4/4/2010

Herramienta para la automatizacin de los Procesos de

Footprinting y Fingerprinting durante las Auditoras de
Seguridad Informtica

Juan Antonio Calles Garca

 ndice

HERRAMIENTAS LANZADERA ........................................................................................................ 5

Fuzzing HTTP ............................................................................................................................. 5
WHOIS ....................................................................................................................................... 6
Google Hacking ......................................................................................................................... 7
Banner Attack............................................................................................................................ 8
TRACERT .................................................................................................................................. 10
404 Attack ............................................................................................................................... 10
Scan with google ..................................................................................................................... 11
Fuzzing against DNS ................................................................................................................ 12
Zone Transfer .......................................................................................................................... 14
Summary ................................................................................................................................. 15
Herramientas de Realimentacin ................................................................................................ 17
Google Sets.............................................................................................................................. 17
Scan IP with Bing ..................................................................................................................... 19
Scan IP against DNS ................................................................................................................ 20
Recursive search by brute force against DNS y Recursive search by using the dictionary against
the DNS.................................................................................................................................... 22
NMAP ...................................................................................................................................... 23
Informe: Final Audit Report ..................................................................................................... 25
Wfuzz, Nmap y Whois ................................................................................................................. 27
Este manual pretende explicar el funcionamiento bsico de la herramienta Anubis,
diseada para facilitar los procesos de Footprinting y Fingerprinting durante las
Auditoras de Seguridad Informtica.

Anubis incorpora dos tipos de herramientas, las herramientas lanzadera y las

herramientas de realimentacin. Las primeras se encargan de obtener toda la
informacin pblica o publicada descuidadamente de una organizacin, almacenarla y
presentarla de una manera lgica y visible. Las herramientas lanzadera que incorpora
Anubis son:

1. Fuzzing Http
2. Whois
3. Google Hacking
4. Banner Attack
5. 404 Attack
6. Scan with Google
7. Fuzzing against DNS
8. Zone Transfer

El segundo tipo de herramientas pretenden buscar ms informacin a partir de la ya

encontrada, aumentando la informacin obtenida en gran medida. Estas herramientas
tienen mayor potencial que las anteriores pero dependen del xito de las herramientas
lanzadera para operar:

1. Google Sets
2. Scan IP with Bing
3. Fuzzing against DNS
4. Scan IP against DNS
5. NMap

Una vez finalizados los escaneos con las distintas herramientas, Anubis presenta un
informe del estado de la organizacin, y permite exportarlo de diferentes formas a
HTML y a XML para poder transportarlo, presentarlo en el informe final de una
auditora o utilizarlo en otras herramientas que interpreten XML o cargar el proyecto
posteriormente en Anubis para poder utilizar los datos tras cerrar el programa.

Al abrir el programa se puede ver la pantalla inicial donde Anubis mostrar al finalizar
la auditora un resumen del estado de la organizacin:
Inmediatamente despus, en la segunda pestaa se encuentra el resumen de las
mquinas y dominios encontrados durante la auditora presentados en forma de tabla
y de rbol jerrquico.
A partir de la tercera pestaa se encuentran todas las herramientas nombradas al
principio de este punto con las que se realizarn las labores pertinentes de auditora.

HERRAMIENTAS LANZADERA
Fuzzing HTTP

La herramienta Fuzzing HTTP automatiza el lanzamiento del programa WFUZZ, de

Edge-Security, que permitir localizar ficheros y zonas ocultas en un sitio web, de
una manera sencilla y rpida.

Para lanzar Fuzzing HTTP en primer lugar hay que seleccionar un diccionario (por
defecto seleccionado el diccionario big.txt). Los diccionarios se encuentran en la ruta
wfuzz\wordlists, dentro de la raz del proyecto. Despus habr que elegir el nivel de
recursividad del ataque, es decir, si encuentra una carpeta, el nmero de subcarpetas
que se desea reciban otro escaneo completo. Y finalmente se selecciona el botn
Fuzzing Scan.

Para detener el escaneo basta con pulsar en cualquier momento el botn Stop. Si se
desea guardar la informacin obtenida, se seleccionar la opcin guardar, que
permitir almacenar el reporte en formato txt:
WHOIS

La herramienta Whois permitir ver la informacin del usuario que ha registrado un

dominio. Su uso es sencillo, en primer lugar se introducir un dominio y despus se
pulsar el botn Whois. Al igual que en la anterior herramienta, es posible guardar
un reporte en .txt.
Google Hacking

La herramienta Google Hacking lleva incorporado un navegador web desde el que se

podrn lanzar queries tpicas de Google Hacking desde cualquiera de sus casillas.
Adems lleva incorporados escaneos predefinidos, como por ejemplo el escaneo de
cmaras web que se puede ver en la siguiente imagen:
Una vez finalizada la parte de la auditora dedicada a la bsqueda de informacin con
Google se deber valorar con una nota de 0 a 10 el estado de la organizacin. Las notas
que asigne el auditor o Anubis (en las herramientas que asigna una nota
automticamente) influirn en la nota final que obtenga la organizacin y que
aparecer en el informe final.

Banner Attack

Esta herramienta permite visualizar el banner del servidor web para intentar detectar
el tipo de servidor y el sistema operativo utilizado en la organizacin. Para utilizarlo
simplemente hay que indicarle un dominio y pulsar el botn de escaneo.

Al igual que en las anteriores herramientas es posible guardar el reporte en un txt. Por
otro lado al igual que en Google Hacking se debe valorar de 0 a 10 el estado del banner
dependiendo de si la informacin proporcionada se cree que es correcta o por el
contrario se tiene la creencia de que ha sido modificada para engaar a los hackers.

Tras realizar el escaneo se pulsar el botn Send. Con ello se comienza a almacenar en
la tabla y en el rbol de Summary las primeras mquinas y dominios de la organizacin:
TRACERT

La herramienta Tracert permite hacer una traza de los puntos por donde pasa una
peticin web hasta resolverse. Para utilizarla basta con aadir una URL o una direccin
IP y pulsar el botn Tracert.

Tras hacer una traza en numerosas ocasiones se puede ver como aparece algn
servidor de la organizacin por el que pasa, como se puede ver en la imagen anterior.
Estos servidores al igual que en el Banner Attack podrn ser agregados a la tabla de
mquinas de la organizacin que hay en Summary, para ello bastar con aadir la
mquina y la IP en las casillas habilitadas para ello y pulsar el botn Send. Finalmente
se debe valorar el escaneo con una nota de 0 a 10.

404 Attack

Esta herramienta permite lanzar una URL malformada para intentar provocar el error
404 en el navegador, con lo que se conseguir, de tener el Servidor Web con la
configuracin por defecto, mostrar el modelo de Servidor. Su funcionamiento es
sencillo, en primer lugar se inserta un dominio y finalmente se pulsa el botn Scan:
Una vez finalizado el escaneo si ha habido xito se indicar un posible tipo de servidor
y sistema operativo y permitir aadirlo a la tabla de mquinas de la organizacin
pulsando el botn Send.

Adems se podr visualizar el archivo robots.txt (en caso de que existiese) y en el que
se puede encontrar en ocasiones rutas ocultas en una web, al igual que con la
herramienta Fuzzing Http. Finalmente se valorar con una nota de 0 a 10 el estado de
la organizacin frente a este escaneo.

Scan with google

ste escaneo permite mediante bsquedas hacking en Google encontrar todos los
dominios, subdominios y mquinas que hay indexadas en Google. Con esta
herramienta se conseguir informacin muy valiosa para aadir a la tabla de mquinas
y al rbol de la red de la organizacin que hay en la pestaa Summary. sta
herramienta es de vital importancia para el lanzamiento posterior de las herramientas
de realimentacin.

En grandes organizaciones ser normal ver cmo encuentra ms de 500 subdominios:

Para lanzar el escaneo se debe insertar un dominio y pulsar el botn Scan. Finalmente
se podrn aadir todas las mquinas a la tabla y al rbol que simular el mapa de la
organizacin de la pestaa Summary pulsando Send. En esta ocasin Anubis ser el
encargado de poner una nota de 0 a 10 al estado de la organizacin dependiendo del
nmero de informacin obtenida.

Fuzzing against DNS

Esta herramienta permitir hacer dos tipos de ataques contra el DNS para intentar
obtener el mayor nmero de mquinas internas de la organizacin. El primero de los
ataques consistir en lanzar un ataque de fuerza bruta mediante permutaciones
infinitas de smbolos y caracteres alfanumricos, que deber pararse manualmente
cuando se crea pertinente. Para utilizarlo se debe introducir un dominio y pulsar el
botn Scan que aparece con el smbolo nuclear:
sta herramienta es lenta ya que las permutaciones van aumentando de manera
exponencial, pero es muy eficaz.

La segunda herramienta permitir barrer el DNS con un ataque por diccionario, bien
aprovechando los diccionarios de WFUZZ, bien aadiendo nuevos diccionarios
manualmente, o bien utilizando un diccionario que se ha diseado especialmente para
atacar servidores, que contiene nombres freaks que los administradores suelen dar a
sus servidores. Este diccionario se le ha denominado freak.txt y se puede encontrar en
la misma carpeta que los diccionarios de WFUZZ. Para lanzar el escaneo, tras
seleccionar un diccionario, basta con pulsar el botn Scan que tiene el icono de de la
tierra:
Finalmente se podrn aadir todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

Zone Transfer

Esta herramienta comprobar si alguno de los servidores de DNS padece una

transferencia de zona, proporcionando as un listado completo de todas las mquinas
de la organizacin, y casi finalizando en ste punto la parte de la auditora dedicada a
bsqueda de informacin. Aunque cada vez menos organizaciones padecen este error,
an son muchas las que son susceptibles a este descuido. Para lanzar el escaneo basta
con introducir un dominio y seleccionar el botn Scan:
Finalmente se podrn aadir todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

Summary

Una vez lanzadas las primeras herramientas de bsqueda, si se accede a la pestaa

Summary, se puede ver un gran nmero de mquinas internas e IPs, y un mapa de la
red en forma de rbol.
Si an queda informacin por obtener se podrn utilizar las herramientas de
realimentacin, que se lanzan de manera automtica seleccionando en la tabla de la
opcin Summary una mquina (una fila) con el botn izquierdo del ratn y pulsando
botn derecho sobre ella. Se desplegar un abanico de ataques disponibles, y bastar
con seleccionar uno para continuar con los escaneos:
Herramientas de Realimentacin

Google Sets

Google Set junto con las dems herramientas de realimentacin se lanza desde el
men de opciones que se abre pulsando el botn derecho del ratn sobre la tabla
Summary. Para arrancar el escaneo de Google Set bastar con seleccionar previamente
una mquina de la tabla Summary, y desde el men del botn derecho del ratn
seleccionar Google Sets. Con este escaneo Anubis buscar palabras relacionadas con el
nombre de esa mquina para intentar obtener ms mquinas que el administrador
haya nombrado con nombres semejantes. Por ejemplo, si un administrador llama a
una mquina litio, es probable que exista una mquina sodio, o una mquina benceno.
Todo ello lo hace gracias a la herramienta Google Set que ha diseado Google:
Tras lanzar el escner hay que desplazarse a la pestaa Google Set donde se
encontrar el listado de palabras que devuelve Google Sets que estn relacionadas con
el servidor que se le indic. Si se pulsa el botn Scan Words, buscar los servidores que
existan que se llamen como alguna de esas palabras.
Finalmente se podrn aadir todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

Scan IP with Bing

La herramienta Scan IP with Bing se lanza de la misma manera que Google Set, y
permitir a travs de la bsqueda de Bing Hacking, IP, encontrar mquinas
relacionadas con la IP de la mquina que se le indique. Para lanzar esta herramienta es
necesario conocer previamente la IP desde la que se desea realizar el escaneo:

Tras lanzar el escner hay que desplazarse a la pestaa Scan IP with Bing dnde se
podrn ver las mquinas encontradas:
Finalmente podrn ser aadidas todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

Scan IP against DNS

Scan IP against DNS permitir hacer un barrido por IP contra el DNS de tres maneras.
La primera y la segunda de ellas lo harn por mascara, escaneando las direcciones IP
contiguas a la de la mquina seleccionada con un barrido corto 255 IPs, o con uno
largo 65025 IPs. La tercera manera a la que se ha denominado como Death Scan,
lanzar barridos contra todas las direcciones IP de la tabla Summary. Esta ltima
opcin peinar la organizacin obteniendo en caso de que no tenga la organizacin
auditada una buena poltica de proteccin en el DNS (por ejemplo, que si se realizan X
peticiones en X tiempo se bloqu el acceso a cierta IP) un mapa prcticamente
perfecto de la organizacin. Su eficiencia depender de la diversidad de direcciones IP
obtenidas en las anteriores fases que se encargaron de rellenar la tabla Summary de
direcciones IPs internas:
En caso de conocer alguna direccin IP interna del dominio de la organizacin, ste
escaneo tambin podr ser lanzado manualmente desde la propia pestaa Scan IP
against DNS.
Finalmente podrn ser aadidas todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

Recursive search by brute force against DNS y Recursive search by

using the dictionary against the DNS

Estas dos herramientas permiten lanzar la herramienta Fuzzing Against DNS antes
comentada contra el subdominio que se le indique. En caso de seleccionar el ataque
Recursive search by using dictionary against the DNS, previamente se deber elegir el
diccionario con el que se realizar el ataque:
Finalmente se podrn aadir todas las mquinas a la tabla y al rbol que simular el
mapa de la organizacin de la pestaa Summary pulsando Send. En esta ocasin
Anubis ser el encargado de poner una nota de 0 a 10 al estado de la organizacin
dependiendo del nmero de informacin obtenida.

NMAP

La ltima herramienta, NMAP, permite lanzar automticamente uno de sus ataques

por defecto a la mquina que se le indique de la tabla Summary de una manera
cmoda y sencilla, buscando puertos abiertos e intentando averiguar el sistema
operativo de la mquina indicada:
Al igual que en otras herramienta se podr guardar el reporte en un txt. Por otro lado
al igual que en Google Hacking se deber valorar de 0 a 10 el estado de la organizacin
dependiendo de la informacin obtenida. Adems podr se lanzado NMAP
manualmente indicndole una IP y seleccionando el botn Scan desde la propia
pestaa NMAP, o introducir una Query para realizar un escaneo especial
manualmente.

Finalizada la Auditora en la pestaa Summary habr un mapa completo o casi

completo de la red interna de la organizacin:

Informe: Final Audit Report

Desde la pestaa Final Audit Report se podrn visualizar las notas que ha obtenido la
organizacin en cada seccin de la auditora, valorando globalmente el estado de la
organizacin con una nota de 0 a 10 que se podr visualizar en la parte derecha del
programa:
Una vez finalizada la auditora se podr exportar desde el men Report el mapa de la
red obtenido a HTML pulsando el botn Export network map. Podrn ser exportadas
de igual manera a HTML todas las mquinas obtenidas con sus respectivas IP pulsando
el botn Export computers. O si se prefiere, exportar a HTML toda la informacin
anterior, junto con las notas obtenidas en cada proceso de la auditora y la nota final,
indicando con colores (rojo, mbar y verde) el estado de la organizacin pulsando el
botn Generate Full report:
Finalmente se podr guardar el proyecto en formato XML desde la pestaa File, para
posteriormente recuperarlo o para ser tratado con otras herramientas.

Wfuzz, Nmap y Whois

Anubis utiliza tres herramientas para realizar algunos escaneos. Estas herramientas se
encuentran en la carpeta raz de Anubis. En caso de querer actualizarlas por versiones
ms actuales se pueden sustituir sin problemas siempre que se mantenga el mismo
nombre de la carpeta raz de la herramienta, funcionando sin inconvenientes a menos
que el fabricante de la herramienta pertinente modifique los comandos que permiten
su funcionamiento, en tal caso, se podra mandar un correo a
juanantonio.calles@gmail.com explicndole el problema, para ponerle solucin en el
periodo ms corto de tiempo posible.