Recabar Informacion

El intruso o el profesional ético, através del empleo de las técnicas anteriores, ha logrado ubicar en Internet a la organización objetivo mediante rangos de direcciones IP y dominios. Aun que seguramente dispone de otra información más detallada, con estos métodos buscará conocer:

Si los hosts (PC y ser vers) de una red o determinado rango de Internet están vivos (funcionando) através de un network scanning o escaneo de red. Gracias a
63 éste, tam bién podrá resolver sus nom bres y direcciones IP e, incluso, podrá localizar determinado nombre de host o terminal dentro del rango.

A través de un port scanning: qué puertos están abiertos, filtrados o cerrados.
Por otro lado, también intentará averiguar qué tipo y versión de aplicación está corriendo en esos puertos y qué servicios.

Con el fingerprinting: qué sistema operativo, versión de aplicación o kernel posee el servidor vivo.

Con el vulnerability scanning podrá conocer descuidos de administración o vulnerabilidades previamente conocidas.

Para un intruso es muy facil ver
informacion de un dominio
con solo ver el codigo fuente de dicho
dominio y saldra esta informacon.

Antivirus: este dato sirve para adaptar algún método para la escalada de privilegios no detectado por ese antivirus.

Servers de correo: en este caso, qmail (htt p://es .wi ki pe dia.org /wi ki/Q 61 mail).

Día y horario: im portan te para ver a qué hora trabajan o en qué fecha responden los correos. 4 y 5 Nom bres de hosts de los SMTP: hay muchos ISP regionales y nacionales que poseen fallas y pueden comprometerse.
El intruso no dudará de hacerlo si el sistema de la organización es mucho más seguro. Recordar que el intruso no tiene ética y hará lo que sea necesario para interceptar el flujo de información del objetivo.

ISP: Arnet en este caso. El intruso puede intentar comprometer el ISP o todo aquel nodo por el que pase la información de la organización.

Di rec ción IP: depende de la topología de red y del servicio de correo. Los correos brindan la IP pública del gateway o servidor, el cual se puede buscar entre los rangos declarados en alguna entidad de registro.

Nombres determinales (PC): terminal y unknown (si, algunos le ponen nombres divertidos de ese tipo: unknown, HELO, como también los peligrosos: contaduría, gerencia, recepción, etcétera). Sirven para ubicarlos en una red de direcciones de IP dinámicas (que cambian día a día, luego con un simple escáner la ubicamos en horario comercial o acorde con el horario
en que nos llegó el e-mail).

Origen y casillas de correo: este correo salió de un cliente adsl de Arnet, pasó por su SMTP tercerizado (Ar net). Su casilla de correo institucional está liga da a un dominio .com.ar registrada en www .ni c.ar, del cual durante mucho tiem po se han podido extraer los emails con el que se registraban las personas y entidades, como podemos leer en www.delitosinformaticos.com /protecciondatos/casonicar.shtml.

Cliente de correo y sistema operativo: Microsoft OutlookExpress versión 6.00.2900.2869. Windows XP SP2 muy probablemente.

Inforfación en el cuerpo del mensaje: aquí podemos en contrar: Nombre de empleado que firma y cargo, para utilizar luego al contactar con otro o tratar dediluci darlo gins (usuarios) con el típico formato primera letra del nombre más apellido (ctori) o el aclarador modo nombre punto apellido (carlos.tori).

Se denomina information gathering

A la instancia previa al intento de ejecutar una
intrusión informática a un sistema por parte de alguien no autorizado.

Tambien denominamos a la recolección de datos acerca del objetivoo de algún componente relacionado a este o aparte de él. Esta fase se compone, fundamentalmente,
de investigatión y análisis de datos recabados.

Los intrusos siempre tienen un objetivo claro que podria ser

Algun empelado y estas son algunas de las preguntas útiles antes de proceder.

• ¿Qué sabemos de nuestro objetivo?
• ¿Dónde están sus redes, sitios o por dónde fluye su información?
• ¿Qué partes lo conforman?¿Qué sis te mas po seen y co mo es tán for ma dos?
• ¿Có mo se lla man los in te gran tes de la or ga ni za ción?
• ¿Quié nes son sus em plea dos y qué ha cen? ¿Có mo y dón de?
• ¿Qué in for ma ción so bre ellos se pue de con sul tar o con se guir en In ter net?

Se denomina footprinting (siguiendo la huella de pisadas)

A esta recolección de información previa. De todos modos, cada atacante o consultor tiene sus propios mé todos y recursos durante esta búsqueda.

La recolección de datos previos al ataque generalmente comienza en algún tipo de base de datos y otros recursos que se dispongan.

Cuando son hechas por un intruso, estas recolecciones a veces no son legales. Un ejemplo de consulta a base de datos ilegal sería el caso antes mencionado: el intruso que tenga en su poder una base de datos de algún ISP en el que figuran, por casualidad, los datos personales de
algunos integrantes de la organización que atacará.

Éste, luego de cotejar las coincidencias de personas (existencia tanto en la base de datos como en la organización), tomará los datos personales de ellos y, acto seguido, tratará de emplear como passwords sus fechas de nacimiento, sus números de documento, sus oficios y los mismos passwords allí utilizados, pero esta vez en las
cuentas de correo de la or ganización u otro servicio que requiera autentificación (como ssh, ftp, rlo gin o tel net, por ejemplo).

Tambien pueden instalar algunas de las siguientes cosas:

Backdoors on-the-fly: Los back doors son puertas traseras para volver a ingresar cuando así lo deseen, sin despertar sospechas (en el caso de los on-the-fly), ya que no dejan un puerto abierto o algo remotamente detectable como para saber que existe. Más información acerca de esta avanzada técnica, en www .hac ker z.ir/ e-book s/i nit_r pi.txt (de ta lla có mo pat chear el ker nel OTF).

Binarios troyanizados: El intruso con conoci ientos suficientes suele reemplazar a mano algunos archivos binarios de sistema (por ejemplo ps, lsof o ls en Li -
nux) para ocultar procesos o archivos dentro del sistema operativo. Cuando utilice éstos, el administrador del sistema no se dará cuenta tan fácilmente de que hay procesos y archivos nuevos en su servidor.

Root kits: Éste es un kit o una serie de aplicaciones que se utiliza para mantener los privilegios de root dentro del servidor, que no se instala enforma tan artesanal y sirve para mantener procesos ocultos y, tal vez, una puerta de entrada.
Los hay para todos los sistemas operativos.

Los buscadores son una increíble fuente de clasificación, análisis, búsqueda y caché de información, confidencial o no, sobre un objetivo. Altavista fue el buscador preferido en los años 90, Yahoo lo fue más cerca del año 2000 y hoy lo es el excelente Google. Seguramente habremos escuchado hablar de Google hacking, es decir, utilizar el famoso buscador para encontrar datos relevantes del objetivo.

Hay otras bases de datos públicas y herramientas que brindarán datos en tiempo real en Internet.

SmartW hois: encuentra información acerca de una dirección IP, host name, incluyendo país, provincia, ciudad, nombre del proveedor de Internet, su administrador.
• CountryWhois: de vuelve el país de donde proviene una dirección IP.
• Trace Route: devuelve la máquina y la IP de cada salto queda un paquete desde la máquina original hasta la de destino por Internet. Además, tam bién informa el tiem po en mili segun dos que tarda éste.
• Ping: envía un echo request a una máquina especifica en la red. Esto puede ser
utilizado para chequear la comunicación entre dos máquinas o para ver si el host específico está corriendo o existe.
• Ns Lookup: resuelve un host name a dirección IP o viceversa.
• Proxy Test: chequea si un Proxy es realmente anóni mo. Este trata de reconocer la verda de ra dirección IP incluso si ésta se en cuentra de trás de un Proxy httpd.
• Environ mentalVariablesTest: muestra varias configuraciones remotas del browser y de nuestra máquina.