[SOLUCIONADO] Analizando salida de datos de NMAP

Hola a todos !

Estoy analizando una pagina web con nmap y tengo una duda sobre para que sirve la salida del siguiente comando

nmap --script http-title -sV -p 80 xxx.xx.xxx.57/24

En la salida de datos dice que se han encontrado 40 hosts vivos, entre los cuales da mucha informacion y nose bien como interpretarla
Ejemplos
En los que el puerto esta cerrado simplemente dice que son hosts en uso

Nmap scan report for federico.bla.blabla.com (xxx.xx.xxx.2)
Nmap scan report for alarcostest.bla.blabla.com (xxx.xx.xxx.4)
Nmap scan report for pike.bla.blabla.com (xxx.xx.xxx.6)
Nmap scan report for visioncr.bla.blabla.com (xxx.xx.xxx.7)

En otros casos, donde el puerto esta abierto, da mas información

Nmap scan report for sofocles.bla.blabla.com (xxx.xx.xxx.25)
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch)
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch
|_http-title: .:: Scientific Computing Group UCLM

o por ejemplo entradas parecidas en diferentes IPs con la siguiente información

80/tcp open  http    Microsoft IIS httpd 7.0
|_http-server-header: Microsoft-IIS/7.0
|_http-title: IIS7
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

80/tcp open  http    Apache httpd 2.4.6 ((CentOS) OpenSSL/1.0.1e-fips mod_fcgid/2.3.9 PHP/5.4.16 mod_wsgi/3.4 Python/2.7.5)
|_http-server-header: Apache/2.4.6 (CentOS) OpenSSL/1.0.1e-fips mod_fcgid/2.3.9 PHP/5.4.16 mod_wsgi/3.4 Python/2.7.5
|_http-title: Site doesn't have a title (text/html; charset=UTF-8).

Porfavor si me podrian dar una pista si deberia analizar estos datos o si no sirve de mucho.

Gracias de antemano !

En mi humilde opinion, siempre es bueno saber que informacion te bota nmap, asi sea poca porque ayuda a delimitar tu busqueda de posibles vectores de ataque, al darte el S.O y su version, puedes buscar vulnerabilidades que correspondan a esas mismas y que aún no hayan sido parcheadas y asi las puedes explotar

Cita de: EddiFog en Marzo 28, 2018, 09:10:44 PM
En mi humilde opinion, siempre es bueno saber que informacion te bota nmap, asi sea poca porque ayuda a delimitar tu busqueda de posibles vectores de ataque, al darte el S.O y su version, puedes buscar vulnerabilidades que correspondan a esas mismas y que aún no hayan sido parcheadas y asi las puedes explotar

Claro, si escaneo la IP de la pagina principal "xxx.xxx.xx.25" y me da cierta informacion, y analizando el resto de las IP me da otra informacion, es decir "xxx.xxx.xx.20, 21, 70, 85, 150" a que corresponden esas otras IP ??
ya que todas tienen el mismo formato pero cambia la primer parte
Nmap scan report for federico.bla.blabla.com (xxx.xx.xxx.2)
Nmap scan report for alarcostest.bla.blabla.com (xxx.xx.xxx.4)
Nmap scan report for pike.bla.blabla.com (xxx.xx.xxx.6)
Nmap scan report for visioncr.bla.blabla.com (xxx.xx.xxx.7)

Hola Bartz.

Cita de: Bartz en Marzo 28, 2018, 09:00:46 PM

nmap --script http-title -sV -p 80 xxx.xx.xxx.57/24

Viendo primero el comando, veo que no estas analizando una página web en particular, que en realidad no estas analizando la página web, estas analizando el servidor donde se aloja esta, estas lanzando el comando de NMAP sobre un rango de direcciones IP, ya que Y.Z.V.X/24 equivale a un rango de direcciones IP, entonces te salen todos esos resultados. Que es lo siguiente:

Cita de: Bartz en Marzo 28, 2018, 09:00:46 PM
Nmap scan report for federico.bla.blabla.com (xxx.xx.xxx.2)
Nmap scan report for alarcostest.bla.blabla.com (xxx.xx.xxx.4)
Nmap scan report for pike.bla.blabla.com (xxx.xx.xxx.6)
Nmap scan report for visioncr.bla.blabla.com (xxx.xx.xxx.7)

En caso de por ejemplo interpretar la siguiente información, yo lo que he interpretado es lo siguiente:

Cita de: Bartz en Marzo 28, 2018, 09:00:46 PM
Nmap scan report for sofocles.bla.blabla.com (xxx.xx.xxx.25)
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch)
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch
|_http-title: .:: Scientific Computing Group UCLM

Con la información que has proporcionado he visto, que detrás del puerto 80 esta a la escucha un servidor web Apache httpd en su versión 2.2.8, según esto parece ser que el sistema operativo que hay detrás de este servicio, es Ubuntu en su versión 5.10, que a mi parecer es muy antiguo por lo que veo(para indagar más sobre el OS utiliza el parámetro -O), al igual también nos da la información sobre el php instalado en servidor web, es decir PHP 5.2.4 con un parche de seguridad para PHP llamado Suhosin-Patch, también nos dice el título que tiene la página web "Scientific Computing Group UCLM".

En resumen, estos datos son muy importantes, ya que podrías encontrar vectores de ataque, antes de llegar analizar la web en sí con otras herramientas, ya que buscando en la documentación oficial de todos esos servicios y sistemas operativos, podrías encontrar vulnerabilidades de diferentes tipos a explotar, todo solo con la información que te ha arrojado nmap. Toda esta información, es muy útil, ya que podría recortar muchísimo el proceso de un pentesting, ya que si encuentras una vulnerabilidad a explotar sobre ese servidor, acceder, tumbarlo o un largo etc, habrás concluido una intrusión con éxito sin apenas calentarte la cabeza, solo sabiendo interpretar la información que tienes en tu pantalla.

Por ejemplo aquí te dejo un enlace con las vulnerabilidades de la versión de apache httpd 2.2.8: Los enlaces son solo para miembros. Registrate o iniciá sesión

Espero que te haya resultado de utilidad mi respuesta, un saludo, Davidhs.