Revisando las conexiones de Red. Netstat (Linux)

Imagen de la web de Panda

Si el otro día veíamos como usar Netstat en Windows hoy haremos lo propio con Linux.
Ya hablamos de lo que era Netstat, así que vamos al lío directamente.

Como dije en la primera entrada, Netstat es nativo del SO así que no tendremos que instalar ningún programa. Procedemos de la misma manera que el otro día. Abrimos el navegador para visitar alguna web, y abrimos la consola  para teclear lo siguiente:

Revisando las conexiones de Red. Netstat (Windows)

Imagen de la web de Panda

Todos en mayor o menor medida somos conscientes de los riesgos que conlleva conectar un equipo a la red (o deberíamos), y no debemos conformarnos con poner un antivirus, ya que en muchas ocasiones los malos son capaces de evadir estas medidas de seguridad.

Vamos a hablar de herramientas de red que nos pueden ayudar a la hora de saber que está pasando en nuestro equipo y que además vienen por defecto en los sistemas operativos, tanto en Windows como en Linux.

Hoy vamos a ver Netstat (network statistics, estadísticas de red) que es una herramienta en línea de comandos que nos permite ver un listado de las conexiones activas en el equipo.

Hacking desde 0. Hoy primeros pasos con Nmap

Nmap es una de las herramientas imprescindibles a la hora de realizar pentesting.

Sus principales características (según wikipedia) son:

• Descubrimiento de servidores: Identifica computadoras en una red, por ejemplo listando aquellas que responden ping.

• Identifica puertos abiertos en una computadora objetivo.
• Determina qué servicios está ejecutando la misma.
• Determinar qué sistema operativo y versión utiliza dicha computadora, (esta técnica es también conocida como fingerprinting).
• Obtiene algunas características del hardware de red de la máquina objeto de la prueba.

El modelo OSI

*Imagen de la wikipedia

Señores, esto es el ABC de la informática. Como lo estamos recordando en clase (cada uno a su bola) he encontrado una documentación de la web de Microsoft (y en castellano) que me parece bastante completa.

Compañeros, sin esto no vamos a ningún sitio, así que, recordemos como funciona.

El modelo de interconexión de sistemas abiertos (OSI) tiene siete capas. Este artículo las describe y explica sus funciones, empezando por la más baja en la jerarquía (la física) y siguiendo hacia la más alta (la aplicación). Las capas se apilan de esta forma:

• Aplicación
• Presentación
• Sesión
• Transporte
• Red
• Vínculo de datos
• Física

Lab 3 Ipv6 configuración de tecnologías de transición. 1ª parte

Hola a todos, como continuación de las entradas de mi amigo Roberto (@1gbdeinfo) , al cual he de pedirle disculpas por el retraso, presentamos este lab que cubre parte de las tecnologías de transición de ipv4 a ipv6 como son la llamada Dual stack, los túneles ipv6 sobre ipv4 e 6to4, en la siguiente entrada de este post trataremos las tecnologías de transición NAT-pt y NAT64, y a partir de esta entrada iremos subiendo el nivel, y tratando de complicarnos la vida… eso si ruego tengáis paciencia puesto que no tengo tiempo para nada… en fin, al lio

Dual stack (doble pila)

Ya sabéis que vamos directamente a la práctica, fijaos la captura…

Algo más sobre IPv6

Seguimos con las entradas sobre IPv6 que mi amigo Juan Carlos me esta ayudando a completar con su magnifica labor con los laboratorios.

Autoconfiguración IPv6

• Cuando un equipo no tiene configurada una IP estática, lo primero que se hace es obtener una dirección como FE80::D781:E3B:E893:46E4%10 que pertenece a Link Local  y que configura dicho equipo.
• Éste, comprueba que no haya conflictos de direccionamiento, usando el protocolo Neighbor Discovery (ND)
• Comprueba si existe un router en la red IPv6.
• El router comprueba los prefijos que tiene asignados.
• Asigna prefijos (asigna la puerta de enlace) y asigna otros que el administrador haya definido de forma explicita.
• El cliente busca un DHCPv6 mediante mensajes Multicast y éste le asignará el resto de descriptores que se hayan indicado por el administrador.

Lab 2. Configuración ruta estática IPv6 e implementación de rip-ng

Hola a todos

En este nuevo lab en la colaboración con 1gbdeinfo partimos de la configuración anterior, en la cual recordamos teníamos configuradas las direcciones ipv6 local-link que permitían la comunicación de los equipos en cada subnet entre ellos y a su vez la limitaba a ese entorno, y teníamos configurada la conexión serial de ambos routers y existía comunicación entre ellos, en este entorno vamos a dar un pequeño paso más allá y vamos a introducir la comunicación entre todas las subredes mediante la introducción de una ruta estática, para ello y para una mayor claridad vamos a utilizar la ruta estática 2001:1::/32 la cual resume de sobra las subredes configuradas en este ejemplo, se podría utilizar la dirección 2001:1:1::/48 la cual abarca de manera más ajustada las subredes pero prefiero comentarla y si deseáis probar el funcionamiento la configuréis en el lab.

Direccionamiento en Ipv6

Estructura en IPv6

En IPv6 no existe la máscara en formato decimal como la conocíamos en IPv4 si no que se una la notación CIDR.

• Cada Host viene identificado por 64 bits por defecto.
• El número de bit de redes viene dado por un prefijo.

Direcciones globales.

• Son enrutables en Internet, equivaldrían a las publicas IPv4.
• Contienen 16 bits para realizar subneting internos.
• Comienzan por un 2 o un 3 (2000::/3)

Direcciones locales.

• Son las equivalentes al rango privado en IPv4.
• Contienen 16 bits para realizar subneting internos.
• Requiere ID de organización que es generado de forma aleatoria.

Direcciones Link-local.

• Se generan automáticamente para todos los host en IPv6.
• Seria el "equivalente" al rango APIPA en IPv4.
• Se pueden usar en lugar de mensajes broadcast.
• Incluyen un ID de zona que identifica al interfaz.

Recapitulando:

Roberto García (@1GbDeInfo)

LAB 1- CONFIGURACIÓN SIMPLE IPV6 (LINK-LOCAL Y SUBREDES) SIN ENRUTAMIENTO.

Hola a todos

Soy Juan Carlos de bitacoraderedes. Hoy os voy a mostrar como sin complicarnos la vida en demasía se puede configurar un pequeño lab para irnos introduciendo en Ipv6.

Vamos a partir de escenarios simples e iremos subiendo la dificultad, hasta llegar a enrutamiento dinámico con múltiples áreas en packet tracert, hasta configuraciones de active directory, routers virtuales etc en entorno GN3, espero que tengáis paciencia ya que son entornos que llevan su tiempo para su preparación…

En estos labs no se procederá a la configuración total del escenario, si no que se configurara solo un ejemplo de la correcta configuración con la idea de que sea descargado el escenario y configurado por el lector.

Hoy vamos a configurar un lab sencillo compuesto de dos routers, conectados mediante interfaz serial, que a su vez tienen cada uno dos subredes conectadas a sus respectivas interfaces Ethernet, una imagen vale mas que mil palabras…

Un poco de IPv6

Siguiendo con la teoría que ya empecé a escribir hace unos días, vamos a ver un poco de IPv6.

IPv6 aparece como respuesta al agotamiento de las direcciones públicas IPv4.

Recordemos que el direccionamiento de IPv4 era de 32 bit, en cambio el direccionamiento de IPv6 es de 128 bit, es decir,  2128 direcciones IP públicas disponibles.

Veamos los beneficios que nos da la implementación de IPv6:

• Mayor espacio de direccionamiento.
• Direccionamiento jerárquico e infraestructura de enrutamiento.
• Configuración de direccionamiento con estado (DHCP) y sin estado (configuración automática de routers para acceder a Internet).
• Soporta IPSec.
• Conmutación end - to - end.
• Soporta QoS (Quality of Service, calidad de servicio.
• Mejora el rendimiento en entornos de única subred, Link Local (parecido a lo que eran las direcciones APIPA en IPv4).
• Extensible. 

Subnetting, determinar máscaras.

Continuando con la parte teórica sobre IP y máscaras de red, vamos a ver algo de subnetting, que (resumiendo) no es más que dividir la red en segmentos. Los pasos para realizarlo son:

1. Una vez determinado el número de segmentos de red necesarios, lo convertiremos a formato binario.
2. Contaremos el número de bits requeridos para representar el número en binario de los segmentos de red, es decir, si necesitamos 6 segmentos de red, el valor binario es 110, así la representación de 6 en binario necesita tres bits .
3. Convertir el número de bits que se necesitan a formato digital de izquierda a derecha. Si se necesitan tres bits, configuramos los tres primeros bits como ID de host. El valor decimal de 11100000 es 224, de manera que la mascará será 255.255.224.0 en una dirección de tipo B 

Direcciones de host, red y broadcast

Dirección de red

La dirección de red es una manera estándar de hacer referencia a una red. Por ejemplo: se podría hacer referencia a la red de la figura como "red 10.0.0.0". Ésta es una manera mucho más conveniente y descriptiva de referirse a la red que utilizando un término como "la primera red". Todos los hosts de la red 10.0.0.0 tendrán los mismos bits de red.

Dentro del rango de dirección IPv4 de una red, la dirección más baja se reserva para la dirección de red. Esta dirección tiene un 0 para cada bit de host en la porción de host de la dirección.

Dirección de broadcast

La dirección de broadcast IPv4 es una dirección especial para cada red que permite la comunicación a todos los host en esa red. Para enviar datos a todos los hosts de una red, un host puede enviar un solo paquete dirigido a la dirección de broadcast de la red.

La dirección de broadcast utiliza la dirección más alta en el rango de la red. Ésta es la dirección en la cual los bits de la porción de host son todos 1. Para la red 10.0.0.0 con 24 bits de red, la dirección de broadcast sería 10.0.0.255. A esta dirección se la conoce como broadcast dirigido.

Direcciones host

Como se describe anteriormente, cada dispositivo final requiere una dirección única para enviar un paquete a dicho host. En las direcciones IPv4, se asignan los valores entre la dirección de red y la dirección de broadcast a los dispositivos en dicha red.

Prefijos de red

Una pregunta importante es: ¿Cómo es posible saber cuántos bits representan la porción de red y cuántos bits representan la porción de host? Al expresar una dirección de red IPv4, se agrega una longitud de prefijo a la dirección de red. La longitud de prefijo es la cantidad de bits en la dirección que conforma la porción de red. Por ejemplo: en 172.16.4.0 /24, /24 es la longitud de prefijo e indica que los primeros 24 bits son la dirección de red. Esto deja a los 8 bits restantes, el último octeto, como la porción de host. Más adelante en este capítulo, aprenderemos más acerca de otra entidad que se utiliza para especificar la porción de red de una dirección IPv4 en los dispositivos de red. Se llama máscara de subred. La máscara de subred consta de 32 bits, al igual que la dirección, y utiliza unos y ceros para indicar cuáles bits de la dirección son bits de red y cuáles bits son bits de host.


No siempre a las redes se le asigna un prefijo /24. El prefijo asignado puede variar de acuerdo con la cantidad de hosts de la red. Tener un número de prefijo diferente cambia el rango de host y la dirección de broadcast para cada red.

Roberto García (@1GbDeinfo)

*Info de : sites google 

Direcciones IP Binario/Decimal y máscara de red

Convertir direcciones IP de binario a decimal.

Cada Bit en un octeto tiene asignado un valor decimal, así el Bit con el valor a 0 (cero) tiene valor 0 (cero). Un bit que tiene su valor a 1 podría convertirse a decimal. El bit con el orden más bajo tiene el valor 1, mientras que el más alto tiene un valor decimal de 128, de manera que el valor decimal del octeto cuando todos los Bits están a 1 es 255 (ver imagen).

Las direcciones IP, un poco de teoría.

Las direcciones IP identifican la localización de una maquina en la red. De igual forma que una dirección postal identifica una casa en una ciudad. Esta dirección postal identifica a una casa como única y la hace diferente de las demás casas, es decir, no puede haber otra casa con la misma dirección. De esa misma forma funcionan las direcciones IP. Si un dispositivo como un router admite varios canales (WAN, Ethernet...) cada puerto ha de tener su propia IP.

Una dirección IP (en IPV4) está formada por cuatro campos de 8 bits, es decir, contiene 32 bits. Cada campo esta separador por puntos y puede representar un numero decimal comprendido entre 0 y 255. Este sistema se llama notación decimal con puntos.

LanSweeper

Hola a todos, hoy os traigo un programa que para mi es de lo mejor que he visto.

LanSweeper es un programa que nos vale para hacer un inventario de los equipos de la red. Como veremos a continuación, es muy completo. Podéis descargarlo desde su web oficial, pinchando aquí.

Vamos a ver su instalación en un dominio, que es donde realmente le vamos a sacar un gran partido.

Una vez que hemos descargado el programa, lo ejecutamos y nos aparece la primera pantalla.

Damos a "next" y nos sale la segunda pantalla

Aceptamos los términos de licencia, previa lectura de la misma, por supuesto.
Nos aparece la tercera pantalla.

Aquí podemos optar por la instalación sencilla o la avanzada. En este caso he seleccionado la avanzada. Marcamos todo igual que en la imagen anterior.

En la siguiente imagen nos pide el servidor SQL para instalar la base de datos. Seleccionar de la lista desplegable el vuestro, o en su defecto, lo escribís si es que no aparece.

A continuación nos pide una cuenta del dominio con privilegios de administrador. 

Al ponerla, si está correcta, nos parecerá un mensaje como el de la imagen anterior indicando que esta ok.

Continuamos con la instalación, en este caso nos pide que le demos el rango de IP en el que nos vamos a mover. Dependiendo si estamos en virtual, con equipos linux o mac, debemos habilitar SSH para que lo escanee.

Ahora nos pide que le indiquemos el puerto por el que accederemos a la consola.

Es el momento de decirle al programa en que carpeta queremos instalarlo. Nos muestra una por defecto, pero si queremos cambiarla, con pinchar en "browse" podemos elegir cualquier otra.

Le damos al botón "install" y veremos que comienza la instalación.

Cuando termine, nos mostrara una ventana de MS-Dos en la que nos advierte que la instalación se ha realizado correctamente.

En la siguiente pantalla nos preguntará si queremos que nos envíen por mail noticias y demás. 

Nos abre una ventana con la consola web con un reporte de todo.

Y por ultimo, nos aparece la consola de utilidades, donde pondremos el nombre del servidor y la base de datos.

A partir de aquí, podremos ver un inventario completo de todos los equipos que formen parte del dominio.

En la primera imagen, vemos la configuración completa de un equipo. Pinchando en cada una de las pestañas, veremos unos parámetros.

En la siguiente imagen, podemos ver todos los ordenadores en los que se ha logado un usuario, así como información sobre el mismo etc.

Y por ultimo os dejo una imagen en la que se puede ver gran información sobre el equipo, las unidades organizativas (OU) a las que pertenece, información sobre el disco, las carpetas que comparten y un largo etc.

Pues esto es todo. Como veis, es una herramienta muy útil para trabajar. Os dejo un enlace desde el que podeis descargar en PDF el manual oficial con todo, visto a fondo.

http://www.lansweeper.com/documentation.pdf 

*Agradecer a mi compañero JMG por pasarme los pantallazos del programa conectado a un dominio .

akil3s.

Toma de contacto con Wireshark II de II

------------------------------------------------------

Toma de contacto con Wireshark I de II

Toma de contacto con Wireshark II de II

------------------------------------------------------

Retomando el tema de Wireshark, en esta entrada voy a hacer mas lo menos lo mismo para que sea mas ameno. Primero algo de "teoría" y luego vemos un par de ejemplos. Comencemos pues.

Algo de lo que no hable en la primera entrada y que quizá debí hacer, es hablar algo mas sobre Wireshark. Vamos a ver un poco la estructura de este programa.

Imagen del documento: Análisis de tráfico con Wireshark de Inteco

La primera parte (1, en negro) es donde se definen los filtros y donde nos permite hacer búsquedas para ver los protocolos o paquetes que nos interesen.

La segunda parte (2, en rojo) es donde se realiza la captura de paquetes en tiempo real.

La tercera parte (3, en azul) es la que nos permite ver por capas las cabeceras de los paquetes seleccionados en la parte anterior.

La cuarta parte (4, en naranja) vemos en hexadecimal el paquete tal y como lo captura la tarjeta de red.

Hay que tener en cuenta que, obviamente, esto no es todo,  ni mucho menos. Es muy importante conocer a fondo el programa, ver que hay detrás de cada menú y ver que hace cada opción. Pero ese ya es trabajo vuestro xD.

Como dije en la primera entrada, uno de los usos que podemos darle a Wireshark, es ver porque se pierde la conexión o porque se ve reducida la tasa de transferencia.
Para ver esto, debemos fijarnos en los paquetes ICMP (protocolo de mensajes de control de Internet  mas en wikipedia)

Vamos con un ejemplo:
Abrimos Wireshark, nos vamos a "capture"->"options" y desmarcamos las 2 casillas que se ven en la siguiente imagen.

y a continuación le damos a "start".
Abro un "CMD" y escribo: ping -n 10 direccion_ip y a continuación hago un "tracert dominio".

En la parte del "tracert" vemos que hay "problemas". Veamos la parte del Wireshark.

En la parte del protocolo, vemos que hace referencia a ICMP y que hay algunos problemas. Si vamos a "analyze" -> "expert infos" y a la pestaña "details" veremos esto:

*Nota: El "expert infos" es un registro de las anomalías encontradas por Wireshark en un archivo de captura. La idea es tener una mejor visualización de lo que esta pasando en la red.

La forma de interpretarlo es la siguiente:


Cada información tiene un nivel de gravedad específica. Los siguientes niveles de gravedad que se utilizan son:

Chat (gris): información sobre el flujo de trabajo habitual, por ejemplo, un paquete TCP con el flag SYN.

Nota (azul): algo destacable, por ejemplo, una aplicación que ha devuelto un código común de error HTTP 404.

Advertencia (amarillo): indica una advertencia, por ejemplo, la aplicación ha devuelto un "inusual" código de error, como un problema de conexión. Podría ser un posible ataque, así que, hay que prestar especial atención a estos.

Error (rojo): problema grave, por ejemplo, paquete  incorrecto.



También nos encontramos los grupos siguientes:

Checksum: una suma de comprobación no es válida.

Secuencia: secuencias de protocolo sospechosas como, por ejemplo, que el número de secuencia no es continuo o se ha detectado una retransmisión.

Código de Respuesta: problemas con códigos de respuesta de aplicaciones, por ejemplo, la respuesta "HTTP 404 Página no encontrada".

Código de petición: una petición a un aplicación. Por ejemplo, "File Handle == x)". Normalmente se mostrará con criticidad de Chat.

Sin decodificar: disección incompleta o los datos no se pueden decodificar por otros motivos.

Ensamblado: problemas en el reensamblado. Por ejemplo, no se cuenta con todos los fragmentos u ocurrió una excepción durante el proceso.

Protocolo: violación de las especificaciones del protocolo como, por ejemplo, los valores de campo son inválidos o las longitudes ilegales.

Mal formados: paquetes mal formados o en el análisis se produjo un error que produjo que se abortara el análisis.


Y hasta aquí, la entrada xD.

Cabe destacar que incluso podemos usar otros programas para complementar a Wireshark, como por ejemplo Snort, Ettercap (aunque algunos dicen que es muy viejo, como yo) y Metasploit, entre otros.

Espero que os sirva de ayuda.

**Realizado siguiendo varios manuales, entre ellos el del propio Wireshark.

Toma de contacto con Wireshark I de II

------------------------------------------------------

Toma de contacto con Wireshark I de II

Toma de contacto con Wireshark II de II

------------------------------------------------------

Buenas!

De nuevo vuelvo con una entrega de los ya conocidos "toma de contacto con..." esta vez, es el turno de Wireshark.

Wireshark es un analizador de protocolos, mas comúnmente conocido como "sniffer". Este programa nos vale para llevar a cabo diversos trabajos, como ver que esta pasando en nuestra red, porque va lenta o tenemos cortes, entre otras cosas.

Wireshark principalmente esta compuesto por dos elementos. Una librería de captura de paquetes, y un analizador de paquetes.

Esta vez, para avanzar algo mas, vamos a partir de la base de que Wireshark ya se encuentra instalado en nuestro equipo (no es muy difícil, es siguiente, siguiente y finalizar xD).
Al arrancar el programa, lo primero que vemos es esto:

Para hacerlo funcionar podemos elegir de la parte "Start" la tarjeta de red que vamos a utilizar, o bien podemos ir al menú "capture" y en la ventana que nos aparece seleccionar en interfaz de red que vamos a usar.
Si nos decantamos por la segunda opción, podemos asegurarnos de cual es abriendo una ventana del navegador (en caso de tener mas de una tarjeta de red) y en la opción "packets" elegimos la que se esta moviendo, al detectar "movimiento en la red".

Solo debemos seleccionarla y darle al botón de "Start". Una vez comienza, vemos como nos muestra todos los mensajes de red enviados/recibidos.

Una de las muchas utilidades de Wireshark es que podemos filtrar los mensajes en tiempo real. Para este ejemplo, voy a abrir una ventana del navegador y le voy a decir a Wireshark que me filtre el protocolo HTTP. Así que, me voy al apartado "filter" y le pongo el parametro http. pulso en "apply". Ahora solo nos filtra el contenido del protocolo http.

Ahora en el navegador, abrimos por ejemplo www.gmail.es y paramos Wireshark. A continuación os dejo una imagen en la que podemos observar los resultados.

De la misma manera, como comentaba en la anterior entrada El tarro de miel, alguien que esté conectado a nuestra wifi y revisando con Wireshark donde estamos entrando podría ver lo siguiente:

** Aclaración: a los trolls que habéis intentado publicar comentarios en el blog (menos mal que tengo la moderación ON), y decis que no soy capaz de sacar ninguna clave, que soy un paquete y que voy de lo que no soy, solo decir que "mi trabajo" no consiste en ir de malo, en sacar claves de nadie, y mucho menos en utilizarlas para joder a nadie. Lo que yo hago es tratar de aprender, de compartir, y de llegar al mayor número posible de gente, para que cambien sus ideas sobre que a ellos no les va a pasar o que no pasa nada por entrar en un a wifi abierta. Si hubiese querido sacar claves y usarlas, podría haberlo hecho, pero ni es mi estilo, ni me dedico a ello.
Para prueba de que si se puede, os dejo la siguiente imagen, de una web en la que me he registrado y con Wireshark he obtenido las claves (insisto, son mías). Lo mismo se puede hacer accediendo a la wifi del vecino, o dejando que se conecten a la tuya como comente en la entrada.

Usuario y pasword sacado desde Wireshark

Para llegar a la ventana que muestro en la imagen, solo tenéis que ir a la linea correspondiente (marcada en negro) y con el botón derecho sobre ella dar a "follow TCP stream"

Esta solo es una pequeña muestra de lo que se puede hacer con Wireshark, tenemos un montón de menús y otro montón de opciones para ir trasteando con ello.

En la próxima entrada veremos algo mas de Wireshark.

Saludos!!