1. [ Breve teoria de TCP ]
No es el objetivo de este texto explicar como funciona el protocolo
TCP, pero dado que a medida que avansemos con la lectura se nos van
a presentar terminos y conceptos referidos mas que nada a este
protocolo, decidi hacer una breve introducion a la teoria del TCP,
y a lo que mas nos interesa saber para este texto. Al que le interese
saber mas sobre el TCP o el TCP/IP que busque en el respectivo RFC.
El TCP es un protocolo que generalmente se usa con otros, o es mas
conocido como TCP/IP; quiero aclarar que el TCP/IP es una suit de
protocolos y no un solo protocolo como se cree comunmente, esto
quiere decir que dentro del TCP/IP tenemos muchos protocolos pero
se lo conoce asi por ser estos dos los mas representativos.
El protocolo TCP es un servicio de comunicacion que forma un circuito,
o lo que podriamos llamar una conexion. A diferencia de otros programas
que usan UDP, con el TCP tenemos un servicio de conexion entre los
programas llamados y los que llaman, chequeo de errores, control de
flujo y capacidad de interrupcion. Por todo esto es que se dice que el
TCP es un protocolo orientado a la conexion.
A continuacion veremos como es el segmento TCP, ya que esto es lo que
mas usaremos al ver escaneo de puertos y fingerprinting.
Formato del segmento TCP
El segmento TCP consiste en una cabecera y datos. A continuacion
veremos una descripcion de los campos del segmento TCP.
- Numero de puerto del origen/destino (Source/Destination Port
Numbers): Este campo tiene una longitud de 16 bits.
- Numeros de secuencia (Secuence Numbers): existen dos numeros de
secuencia en la cabecera TCP. El primer numero de secuencia es el
numero de secuencia final y el otro numero de secuencia es el numero
de secuencia esperado de recepcion.
- Longitud de la cabecera (Header Length): este campo tiene una
longitud de 4 bits y contiene un entero igual al numero de octetos
que forman la cabecera TCP dividido por cuatro.
- Codigo de bits (Code bits): el motivo y contenido del segmento TCP
lo indica este campo. Este campo tiene una longitud de seis bits:
Bit URG (bit +5): cin este bit identificamos datos urgentes.
Bit ACK (bit +4): cuando este bit se pone a 1, el campo reconocimiento
es valido.
Bit PSH (Bit +3): aunque el buffer no este lleno, como emisores
podemos forzar a enviarlo.
Bit RST (Bit +2): con este bit abortamos la conexion y todos los
buffers asociados se vacian.
Bit SYN (Bit +1): este bit sirve para sincronizar los numeros de
secuencia.
Bit FIN (Bit +0): este bit se utiliza solo cuando se esta cerrando la
conexion.
Ventana (Window): este campo contiene un entero de 32 bits. Se utiliza
para indicar el tama~o de buffer disponible que tiene el emisor para
recibir datos.
Opciones (Options): este campo permite que una aplicacion negocie
durante la configuracion de la conexion caracteristicas como el tama~o
maximo del segmento TCP. Si este campo tiene el primer octeto a cero,
esto indica que no hay opciones.
Relleno (Padding): este campo consiste en un numero de octetos (De uno
a tres), que tienen valor cero y sirven para que la longitud de la
cabecera sea divisible por cuatro.
Checksum: mientras que el protocolo IP no tiene ningun mecanismo para
garantizar la integridad de los datos, ya que solo comprueba la
cabecera del mensaje, el TCP dispone de su propio metodo para garantizar
dicha integridad.
2. [ Que es el escaneo de puertos ? ]
El escaneo de puertos consiste basicamente en detectar que servicios
nos esta ofreciendo un determinado host. Si al hacer un escaneo
encontramos un puerto abierto, segun cual fuese este es el servicio
que nos ofrece.
Por ejemplo vamos a escanear el host zapala.com.ar:
Interesting ports on zapala.com.ar (200.32.91.1)
Port State Service Protocol
21 open tcp ftp
25 open tcp smtp
80 open tcp http
Suponiendo que solo estos puertos estuvieran abiertos (HEH!) lo que nos
resulta de este escaneo, es que zapala.com.ar esta ofreciendo servicios
de transferencia de archivos, de correo y de web.
Mas adelante veremos de que forma podemos explotar la informacion que
hemos obtenido ahora.
3. [ Diferentes tecnicas de escaneo de puertos ]
Debido a los diferentes tipos de protocolos, los numerosos puertos que
pueden estar escuchando, y a los dispositivos empleados para evitar o
detectar el escaneo de puertos, han surgido diferentes tecnicas las
cuales tienen sus ventajas como desventajas. A continuacion veremos
algunas de las distintas tecnicas que hoy dia conocemos.
- TCP connect() scanning: esta es la forma mas popular de escaneo TCP y
consiste basicamente en usar la llamada a sistema connect() del sistema
operativo, si se logra establecer la coneccion con el puerto de la otra
computadora entonces este puerto esta abierto. Las ventajas que tiene
esta forma de escaneo es que no se necesita ningun privilegio especial
para poder llevarla a cabo, en la mayoria de los Unix cualquier usuario
puede hacer uso de la llamada connect(). Otra gran ventaja es la
velocidad. El lado negativo que encontramos es que es muy facil de
detectar y de filtrar, y generalmente el host loguea que establecemos
una coneccion e inmediatamente nos desconectamos.
- TCP SYN scanning: esta tecnica es la llamada escaneo "half-open" (o
mitad-abierta), porque no establecemos una coneccion TCP completa. Lo
que hacemos es enviar un paquete SYN como si fueramos a entablar una
coneccion TCP completa y esperamos por una respuesta. Podemos recibir
un SYN|ACK si el puerto esta escuchando o un RST si el puerto esta
cerrado. Si recibimos un SYN|ACK en respuesta, inmediatamente le
enviamos un RST. La mayor ventaja de esta tecnica es que muy pocos
servers nos loguean; y la desventaja es que se necesita privilegios de
root para construir estos paquetes SYN a enviar.
- TCP FIN scanning: algunos firewalls y packets filters escuchan por los
paquetes SYN en algunos puertos, y programas como el synlogger puden
detectar este tipo de escaneo. En cambio los paquetes FIN pueden penetrar
sin mayor problemas. La idea consiste en que al enviar un paquete FIN
si el puerto esta cerrado nos va a devolver un RST, y si el puerto esta
abierto nos va a ignorar. Esto se debe a un error en las implementaciones
TCP pero no funciona en un 100%. La mayoria de los sistemas parecen
susceptibles excepto los sistemas Microsoft que son inmunes (aunque
usted no lo crea).
- Fragmentation scanning: esta no es una tecnica en si misma, sino una
modificacion de otras tecnicas. Consiste en hacer una divicion de los
paquetes que enviamos, para no ser detectados por los packet filters y
los firewalls. Por ejemplo podemos hacer un SYN o un FIN scanning
fragmentando los paquetes que enviamos, y al ir quedando en cola en los
firewalls y en los packet filters no somos detectados.
- TCP reverse ident scanning: el protocolo ident permite averiguar el
nombre de usuario y el due~o de cualquier servicio corriendo dentro de
una coneccion TCP. Por ejemplo podemos conectarnos al puerto http y
usar identd para averiguar que esta corriendo la victima como root; esto
solo es posible estableciendo una coneccion TCP completa.
- FTP bounce attack: algo interesante del protocolo ftp, es que permite
lo que se llama coneccion proxy ftp. Osea yo podria conectarme a un ftp
desde un servidor proxy y al hacer esto establecer una coneccion y enviar
un archivo a cualquier parte de la Internet. Esto lo podemos aprovechar
tambien para hacer por ejemplo un escaneo TCP, ya que estariamos haciendolo
desde un servidor ftp pero detras de un firewall. Lo bueno que tiene esta
tecnica es obviamente que es muy dificil de rastrear, y lo malo es que
puede volverse sumamente lento.
- UDP ICMP port unreachable scanning: Lo que varia significativamente de
esta tecnica con respecta a las otras es que estamos usando el protocolo
UDP, este protocolo puede ser mas simple que el TCP pero al escanear se
vuelve sumamente mas complejo; esto se debe a que si un puerto esta abierto
no tiene que enviarnos un paquete de respuesta, y si un puerto esta cerrado
tampoco tiene que enviarnos un paquete de error. Afortunadamente, la
mayoria de los hosts nos envian un paquete de error "ICMP_PORT_UNREACH"
cuando un puerto UDP esta cerrado. Esta tecnica suele volverse muy lenta.
4. [ Averiguando el Sistema Operativo ]
Saber que sistema operativo esta corriendo nuestra victima es algo
obviamente muy valioso, ya que muchas de las vulnerabilidades que podemos
encontrar dependen del sistema y la version que tenga.
La forma mas efectiva de poder conocer que sistema corre nuestra victima
seria hacerle un telnet. Suponiendo que el puerto 21 estuviera abierto
veriamos algo asi:
caos@CAOS~ telnet afrodita.unrl.edu
Trying 208.145.173.12...
Connected to afrodita.unrl.edu.
Escape character is '^]'.
HP-UX hpux B.10.01 A 9000/715 (ttyp2)
login:
Como podemos ver al telnetear al host hpux.u-aizu.ac.jp nos aparece que
sistema operativoy que version esta corriendo; y nos aparece un prompt
pidiendonos los datos del login. Lamentablemente esta tecnica no es muy
efectiva ya que el banner que nos muestra los datos del sistema es
facilmente modificable; en los Linux solo basta con modificar los archivos
/etc/issue y /etc/issue.net, por ejemplo al telnetear a mi computadora
veriamos algo asi:
/////// CAOS - Ezkracho Team
// - = -
/////// Feel the Power !
login:
Pero el modificar los banners del login no afecta los banners defaults
que vienen en los demas servicios; por ejemplo al telnetear a un ftp nos
apareceria lo siguiente:
caos@CAOS~ telnet ftp.netscape.com 21
Trying 207.200.74.26 ...
Connected to ftp.netscape.com.
Escape character is '^]'.
220 ftp29 FTP server (UNIX(r) System V Release 4.0) ready.
SYST
215 UNIX Type: L8 Version: SUNOS
Otra truco que podemos utilizar si nuestra victima tiene montado un
servidor web seria el siguiente:
caos@CAOS~ echo 'GET / HTTP/1.0n' | nc hotbot.com 80 | egrep '^Server:'
Server: Microsoft-IIS/4.0
caos@CAOS~
Con lo que nos aparece creo que todos pueden deducir el sistema opreativo
que esta corriendo.
5. [ Fingerprinting ]
El fingerprinting es basicamente determinar que sistema operativo corre
una computadora, diferenciando las distintas respuestas que tiene un
sistema a un pedido que hacemos. Asi comparando la respuesta de un
sistema con respecto de otro, y de otro, podemos ubicar cual es el sistema
que corre. Vale decir que el fingerprinting no es 100% seguro con ningun
programa que utilisemos, pero segun cual fuese nos puede acercar lo
suficiente como para ubicar el sistema, yo personalmente recomiendo el
Nmap(www.insecure.org/nmap). A continuacion veremos las tecnicas mas
representativas del fingerprinting que muchos programas utilizan:
- El FIN probe: mandamos un paquete FIN, o cualquiera que no mande un
flag SYN o ACK, a un puerto abierto y esperamos por una respuesta. Segun
el RFC 793 no deberiamos obtener ninguna respuesta pero muchas malas
implementaciones como el MS Windows, CISCO, BSDI, HP/UX, MVS e IRIX
mandan un RESET de respuesta.
- El BOGUS flag probe: la idea es marcar un flag TCP indefinido (64 o
128) en la cabezera de un paquete SYN. Algunos Linux anteriores al
2.0.35 dejan marcado este flag en la respuesta; y algunos sistemas
resetean la coneccion cuando reciben un paquete SYN+BOGUS.
- TCP ISN sampling: la idea aqui es encontar patrones en el ISN(Initial
Sequence Number) en aplicaciones TCP ante un pedido de coneccion. Osea
hay distintos grupos de Sistemas Operativos que usan diferentes formas
de generar los ISN, de esta manera podemos ubicar al sistema.
- Don't fragment bit: muchos sistemas comienzan seteando el "Don't
fragment" bit en el IP, en algunos de los paquetes que envian. Y muchos
otros sistemas lo hacen pero solo en algunos casos. Osea que si vemos
como va marcado este bit podemos obtener informacion interesante.
- TCP initial window: aqui lo unico que hacemos es chequear el tama~o
del window de los paquetes que nos devuelven. Algunos sistemas tienen
un window unico, por lo que esta tecnica muchas veces es por la unica
forma en que los podemos detectar.
- ACK value: mas alla de que supongamos que el valor del ACK va a ser
siempre estandar, en algunas implementaciones este valor varia. Por
ejemplo supongamos que mandamos un FIN|PSH|URG a un puerto TCP cerrado,
la mayoria de las implementaciones van a setear el ACK como el mismo
numero de ISN que nosotros enviamos, pero no Windows claro, que manda
nuestro ISN + 1.
- ICMP error message quenching: esta tecnica consiste en ver la cantidad
de menasjes de error que se nos devuelve ante un pedido. Muchos sistemas
limitan la cantidad de mensajes de error usando un ratio por segundo o
otros formulas. Esta tecnica no es muy usada porque se hace muy lento el
tener que estar esperando a que nos devuelva los mensajes de error.
- ICMP message quoting: segun los RFC los mensajes ICMP de error deben
seguir una constante, sin embargo algunos sistemas no lo hacen asi y
varian en las respuestas. Este es un gran punto con el cual podemos
identificar algunos sistemas.
- Exploit chronology: esta tecnica es muy divertida. Dado que no se
puede distinguir entre el TCP stack de Windows 95, 98 y NT, porque no
lo han actualizado en lo mas minimo, osea el NT sigue teniendo el mismo
stack que el 95 y que el 98, surgio esta tecnica que todos seguramente
hemos usado alguna vez. Consiste en hacer un ataque de DOS (Denial of
Service) para tirar al Windows, podemos empezar con un Nuke, o un Ping
de la Muerte, y luego vamos usando tecnicas un poco mas avanzadas como
Teardrop y Land; entonces despues de cada ataque hacemos un PING a la
victima y segun con que tecnica haya caido podemos deducir que sistema
es y hasta que Service Pack o Hotfix tiene instalado.
- SYN flood resistance: muchos sistemas paran de aceptar conexiones
cuando uno les envia varios paquetes SYN; algunos solo aceptan 8
paquetes. simplemente podemos determinar el sistema por la cantidad de
paquetes que puede aceptar.
6. [ Interpretando y explotando la informacion ]
Solo veremos algunos de los puertos mas utiles para nuestro objetivo,
los demas se los dejo para que los investiguen ustedes y usen su
imaginacion.
Lo que aqui haremos en definitiva es tratar de averiguar las versiones
de los demonios que esta corriendo el sistema, para encontrar algun
bug de esa version y su respectivo exploit. Tambien veremos algunos
puertos que nos pueden brindar datos interesantes.
Interesting ports on zapala.com.ar (200.32.91.1)
Port State Service Protocol
21 open tcp ftp
25 open tcp smtp
79 open tcp finger
80 open tcp http
- Puerto 21: yo lo primero que provaria es intentar hacer un ftp
anonimo, muchos sistemas estan tan mal configurados que hasta
podriamos conseguir el archivo de password. Luego tendriamos que
intentar ver que version del demonio ftp esta corriendo, seria
algo asi:
caos@CAOS~ telnet ftp.zapala.com.ar 21
Trying 200.32.91.1 ...
Connected to ftp.zapala.com.ar.
Escape character is '^]'.
220 ftp.zapala.com.ar FTP server (Version wu-2.5.0(1) Tue Sep 21
16:48:12 EDT 1999) ready.
Aqui vemos que version del FTP server esta corriendo el host, que
no hace falta decir lo famoso que es por sus innumerables bugs,
ahora lo que hacemos es buscar el exploit para esa version.
- Puerto 25: en este puerto generalmente encontraremos el servidor
de correo; si es el sendmail u otro, telneteamos a este puerto y
vemos cual es la version, y por supuesto vemos si podemos encontrar
algun exploit que nos sirva.
Para lo que tambien nos puede ser util este puerto es para enviar
mails anonimos o fake mails. Por ejemplo nos podriamos hacer pasar
por el Administrador del sistema y pedirle que nos envie su
contrase~a:
telnet universidad.edu.ar 25
220 universidad.edu.ar Microsoft Sendmail 1.0 ready at Sat, 2-1-98
HELO CAOS
250 <universidad.edu.ar> Hello CAOS
MAIL FROM: administrador@universidad.edu.ar
250 <administrador@universidad.edu.ar> ...Sender OKay
RCTP TO: victima@universidad.edu.ar
250 <victima@universidad.edu.ar> ...Recipient OKay
DATA
354 Enter mail, end with "." on a line by itself
Estimado usuario, debido a una reestructuracion del sistema
necesitamos nos envie su contrase~a para agregarla a la nueva
base de datos. Muchas gracias y disculpe las molestias.
El Administrador.
.
250 Mail accepted
QUIT
221 universidad.edu.ar closing connection.
Este ejemplo es muy inocente pero todo esta en la imaginacion
de cada uno. Algo a tener en cuenta es que muchos servidores de
correo loguean nuestra direccion IP y puede aparecer en el mail
que enviamos, por eso es preferible primero enviarnos un mail a
nosotros mismos para ver si aparece nuestra IP.
- Puerto 79: en este puerto podemos encontrar importante
informacion sobre los usuarios que se encuentran en el sistema.
Por ejemplo podemos probar hacer algo como esto:
telnet jperez@victima.edu.ar 79
Login Name Tty Idle Login Time Office Office Phone
jperez Juan Perez 1 Feb 7 02:06 4785-6548
Y obtendriamos informacion personal de ese usuario como ser su
telefono, que podriamos utilizar para hacer Ingenieria social.
Ahora si queremos ver todos los usuarios que hay en un sistema en
algunos servidores podemos hacer esto:
telnet @victima.edu.ar 79
Login Name Tty Idle Login Time Office Office Phone
jperez Juan Perez 1 Feb 7 02:06 4785-6548
root root *2 4:28 Feb 7 02:05
Y como vemos obtenemos todos los usuarios que en ese momento se
encuentran logueados en el sistema.
- Puerto 80: este puerto es el que nos ofrece el servicio de
web. Podriamos utilizarlo para conseguir el archivo de password
mediante la tecnica del PHF, pero como esta tecnica ya esta
quedando obsoleta no mencionare como hacerlo. Todo depende de
lo actualizado que estemos en los bugs que dia a dia aparecen,
hoy si este host estuviera corriendo el servidor web de Microsoft
podriamos probar la vulnerabilidad del ISS que afecta al 90% de
los servidores web existentes en Internet, o como ya hemos visto
antes podriamos usarlo para obtener informacion del sistema.
7. [ Acerca del Ezkracho Team ]
Puedo definir al Ezkracho Team como un grupo de Seguridad e
Inseguridad Informatica. Este grupo surgio en un principio por
el simple hecho de querer compartir conocimientos e ideas, con
quienes nos dimos cuenta teniamos las mismas curiosidades y
ansias de saber; mas adelante al empezar a organizarnos
surgimos por la necesidad de una propuesta seria entre las
pocas que hay en lo que es la seguridad informatica.
En lo que es hoy el Ezkracho Team tenemos muchos proyectos que
estamos llevando adelante, y muchos ideas para muchos mas;
tambien estamos comenzando grandes proyectos con otros grupos
que con el tiempo van a salir a la luz.
Los miembros actuales del Ezkracho Team son:
CAOS (osea yo), Powertech, Giba, Bach y [Hellraiser]
El Ezkracho Team es un grupo cerrado por lo que no se aceptan
nuevos miembros, pero siempre es bienvenido cualquier tipo de
colaboracion.
8. [ Contacto ]
Si me queres contactar por cualquier cosa que se te ocurra, como
tambien a los demas miembros de Eskracho nuestras direcciones de
mail son estas:
CAOS ezkracho@hotmail.com <---- este soy yo
Powertech powertech@mixmail.com
Bach bach@lacasilla.com.ar
Giba giba@lacasilla.com.ar
[Hellraiser] askhell@ciudad.com.ar
Si queres ver mas trabajos de mi autoria como de todo el Ezkracho
Team, lo podes hacer en nuestro website.
NOTA: debido a que actualmente estamos registrando nuestro dominio
y estamos cambiando de server nos podes encontrar en estas URL's.
ezkracho.piratas.org
www.ezkracho.com
www.ezkracho.com.ar
www.ezkrachoteam.com.ar
Tambien podes encontrar todo nuestro material y mucho mas en el
Ezkracho BBS, pero por razones operativas busca el numero de
telefono y los horarios que esta online en la web.
- EOT - Hasta la proxima, CAOS. DMG
