seminarioUNAE PDF

Seminario de Desarrollo de Software, Tendencias y Seguridad
Seminario de Desarrollo de
Software, Tendencias y Seguridad
07/11/2014
Tema: Pentesting con nfasis en
herramientas prcticas
Universidad Autnoma de
Encarnacin
Juan Carlos Miranda
Versin 1.0 07/11/2014 1/24
ndice de contenido
1.Derechos del autor y otras cosas.......................................................................................................3
2.Resumen............................................................................................................................................4
3.Panorama. Donde estamos parados ahora en cuanto a seguridad de la informacin?.....................5
3.1.Unas cifras.................................................................................................................................5
3.2.Otros casos... Gobiernos que buscan en redes...........................................................................5
3.3.Hacktivistas que protestan y se defienden manteniendo sus puntos de vista en la red..............6
3.4.Tendencias, lo que colocamos/ usamos en la red.......................................................................6
4.Factores humanos y tecnolgicos......................................................................................................8
4.1.Como generar ambientes inseguros?........................................................................................8
4.2.Que hace un encargado de seguridad?.....................................................................................9
4.3.Caractersticas para dedicarse a la seguridad de la informacin.............................................10
4.4.Las cosas no siempre sern fciles..........................................................................................10
5.Conceptos aplicados a la prctica de un pentest..............................................................................12
5.1.Herramientas para un laboratorio de pentest...........................................................................12
5.2.Metodologas para pentest.......................................................................................................12
5.3.Recoleccin de informacin (Information Gathering).............................................................14
5.3.1.Introduccin a la recoleccin de informacin..................................................................14
5.3.2.Conceptos y tipos de pruebas...........................................................................................15
5.3.3.Utilizacin de pginas pblicas para recabar informacin..............................................15
5.3.4.Utilizacin de buscadores................................................................................................15
5.3.5.Herramientas especializadas para recoleccin de datos...................................................16
5.3.6.Resumen de herramientas segn la informacin a buscar...............................................18
5.4.Herramientas para conservar el anonimato..............................................................................19
6.Punto final.......................................................................................................................................20
7.Anexos.............................................................................................................................................22
7.1.Ejercicio Atacar un servidor mediante el servicio ssh utilizando fuerza bruta.....................22
7.2.Ejercicio Atacar un hash y obtener una contrasea..............................................................23
7.3.Recursos tiles sobre seguridad de la informacin..................................................................24
Versin 1.0 07/11/2014 2/24
1. Derechos del autor y otras cosas

Puedes compartir el documento, debers mencionar siempre al autor.
El autor no se responsabiliza por la mala utilizacin de los conocimientos expuestos aqu.
Si encuentras errores colabora para que este sea un documento mejor y que sirva a otras personas.
Si quieres mejorar el documento, colabora con el autor.
Juan Carlos Miranda
Algunos emails en: juancarlosmiranda81@gmail.com
Algunos cdigos en Git Hub: https://github.com/freelanceparaguay
Algunos artculos en :http://otroblogdetecnologias.blogspot.com/
Versin 1.0 07/11/2014 3/24
2. Resumen
El presente documento, tiene como objetivo introducir al lector en aspectos actuales de nivel
general, para luego ir trabajando en otras cosas ms puntuales y prcticas.
Se hace una introduccin sobre el panorama actual de la seguridad de la informacin en la red.
Se citan factores humanos y tecnolgicos, los cuales modifican el nivel de la seguridad de la
informacin en instituciones.
Por ltimo, se enfatiza en la parte prctica para llevar a cabo un pentest, haciendo uso de
herramientas y distribuciones Linux.
Se concluye con una serie de puntos a llevar en cuenta al momento de utilizar los conocimientos
sobre pentesting.
Versin 1.0 07/11/2014 4/24
3. Panorama. Donde estamos parados ahora en

cuanto a seguridad de la informacin?
Actualmente, parte de nuestra vida, por no decir, casi la totalidad de nuestra vida est ligada a
medios electrnicos.
Estamos parados, en una situacin donde no pasamos un da sin estar conectados a un dispositivo
con acceso a Internet, aunque sea por unos minutos.
Es una realidad, donde pocas personas y sus datos personales no aparecen registrados en medios
electrnicos. Ni que decir si uno abraza una profesin relacionada a las tecnologas.
Es un escenario donde en nuestro da a da conviven el trabajo por Internet, el anonimato en
Internet, los ciberataques / ciberguerra, el espionaje de gobiernos y otros grupos, gran cantidad de
informacin libre, fuentes crebles y no tan crebles, botnets y malware en general, educacin en la
red, servicios del mundo real en la web.
3.1. Unas cifras

Al momento de escribir este documento tenemos que Paraguay maneja unas cifras de 30%-40% de
penetracin de Internet en nuestro mercado.
26,6% 30 % 40%
Accedida el da 08/10/2014, publicacin 23/03/2014, Diario La Nacin, Casi un 40% de

paraguayos ya tiene acceso a internet, http://www.lanacion.com.py/articulo/159963--casiun-40-de-paraguayos-ya-tiene-acceso-a-internet.html
Accedida el da 08/10/2014, publicacin 17/05/2014, Diario Ultima Hora, El acceso de
Internet a los hogares, http://www.ultimahora.com/el-acceso-internet-los-hogaresn795345.html
Accedida el da 08/10/2014, publicacin 22/07/2014, Diario ABC Color, Paraguay, 30% de
avance en internet, http://www.abc.com.py/edicion-impresa/economia/paraguay-30-deavance-en-internet-1268444.html
3.2. Otros casos... Gobiernos que buscan en redes

Se puede ver el control por parte de gobiernos y corporaciones en el espacio virtual.
Ross Ulbritch por el caso 'Silk Road'. El portal de ventas de drogas dentro de la red Tor.
Accedida el da 08/10/2014, publicacin 08/10/2014, Actualidad RT , EE.UU.:El FBI puede
Versin 1.0 07/11/2014 5/24

'hackear'
servidores
en
el
extranjero
sin
orden
judicial
previa
http://actualidad.rt.com/actualidad/view/142737-eeuu-fbi-hackear-servidores-extranjeroorden-judicial
3.3. Hacktivistas que protestan y se defienden manteniendo

sus puntos de vista en la red
Otro punto, tambin existen organizaciones no gubernamentales de todo tipo que se defienden y
buscan expresar sus opiniones en Internet.
Accedida el da 08/10/2014, publicacin 14/08/2014, Actualidad RT ,Anonymous dice haber

identificado al polica que mat al joven afroamericano en Fergunson
http://actualidad.rt.com/actualidad/view/137145-anonymous-identificar-matar-fergusonjoven
Accedida el da 08/10/2014, publicacin 5/09/2014, Actualidad RT ,Anonymous declara la

ciberguerra al Estado Islmico, http://actualidad.rt.com/ultima_hora/view/139354anonymous-guerra-estado-islamico-internet
3.4. Tendencias, lo que colocamos/ usamos en la red

La tendencia es asociar los datos a la nube, nunca sabemos en que ubicacin geogrficas estn
nuestros datos, pero si sabemos que estn all.
Las actividades cotidianas van teniendo una transicin paulatina hacia el ciberespacio, tal cual como
lo comenta la publicacin de FRANCESC FONT COT La Empresa Hbrida..
Gran parte de las transacciones en Internet se realizan con moneda electrnica y tarjetas de crditos.
El Internet de las Cosas nos rodea constantemente.
Y... por si todo esto fuera poco, algunos de los servicios que se especifican a continuacin:
Tarjeta de crdito.
Correos electrnicos personales, en algunos casos 2 o ms.
Correos electrnicos laborales.
Acceso a redes sociales: Facebook, Twitter, Google Plus. (pueden agregar otras)
Contrasea de bloqueo del celular.
Contrasea de acceso del home banking.
Pin de acceso de billetera del celular.
Accesos a las pginas web de servicios.
Acceso al sitio web de Hacienda.
Universidad y plataformas de aprendizaje.
Accesos a pginas de tele trabajos.
Versin 1.0 07/11/2014 6/24

Contrasea Wifi del hogar.
Y ... otros. Juegos online, cursos y educacin online, servicios de noticias, pelculas.
Muchos servicios se encuentran vinculados a una cuenta de correo personal y a un telfono personal
para la recuperacin de las contraseas.
Pregunta para el lector...
Cuanto vale mi
cuenta de correo
personal?
Versin 1.0 07/11/2014 7/24
4. Factores humanos y tecnolgicos

Cuando se realizan labores relacionadas a la seguridad de la informacin, no encontraremos con
factores humanos y con factores tecnolgicos con los cuales se tendr que trabajar en el da a da.
4.1. Como generar ambientes inseguros?

Existen varios puntos que pueden hacer favorables los ataques a la redes.
Exceso de confianza.
Falta cambios y pereza.
Software desactualizado.
Administradores con sobrecarga de trabajos y falta de tiempo.
Debilidades en conocimientos de seguridad.
Debilidades en datos que se publican.
Dispositivos con falta de mantenimiento,debilidades en polticas de contraseas.
Usuarios finales con poco conocimiento.
Exceso de confianza: Se realizan auditoras pero estas son limitadas (por varios motivos),
brindan resultados positivos dando una falsa sensacin de seguridad. Muchas veces las
auditoras externas no pueden poner de manifiesto todas las fallas de seguridad en una
empresa. Esto se puede dar por ocultacin de datos por parte del personal de TI, por
desconocimiento de la propia empresa y su tecnologa, por el alcance pactado en la auditora
de seguridad. Los administradores debern seguir trabajando aunque no existen errores
demostrables.
Falta de cambios y pereza: Muchas veces, los administradores de seguridad se encuentran
bien acomodados en sus funciones y en sus labores diarias, no ven la necesidad de investigar
sobre temas nuevos, solamente ejecutan tareas operativas repetitivas.
Software desactualizado: Sumado a la falta de cambios, se suman la falta de actualizacin
que ocurren en los diferentes elementos de software. Es decir no renuevan ni parchan contra
fallos de seguridad.
Administradores con sobrecarga de trabajos y falta de tiempo: Administradores sumidos
en diversas tareas, que incluso, no hacen a la seguridad de la informacin. Tareas que les
roba el tiempo y los distrae de aspectos importantes.
Debilidades en conocimientos de seguridad: Administradores que no buscan la superacin
y se estacan en las tecnologas que manejan en el da a da.
Debilidades en datos que se publican: Sin darse cuenta, personal de distintas instituciones,
publican datos acerca de sus sistemas operativos, que luego de ser recolectados, ayudan a un
atacante a ingresar a los distintos sistemas.
Dispositivos con falta de mantenimiento, debilidades en polticas de contraseas:
Adems de contar con varios dispositivos que hacen a la red de comunicaciones, los mismos
Versin 1.0 07/11/2014 8/24
no cuentan con revisiones peridicas y tambin no cumplen con la implementacin de las

polticas de contraseas. Es decir, existen las polticas pero no estn reflejadas en los
dispositivos y accesos.
Usuarios finales con poco conocimiento: El punto mas dbil es el usuario que no conoce,
aquel que hace clic en los links que se le enva. Que cree que las polticas de seguridad son
para estorbarle en el trabajo, que se resiste a acatar las medidas de seguridad de la
informacin. Como administrador, muchas veces se olvida este factor tan importante.
4.2. Que hace un encargado de seguridad?

Anteriormente, el hacker de los aos 90 era una persona joven, generalmente entre 16 y 25 aos,
aficionado a la informtica que utilizaba conexiones a redes mediante telfonos de lnea fija.
Hoy en da con la expansin de Internet, los hackers han cambiado el nivel de profesionalismo,
muchos de ellos son expertos en seguridad certificados. Otros son contratados por empresas,
gobiernos o por el crimen organizado.
En cuanto a la inspiracin, no prima justamente el querer desafiar a otros, se superpone la ganancias
que podr otorgar un objetivo concreto.
Cada da que pasa, los ataques en Internet son ms puntuales y con un alto nivel de profesionalismo.
Un hacker dijo lo siguiente:
El hacking es una habilidad. Cualquiera puede adquirir esta habilidad de forma autodidacta.
Desde mi punto de vista, el hacking es un arte creativo, es averiguar cmo se puede burlar la
seguridad utilizando el ingenio, del mismo modo que los aficionados a abrir cerraduras intentan
sortear los mecanismos de cierre por pura diversin. Se podra hacer hack sin incumplir la ley.
(MITNICK, Kevin, El Arte de la Intrusin. p. 123).
Por otro lado, tambin es preciso tener en cuenta lo siguiente:
Moraleja: si est a cargo de la seguridad de la informacin en un colegio, grupo de trabajo,
empresa o cualquier otra entidad, debe contar con que algunos adversarios malintencionados,
incluidas personas de la misma organizacin, estn buscando una pequea grieta en la pared, el
unto ms dbil de la cadena de seguridad para romper la red. No espere que todo el mundo vaya a
respetar las reglas. Tome medidas rentables para evitar las potenciales intrusiones, pero no olvide
seguir buscando algo que haya podido pasar por alto. Hay quien cuenta con sus descuidos.
(MITNICK, Kevin, El Arte de la Intrusin. p. 92).
El encargado de seguridad, tiene como tarea crear, ejecutar y actualizar polticas de seguridad. Se
encarga de verificar que todos los elementos que hacen a una infraestructura de sistemas
informticos se encuentren seguros.
El rea de seguridad informtica abarca cosas como:
Pruebas de intrusin.
Verificacin de vulnerabilidades.
Versin 1.0 07/11/2014 9/24
Actualizacin de parches de seguridad en software y dispositivos.

Emisin de informes sobre el estado de seguridad, sobre intrusiones internas y/o externas.
Trabaja en conjunto con el rea de TI.
Seguridad de la informacin es mucho mas que contraseas. Es mucho mas que utilizar una
herramienta en particular.
4.3. Caractersticas para dedicarse a la seguridad de la

informacin
Una pregunta que siempre llega a la mente en cada charla de seguridad de la informacin
Si quiero dedicarme a la seguridad que necesito?
Curiosidad.
Autodidacta.
Capacidad de aprendizaje rpido de conocimientos tcnicos y del negocio.
Prueba y puesta en ejecucin.
Bsqueda de desafos.
Curiosidad.
Curiosidad.
Es necesario:
Conocer de redes informticas y protocolos de comunicaciones.
Programacin de computadoras.
4.4. Las cosas no siempre sern fciles

En ciertos lugares, el encargado de la seguridad de la informacin, no goza de suficiente autonoma,
tambin en otros casos se encuentra bajo la supervisin directa de un jefe del rea de informtica.
En algunos lugares, el mismo encargado de red, mezcla tareas de seguridad de la informacin,
mantenimiento de redes y atencin a usuarios finales.
Ser necesario mucha paciencia y labor de concienciacin para llevar a cabo la tarea evangelizacin
sobre la seguridad de la informacin.
Versin 1.0 07/11/2014 10/24
Ilustracin 1: Camino largo en el desierto
Ilustracin 2: El encargado de seguridad de la

informacin contra los problemas
Versin 1.0 07/11/2014 11/24
5. Conceptos aplicados a la prctica de un pentest

En este apartado se intenta dar respuesta a los siguientes interrogantes:
Cmo puedo comenzar a practicar?.
Qu debo llevar en cuenta?
Qu herramientas puedo utilizar para conservar el anonimato?
5.1. Herramientas para un laboratorio de pentest

Se citan herramientas, el lector no debe cerrarse a estas solamente, sino que puede hacer uso de
software alternativo. Incluso puede contar con una red amplia para instalar y probar distintas
distribuciones y montar servidores que simulen un entorno empresarial.
Nombre
Funcin
URL
Virtual Box
Software para crear hosts virtuales. Podr ser utilizado https://www.virtualbox.org/

para pruebas con distintos sistemas operativos.
Kali
Distribucin Linux, orientada al pentesting. Cuenta http://www.kali.org/

con gran variedad de herramientas agrupadas.
Exploit
Excersices
Nebula es una distribucin con fallos de seguridad a https://exploit-exercises.com/

nivel sistema operativo Linux. Cubre fallos simples y
a nivel intermedio, basndose en niveles los cuales
representan retos a cumplir. Es ideal para las personas
que desean iniciarse en la explotacin de
vulnerabilidades Linux. Pueden ser encontradas otras
distribuciones: Protostar y Fusion.
Game Over
Distribucin orientada a la explotacin de http://sourceforge.net/projects/nullvulnerabilidades web y aplicaciones con fallos de gameover/files

seguridad
colocados
estratgicamente
para
aprendizaje.
Perl, Python, C Compiladores e intrpretes de lenguajes de

programacin. Editores de sintaxis para lenguajes.
Conectividad a Conectividad a Internet
Internet.
informacion y documentos.
Router Wi-Fi
para
verificacin
de
Router Wi-Fi para armar una red de prueba.
5.2. Metodologas para pentest

Actualmente, para llevar a cabo los pentest se han desarrollado metodologas, las cuales han
documentado las diversas pruebas que se pueden realizar en los sistemas computacionales.
No todos los puntos citados en una metodologa son utilizados, dado que las mismas cubren un
amplio espectro de situaciones.
Si bien, las metodologas sirven como referencia para encontrar vulnerabilidades. Un atacante no
necesita seguir una metodologa, sino mas bien encontrar solamente una falla.
Las metodologas nos ayudan a tener un marco de referencia y no dejar pasar los detalles.
Versin 1.0 07/11/2014 12/24

A modo de informacin se puede citar las siguientes metodologas:
Penetration Testing Execution Standard
http://www.pentest-standard.org
Open Source Security Testing Methodology

Manual - OSSTMM
http://www.isecom.org/
Information Systems Security Assessment

Framework
http://www.oissg.org/
The Open Web Application Security Project OWASP
https://www.owasp.org
Habitualmente un pentest contiene las siguientes fases:

Recoleccin de informacin. (tratado en este documento)
Anlisis de vulnerabilidades. (*)
Explotacin de vulnerabilidades. (*)
Generacin de informes. (*)
(* fuera del alcance del presente documento)
Se deja como tarea para el lector profundizar e indagar si tiene inters en metodologas.
Particularmente, no se hace nfasis en una metodologa principal, se deja al lector la posibilidad de
poder estudiar e investigar por su cuenta. Tambin, se deja la posibilidad de investigacin sobre la
generacin de informes al lector.
Versin 1.0 07/11/2014 13/24

Las fases de anlisis de vulnerabilidades, explotacin e informes quedan fuera del alcance de este
documento.
5.3. Recoleccin de informacin (Information Gathering)

5.3.1.Introduccin a la recoleccin de informacin
En el presente apartado se desarrollan distintas maneras de recoleccin de informacin utilizando
fuentes de uso pblico las cuales son:
Utilizacin de pginas pblicas para recabar informacin.
Utilizacin de buscadores.
Herramientas especializadas para recoleccin de datos.
A las fuentes de uso pblico se las denomina OSINT (Open Source Intelligence).
Dentro de OSINT se pueden encontrar distintos tipos de reas para relevar informacin, las cuales
pueden ser:
Empresas/instituciones
Instalaciones fsicas, localizacin fsica.
Nmeros de telfonos.
Organigramas de cargos.
Proveedores.
Empleados.
Sistemas informticos.
Sistemas informticos
Nombres de dominio.
Rangos de Ips pblicas.
Servidores DNS.
Servicios de mquinas.
Sistemas operativos.
Metadatos de documentos pblicos
Localizacin geogrfica.
Datos de personas
Nmeros de documentos.
Direccin de correo.
Nombres y apellidos.
Datos en redes sociales (esto puede variar por zona geogrfica)
Bsqueda de documentos y metadatos
De los metadatos se busca lo siguiente:
Usuarios: autores de documentos
Carpetas donde se crearon los documentos.
Impresoras.
Correos.
Versin de software con el que fue creado.
Software de ofimtica.
El xito de un ingreso a los sistemas depende fuertemente de la informacin relevada durante la

Versin 1.0 07/11/2014 14/24

etapa de recoleccin de datos o information gathering.
Si bien es necesario conocer las herramientas para realizar tests, lo ms importante es saber lo que
se desea averiguar del objetivo. Cuanto ms informacin se recolecte mayor ser la probabilidad
de xito.
Incluso el lector podr crear su propio software si as lo desea.
5.3.2.Conceptos y tipos de pruebas

Se denomina footprinting a las tcnicas de recoleccin de informacin acerca de sistemas
computacionales.
El footprinting puede hacerse en forma pasiva o activa.
Footprinting activo: Es cuando se utilizan herramientas que envan paquetes directamente a
los host de la red que se est analizando.
Footprinting pasivo: Es cuando se recolectan datos del objetivo a analizar en forma
indirecta.
Segn los conocimientos previos sobre los sistemas a analizar se tienen los siguientes tipos de
pruebas:
Pruebas de caja negra: ningn conocimiento sobre el sistema a evaluar, es lo ms cercano
a la visin de un atacante externo.
Pruebas de caja blanca: para saltar la etapa de recoleccin de informacin, se
proporcionan todos los datos necesarios para que el atacante realice las pruebas directamente
en los sistemas.
Pruebas de caja gris: representa un punto intermedio en cuanto a los conocimientos de los
sistemas, se provee informacin al pentester a modo de orientacin.
5.3.3.Utilizacin de pginas pblicas para recabar informacin

Se pueden utilizan pginas pblicas para la recoleccin de los primeros datos.
Consultas de dominio utilizando
herramientas web
http://nic.com
http://nic.py
http://whois.domaintools.com/
http://www.robtex.com
http://mxtoolbox.com
http://www.netcraft.com
Bsqueda de informaciones tales

como: DNS, Blacklists, dominios de
correo.
http://www.cuwhois.com
Anlisis de enlaces de la pgina.

Anlisis de cabeceras.
Anlisis de metatags.
Informacin sobre servidores activos.
5.3.4.Utilizacin de buscadores
Se puede utilizar los buscadores para encontrar informacin acerca de un objetivo especfico.
Entre los datos que podemos recabar en los buscadores se tiene:
Telfonos.
Versin 1.0 07/11/2014 15/24

Cuentas de correos.
Dominios relacionados a los sitios.
Archivos de distintos tipos (.doc, .xls, .pdf, .pps, jpeg, .png, etc.. ) para obtencin de
metadatos.
Dominios relacionados con sitios.
Para el caso de los buscadores Bing y Google, se permiten opciones avanzadas, las cuales pueden
incluir operadores lgicos del tipo: AND, OR.
Utilizando los buscadores es posible conocer datos de un sitio web, los cuales no se encuentran
accesibles desde la pgina principal.
Comandos Google
Ayuda sobre el buscador Google http://www.elhacker.net/trucos_google.html. Tambin se pueden buscar los verbos
bajo la frase Google Dorks.
Verbos
Funcin
site:
Bsqueda dentro de un dominio especfico.
filetype:, ext:
Bsqueda de archivos en un formato determinado.
intitle:
Buscar pginas con palabras en el campo title de las

pginas.
inurl:
Buscar pginas con palabras especficas en la URL.
Ejemplos
Bsqueda de documentos .DOC
filetype:doc site: midominio.com
Bsqueda de cuentas de correos
@midominio.com site: midominio.com.py
Bsqueda de telfonos en pginas en espaol
Tel. site:midominio.com.py
Buscar ndices en sitios web
intitle:index of site: midominio.edu.py

Comandos Bing
Ayuda del buscador Bing http://onlinehelp.microsoft.com/es-es/bing/ff808421.aspx

Verbos
Funcin
filetype:
Bsqueda de archivos segn la extensin.
inanchor:, inbody:, intitle:
Devuelve resultados con las palabras que se encuentran en

el enlace, cuerpo del documento, el ttulo.
site:
Devuelve las pginas web pertenecientes al sitio que se

especifica.
IP:
Busca datos relacionados con un nmero de IP especfica.
Ejemplos
Bsqueda de documentos .PDF
filetype:pdf site: midominio.com
Bsqueda de cuentas de correos
@midominio.com site:midominio.com
Bsqueda de telfonos en pginas en espaol
Tel. site:midominio.com.py
5.3.5.Herramientas especializadas para recoleccin de datos

En la fase de Recoleccin de datos se utilizan varias herramientas, las mismas se presentan a
Versin 1.0 07/11/2014 16/24

continuacin:
Nombre
Funcin
Autor/es
dnsenum
Enumerar
datos
relacionados al DNS de
un dominio dado.
Permite conocer los
servidores de correo
relacionados
al
dominio.
Script Perl
Filip Waeytens
filip.waeytens@gm
ail.com
tix tixxDZ
tixxdz@gmail.com
theHarvester
goofile
list-urls
whatweb
joomscan
plesco
URL
Disponibilidad S.O
(pago/gratuito) recomendado
para
ejecutarlo
Gratuito,
disponible
Kali Linux
Recoleccin de correos Christian Martorella Http://code.google. Gratuito,

eletrnicos
en cmartorella@edge- com/p/theharvester disponible
buscadores.
security.com
Kali Linux
Script Python.
Bsqueda
de Tomas Richards
documentos utilizando www.g13net.com
google.
Script Python.
Linux
en
Linux
en
Http://code.google. Gratuito,
com/p/goofile
disponible
Kali Linux
en
Linux
Permite listar urls de Mark Pilgrim

Http://diveintopyth Gratuito,
una pgina web.
mark@diveintopyth on.org
disponible
Script Python.
on.org
Kali Linux
en
Linux
Reconocimiento de las Andrew Horton

tecnologas utilizadas
en un sitio web, correos
electrnicos y otros
datos.
Desarrollado en Ruby
Http://www.mornin Gratuito,
gstarsecurity.com/r disponible
esearch/whatweb
Kali Linux
en
Identificacin
vulnerabilidades
Joomla.
Script python.
de Aung Khant
para
Http://yehg.net/lab Gratuito,
disponible
Kali Linux
en
Identificacin
vulnerabilidades
Wordpress
de Francisco J. Gomez. Http://iniqua.com/l Gratuito,

para Daniel
Garcia abs
disponible
Garcia
Kali Linux
en
Anubis
Herramienta
que Juan Antonio Calles Http://elblogdecall Gratuito
permite distintos tipos Garca
es.blogspot.com
de
test
para
la
http://flurealizacin
de
project.com
recoleccin
de
informacin.
FOCA
Combina
muchas Informtica 64
funcionalidades en una
sola herramienta, desde
reconocimiento
de
hosts hasta metadatos
de documentos.
Es
una
de
las
herramientas
ms
Linux
Linux
Linux
Windows
Http://www.inform Versiones free y Windows

atica64.com
paga.
Versin 1.0 07/11/2014 17/24

completas.
encuentra
para
Windows.
Maltego
Se
disponible
entornos
Recolecta
datos Paterva
basados en fuentes
pblicas, dibuja las
relaciones entre los
objetos encontrados.
Http://www.paterva Versin
Linux/
.com
comercial.
Windows
Versin
no
comercial
(descarga
gratuita). Kali
Linux
5.3.6.Resumen de herramientas segn la informacin a buscar

Es difcil realizar una clasificacin clara para las herramientas presentadas, debido a las funciones
que tienen. Tambin es necesario hacer notar que un mismo dato puede ser obtenido por varias
herramientas.
Siempre se deber contrastar la informacin obtenida contra otras herramientas.
La siguiente tabla resume las herramientas que pueden utilizarse segn los datos expuestos al
comienzo del documento.
Datos a recolectar
Fuentes y herramientas
Empresas/instituciones
Instalaciones fsicas, localizacin fsica.
Nmeros de telfonos.
Organigramas de cargos.
Proveedores.
Empleados.
Sistemas informticos.
Buscadores Google, Bing.

Folletera de marketing.
Cartelera.
Trashing (recoleccin de residuos)
Consultas telefnicas.
Anubis.
Foca.
Maltego.
Sistemas informticos
Nombres de dominio.
Rangos de Ips pblicas.
Servidores DNS.
Servicios de mquinas.
Metadatos de documentos pblicos
Localizacin geogrfica.
Buscadores Google, Bing

Dnsenum
theHarvester
goofile.
Anubis.
Datos de personas
Nmeros de documentos.
Direccin de correo.
Nombres y apellidos.
Datos en redes sociales (esto puede variar por zona
geogrfica)
Redes sociales.
Buscadores Google, Bing.
Redes sociales.
theHarvester
list-urls
whatweb
joomscan
plesco
Bsqueda de documentos y metadatos

De los metadatos se busca lo siguiente:
Usuarios: autores de documentos
Carpetas donde se crearon los documentos.
Impresoras.
FOCA
Versin 1.0 07/11/2014 18/24
Correos.
Versin de software con el que fue creado.
Software de ofimtica.
Cuanto ms datos se tenga, mayor

ser el nivel de xito que se podr
logar.
5.4. Herramientas para conservar el anonimato
Si bien, las herramientas anteriores nos permiten conocer informacin pblica, es probable que
dichas herramientas NO oculten nuestra identidad, dado que tanto las consultas como nuestra
direccin IP quedaran grabadas en los registros de los servidores.
Otro problema al que se enfrenta un auditor de seguridad, es que algunas herramientas dejan sus
firmas cuando son utilizadas, lo cual hace posible que en una lectura de registros se puedan seguir
pistas acerca del origen de las pruebas.
Nombre
Funcin
URL
Tails
Distribucin Linux, basada en https://tails.boum.org/

Ubuntu. Es la distribucin por
excelencia dedicada al anonimato
en Internet.
Es una distribucin amnsica, no
guarda registros.
Tor
Es una red abierta basada en https://www.torproject.or

software libre, que permite g
mantener el anonimato en Internet.
Diseada en principio por U.S.
Navy.
Versin 1.0 07/11/2014 19/24
S.O recomendadopara ejecutarlo

Privoxy
Es un proxy web, con capacidades http://www.privoxy.org/

avanzadas de privacidad y para
remover publicidad y otros
elementos no deseados.
Proxychains
Es un proxy para aplicaciones. http://proxychains.source

Permite hacer tneles TCP y DNS. forge.net/
Se
puede
correr
cualquier
programa. Esconde el IP. Se puede
utilizar SSH, telnet, wget, ftp,
nmap y otros. Es un proyecto
Open Soure
En cuanto a otros proyectos relacionados con el anonimato se pueden ver:
Ilustracin 3: Proyectos https://www.torproject.org
6. Punto final...
Luego de haber ledo el documento, hay algunas cosas a tener en cuenta:
La fase de recoleccin es de suma importancia, dado que nos abre las puertas para el anlisis
y la explotacin de vulnerabilidades. Etapas donde utilizaremos herramientas o las
Versin 1.0 07/11/2014 20/24
crearemos.
En el caso de realizar un pentest, es necesario asegurarse de contar con la autorizacin
correspondiente de la empresa que ser auditada, siempre.
Durante el tiempo que se realice un pentest, es probable que existan otros intentando hacer
lo mismo, pero con resultados diferentes, tal vez para otros fines.
Como profesionales de las tecnologas, en algn momento va a aparecer un sentimiento de
querer saber ms. Ese sentimiento es bueno, nos lleva a aprender muchsimo.
Si no existe una herramienta que se adecue, siempre podremos crear una segn nuestras
necesidades, o inclusive adaptar una existente.
El placer del aprendizaje deber estar por sobre todas las cosas.
Queda a criterio de cada uno probar y poner en prctica los conocimientos.
Versin 1.0 07/11/2014 21/24
7. Anexos
7.1. Ejercicio Atacar un servidor mediante el servicio ssh
utilizando fuerza bruta
Objetivos del ejercicio
Conocimientos necesarios
Materiales necesarios
Arrancar y parar servicios en sistemas Linux. Configuracin de redes para

montar el laboratorio de prueba.
Host vctima.Distribucin GameOver o estacin con sistema

Unix/Linux que tenga instalado.
Host atacante. Distribucin Kali. U otro sistema operativo con las
herramientas instaladas.
Servicio sshd en escucha para peticiones.
Comandos tail, fgrep, lastlog, lastb, medusa, hydra.
El host A denominado vctima IP 192.168.1.34

El host B denominado atacante IP 192.168.1.35
Host B encuentra el servicio abierto en host A.
Host B, intenta acceder al host B mediante pruebas y fuerza bruta.
Escenario
Utilizar una herramienta de fuerza bruta contra un servicio ssh.

Rastrear el incidente desde la mquina vctima en forma bsica.
Mitigacin de riesgos.
Comandos en Host vctima
Comandos en host atacante
Verificar en GameOver si el servicio sshd se

encuentra corriendo. service ssh restart.
#tail -f /var/log/auth.log para ver el ataque.
#tail -f $HOME/.bash_history para ver los comandos
ejecutados. Esto funciona solamente cuando cierra la
consola.
#fgrep Accepted /var/log/auth.log para ver los
ingresos.
#fgrep Failed /var/log/auth.log para ver los fallos.
#lastb .Para ver los intentos fallidos.
#lastlog -u usuario especfico para ver los accesos.
Probar primero un intento acertado con la contrasea

correcta.
Probar un intento fallido.
ssh root@maquinavictima
Prueba con la herramienta medusa
#medusa -h 192.168.1.34 -u root -P diccionario.txt -M ssh
Observaciones
Otra herramienta a probar es hydra

hydra -l root -P diccionario.txt ssh://192.168.1.34
El uso de estas herramientas deja una gran cantidad de

trazas que hacen referencia a la estacin que hizo las
pruebas, pudiendose determinar la IP desde la cual han sido
enviados los ataques.
Para GameOver, se debe habilitar el servicio ssh. Ejecutar
#ssh-keygen, colocar el nombre del archivo de clave
/etc/ssh/ssh_host_rsa_key
Comentar la lnea HostKey /etc/ssh/ssh_host_dsa_key, en
el archivo /etc/sshd_config.
#service ssh restart
Versin 1.0 07/11/2014 22/24
7.2. Ejercicio Atacar un hash y obtener una contrasea

Objetivos del ejercicio
Conocimientos necesarios
Materiales necesarios
Atacar un hash obtenido en un ataque.

Dilucidar una contrasea a partir de un hash.
Host vctima.Distribucin GameOver o estacin con sistema

Unix/Linux que tenga instalado.
Host atacante. Distribucin Kali. U otro sistema operativo con las
herramientas instaladas.
Archivos con hashes de contraseas. Esencial ganar muchsima
informacin para poder llevar a cabo con xito esta tcnica.
Escenario
Se ha obtenido un hash del archivo shadow.

Se han obtenido hashes desde bases de datos mysql.
Se recuperan los archivos
#john --wordlist=diccionario.txt --users=usuario shadow

#john --show shadow
Observaciones
Los archivos de contraseas encontradas se

almacenan en un directorio oculto dentro del
directorio del usuario que lo ejecuta. .john/ el cual
contiene archivos de la ejecucin de John The
Ripper.
Este es el archivo diccionario de la herramienta by
default /usr/share/john/password.lst.
Existen veces donde para poder obtener un password

pueden pasar aos, o incluso miles de aos. Esto vara
segn el ordenador en el cual se procesen los hashes.
Esta clase de ataques no siempre es satisfactorio.
Se recuperan cadenas hash de distintos tipos. Pueden

ser base de datos Mysql, CMS.
Ejemplo de generacin de hash.
#echo unaclave|md5sum. Para generar una suma
md5.
#echo unaclave|sha256sum. Para generar una suma
Sha256.
Copiar el resultado y colocarlo para identificar con las
herramientas.
#hashid
#hash-identifier
Observaciones
Si no se encuentran indicios sobre el algoritmo utilizado.

Se puede pensar en conseguir cdigos fuentes de la
aplicacin para verificar el algoritmo.
Versin 1.0 07/11/2014 23/24
7.3. Recursos tiles sobre seguridad de la informacin

Organismo/ institucin Descripcin
Url
CERT Paraguay
Equipo de respuesta ante incidentes informticos en http://www.cert.gov.py/

Paraguay. Brinda asistencia sobre casos de delitos
informticos y ofrecen guas relacionadas a diversos
temas.
CVE MITRE
Base de datos sobre vulnerabilidades
INCIBE
Organismo gubernamental del gobierno espaol. Se https://www.incibe.es/

dedica a tratar temas relacionados a la seguridad de
la informacin. En su pgina publican artculos y
guas especficas.
https://cve.mitre.org/
EXPLOIT DATABASE Base de datos de exploits mantenida por la empresa http://www.exploit-db.com/

Offensive Security. Informacin pblica.
SANS
Varios recursos relacionados a la informacin sobre http://www.sans.org/

vulnerabilidades.
SEGU INFO
Blog sobre seguridad de la informacin con http://seguinfo.com.ar/

boletines sobre temas especficos.
Agencia de la Unin
Europea para la Red y
Seguridad de la
Informacin
Dentro de esta agencia funciona el CERT http://www.enisa.europa.eu/activities/

(Computer Emergency Response Team), el cual cert
proporciona
informaciones
sobre
ataques
informticos, provee materiales y recomendaciones.
CERT
Materiales de lectura tiles, investigaciones sobre http://www.cert.org/

incidentes informticos.
Guas
Gua tcnica sobre herramientas que pueden ser http://www.pentestutilizadas para pentest
standard.org/index.php/PTES_Technic
al_Guidelines
Versin 1.0 07/11/2014 24/24

seminarioUNAE PDF

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

seminarioUNAE PDF

Uploaded by

Copyright:

Available Formats

Seminario de Desarrollo de Software, Tendencias y Seguridad

Versin 1.0 07/11/2014 1/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

Versin 1.0 07/11/2014 2/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

1. Derechos del autor y otras cosas

Versin 1.0 07/11/2014 3/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

Versin 1.0 07/11/2014 4/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

3. Panorama. Donde estamos parados ahora en

3.1. Unas cifras

Accedida el da 08/10/2014, publicacin 23/03/2014, Diario La Nacin, Casi un 40% de

3.2. Otros casos... Gobiernos que buscan en redes

Seminario de Desarrollo de Software, Tendencias y Seguridad

3.3. Hacktivistas que protestan y se defienden manteniendo

Accedida el da 08/10/2014, publicacin 14/08/2014, Actualidad RT ,Anonymous dice haber

Accedida el da 08/10/2014, publicacin 5/09/2014, Actualidad RT ,Anonymous declara la

3.4. Tendencias, lo que colocamos/ usamos en la red

Seminario de Desarrollo de Software, Tendencias y Seguridad

Versin 1.0 07/11/2014 7/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

4. Factores humanos y tecnolgicos

4.1. Como generar ambientes inseguros?

Seminario de Desarrollo de Software, Tendencias y Seguridad

no cuentan con revisiones peridicas y tambin no cumplen con la implementacin de las

4.2. Que hace un encargado de seguridad?

Seminario de Desarrollo de Software, Tendencias y Seguridad

Actualizacin de parches de seguridad en software y dispositivos.

4.3. Caractersticas para dedicarse a la seguridad de la

Si quiero dedicarme a la seguridad que necesito?

4.4. Las cosas no siempre sern fciles

Versin 1.0 07/11/2014 10/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

Ilustracin 1: Camino largo en el desierto

Ilustracin 2: El encargado de seguridad de la

Versin 1.0 07/11/2014 11/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

5. Conceptos aplicados a la prctica de un pentest

5.1. Herramientas para un laboratorio de pentest

Software para crear hosts virtuales. Podr ser utilizado https://www.virtualbox.org/

Distribucin Linux, orientada al pentesting. Cuenta http://www.kali.org/

Nebula es una distribucin con fallos de seguridad a https://exploit-exercises.com/

Distribucin orientada a la explotacin de http://sourceforge.net/projects/nullvulnerabilidades web y aplicaciones con fallos de gameover/files

Perl, Python, C Compiladores e intrpretes de lenguajes de

Router Wi-Fi para armar una red de prueba.

5.2. Metodologas para pentest

Seminario de Desarrollo de Software, Tendencias y Seguridad

Open Source Security Testing Methodology

Information Systems Security Assessment

The Open Web Application Security Project OWASP

Habitualmente un pentest contiene las siguientes fases:

Seminario de Desarrollo de Software, Tendencias y Seguridad

5.3. Recoleccin de informacin (Information Gathering)

El xito de un ingreso a los sistemas depende fuertemente de la informacin relevada durante la

Seminario de Desarrollo de Software, Tendencias y Seguridad

5.3.2.Conceptos y tipos de pruebas

5.3.3.Utilizacin de pginas pblicas para recabar informacin

Bsqueda de informaciones tales

Anlisis de enlaces de la pgina.

Versin 1.0 07/11/2014 15/24

Seminario de Desarrollo de Software, Tendencias y Seguridad

Bsqueda dentro de un dominio especfico.