Ethical Hacking utilizando BackTrack - Fedora-es

seguridad y ethical hacking
Hacking: Análisis de Seguridad
y destripando sus interioridades mediante la
captura de todo el tráfico legítimo que genera
para lograr su cometido.
Capturando tráfico de red
Esta sección será sencilla para aquellos que
hayan leído mi artículo Ataques Man In The
Middle: Su información en manos enemigas en
el número de Abril de esta misma revista.
Con las siguientes herramientas y un poco
de cerebro interpretativo (hoy en día casi ni eso
hace falta) podemos saber hasta la más mínima
acción ejecutada por nuestro host objetivo.
Comenzaremos utilizando la clásica y a la
vez poderosa herramienta ettercap, viejo conocido,
el gurú en su materia, primo hermano de
Wireshark (anteriormente famoso Ethereal). Lo
ejecutamos con el siguiente comando:
$ sudo ettercap -m archivo.log -C
El parámetro -C bien puede sustituirse por -G si
nuestra intención es utilizar el modo gráfico (las
X), pero gracias a ncurses, nos evitamos tener
una multitud de ventanas abiertas por todo el
escritorio. Ahora hacemos clic en la opción de
menú Sniff y dentro de este en Unified sniffing
Cuando se nos solicite la interfaz que vamos
a utilizar para capturar el tráfico, le diremos
la que corresponda, que por ejemplo y en mi
caso es ath0.
Una vez logrado esto necesitamos activar
el reenvío IP para que nuestro ordenador no se
quede para él mismo todo el tráfico que capture
y continúe reenviándolo a su destino original.
Este paso es realmente crítico. Para ello,
como administrador (usuario root) hacemos
lo siguiente:
Figura 6. Fingerprint en ordenador local
# echo 1 > /proc/sys/net/ipv4/
ip_forward
Si no hubiéramos hecho esto, estaríamos capturando
el tráfico del objetivo, pero éste no
tendría su conexión normal a Internet, y es casi
seguro que se daría cuenta en poco tiempo de lo
que sucede. Además nosotros nunca conseguiríamos
lo que nos proponemos.
Ahora pulsamos en la opción de menú Hosts
y dentro de esta, en Scan for hosts. Esperamos
a que se complete la barra de progreso y en el
mismo menú de antes escogemos Hosts list,
entonces nos saldrá una lista con todos los
clientes conectados al punto de acceso. Seleccionamos
la dirección IP del objetivo y pulsamos
la tecla 1 de nuestro teclado (no la del
teclado numérico), luego seleccionamos la IP
del punto de acceso y pulsamos la tecla 2.
Nos dirigimos seguidamente al menú
Mitm y escogemos la primera de las opciones,
Arp poisoning, y en el recuadro que nos aparece
escribimos la palabra remote para, a continuación,
pulsar Enter. Ya por último, vamos
hasta el menú Start y pulsamos Start sniffing.
El proceso comenzará a capturar el tráfico.
Con esto conseguimos hacer creer al objetivo
que nosotros somos el AP y de este modo, todo
el tráfico que éste genere, pasará por nosotros
antes de llegar al AP real, que lo enviará seguidamente
a Internet. Sí, esto es una clase de
espionaje, pero ya muchos de ustedes sabían
por dónde iba el asunto.
Bajé a la planta baja de mi casa con la intención
de tomarme un café, para subir de vuelta
a los dos minutos. Entonces me encontré con
algo interesante en el cuadro inferior de ettercap
cuyo nombre es: User Messages.
36 Linux+ 7-8/2009
HTTP : 65.54.179.203:443 -> USER:
nombre@hotmail.com PASS: contrasena
INFO: http://login.live.com/login.srf
?id=2&svc=mail&cbid=24325&msppjph=1&tw
900&fs=1&lc=58378&_lang=ES
Es bastante seguro que aparezcan contraseñas
de acceso a otras páginas y/o servicios como
telnet, ftp y otros protocolos basados en texto
plano.
Desde luego, no utilizaremos esta información
para ningún fin personal, pues ese no es
nuestro objetivo, aunque si la podríamos tener
en cuenta, dado que muchos usuarios, sino la
mayoría de ellos, utilizan los mismos nombres
y contraseñas en todos los ámbitos de la red.
Si vamos al menú View > Connections, podremos
ver todo el tráfico que se genera entre su
ordenador e Internet o la red local incluso. Más
interesante si cabe sería View > Profiles, que
muestra las direcciones IP de la ventana anterior
resueltas en nombres de dominio. Es decir, podemos
ver todas las páginas web que el cliente ha
visitado. Con ello usted puede rastrear sus gustos
y aficiones para finalmente realizar un perfil del
sujeto. Pero este tampoco es nuestro objetivo.
En View > Connections, si nos situamos encima
de alguna transacción HTTP con origen
en 192.168.1.5 y destino una página Web cualquiera,
y pulsamos Enter, quizá podremos observar
lo siguiente en el marco de la izquierda
entre otros datos:
• La cadena User-Agent: Mozilla/4.0 (compatible;
MSIE 6.0; Windows NT 5.1) >
nos dice que es probable que nos estemos
enfrentando a un WinXP con ServicePack 1.
• En cambio, si hubiéramos obtenido un
User-Agent: Mozilla/4.0 (compatible; MSIE
6.0; Windows NT 5.1; SV1; .NET CLR 1.1.
4322) > podríamos haber creído más probablemente
que se trataba de un WinXP
con ServicePack 2.
Yo encontré la primera, de modo que ya tenemos
un argumento a mayores que certifica
la opinión que en su momento nos brindó
Xprobe.
Wireshark no es mucho más complejo de
utilizar para capturar tramas de red, el único inconveniente
es que habría que realizar el ataque
arp spoofing desde un programa externo. Lo
más apropiado para este fin es la herramienta
arpspoof del paquete dsniff. Luego, en las
opciones de sniffing, deberíamos establecer la
interfaz con la que vamos a hacer la captura,
fijar un filtro por IP con la dirección del host objetivo,
y tantos otros filtros de protocolo como
específicos en la captura.