SoloCodigo

¿Cómo escanear puertos?

En mi humilde opinión el mejor escaneador de puertos es sin duda nmap de Fyodor, una utilidad imprescindible para aquellos que os interese la seguridad informática. Ahora viene con interfaz gráfica en la versión Windows, pero yo siempre he sido gran fan de Linux y su consola  

En la ayuda nos indican que la sintaxis del programa sigue la siguiente regla:

nmap [Scan Type(s)] [Options] {target specification}

En los tipos de escaneos, nmap ofrece una variedad insuperable. Veamoslo paso a paso:

• TCP SYN: se manda un paquete TCP SYN a los host y puerto de destino y se espera una respuesta. Si se recibe un paquete TCP SYN/ACK, sabemos que el puerto está abierto. Si recibimos un TCP RST es que el puerto está cerrado. Si después de varios paquetes enviados no recibimos ninguna respuesta, podemos decidir que el puerto está filtrado (hay un firewall que no permite el acceso al host). Este escaneo es rápido, fiable y bastante camuflado, ya que nunca llega a iniciarse una conexión TCP completa puesto que no enviamos el paquete TCP ACK final.
• Conexión TCP: con este tipo se establece una conexión TCP completa para averiguar el estado del puerto en el host de destino. Es una opción poco recomendable teniendo el escaneo SYN.
• UDP: se envía un paquete UDP sin datos al host-puerto destino. Si se recibe un paquete ICMP de "puerto no accesible", el puerto está cerrado. Si se recibe otro tipo de ICMP, se asume el puerto como protegido por firewall. Si se recibe una respuesta, está abierto. Si después de varias retransmisiones no se recibe nada, no sabemos en qué estado está el puerto, así que lo catalogamos como abierto/filtrado.
• Otras banderas TCP: en este caso se activan otras (o ninguna) banderas del paquete TCP que no sean SYN ni ACK ni RST. Acorde al RFC 793, cualquier paquete TCP que llegue sin SYN, RST o ACK no se responde si el puerto está abierto, y se manda un RST si el puerto está cerrado. Mientras no esté activada ninguna de estas tres banderas, podemos usar cualquier combinación de las 3 restantes (FIN, PSH, URG). Las ventajas de este escaneo son que es más silencioso que el escaneo SYN y que puede atravesar los firewalls y routers más sencillos. La gran desventaja es que muchos sistemas operativos (Windows) no siguen al pie de la letra la RFC 793 y mandan un RST esté abierto el puerto o no.
• TCP ACK: este escaneo es especial puesto que en realidad no va encaminado a saber el estado de los puertos, sino determinar el comportamiento del firewall. Se mandan paquetes con la bandera ACK activada. Estos paquetes sólo se envían en caso de que la conexión ya haya sido establecida, por lo que nos permitirá saber si el firewall lleva la cuenta de las conexiones (es de estados) o sólo realiza comprobaciones más sencillas (no es de estados). Si recibimos un paquete RST quiere decir que el ACK traspasó el firewall (no es de estados) y obtenemos una respuesta del host (pero manda un RST tanto si el puerto está abierto como cerrado). Si no recibimos nada o recibimos un ICMP de error, sabemos que el puerto está siendo descartado por el firewall (por tanto, es de estados). Este escaneo se debe hacer en conjunción con otros para devolver resultados fiables.
• TCP ACK con comprobación de ventana: igual que el anterior, sólo que se aprovecha de la implementación de algunos sistemas a la hora de asignarle el valor a la ventana en la respuesta RST. Si la ventana es cero, el puerto está cerrado; si la ventana tiene un valor, el puerto está abierto. Hay que tener en cuenta que esto depende de la implementación de algunos sistemas y no es siempre fiable.
• IP Pasivo: este escaneo súper camuflado (de hecho el host objetivo jamás recibirá un paquete TCP con nuestra IP) hace uso de 3 técnicas conjuntamente. Dos de ellas ya las hemos explicado, pero la tercera no: todos los paquetes IP llevan un identificador de fragmento para el caso en que haya que trocear el paquete IP en varios. La mayoría de los sistemas operativos simplemente incrementan este identificador en 1 a cada nuevo paquete. Consiguiendo 2 paquetes, podemos por lo tanto saber cuántos han sido enviados entre el primero y el segundo comprobando este identificador. Ahora el proceso consta de 3 pasos:
  [list type=3]
  [li]Obtener el IP ID de un equipo tercero (llamado "zombi").
• Mandar 1 escaneo SYN al host objetivo haciéndose pasar por el zombi
• Obtener el nuevo IP ID del "zombi".

Una de las mayores ventajas de este escaneo es descubrir qué IPs están permitidas a través de un firewall.[/li][/list]

Como el escaneo IP pasivo es un poco complicado de entender, voy a mostrar un ejemplo más detallado. Supongamos que nuestra IP es 192.168.1.120, la del equipo que queremos escanear 10.1.1.1 y la del equipo tercero o "zombi" 128.0.0.1.

• Caso 1: Puerto abierto
  [list type=3]
  [li]Se manda un SYN/ACK a 128.0.0.1, que responde con un RST, revelando su IP ID.
• Se manda un SYN a 10.1.1.1 con IP de origen 128.0.0.1. El puerto está abierto, así que 10.1.1.1 responde con SYN/ACK, pero se la envía a 128.0.0.1 que, al no saber nada, responde con un RST, aumentando en 1 su IP ID
• Se manda otro SYN/ACK a 128.0.0.1, que responde con RST revelando su nueva IP ID, que vemos que ha aumentado en 2, por tanto el puerto está abierto.

[/li]
[li]Caso 2: Puerto cerrado
[list type=3]
[li]Se manda un SYN/ACK a 128.0.0.1, que responde con un RST, revelando su IP ID.[/li]
[li]Se manda un SYN a 10.1.1.1 con IP de origen 128.0.0.1. El puerto está cerrado, así que 10.1.1.1 responde con RST a 128.0.0.1, que obviamente no hace nada.[/li]
[li]Se manda otro SYN/ACK a 128.0.0.1, que responde con RST revelando su nueva IP ID, que vemos que ha aumentado en 1 esta vez, por tanto el puerto no está abierto.[/li][/list][/li]
[li]Caso 3: Puerto filtrado
[list type=3]
[li]Se manda un SYN/ACK a 128.0.0.1, que responde con un RST, revelando su IP ID.[/li]
[li]Se manda un SYN a 10.1.1.1 con IP de origen 128.0.0.1. El puerto está filtrado, no hay respuesta[/li]
[li]Se manda otro SYN/ACK a 128.0.0.1, que responde con RST revelando su nueva IP ID, que vemos que ha aumentado en 1 esta vez, por tanto el puerto no está abierto.[/li][/list][/li][/list]

Como vemos, es imposible para el atacante distinguir entre un puerto cerrado y filtrado con este escaneo. Pero como hemos dicho, podemos descubrir que IPs tienen permiso para atravesar el firewall, simplemente probando IPs (de un rango concreto) y viendo si el puerto está abierto o no mediante el escaneo. Si para algunos está abierto y para otros no, entonces ya sabemos qué IPs están permitidas a través del firewall, ¿no?  

Los principales problemas del IP Pasivo es que hay que poder mandar paquetes con la IP suplantada, caso harto difícil si tenemos un router con NAT, y que hay que hallar un "zombi" pasivo, es decir, con tráfico casi nulo para no falsificar los resultados del IP ID.