Obtener información de servidores web con banner grabbing

  • 4 Respuestas
  • 3523 Vistas

0 Usuarios y 1 Visitante están viendo este tema.

Desconectado LucaSthefano

  • *
  • Underc0der
  • Mensajes: 399
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
Uno de los aspectos a la hora de realizar controles sobre una aplicación web es la información que puede obtenerse a través de lo que se conoce como banner grabbing. Este concepto se refiere a la interacción manual  en texto plano para obtener información sobre sobre el servidor donde reside la aplicación web.
El banner grabbing es una de las formas de conocer qué infraestructura o sistema se encuentra detrás de una aplicación web o servicio. En otras palabras, está fuertemente relacionado con el fingerprinting para detectar el sistema operativo.
Si bien el método de banner grabbing puede aplicarse sobre cualquier tipo de servicio, cómo por ejemplo, FTP,  VNC, HTTP, entre otros, en este caso nos enfocaremos sobre el último debido a que es posible resaltar comportamientos particulares del mismo. Además de la detección del servidor que se aloja detrás del sitio web, en algunos casos es posible conocer la versión del mismo. Cabe destacar que no siempre es posible obtener información completa ya que existen formas de ocultar la información que brinda un servidor frente a diferentes peticiones.

¿Cómo obtener información del servidor?

Una de las formas de conectarse con un servidor web es a través de Telnet. Si se inicia una sesión a través del mencionado comando indicando el servidor o la dirección IP del mismo y a continuación el puerto (en el caso del protocolo HTTP suele ser el puerto 80) se podrá interactuar con el propio servidor. Luego de que se inició la conexión, mediante el comando HEAD y especificando el protocolo HTTP 1.0 es posible obtener el banner del servidor (encabezado). En la siguiente captura se puede visualizar como se inició la conexión con un servidor Apache en un Linux Suse:


De la misma forma, en la siguiente captura es posible observar la respuesta, en este caso, de un Apache sobre un Linux Ubuntu:


De esta manera es posible reconocer que tipo de servidor está alojando a la aplicación web. Sin embargo, existe la posibilidad de modificar el banner de un servidor para que este no brinde información real o completa sobre su infraestructura. A modo de ejemplo, se puede visualizar una captura de un banner generado a partir de la función echo de Linux en conjunto con la famosa herramienta para redes Netcat configurada en modo escucha:


Si se realiza la conexión al falso servidor a través de Telnet se obtiene la falsa respuesta:


Existen otros patrones distintivos que permiten la identificación de un servidor. Estos patrones pueden obtenerse a partir de peticiones inválidas o sobre un protocolo no existente. Frente a este tipo de requerimientos, cada servidor responderá de forma diferente indicando distintos tipos de errores. De igual forma, si se analiza la secuencia de respuesta también existen diferencias. Específicamente, un servidor Microsoft Windows responde con una secuencia diferente que un servidor Apache. A modo de ejemplo, en la siguiente imagen puede observarse en comparación la respuesta de un servidor Apache y de un servidor Microsoft:



Tal como puede observarse, una de las diferencias sustanciales radica en que el servidor Apache responde primero con el campo Date y luego con el campo Server. En el caso del servidor Microsoft IIS 7.5, este responde con los mencionados campos pero en orden inverso. Esta es una de las tantas diferencias que permiten distinguir entre diferentes tipos de arquitecturas. Incluso existen diferencias entre distintas versiones de un mismo servidor.

Este tipo de análisis son válidos a la hora de evaluar el nivel de seguridad de una aplicación web con el agregado de contemplar la arquitectura que se encuentra por detrás. Tal cómo se especificó anteriormente, es posible ocultar información modificando los banners de los servidores. En la siguiente captura puede observarse una consulta sobre un servidor Apache donde la versión fue removida del banner:


Es importante que las aplicaciones web sean auditadas y se contemplen aspectos relacionados a la información que puede obtenerse, por ejemplo, a través de banner grabbing. La seguridad debe gestionarse, siempre teniendo en mente que es el eslabón más débil es el que determina el nivel de seguridad de una infraestructura. En los casos donde brindar información sobre la plataforma residente sea un riesgo, la misma debe limitarse. Asimismo, es sumamente recomendable contar con versiones actualizadas de dichos servidores ya que estas solucionan problemas de seguridad hallados en versiones anteriores.

Fuente: Laboratorios ESET
Agradecimientos: Fernando Catoira
« Última modificación: Noviembre 22, 2012, 09:22:57 pm por Sthefano02 »

Desconectado Sanko

  • *
  • Underc0der
  • Mensajes: 541
  • Actividad:
    0%
  • Reputación 0
  • ¿Puedes?
    • Ver Perfil
    • Underc0de
Interesante , gracias por traerlo.
Sigueme en Twitter : @Sankosk
Estos nuevos staff no tienen puta idea XD

Desconectado LucaSthefano

  • *
  • Underc0der
  • Mensajes: 399
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
Interesante , gracias por traerlo.

De nada. A veces traía problemas para ver las imágenes, ya lo he arreglado.

Espero que te halla gustado. Saludos!

Desconectado Cygog

  • *
  • Underc0der
  • Mensajes: 67
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
    • Email
(Si el servicio de telnet se lo pone con stop este sofware no sirve para nada)

Todos los programas de escaneos funcionan igual..
envian paquetes icmp (protocolo que se inventa para reparrar errores en una red) con respuestas ACK o SYN.. siempre recomiendo nmap ya que todos los programas de escaneos que devuelven información estan basados en el mismo..

saludos

Desconectado alexander1712

  • *
  • Underc0der
  • Mensajes: 851
  • Actividad:
    0%
  • Reputación -2
    • Ver Perfil
    • El blog del programador
    • Email
genial, se agradece el aporte!

un abrazo tefi.

saludos!

 

Seguridad de la Información y Seguridad Informática

Iniciado por Nosferatu

Respuestas: 2
Vistas: 2828
Último mensaje Abril 13, 2015, 01:47:56 pm
por Cl0udswX
Python y Google Hacking para recuperar información pública

Iniciado por LucaSthefano

Respuestas: 0
Vistas: 2604
Último mensaje Marzo 13, 2014, 10:00:09 pm
por LucaSthefano
Cómo roba el malware la información de autocompletado del navegador

Iniciado por AXCESS

Respuestas: 4
Vistas: 548
Último mensaje Agosto 29, 2019, 04:52:55 pm
por Mr.Tru
Información crítica expuesta utilizando Google Hacking

Iniciado por LucaSthefano

Respuestas: 1
Vistas: 3344
Último mensaje Febrero 26, 2013, 09:57:57 am
por debug32
Borrado Seguro de Información

Iniciado por rreedd

Respuestas: 0
Vistas: 3093
Último mensaje Julio 07, 2016, 11:34:18 am
por rreedd