Técnicas de escaneo de puertos

Los puertos abiertos revelan los servicios que ejecuta un host, lo que proporciona un mapa de la superficie de ataque. El escaneo de puertos determina qué puertos TCP y UDP están abiertos, cerrados o filtrados.

Nmap ofrece varias técnicas de escaneo, cada una con sus propias ventajas y desventajas en cuanto a velocidad, sigilo y privilegios necesarios.

Nmap informa de cada puerto con uno de estos estados:

• open: un servicio acepta conexiones activamente.
• closed: el puerto es accesible, pero no hay ningún servicio escuchando.
• filtered: un firewall bloquea las sondas, por lo que Nmap no puede determinar el estado.
• open|filtered y closed|filtered: resultados ambiguos.

Para comprender los escaneos, debe conocer el protocolo de enlace de TCP:

• El cliente envía SYN.
• El servidor responde con SYN-ACK si el puerto está abierto.
• El cliente envía ACK para completar la conexión.

Un puerto cerrado responde con RST. Los tipos de escaneo se diferencian por cuánto avanzan en este protocolo de enlace.

El escaneo SYN (-sS) es el predeterminado cuando se ejecuta como root. Envía un SYN, comprueba si recibe SYN-ACK (abierto) o RST (cerrado) y después envía RST para no completar nunca el protocolo de enlace.

Este escaneo de «media apertura» es rápido y relativamente sigiloso porque nunca se establece la conexión completa. Requiere privilegios para utilizar sockets sin procesar.

El escaneo de conexión (-sT) completa el protocolo de enlace de tres pasos mediante la API de red del sistema operativo. No requiere privilegios especiales, por lo que es la alternativa para usuarios sin privilegios.

Como establece la conexión completa, genera más ruido y es más probable que los servicios del objetivo lo registren.

El escaneo UDP (-sU) encuentra servicios como DNS, SNMP y DHCP que utilizan UDP. UDP no tiene conexión, por lo que el escaneo es lento y complicado:

• La ausencia de respuesta suele significar open|filtered.
• Un mensaje ICMP de puerto inalcanzable significa closed.

Los servicios UDP suelen pasarse por alto, por lo que pueden ocultar hallazgos importantes.

Varios escaneos envían combinaciones de indicadores inusuales para superar firewalls sencillos y evitar el registro de SYN:

• FIN (-sF): solo el indicador FIN.
• NULL (-sN): no se establece ningún indicador.
• Xmas (-sX): se establecen FIN, PSH y URG, «iluminados como un árbol de Navidad».

Estos escaneos dependen del comportamiento definido en las RFC y a menudo solo funcionan en determinadas pilas de red.

Controle qué puertos se escanean para equilibrar velocidad y cobertura:

• -p 80,443 puertos específicos.
• -p 1-1000 un rango.
• -p- los 65535 puertos.
• --top-ports 100 los puertos más comunes.
• -F escaneo rápido de los 100 principales.

La opción -T establece la temporización de 0 (paranoico) a 5 (insano):

• -T0/-T1: muy lento, para evadir sistemas IDS.
• -T3: el valor predeterminado equilibrado.
• -T4: más rápido, habitual en redes fiables.
• -T5: agresivo, puede omitir resultados.

Los escaneos más rápidos generan más ruido y pueden ser menos precisos.

Nmap ofrece opciones para probar la resistencia de firewalls e IDS:

• -f fragmenta los paquetes.
• -D utiliza direcciones de origen señuelo.
• --source-port falsifica un puerto de origen de confianza, como el 53.

Utilice estas opciones únicamente en pruebas autorizadas para evaluar las capacidades de detección.

En los escaneos reales se combinan estas opciones. Un escaneo TCP exhaustivo habitual selecciona el tipo de escaneo, todos los puertos, una temporización más rápida y guarda la salida.

Empiece con una búsqueda amplia para encontrar puertos abiertos y después ejecute escaneos de seguimiento específicos (detección de versiones y scripts) únicamente en los puertos que estén realmente abiertos. Este enfoque en dos fases es más rápido y silencioso que hacerlo todo a la vez.

Relacione cada escaneo con su comportamiento.

Ha aprendido técnicas de escaneo de puertos:

• Estados de los puertos: open, closed, filtered y sus variantes ambiguas.
• El escaneo SYN (-sS) es el predeterminado y sigiloso; connect (-sT) no requiere privilegios, pero genera más ruido.
• UDP (-sU) es lento, pero descubre servicios que suelen pasarse por alto.
• Los escaneos FIN/NULL/Xmas evaden firewalls sencillos.
• Controle los puertos con -p, la velocidad con -T y pruebe la evasión con -f/-D.

Siguiente: detección de servicios y sistemas operativos.