Buenas noches, mi duda surge porque veo que la dirección " ether " de la tarjeta de red no cambia al conectarme a una red wpa2.
Es decir, al seguir estos pasos mi duda es la siguiente:

1) Ejecuto macchanger antes de conectarme a una red

2) La MAC efectivamente cambia

3) Me conecto a una red wpa2 > ifconfig > vuelve a la MAC original...

4) macchanger nuevamente y la mac cambió otra vez, pero quedó el rastro de la mac original.

¿Cómo elimino el rastro del tercer paso? Porque al conectarme via GUI (network-manager) vuelve a su mac original. Intenté conectarme via terminal a la red para ver si algo mágico pasaba pero no me salió jeje

Mi script super kiddie para llamar a macchanger 

#!/usr/bin/env python

import subprocess

interface = raw_input("Interface ? -> ")
subprocess.call("ifconfig " + interface + " down", shell=True)
subprocess.call("sudo macchanger -r " + interface, shell=True)
subprocess.call("ifconfig " + interface + " up", shell=True)

Buenas tardes lectores, en la primer parte de la entrega hablamos sobre el protocolo IP dentro de la capa de Red (quinta capa del modelo OSI) y aprendimos que en teoria es posible -tambien en la practica- difundir un mensaje a todos los anfitriones dentro de una red porque las direcciones IP también se usan para referirse a la red misma y no solo a sus respectivos anfitriones.

Parte 1: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Hoy seguiremos con la quinta capa del modelo OSI y veremos en el camino que agregamos a este aporte. Les deseo un grato aprendizaje. 

Empecemos!!


Protocolos de Ruteo (nivel IP)

A dos routers dentro de un sistema autónomo se les denomina "interiores" porque trabajan dentro de la red local a diferencia de los enrutadores "exteriores"


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Pero,

¿Cómo pueden los routers en un sistema autónomo aprender acerca de redes dentro del sistema y redes externas?

En redes como InterNet que tienen varias rutas físicas, los administradores por lo general
seleccionan una de ellas como ruta primaria.
Los ruteadores interiores normalmente se comunican con otros intercambiando información de accesibilidad a red o información de ruteo de red, a partir de la cual la accesibilidad dentro de la misma se puede deducir a través de los "Protocolos de enrutamiento". Detallemos lo que nos interesa para no hacer el post extenso en estos protocolos.



Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Protocolo de Información de Ruteo (Routing Information Protocol, RIP)


Uno de los I.G.P. (Interior Gateway Protocol) más ampliamente utilizados es el RIP.
También conocido con el nombre de un programa que lo implementa (el routeD o Route Daemon).
El protocolo RIP es consecuencia directa de la implantación del ruteo de vector-distancia para redes locales.
En principio, divide las máquinas participantes en activas o pasivas (silenciosas).
Los routers activos anuncian sus rutas a los otros, mientras que
las máquinas pasivas listan y actualizan sus rutas con base a estos anuncios.

Sólo un router puede correr RIP en modo activo de modo que un anfitrión deberá correr el RIP en modo pasivo.

Un router con RIP en activo difunde un mensaje cada 30 segundos, éste mensaje contiene información tomada de la
base de datos de ruteo actualizada.
Cada mensaje consiste en pares, donde cada par contiene una dirección IP y un entero que representa la distancia hacia esta red (el IP address).


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

El RIP por tanto hace uso de un vector de distancias (como vemos en la imagen de los protocolos de enrutamiento),
con una métrica por número de saltos donde se considera que 16 saltos o más es infinito o inalcanzable
De esta manera, el número de saltos (hops number) o el contador de saltos (hop count) a lo largo de
una trayectoria desde una fuente hacia un destino dado hace referencia al número de routers que un datagrama encontrará a lo largo de su trayectoria.

Protocolo RIP for Hacking?: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Protocolos de resolución de direcciones (ARP, Address Resolution Protocol)


El objetivo fue diseñar un software de bajo nivel que oculte las direcciones físicas (MAC) y permita que programas de un nivel más alto trabajen sólo con direcciones IP.
La transformación de direcciones se tiene que realizar en cada fase a lo largo del camino,
desde la fuente original hasta el destino final.

Ejemplo: En la última fase de entrega de un paquete, el mismo se debe enviar a través de una red física hacia su destino final como explicamos antes y la computadora que envía el paquete tiene que transformar la dirección IP de destino final en su dirección física (MAC).




Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Expliquemos un poco más en detalle la imagen anterior.

Cuando un Host A quiere definir la dirección IP, transmite por difusión (broadcast) un paquete especial que pide al anfitrión (host) que posee la dirección IP, que responda con su dirección física.
Pero como bien sabemos si se difunde un mensaje por broadcast todos los anfitriones reciben la solicitud, incluyendo a B, pero sólo B reconoce su propia dirección IP y envía una respuesta que contiene su dirección física.
Cuando A recibe la respuesta, utiliza la dirección física para enviar el paquete IP directamente a B.

En Resumen: El ARP permite que un anfitrión encuentre la dirección física de otro anfitrión dentro de la misma red física con sólo proporcionar la dirección IP de su objetivo. Esta información luego se guarda en una tabla ARP con orígenes y destinos.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Antes de continuar con nuestra densa teoria quiero pedir disculpas -y no  - por centrarme solamente en estas infraestructuras, se que muchos estan acostumbrados a aprender hacking con la practica -yo tambien soy asi- pero escribo esto con la intención de que en un futuro muy cercano no nos compliquemos con el uso de "Nmap" y sepamos usar muy bien estas herramientas sin ver ningun tipo de tutorial más que el tipico "-h help" por entender el funcionamiento de estos protocolos.

Calentemos agua, preparemos el mate y sigamos con la teoria!!! (7:10 AM)


Mensajes de error y control en IP (ICMP)

Como hemos visto anteriormente, el Protocolo Internet (IP) proporciona un servicio de entrega de datagramas, no confiable y sin conexión, al hacer que cada router direccione datagramas.

Si un router no puede, por ejemplo, rutear o entregar un datagrama,
o si el router detecta una condición anormal que afecta su capacidad para direccionarlo
(por ejemplo, congestionamiento de la red),
necesita informar a la fuente original para que evite o corrija el problema.

Para permitir que los routers de una red reporten los errores o proporcionen información sobre
circunstancias inesperadas, se agregó a la familia TCP/IP un mecanismo de
mensajes de propósito especial, el Internet Control Message Protocol (ICMP)

El ICMP permite que los routers envíen mensajes de error o de control
hacia otros routers o anfitriones, proporcionando una comunicación entre el
software de IP en una máquina y el mismo software en otra.


Formato de los mensajes ICMP:




Aunque cada mensaje ICMP tiene su propio formato, todos comienzan con los mismos tres campos:
Un campo TYPE (TIPO) de mensaje, de 8 bits y números enteros, que identifica el mensaje.
Un campo CODE (CODIGO), de 8 bits, que proporciona más información sobre el tipo de mensaje. Y
Un campo CHECKSUM (SUMA DE VERIFICACIÓN), de 16 bits.

Además, los mensajes ICMP que reportan errores siempre incluyen el encabezado y los primeros 64 bits de datos del
datagrama que causó el problema.
La razón de regresar más que el encabezado del datagrama únicamente es para permitir que el receptor determine de manera más precisa qué protocolo(s) y qué programa de aplicación son responsables del datagrama.

Una de las herramientas de depuración más utilizadas incluye los mensajes ICMP de echo request ( 8 ) y echo reply (0). En la mayoría de los sistemas, el comando que llama el usuario para enviar solicitudes de eco ICMP se conoce como ping.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Internet Socket's

Tenemos dos tipos de Sockets en Internet, los sockets de flujo (SOCK_STREAM) (TCP) y los sockets de datagramas (SOCK_DGRAM) (UDP)

Los sockets de flujo definen flujos de comunicación en dos direcciones, fiables y con conexión. Si envias dos ítems a través del socket en el orden "1, 2" llegarán al otro extremo en el orden "1, 2", y llegarán sin errores.

¿Qué aplicación tienen los sockets de flujo? Bueno, quizás has oído hablar del programa telnet. ¿Sí? telnet usa sockets de flujo. Todos los carácteres que tecleas tienen que llegar en el mismo orden en que tú los tecleas, ¿no? También los navegadores, que usan el protocolo HTTP , usan sockets de flujo para obtener las páginas. De hecho, si haces telnet a un sitio de la web sobre el puerto 80, y escribes " GET / ", recibirás como respuesta el código HTML.

Los sockets de datagramas también usan IP para el encaminamiento, pero no usan TCP; usan el "Protocolo de Datagramas de Usuario" o "UDP", estos datagramas como bien sabemos no fueron diseñados para establecer una conexión y no tienen secuencia.

¿Por qué son sin conexión? Bueno, básicamente porque no tienes que mantener una conexión abierta como harías con los sockets de flujo. Simplemente montas un paquete, le metes una cabecera IP con la información de destino y lo envías. No se necesita conexión. Generalmente se usan para transferencias de información por paquetes. Aplicaciones que usan este tipo de sockets son, por ejemplo, tftp y bootp.

"¡Basta!" puede que grites. "¿Cómo pueden siquiera funcionar estos programas si los datagramas podrían llegar a perderse?". Bien, mi amigo humano, cada uno tiene su propio protocolo encima de UDP. Por ejemplo, el protocolo tftp establece que, para cada paquete enviado, el receptor tiene que devolver un paquete que diga, "¡Lo tengo!" (un paquete "ACK"). Si el emisor del paquete original no obtiene ninguna respuesta en, vamos a decir, cinco segundos, retransmitirá el paquete hasta que finalmente reciba un  ACK. Este procedimiento de confirmaciones es muy importante si se implementan aplicaciones basadas en SOCK_DGRAM.


Fuente Imagen:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Fuente Información:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Ejemplos de creación de un Socket:

resultado = socket (pf, tipo, protocolo)

PF: El argumento PF especifica la familia de protocolo que se va utilizar con el socket (por ejemplo, PF_INET para TCP/IP)

tipo: El argumento tipo especifica el tipo de comunicación que se desea (puede ser SOCK_STREAM o bien SOCK_DGRAM)

protocolo: Este argumento especifica el protocolo que se va a utilizar para dicha conexión, como por ejemplo el 443 al ingresar a este post.

Envio de Datos:

write (socket, buffer, lenght)

Especificacion de una dirección local:

bind (socket, localaddr, addrlen)

-----------------------------------------------------------------

Inicialmente, un socket se crea sin ninguna asociación hacia direcciones locales
o de destino para los protocolos TCP/IP, esto significa que ningún número de puerto
de protocolo local se ha asignado y que ningún puerto de destino o dirección IP se
ha especificado.
En muchos casos, los programas de aplicación no se preocupan
por las direcciones locales que utilizan, ni están dispuestos a permitir que el
software de protocolo elija una para ellos. Sin embargo, los procesos del servidor
que operan en un puerto "ultra conocido" deben ser capaces de especificar dicho
puerto para el sistema.
Una vez que se ha creado un socket, el servidor utiliza una
llamada del sistema BIND (enlace) para establecer una dirección local para ello.
BIND tiene la forma que se ha descrito arriba.
-------------------------------------------------------------------

Sistema de Nombre de Dominio (DNS)

Las famosas "DNS" realizan las traducciones necesarias entre una direccion IP y el nombre de una pagina web, de modo que para ingresar a "ejemplo.com.ar" no necesitamos teclear "126.64.10.200" (a modo de ejemplo). Esta es la fiel tarea del Sistema de Nombre de Domino para hacernos facil recordar una pagina web.
Pero su funcionamiento es un poco más complejo asi que preparáte para leer mi pequeño willy.



Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Conceptualmente, la resolución de nombres de dominio procede de arriba hacia abajo, comenzando con el servidor de nombres raiz y siguiendo luego hacia los servidores localizados en las ramas del arbol de la red.

Hay dos formas de utilizar un sistema de nombres de dominio:

1) contactar un servidor de nombres en cada oportunidad a usar y realizar la traducción manualmente. O

2) solicitar al sistema de servidores de nombres que realice la traducción completa. (está buena esta)

En este ultimo caso, el software cliente forma una solicitud de nombres de dominio que contiene el nombre a resolver, una declaración sobre la clase del nombre, el tipo de respuesta deseada y un código que especifica si el servidor de nombres debe traducir el nombre completamente.
Supongamos que se envía la solicitud a un servidor de nombre para su resolución. Cuando un servidor de nombres de dominio recibe una solicitud, verifica si el nombre señala un subdominio sobre el cual tenga autoridad.
Si lo anterior es correcto, traduce el nombre a una dirección de acuerdo con su base de datos y anexa una repuesta a la solicitud, antes de enviarla de regreso al cliente.
Si el DNS no puede resolver el nombre completamente, verifica que tipo de interacción especificó el cliente.

Si el cliente solicita una traducción completa (una resolución recursiva en la terminologia DNS) el servidor se pone en contacto con un servidor de nombres de dominio que pueda resolver el problema del nombre y devuelve la respuesta al cliente.
En cambio, Si el cliente solicita una resolución no recursiva (resolución iterativa), el servidor de nombres no puede dar una respuesta. Entonces en este punto se genera una réplica que especifica el nombre del servidor que el cliente deberá contactar la próxima vez para resolver el nombre.

¿Cómo encuentra un cliente un DNS para comenzar la búsqueda?

¿Cómo encuentra un DNS a otros DNSs que puedan responder a las solicitudes que el no puede responder?

La respuesta es sencilla: Un cliente debe saber como contactar al ultimo DNS para asegurarse de que el DNS puede alcanzar a otros, el sistema de dominio requiere que cada servidor conozca la dirección del último servidor en la raiz.
Además, un servidor podría conocer la dirección de un servidor para el dominio de un nivel inmediatamente superior (llamado padre).

-----------------------------------------------------------------------

Comandos DOS


NET VIEW

Se utiliza para visualizar  los  equipos  accesibles  y/o  detalles  de  algunos  de
ellos.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

NETSTAT –AN

Indica los puertos de comunicación, el estado y el tipo de conexión. En dirección
local aparecerá nuestra IP y el numero del puerto, en dirección remoto la IP del
equipo conectado, y en estado el estado (listening – preparado / established – conectado).


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

PING

Se que hablé muy por arriba de este comando antes pero vamos a detallarlo un poco más.
Este comando se utiliza para comprobar el estado de la red (diagnostico) que puede dar como resultado:

A) Correcta, la información enviada y recibida está completa.



B) Tiempo de espera agotado, la información que se envía no se ha recibido.



C) Inaccesible, la información se envía a un equipo que no es de nuestra red.



Se utiliza PING IP o PING nombre host. También se puede mandar un ping a nuestro propio equipo para comprobar si el problema esta en el mandando un ping a la IP 127.0.0.1 (es una IP reservada para nuestro PC, loopback) u si se agota el tiempo; el problema puede estar en la tarjeta de red, en la configuración de entorno de red y sobre todo el adaptador y el protocolo.

TRACERT IP o NOMBRE HOST

Tiene varios usos también, como por ejemplo:

A) Saber por donde pasa la información hasta llegar a su destino (máximo 30 nodos -hops-).

B) Sobre un máximo de 30 nodos (router o servidores) me dice cuantos necesita para llegar al destino, si se queda a mitad del camino (tiempo de espera agotado) significa que de ese nodo no puede pasar (en ese router o servidor estará el problema).

C) Para conocer el nombre de un PC al escribir su IP. 




IPCONFIG

IPCONFIG revela los principales datos de configuración IP de la PC.



NET CONFIG

Este comando revela la configuración del protocolo NET BIOS de la PC.



----------------------------------------------------------

Ingeniería Social

La ingeniería social consiste en la manipulación de las personas para que voluntariamente realicen actos que normalmente no harían; aunque a nadie le gusta ser manipulado, en algunos casos no es excesivamente perjudicial (por ejemplo un vendedor puede aplicar ingeniería social para conocer las necesidades de un cliente y ofrecer así mejor sus productos), si las intenciones de quien la pone en práctica no son buenas se convierte quizás el método de ataque más sencillo, menos peligroso para el atacante y por desgracia en uno de los más efectivos. Ese atacante puede aprovechar el desconocimiento de unas mínimas medidas de seguridad por parte de personas relacionadas de una u otra forma con el sistema para poder engañarlas en beneficio propio.

Recomiendo leer "El arte de la intrusión" de Kevin Mitnick
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Shoulder Surfing

Otro tipo de ataque relacionado con la ingenuidad de los usuarios del sistema (pero también con el control de acceso físico) es el denominado shoulder sur_ng.
Consiste en `espiar' físicamente a los usuarios, para obtener generalmente claves de acceso al sistema. Por ejemplo, una medida que lamentablemente utilizan muchos usuarios para recordar sus contraseñas es apuntarlas en un papel pegado al monitor de su PC o escribirlas en la parte de abajo del teclado; cualquiera que pase por delante del puesto de trabajo, sin problemas puede leer el login, password e incluso el nombre de máquina a la que pertenecen.

Phishing

El "Phishing" o su traducción "Pesca"es uno de los más peligrosos ataques que se reproducen en forma alarmante.
Los atacantes normalmente envían un email que parece venir de una empresa confiable (un banco, PayPal o un sitio de Ecommerce). Estos mensajes solicitan acciones del usuario como por ejemplo confirmar los datos personales o dar los passwords de acceso a los sitios atacados. Intentan hacer que el usuario ingrese en un sitio falso donde se les solicita el ingreso de información personal sensible. Luego, los atacantes pueden usar esta información para sacar dinero de sus cuentas u otros objetivos.





Técnicas de Scanning


El Scaneo, como método de descubrir canales de comunicación susceptibles de ser explotados, lleva en uso mucho tiempo.
La idea es recorrer (scanear) tantos puertos de escucha como sea posible, y guardar información de aquellos que sean receptivos
o de utilidad para cada necesidad en particular.
Muchas utilidades de auditoría también se basan en este paradigma.
El Scaneo de puertos pertenece a la Seguridad Informática desde que era utilizado en los sistemas de telefonía.
Dado que actualmente existen millones de números de teléfono a los que se pueden acceder con una simple llamada, la solución lógica (para encontrar números que puedan interesar) es intentar conectarlos a todos.
La idea básica es simple: llamar a un número, encontrar señal de modem y si el módem devuelve un mensaje de conectado, grabar el número.
En otro caso, la computadora cuelga el teléfono y llama al siguiente número. Scanear puertos implica las mismas técnicas de fuerza bruta. Se envía una serie de paquetes para varios protocolos y se deduce que servicios están "escuchando" por las respuestas recibidas o no recibidas.

Existen diversos tipos de Scanning según las técnicas, puertos y protocolos explotados:

TCP Connect() Scanning

Esta es la forma básica del scaneo de puertos TCP. Si el puerto está escuchando -listening-, devolverá una respuesta de éxito; cualquier otro caso significará que el puerto no está activo o está siendo bloqueado tras un firewall.
Las ventajas que caracterizan esta técnica es que no necesita de privilegios especiales y su gran velocidad.
Su principal desventaja es que este método es fácilmente detectable por el Administrador del sistema.
Se verá un gran número de conexiones y mensajes de error para los servicios en los que se ha conseguido conectar la máquina que lanza el scanner e inmediatamente se ha desconectado.

Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

TCP SYN Scanning

Cuando dos procesos establecen una comunicación usan el modelo Cliente/Servidor para establecer la conexión.
La aplicación del Servidor "escucha" todo lo que ingresa por los puertos. La identificación del Servidor se efectúa a través de la dirección IP del sistema en el que se ejecuta y del número de puerto del que depende para la conexión.
El Cliente establece la conexión con el Servidor a través del puerto disponible para luego intercambiar datos.

Fuente: La misma que la anterior.

La información de control llamada HandShake (saludo) (yo se que la aprendiste el concepto intentando robar WiFI, pillo) se intercambia entre el Cliente y el Servidor para establecer un dialogo antes de transmitir datos.
Los "paquetes" o segmentos TCP tienen banderas -flags- que indican el estado del mismo.
El protocolo TCP de Internet, sobre el que se basa la mayoría de los servicios (incluyendo el correo electrónico, el web y el IRC) implica esta conexión entre dos máquinas.
El establecimiento de dicha conexión se realiza mediante lo que se llama Three-Way Handshake ("conexión en tres pasos") ya que intercambian tres segmentos.

En forma esquemática se tiene:

1) El programa Cliente (C) pide conexión al Servidor (S) enviandole un segmento SYN (Synchronize Sequence Number). Este segmento le dice a S que C desea establecer una conexión.

2) S (si está abierto y escuchando) al recibir este segmento SYN (activa su indicador SYN) y envía una autentificación ACK de manera que recibió a C. Si S está cerrado envía un indicador RST.

3) C entonces ACKea (autentifica) a S. Ahora ya puede tener lugar la transferencia de datos.

Cuando las aplicaciones conectadas terminan la transferencia, realizaran otra negociación a tres bandas con segmentos FIN en vez SYN.
La técnica TCP SYN scanning, se implementa un scaneo de "media-apertura", dado que nunca se abre una sesión TCP completa.

Esto quiere decir que se envía un paquete SYN (como si se fuera a usar una conexión real) y se espera por la respuesta. Al recibir un SYN/ACK se envía, inmediatamente, un RST para terminar la conexión y se registra este puerto como abierto.

La principal ventaja de esta técnica de escaneo es que pocos sitios están preparados para registrarlos.
La desventaja es que en algunos sistemas Unix, se necesitan privilegios de Administrador para construir estos paquetes SYN.

TCP FIN Scanning-Stealth Port Scanning 

Hay veces en que incluso el scaneo SYN no es lo suficientemente "anonimo" o limpio porque algunos sistemas (Firewalls y filtros de paquetes) monitorizan la red en busca de paquetes SYN a puertos restringidos.
Para resolver este inconveniente los paquetes FIN, en cambio, podrían ser capaces de pasar sin ser advertidos.
Este tipo de Scaneo está basado en la idea de que los puertos cerrados tienden a responder a los paquetes FIN con el RST correspondiente.
Los puertos abiertos, en cambio, suelen ignorar el paquete en cuestión.
Este es un comportamiento correcto del protocolo TCP, aunque algunos sistemas (entre los que se hallan los de Microsoft (r)) no cumplen con este requerimiento, enviando paquetes RST siempre, independientemente de si el puerto está abierto o cerrado. Como resultado, no son vulnerables a este tipo de scaneo. Sin embargo, es posible realizarlo en otros sistemas Unix.

Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Fragmentation Scanning

Esta no es una nueva técnica de scaneo como tal, sino una modificación de las anteriores.
En lugar de enviar paquetes completos de sondeo, los mismos se particionan en un par de pequeños fragmentos IP.
Así, se logra partir una cabecera IP en distintos paquetes para hacerlo más difícil de monitorizar por los filtros que pudieran estar ejecutándose en la máquina objetivo.
Sin embargo, algunas implementaciones de estas técnicas tienen problemas con la gestión de este tipo de paquetes tan pequeños, causando una caída de rendimiento en el sistema del intruso o en el de la víctima.
Problemas como este convierte en detectables a este tipo de ataque. (si es que sucede claro)

Eavesdropping-Packet Sniffing

Muchas redes son vulnerables al Eavesdropping, o a la pasiva intercepción (sin modificación) del tráfico de red.
Esto se realiza con Packet Sniffers, los cuales son programas que monitorean los paquetes que circulan por la red.
Los Sniffers pueden ser colocados tanto en una estación de trabajo conectada a la red, como a un equipo Router o a un Gateway de Internet, y esto puede ser realizado por un usuario con legítimo acceso, o por un intruso.
En la cabecera de los paquetes enviados a través de una red, entre otros datos, se tiene, la dirección del emisor y la del destinatario. De esta forma, independientemente de protocolo usado, las tramas llegan a su destino.
Cada maquina conectada a la red (mediante una dirección única MAC) verifica la dirección destino del paquete, si estas direcciones son iguales asume que el paquete enviado es para ella, caso contrario libera el paquete para que otras placas lo analicen.
Un Sniffer consiste en colocar a la placa de red en un modo llamado promiscuo, el cual desactiva el filtro de verificación de direcciones y por lo tanto todos los paquetes enviados a la red llegan a esta placa (computadora donde está instalado el Sniffer).


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Actualmente existen Sniffers para capturar cualquier tipo de información específica. Por ejemplo passwords de un recurso compartido o de acceso a una cuenta, que generalmente viajan sin cifrar al ingresar a sistemas de acceso remoto -como telnet-, también son utilizados para capturar números de tarjetas de crédito y direcciones de e-mails entrantes y salientes.

Snooping-Downloading

Los ataques de esta categoría tienen el mismo objetivo que el Sniffing: obtener la información sin modificarla. Sin embargo los métodos son diferentes porque además de interceptar el tráfico de red, el atacante ingresa a los documentos, mensajes de
correo electrónico y otra información guardada, realizando en la mayoría de los casos un downloading (copia de documentos) de esa información en su propia pc, para luego hacer un análisis exhaustivo de la misma.


----------------------------------------------------------------------------------------------------------

Ataques de Autenticación

Este tipo de ataque tiene como objetivo engañar al sistema de la víctima para ingresar al mismo. Generalmente este engaño se realiza tomando las sesiones ya establecidas por la víctima u obteniendo su nombre de usuario y password.

Spoofing-Looping



Spoofing puede traducirse como "hacerse pasar por otro" y el objetivo de esta técnica, justamente, es actuar en nombre de otros usuarios, usualmente para realizar tareas de Snooping o Tampering -alteración-. Una forma común de Spoofing es conseguir el nombre y password de un usuario legítimo para, una vez ingresado al sistema, tomar acciones en nombre de él.
El intruso usualmente utiliza un sistema para obtener información e ingresar en otro, y luego utiliza este para entrar en otro, y así sucesivamente. Este proceso, llamado Looping, y tiene la finalidad de "evaporar" la identificación y la ubicación del atacante.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Muchos ataques de este tipo comienzan con Ingeniería Social y los usuarios, por falta de cultura, facilitan a extraños sus identificaciones dentro del sistema usualmente través de una simple llamada telefónica.

DNS Spoofing

Este ataque se consigue mediante la manipulación de paquetes UDP pudiéndose comprometer el servidor de nombres de dominios (Domain Name Server–DNS).
Si se permite el método de recursión en la resolución de "Nombre«Dirección IP" en el DNS, es posible controlar algunos aspectos del DNS remoto.
La recursión consiste en la capacidad de un servidor de nombres para resolver una petición de dirección IP a partir de un nombre que no figura en su base de datos. Este es el método de funcionamiento por defecto.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Web Spoofing

En el caso Web Spoofing el atacante crea un sitio web completo (falso) similar al que la víctima desea entrar. Los accesos a este sitio están dirigidos por el atacante, permitiéndole monitorear todas las acciones de la víctima, desde sus datos hasta las passwords, números de tarjeta de créditos, etc.
El atacante también es libre de modificar cualquier dato que se esté transmitiendo entre el servidor original y la víctima o viceversa.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

IP Splicing–Hijacking

Se produce cuando un atacante consigue interceptar una sesión ya establecida. El atacante espera a que la victima se identifique ante el sistema y tras ello le suplanta como usuario autorizado. (como por ejemplo cuando guardamos la contraseña en algun sitio y robamos las cookies)


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

-------------------------------------------------------------------------------

DENIAL OF SERVICE (DoS)

Es más fácil desorganizar el funcionamiento de un sistema que acceder al mismo; así los ataques de Denegación de Servicio tienen como objetivo saturar los recursos de la víctima de forma tal que se inhabilita los servicios brindados por la misma.

Jamming o Flooding

Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, un atacante puede consumir toda la memoria o espacio en disco disponible, así como enviar tanto tráfico a la red que nadie más pueda utilizarla. Aquí el atacante satura el sistema con mensajes que requieren establecer conexión. Sin embargo, en vez de proveer la dirección IP del emisor, el mensaje contiene falsas direcciones IP (usando Spoofing y Looping).


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Syn Flood

Como ya se explicó en el TCP SYN Scanning el protocolo TCP se basa en una conexión en tres pasos. Si el paso final no llega a establecerse, la conexión permanece en un estado denominado "semiabierto". El Syn Flood es muy famoso dentro de los ataques del tipo Denial of Service, publicado por primera vez en la revista Phrack. Se basa en un "saludo" incompleto entre los dos hosts.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

El Cliente envía un paquete SYN pero no responde al paquete ACK ocasionando que la pila TCP/IP espere cierta cantidad de tiempo a que el host hostil responda antes de cerrar la conexión.

Si se crean muchas peticiones incompletas de conexión (no se responde a ninguna), el Servidor estará inactivo mucho tiempo esperando respuesta. Esto ocasiona la lentitud en los demás servicios.
El problema es que muchos sistemas operativos tienen un límite muy bajo en el número de conexiones "semiabiertas" que pueden manejar en un momento determinado. Si se supera ese límite, el servidor sencillamente dejará de responder a las nuevas peticiones de conexión.

Connection Flood

La mayoría de las empresas que brindan servicios de Internet (ISP) tienen un límite máximo en el número de conexiones simultaneas. Una vez que se alcanza ese límite, no se admitirán conexiones nuevas.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Supongamos que un servidor Web puede tener, por ejemplo, capacidad para atender a mil usuarios simultáneos. Si un atacante establece mil conexiones y no realiza ninguna petición sobre ellas, monopolizará la capacidad del servidor.
Las conexiones van caducando por inactividad poco a poco, pero el atacante sólo necesita intentar nuevas conexiones, (como ocurre con el caso del Syn Flood) para mantener fuera de servicio el servidor.

Net Flood

En estos casos, la red víctima no puede hacer nada. Aunque filtre el tráfico en sus sistemas, sus líneas estarán saturadas con tráfico malicioso, incapacitándolas para cursar tráfico útil. Un ejemplo habitual es el de un teléfono: si alguien quiere molestar, sólo tiene que llamar, de forma continua. Si se descuelga el teléfono (para que deje de molestar), tampoco se puede recibir llamadas de otras personas.

Land Attack


Este ataque consiste en un Bug (error) en la implementación de la pila TCP/IP de las plataformas Windows.
El ataque consiste en mandar a algún puerto abierto de un servidor (generalmente al 113 o al 139) un paquete, maliciosamente construido, con la dirección y puerto origen igual que la dirección y puerto destino.


Fuente:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Por ejemplo se envían un mensaje desde la dirección 10.0.0.1:139 hacia ella misma.
El resultado obtenido es que luego de cierta cantidad de mensajes enviados-recibidos la máquina termina colgándose.
Existen ciertas variantes a esta tecnica, por ejemplo, en enviar el mensaje a una dirección específica sin especificar el puerto Smurf o Broadcast Storm. Y si vienen leyendo desde el comienzo del post ya saben lo que pasa si enviamos información por el broadcast 

----------------------------------------------------

Buffer overflow

Esta técnica es una de las principales utilizadas para obtener el control de sistemas remotos ya que actua a bajo nivel.
Los buffers son áreas contiguas de memoria donde se guarda información y el sólo hecho de ubicar el ingreso de información en buffers implica peligro porque un sistema puede fácilmente bloquearse si comienza a recibir muchos más datos simultáneamente de los que puede procesar.



FuenteNo tienes permitido ver los links. Registrarse o Entrar a mi cuenta

------------------------------------------------------------------

Acá finaliza la segunda parte de este aporte (no aseguro una tercera parte). Espero que les haya servido como a mi me sirvieron y me sirven sus aportes todos los días!!! Un cordial saludo Underc0ders and happy hacklearn. 

¿Querés aprender hacking desde cero? Entrá aca!! Excelentes profesores. No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Buenos días lectores, hoy es mi turno de aportar a esta hermosa comunidad con un poco de información teorica basica sobre Infraestructura de Redes para después poder entender el funcionamiento de las diferentes Tecnicas de Hacking al aplicarlas en nuestro laboratorio de pruebas.

Antes que nada quiero aclarar que voy a dividir el post en varias partes porque pienso que tendrá mejor atención al abarcar los conceptos desde la introducción de la infraestructura de redes hasta las diferentes Tecnicas de Hacking que se van a encontrar a lo largo de las entregas, creo que asi todos aprenderemos mejor (inclusive yo porque aprendo al momento de escribir esto) Empecemos!

Protocolo de Red TCP/IP

Introducción

La arquitectura TCP/IP se empezó a desarrollar como base de la ARPANET (red de
comunicaciones militar del gobierno de los EE.UU), y con la expansión de la
INTERNET se ha convertido en una de las arquitecturas de redes más
difundida.

Antes de continuar, pasemos a ver la relación de esta arquitectura con
respecto al modelo de referencia OSI (Open Systems Interconnection) de la
ISO (Imagen de abajo).



Así como el modelo de referencia OSI posee siete niveles o capas,
la arquitectura TCP/IP viene definida por 4 niveles:

4) El nivel de aplicación.
3) El protocolo proveedor de servicio [Transporte, TCP o UDP]
2) El nivel de interred [Red, IP], y
1) El nivel de subred [enlace y físico]



Recordemos que tanto el modelo OSI asi como el modelo TCP/IP se cuentan desde arriba hacia abajo de mayor a menor
Siguiendo esta regla el modelo OSI nos quedaria de la siguiente manera:

7) Aplicación
6) Presentación
5) Sesión
4) Transporte
3) Red
2) Enlace de datos
1) Fisica

Protocolo Internet (Internet Protocol IP)

El protocolo IP es el principal del modelo OSI, así como parte integral del TCP/IP.
Las tareas principales del IP son el direccionamiento de los datagramas de
información y la administración del proceso de fragmentación de dichos
datagramas.

El datagrama es la unidad de transferencia que el IP utiliza, algunas veces
identificada en forma más específica como datagrama Internet o datagrama IP

Algunas caracteristicas que podemos encontrar en este protocolo UDP (User Datagram Protocol) a diferencia del TCP (Transmission Control Protocol) son por ejemplo:




La entrega del datagrama en IP no está garantizada porque ésta se puede
retrasar, enrutar de manera incorrecta o mutilar al dividir y reensamblar los fragmentos del mensaje.

Direccionamiento IP

El TCP/IP utiliza una dirección de 32 bits para identificar una máquina y la
red a la cual está conectada. Unicamente el NIC (Centro de Información de Red) asigna las
direcciones IP (o Internet), aunque si una red no está conectada a Internet, dicha
red puede determinar su propio sistema de numeración.

Actualmente hay cuatro formatos de los cuales se utiliza dependiendo del tamaño de la red. Aunque ya se pensó un quinto formato (Clase E) para una utilizacion futura.

CLASE A = comprende un rango desde 0.1.0.0 hasta 126.0.0.0, estamos hablando de redes grandes con muchas maquinas (permite tener hasta 1.6 millones de hosts)

CLASE B = el rango de direcciones varía desde el 128.0.0.0 hasta el 191.255.0.0, acá estamos hablando de redes con tamaño intermedio (16320 redes con 65024 host en cada una)

CLASE C = Las direcciones de esta clase están comprendidas entre 192.0.1.0 y 223.255.255.0 (lo que permite cerca de 2 millones de redes con 254 hosts cada una)

CLASE D = Esta clase está reservada para lo que llamamos red multidifusión o "broadcast", esto quiere decir que la informacion es enviada por ejemplo desde una puerta de enlace o gateway a todos los host dentro de la red pasando por todos los nodos y no nodo por nodo. Su rango es desde 224.0.0.0 hasta 239.255.235.255

Lo entenderemos mejor con la siguiente imagen.



Vease que si utilizamos el broadcast de la red para enviar información los host receptores no pueden decidir si recibirla o no.

CLASE E (utilizacion futura) = las direcciones de clase E (aunque su utilización
será futura) comprenden el rango desde 240.0.0.0 hasta el 247.255.255.255

Entonces.. según lo visto anteriormente sabemos que las direcciones IP son cuatro conjuntos de 8 bits, con un total de 32 bits, estos bits -por comodidad- están separados por un punto por lo que si hablamos de formatos en direcciones IP tenemos por ejemplo:

Clase A = No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Clase C = No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



A partir de una dirección IP, una red puede determinar si los datos se enviarán a
través de una compuerta (GTW, ROUTER).

Obviamente, si la dirección de la red es la misma que la dirección actual (enrutamiento a un dispositivo de
red local, llamado host directo), se evitará la compuerta; pero todas las demás direcciones de
red se enrutarán a una compuerta (gateway) para que salgan de la red local.

La compuerta (gateway) que reciba los datos que se transmitirán a otra red, tendrá entonces que determinar el enrutamiento con base en la dirección IP de los datos y una tabla interna que contiene la información de enrutamiento.

Para explicarle mejor a nuestro manolo interno utilizaremos la siguiente imagen. (Gracias instructores de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta por su esfuerzo. Los sigo y los admiro)



Otra de las ventajas que ofrece el direccionamiento IP es el uso de
direcciones de difusión (broadcast addresses), que hacen referencia a todos los host
de la misma red.

Según el estándar, cualquier dirección local (hostid) compuesta toda por 1s (unos)
está reservada para difusión (broadcast). Por ejemplo, una dirección que contenga
32 1s (unos) se considera un mensaje difundido a todas las redes y a todos los dispositivos.

Veamos algunos ejemplos practicos para entenderlo mejor, consideremos la siguiente información.


IP: 204.8.0.170  Binario: 11001100.00001000.00000000.10101010

Mascara de Red (Mask): 255.255.224.0 Binario: 11111111.11111111.11100000.00000000

Según lo visto anteriormente, para hallar la dirección de SubRED (SubNet)
tomamos la IP y considerando que todo lo que tenga 1s (unos) en la máscara se queda
como está en la IP, y todo lo que tenga 0s (ceros) en la mascara se pone a 0 en la IP.

Entonces, la dirección de SubRed es :

IP: 204.8.0.0 Binario: 11001100.00001000.00000000.00000000


Veamos otro ejemplo más detallado


IP: 9.67.38.0 Binario: 00001001.01000011.00100110.00000000

Mascara de Red (Mask): 255.255.255.192  Binario: 11111111.11111111.11111111.11000000

En la dirección de la máscara de red, los últimos 6 bits han quedado a 0. Estos bits
son los que definen las máquinas de la SubRed (2^6=64). De estas 64 máquinas
quitamos la última de ellas (será para el Broadcast).

Entonces tenemos:    

9.67.38.0 SubNet Address 
9.67.38.1 (1ª máquina de la SubRed)
9.67.38.2 (2ª máquina de la SubRed)
.........
9.67.38.62 (última máquina de la SubRed)
9.67.38.63 BROADCAST

En resumen:

Las direcciones IP se pueden utilizar para referirse a redes así como a
anfitriones individuales. Por regla, una dirección que tiene todos los bits del
campo hostID a 0, se reserva para referirse a la red en sí misma.

Una ventaja significativa del esquema de direccionamiento IP es que éste incluye una dirección de difusión (BROADCAST) que se refiere a todos los anfitriones de la red.
De acuerdo con el estándar, cualquier campo hostID consistente solamente en 1s (unos), esta reservado para la difusión (BROADCAST).

Esto permite que un sistema remoto envíe un sólo paquete que será publidifundido en toda la red especificada!!!

Sabiendo esto podriamos hacer un "Smurf Attack" por ejemplo.



Acá finalizo la primera parte del post "Infraestructura de Redes y Tecnicas de Hacking" espero que el contenido no haya sigo muy pesado y por sobre todo que les haya servido! Nos vemos en la segunda parte de la entrega.

P.D: Si me equivoqué en alguna información de antemano les agradezco futuras correcciones! 

Fuente: Conocimientos propios junto con conocimientos distribuidos por internet segmentados por mi en este humilde aporte.