Detección de servicios y sistemas operativos

Saber que un puerto está abierto no es suficiente. Necesita saber qué software está escuchando y su versión, porque los exploits se dirigen a versiones específicas.

La detección de servicios y la identificación del sistema operativo de Nmap convierten una lista de puertos abiertos en información práctica para actuar.

La opción -sV sondea los puertos abiertos y compara las respuestas con la base de datos de Nmap para identificar el servicio y su versión, por ejemplo «OpenSSH 8.2p1» o «Apache httpd 2.4.41».

Nmap envía una serie de sondas y compara las respuestas (banners, comportamientos y mensajes de error) con miles de firmas de nmap-service-probes.

Esta obtención de banners y comparación de comportamientos identifica servicios incluso en puertos no estándar, como un servidor HTTP que se ejecuta en el puerto 8000.

Puede ajustar el nivel de esfuerzo de Nmap con --version-intensity (de 0 a 9):

• Más baja: menos sondas, mayor rapidez, pero puede no detectar versiones.
• Más alta: más sondas, menor rapidez y mayor precisión.

Atajos: --version-light (intensidad 2) y --version-all (intensidad 9).

La opción -O activa la identificación del sistema operativo. Nmap examina diferencias sutiles en la forma en que responde una pila TCP/IP y las compara con su base de datos de firmas de sistemas operativos.

Informa de la mejor estimación y de un porcentaje de precisión, además del tipo de dispositivo y estimaciones del tiempo de actividad cuando están disponibles.

Cada sistema operativo implementa TCP/IP de forma ligeramente diferente. Nmap sondea características como:

• Valores TTL iniciales.
• Tamaño de la ventana TCP.
• Cómo gestiona la pila las combinaciones de indicadores inusuales.
• Orden de las opciones TCP.

Estas pequeñas diferencias forman una huella lo bastante única como para estimar la familia y la versión del sistema operativo.

La detección del sistema operativo es una estimación, no una certeza. La precisión disminuye cuando:

• Un firewall filtra las sondas en las que se basa Nmap.
• El host utiliza una pila inusual o virtualizada.
• Solo hay unos pocos puertos abiertos que puedan utilizarse para la identificación.

La opción --osscan-guess hace que Nmap realice estimaciones más agresivas cuando no está seguro.

En la práctica, se combinan las opciones de detección. La opción -A es un atajo que activa conjuntamente la detección del sistema operativo, la detección de versiones, los scripts predeterminados y traceroute.

La versión exacta determina el siguiente paso. Al ver «vsftpd 2.3.4», recordará inmediatamente una famosa puerta trasera; al ver «Apache 2.4.49», pensará en una vulnerabilidad CVE de recorrido de rutas.

Los datos precisos de la versión le permiten buscar exploits compatibles en lugar de probar ataques a ciegas. Además, se incorporan directamente a la sección de vulnerabilidades de su informe.

Guarde siempre la salida del escaneo para analizarla y elaborar informes. Nmap admite varios formatos:

• -oN texto normal.
• -oX XML (para herramientas).
• -oG formato procesable mediante búsqueda.
• -oA todos los formatos a la vez.

A veces debe confirmar un servicio manualmente. Conectarse con un cliente sin procesar y leer el saludo (banner) revela directamente el software y su versión.

Herramientas como netcat permiten hacerlo con servicios de texto sin cifrar. Es una comprobación rápida cuando la estimación de Nmap parece incorrecta, aunque muchos servicios ahora ocultan o falsifican sus banners para confundir a los atacantes.

Identifique la opción que realiza más acciones de una sola vez.

Ha aprendido sobre la identificación mediante huellas:

• -sV detecta versiones de servicios mediante la comparación de sondas y banners; se ajusta con --version-intensity.
• -O realiza la detección del sistema operativo mediante la identificación de la pila TCP/IP; los resultados son estimaciones.
• -A combina el sistema operativo, la versión, los scripts y traceroute.
• Las versiones exactas orientan la selección de exploits; guarde la salida con -oA.

Siguiente: el motor de scripts de Nmap para una automatización más profunda.