencilla. En el caso de Arch Linux, nmap se encuentra en los repositorios AUR.

2.- Ejecutar nmap

nmap -sP 192.168.0.1/24

...donde 192.168.0.1 es el IP de mi router.

Con este comando, le pedimos al nmap que nos muestre sólo (-sP) las IPs de los hosts conectados en la red, cabe mencionar que el .1 del final no importa ya que al mandarle la mascara de red /24 explorara 255-2=253 hosts posibles.

La salida va a ser algo parecido a esto:

Starting Nmap 5.51 ( http://nmap.org ) at 2011-08-23 01:27 ART
Nmap scan report for 192.168.0.1
Host is up (0.0019s latency).
Nmap scan report for 192.168.0.102
Host is up (0.00037s latency).
Nmap done: 256 IP addresses (2 hosts up) scanned in 2.78 seconds

En mi caso, sólo se encuentran activos el router y mi laptop.

Si al hacer esto viésemos un host, con su número de IP correspondiente, que no reconocemos, es probable que estén utilizando nuestra red wifi sin nuestra autorización.

Script para que nos alerte cuando alguien se conecte

Franklin Aliaga tuvo la amabilidad de crear un script que automatiza la utilización de nmap para escanear tu red en busca de intrusos.

Los pasos a seguir son:

1.- Instalar las dependencias necesarias:

sudo apt-get install libnotify-bin nmap

2.- Crear el script.

sudo gedit alertared

y luego, pegamos el siguiente texto dentro del archivo recién creado:

#!/bin/bash
#script creado por: franklin aliaga
#si no tienes nmap digita sudo apt-get install nmap
#con este comnado de nmap nos muestra los hosts conectados
#y los guarda en un archivo *.txt

#script mejorado y actualizado por: microstudi (lector de tuxapuntes)

# Modifica esta linea a tu gusto si deseas guardar los temporales en otra ruta.

ARCHIVOS="$HOME/bin/hosts"

/usr/bin/nmap -sP 192.168.2.1/24 -oG $ARCHIVOS/hosts_ip.txt

#aqui cortamos el formato obtenido anteriormente de archivo para solo obtener las ip’s
#y mandarlo a otro archivo *.txt
cat $ARCHIVOS/hosts_ip.txt | grep Host | cut -c 7-20 | tr -d "\()" > $ARCHIVOS/host_ip1.txt

#aqui capturamos el numero de lineas que tiene nuestro archivo
#en este caso la cantidad de ip’s que hay en el archivo
contador=$(wc -l $ARCHIVOS/host_ip1.txt | cut -c 1-2)

#aqui obtenemos la nuestra ip
ip=$(/sbin/ifconfig eth0 | grep "inet addr" | awk ‘{print $2}’ | cut -c 6-)
echo "Mi ip: $ip"
total=$(expr $contador – 1)

var=0

while [ $var -le $total ]; do
let var=$var+1
#capturamos la ip por linea
linea=$(cat $ARCHIVOS/host_ip1.txt | sed -n "$var p")
if [ $linea != "192.168.2.1" ]; then
if [ $linea != $ip ]; then
/usr/bin/notify-send "Conectado $linea"
#Para enterar-se por la consola también:
echo "Conectado $linea"
fi
fi
done

3.- Le damos permisos de ejecución:

sudo chmod +x alertared

4.- Finalmente, agregamos el script a crontab para que se ejecute cada tanto:

crontab -e

Y añadimos la linea:

*/3 * * * * /home/tu nombre de usuario/alertared

Aquellos que estén buscando una alternativa más completa para la detección de intrusos deberían probar AutoScan Network.

Fuente:http://usemoslinux.blogspot.com/2011/09/como-detectar-intrusos-en-tu-red-wifi.html

lunes, 22 de agosto de 2011

Descubrir los hosts de una red con nmap

La utilidad nmap se asocia a un escaner de puertos, pero también podemos usarlo para descubrir hosts que respondan a ping sin realizar ningún escaneado de puertos.
Mediante la opción -sn podemos deshabilitar el escaneado de puertos para usar únicamente el host discovery:

-sn: Ping Scan - disable port scan

A continuación únicamente deberemos indicar la red a descubrir para obtener todos los host que respondan a ping:

$ sudo nmap -sn 10.1.9.0/24

Starting Nmap 5.50 ( http://nmap.org ) at 2011-08-18 19:55 CEST
Nmap scan report for 10.1.9.0
Host is up (0.0092s latency).
Nmap scan report for 10.1.9.1
Host is up (0.024s latency).
Nmap scan report for 10.12.9.3
Host is up (0.024s latency).
Nmap scan report for 10.1.9.4
Host is up (0.024s latency).
Nmap scan report for 10.1.9.5
Host is up (0.024s latency).
Nmap scan report for 10.1.9.6
Host is up (0.024s latency).
Nmap scan report for 10.12.9.7
Host is up (0.024s latency).
Nmap scan report for 10.1.9.11
Host is up (0.0097s latency).
Nmap scan report for 10.1.90.13
Host is up (0.014s latency).
Nmap scan report for 10.1.9.14
Host is up (0.013s latency).
Nmap scan report for 10.1.9.254
Host is up (0.0064s latency).
Nmap done: 256 IP addresses (11 hosts up) scanned in 1.76 seconds

Fuente:http://systemadmin.es/2011/08/descubrir-los-hosts-de-una-red-con-nmap

miércoles, 26 de enero de 2011

Auditoria de seguridad con Nmap, detectar un intruso en tu red wiffi

Si alguna vez sospechas que tienes algún intruso dentro de tu red puedes comprobarlo con Nmap. Nmap monitorea tu red en busca de las maquinas conectadas, mira los puertos abiertos, identifica sistemas operativos, etc...

---------------------------------------------------------------------------------------------------------------------------------------------------------------------

Últimamente he trasteando un poco con las redes wireless y aunque ya habia leido sobre el tema he comprobado lo vulnerables que son. Una clave wep de una red con tráfico se consigue como mucho en 20 minutos, las wpa y wpa2 cuestan más pero dicen que también se consiguen. Asi que si tienes un router wireless toma medidas contra posibles intrusos. Usa cifrado wpa2, haz un filtrado mac, oculta tu essid, y si es una zona con mucho tráfico cambia la clave como mucho cada 2 semanas.

En una de las redes que administro el 90% de las maquinas se conectan por wifi, por lo que regularmente tengo que monitorearla en busca de intrusos. Uso Nmap, que me proporciona mucha información.

INSTALAMOS SOFTWARE NECESARIO

Nmap se puede instalar en todos los linux que cocnozco, en Debian Squeeze lo tenemos disponible en los repositorios de software. Yo lo instalo en una consola de admistrador con apt :
# apt-get install nmap

DETECTAMOS SI HAY INTRUSOS

Ahora mismo tengo todos los PCs de mi red desconectados excepto este que es desde el que voy a monitorear. Así que en mi red solo deberia de ver dos maquinas, el router y este Debian.
La red que voy a monitorear es la "192.168.66.0". He configurado en el router el wifi sin cifrado hace un rato y voy a ver si alguien se ha conectado a mi red.

# nmap 192.168.66.1-255

Starting Nmap 5.00 ( http://nmap.org ) at 2010-12-17 21:00 CET
Interesting ports on 192.168.66.1:
..................
..................

Interesting ports on 192.168.66.110:
Not shown: 997 filtered ports
PORT STATE SERVICE
139/tcp open netbios-ssn
445/tcp open microsoft-ds
2869/tcp closed unknown
MAC Address: 00:3C:6D:D2:B4:6A (Unknown)

Interesting ports on 192.168.66.169:
..................
..................

Nmap done: 255 IP addresses (3 hosts up) scanned in 11.90 seconds

Acabamos de detectar que además del router con la @ip 192.168.66.1 y mi Debian con la @ip 192.168.66.169 tenemos dentro de nuestra red alguien conectado. Este intruso esta conectado con la @ip 192.168.66.110, la MAC de su targeta wireless es "00:3C:6D:D2:B4:6A", tiene dos puertos abiertos y vemos los servicios que usa cada puerto.

CONOCER MAS DATOS DEL INTRUSO

Si quieres saber más datos sobre el intruso con @ip 192.168.66.110 como por ejemplo el sistema operativo puedes añadir la opción "-A", y para que sea más rapido "-T4". Aún con esta opción tarda un poco más que antes porque tiene que recoger muchos más datos :

# nmap -A -T4 192.168.66.110

Starting Nmap 5.00 ( http://nmap.org ) at 2010-12-17 21:12 CET
Interesting ports on 192.168.66.110:
Not shown: 997 filtered ports
PORT STATE SERVICE VERSION
139/tcp open netbios-ssn
445/tcp open microsoft-ds Microsoft Windows XP microsoft-ds
2869/tcp closed unknown
MAC Address: 00:3C:6D:D2:B4:6A (Unknown)
Device type: general purpose
Running (JUST GUESSING) : Microsoft Windows XP|2000|2003 (95%)
Aggressive OS guesses: Microsoft Windows XP SP2 (95%), Microsoft Windows XP SP2 or SP3 (95%),
Microsoft Windows XP SP2 (firewall disabled) (92%), Microsoft Windows XP SP3 (92%), Microsoft
Windows 2000 SP4 or Windows XP SP2 or SP3 (91%), Microsoft Windows 2003 Small Business
Server (91%), Microsoft Windows XP Professional SP2 (91%), Microsoft Windows Server 2003 SP1or
SP2 (89%), Microsoft Windows XP (89%), Microsoft Windows XP Professional SP2 (firewall enabled)
(88%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 1 hop
Service Info: OS: Windows

Host script results:
|_ nbstat: NetBIOS name: WINEVA, NetBIOS user: , NetBIOS MAC: 00:3C:6D:D2:B4:6A
| smb-os-discovery: Windows XP
| LAN Manager: Windows 2000 LAN Manager
| Name: WORKGROUP\WINEVA
|_ System time: 2010-12-17 21:13:31 UTC+1

OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 62.12 seconds

Pues ya sabemos que tenemos un intruso que usa Windows Xp y como podeis ver muchisimos más datos. Como en mi caso he dejado mi wifi de libre acceso realmente no era un intruso real, simplemente vuelvo a configurarla con cifrado wpa2, filtrado MAC y mi essid oculta, y este supuesto intruso dejará de estar conectado a mi red. Pero si tienes un intruso de verdad en tu red inmediatamente cambia la contraseña, refuerza las medidas de seguridad en tu router, y monitorea regularmente con nmap las maquinas conectadas a tu red.

Si quieres saber más sobre Nmap aquí tienes la guia de referencia en castellano.