Anatomía de un Ataque

Facilitador:
Diego Javier Parada Serrano

Universidad Pontificia Bolivariana

Facultad de Ingeniería de Sistemas e Informática
Especialización en Seguridad Informática
Fundamentos de Seguridad Informática
Agenda
• Ciclo de vida de un ataque
– Fases
– Ataques
– Ejemplos
Ciclo de vida Implica entender qué se debe
de un ataque Reconocimiento
hacer tanto para atacar y
como nos defendemos

Borrado Scan

Merece de estudio por Ataque

que es una metodología
completa para ser
llevado a cabo

Todo ataque tiene una

Consolidación Intrusión anatomía definida
 • Pasivas: En el cual el sniffing y la
recolección de información está
involucradas
Reconocimiento • Activas: En ellos toso lo relacionado con
las actividades de los puertos y
máquinas.
Utilizando medios
bien sea activos o
pasivos se recoge la
información sobre la
víctima.
Actividad de hacking referente a
la recolección de información de
cualquier tipo antes de lanzar un
ataque contra un destino
identificado.

La idea es definir un perfil completo de la

víctima donde se identifiquen sus operaciones,
personal administrativo, infraestructura tanto de
sistemas como de red, para desarrollar una
estrategia de ataque, lo más importante sin
autorización alguna.
Reconocimiento

Ingeniería
Social
Se refiere a obtener
información valiosa de los
datos y procesos de la
compañía, haciendo
indagaciones en los
empleados y miembros
de la corporación. Falsificación
de llamadas Charlas con administradores de
telefónicas centros de computo, acerca
de las configuraciones. Usuarios
internos, a través de sus
acciones, responder un mail,
llamadas telefónico,
conversaciones puede incurrir
en este tipo de ataque
Ingeniería Social
• Una buena manera de esconder algo es
mostrarlo.
Anónimo

• Si necesitas algo, solo pídelo. El secreto del

éxito en obtenerlo está en la manera de
pedirlo.
Anónimo
Definición Ing. Social
• La ingeniería social consiste en la manipulación de las
personas para que voluntariamente realicen actos que
normalmente no harían. Carole Fennelly.

• La ingeniería social es la práctica de engañar / manipular a

un usuario para conseguir que él mismo revele información
confidencial. INCIBE.

• El fin:
– Contraseñas de acceso a equipos informáticos
– Credenciales bancarias
– Información relacionada con productos y servicios
– Información y datos de proveedores y clientes, etc…
Objetivos de la Ing. Social:
Son los mismo que el cracking:
– Cometer Fraude,
– Entrometerse en las Redes,
– Espionaje Industrial,
– Robo de Identidad (de moda),
A quien va dirigido:
– Irrumpir en los Sistemas o Redes.
– Empresas Telefónicas
– Servicios de Helpdesk y CRM
– Corporaciones Renombradas
– Agencias e Instituciones
Gubernamentales y Militares
– Instituciones Financieras
– Hospitales.
No
Facebook
se por qué
hoy nos
por sorprende
hoy!!! Cambridge Analytica
Entonces…
La publicidad es el oro de la internet, por ejemplo nuestro amigo Google
qué dice:

“La publicidad permite mantener Google y muchos de los sitios

web y servicios que utilizas de forma gratuita. Nos esforzamos
para garantizar que los anuncios sean seguros, discretos y lo
más relevantes posible. Por ejemplo, no verás anuncios
emergentes en Google, y cada año cancelamos las cuentas
Cuánto cuesta de cientos de miles de editores y anunciantes que infringen
mis datos en la nuestras políticas, incluidos anuncios que contienen software
malicioso, que falsifican productos o que intentan realizar un
internet??? uso inadecuado de tu información personal.”

Políticas del servicio de Google

Por qué nos debe de preocupar?
Esto es un negocio

Tomado de INCIBE
Tomado de INCIBE
Tomado de INCIBE
https://www.univision.com/noticias/prosperidad-economica/revelan-el-precio-en-el-mercado-negro-por-datos-robados-en-internet
https://cincodias.elpais.com/cincodias/2015/11/30/lifestyle/1448895784_988118.html

Tomado de INCIBE
Sigamos…
Técnicas de Ing. Social Invasivas
• El Teléfono
• El Sitio de Trabajo
• La Basura
• La Internet-Intranet
• Fuera de la Oficina
Técnicas de Ing. Social Seductivas
Carisma
Reciprocidad
Autoridad

Validación Social Consistencia

Tipificación del Ing. Social
Patrones típicos de comportamiento:

Psicológicas Técnicas
Insatisfacción Conocedor de TI

Seducción $$$ Hw. y Sw.

Inestabilidad
Fallas y Controles
Emocional y Compleja

Bajo Perfil y Solitario

Recuerde!!!

Una cadena es tan fuerte como su eslabón más débil…

El usuario es el eslabón más importante en la

cadena de la seguridad!!!
Entonces…

Reforzar la Seguridad
Concienciación
Formación en Política de
de los
seguridad Seguridad
empleados

Directrices,
Pruebas de
Entrenamiento normas y
concepto
controles
 Seguimos
Reconocimiento

DNS Descripción del DNS: para establecer los nombres de los servidores y
la dirección IP de cada uno de ellos se tiene en cuenta que los tipos
de registro del DNS son:

✓ A (Address): este registro se usa para traducir nombres de hosts a

direcciones IP.
✓ CNAME (Canonical Name): se usa para crear nombres de hosts
adicionales, o alias, para los hosts de un dominio.
✓ NS (Name Server): define la asociación que existe entre un
nombre de dominio y los servidores de nombres que almacenan
la información de dicho dominio. Cada dominio se puede asociar
a una cantidad cualquiera de servidores de nombres.
✓ MX (Mail Exchange): define el lugar donde se aloja el correo que
recibe el dominio.
✓ SOA (Start of authority): proporciona información sobre la zona.
 Seguimos
Reconocimiento

Whois Herramienta para identificar información de un dominio

Protocolo → RFC 3912

Datos que recolecta:

• Quién realizó el registro

• Correo electrónico
• Teléfonos
• Algunas veces IP del servidor

https://who.is/

http://whois.co/whois-gui/

Etc…
 Taller
• Use lo hasta ahora visto y realice un documento
consignando los resultados
– Seleccione un dominio que le interese
• Realice las consultas nslookup vistos
– Ejecute el comando ls –d dominio.ejemplo
– ¿Qué trata de hacer el comando?
– Realice con alguna herramienta una respuesta Whois
• Utilice la siguiente url:
– http://itools.com/tool/robtex-domain-ip-address-lookup
– Reflexiones y/o comentarios de los resultados
Scan de la
Victima

Conjunto de actividades
diseñadas para recoger
información de la
víctima, acerca de
topología de red,
plataformas, y servicios Estos mecanismos
utilizados permiten crear “fingering”
o huellas iniciales de la
red. Puede tomar minutos así
como un largo tiempo,
Identificar punto depende la complejidad de
vulnerables tanto en la víctima y el grado de
servicios como en conocimiento de quien lo
infraestructuras de red. realiza.
 Identificación de vulnerabilidades.
Mediante la identificación de los
Scan de la servicios
Victima

Por Scanning
Versión del software por servicio
Identificación de adicional al sistema
servicios disponibles en operacional del mismo.
la víctima. Identificado como “banner
grabbing” o Enumeration
Identificar puertos
abiertos, tanto
TCP como UDP.

Identificación del sistema operacional de

la maquina.

Fingerprinting, basándose en las firmas de

los sistemas operacionales.
Del Modelo de Comunicaciones al Protocolo de Comunicaciones

TCP/IP
DNS – FTP - HTTP –
Aplicación
SMTP – POP3 – IMAP…

TCP – UDP – RTP –

Transporte
OSPF…

IGMP – ICMP – IP –
Internet
ARP…

Ethernet – Token Ring

Red
– PPP – FDDI…
Segmento IP
Versión IHL TOS Longitud
ID R DF MF OFFSET

TTL PROTOCOLO CHECKSUM

DIRECCIÓN IP (Origen)

DIRECCIÓN IP (Destino)
OPCIONES
Captura traza IP
4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

4 ipv4. tiene una longitud de 4 bits. En este caso 4 (0100)

5 IHL o longitud de la cabecera en palabras de 32 bits. En este caso: 5*32=160 bits

Captura traza IP
4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

00 (TOS) Tipo de servicio → 8 Bits → 00000000

Tabla de valores para TOS

•Bits 0-2 Prioridad.
•Bit 3 0 = Demora Normal, 1 = Baja Demora.
•Bit 4 0 = Rendimiento Normal, 1 = Alto rendimiento.
•Bit 5 0 = Fiabilidad Normal, 1 = Alta fiabilidad.
•Bits 6-7 Reservado para uso futuro.
Captura traza IP

4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

0064 Longitud total. Se incluyen los datos encapsulados.

Longitud 16 bits
Captura traza IP
4500 0064 8a01 4000 8006 ec4e c0a8 01f0
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b
5018 fd34 8917 0000 0000 0038 ff53 4d42
7500 0000 0098 07c8 0000 0000 0000 0000
0000 0000 04b0 fffe 01a8 c000 07ff 0038
0001 00ff 0100 00ff 0100 0007 0049 5043
8a01 (ID) Número de identificación único.
Longitud 16 bits
E..d..@....N.... 0x0010
.......J..j.`..[ 0x0020
P..4.......8.SMB 0x0030
u............... 0x0040
...............8 0x0050
.............IPC 0x0060
Captura traza IP
4500 0064 8a01 2000 8006 ec4e c0a8 01f0
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b
5018 fd34 8917 0000 0000 0038 ff53 4d42
7500 0000 0098 07c8 0000 0000 0000 0000
0000 0000 04b0 fffe 01a8 c000 07ff 0038
0001 00ff 0100 00ff 0100 0007 0049 5043
2 Bandera (Flag) Campo de 3 bits.
0 0 0 0
E..d..@....N.... 0x0010
.......J..j.`..[ 0x0020
P..4.......8.SMB 0x0030
u............... 0x0040
...............8 0x0050
.............IPC 0x0060
1 0 0 0 1
Captura traza IP

4500 0064 8a01 4000 8006 ec4e c0a8 01f0
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b
5018 fd34 8917 0000 0000 0038 ff53 4d42
7500 0000 0098 07c8 0000 0000 0000 0000
0000 0000 04b0 fffe 01a8 c000 07ff 0038
0001 00ff 0100 00ff 0100 0007 0049 5043
E..d..@....N.... 0x0010
.......J..j.`..[ 0x0020
P..4.......8.SMB 0x0030
u............... 0x0040
...............8 0x0050
.............IPC 0x0060

000 Fragment offset o Posición. Longitud de 13 bits.

Captura traza IP

4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

80 (TTL) Tiempo de vida. Longitud 8 bits.

Captura traza IP
‘4500 0064 8a01 4000 8006 ec4e c0a8 01f0
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b
5018 fd34 8917 0000 0000 0038 ff53 4d42
7500 0000 0098 07c8 0000 0000 0000 0000
0000 0000 04b0 fffe 01a8 c000 07ff 0038
0001 00ff 0100 00ff 0100 0007 0049 5043
06 Protocolo. Longitud 8 bits.
E..d..@....N.... 0x0010
.......J..j.`..[ 0x0020
P..4.......8.SMB 0x0030
u............... 0x0040
...............8 0x0050
.............IPC 0x0060
Captura traza IP

‘4500 0064 8a01 4000 8006 ec4e c0a8 01f0
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b
5018 fd34 8917 0000 0000 0038 ff53 4d42
7500 0000 0098 07c8 0000 0000 0000 0000
0000 0000 04b0 fffe 01a8 c000 07ff 0038
0001 00ff 0100 00ff 0100 0007 0049 5043
E..d..@....N.... 0x0010
.......J..j.`..[ 0x0020
P..4.......8.SMB 0x0030
u............... 0x0040
...............8 0x0050
.............IPC 0x0060

ec4e Header Cheksum(CRC) o Suma de Control de la Cabecera. Longitud 16 bits.

Captura traza IP

‘4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

c0.a8 01.f0 dirección origen tiene una longitud 32 bits.

Captura traza IP

‘4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

c0.a8 01.03 dirección destino tiene una longitud 32 bits.

Captura traza IP

‘4500 0064 8a01 4000 8006 ec4e c0a8 01f0 E..d..@....N.... 0x0010
c0a8 0103 008b 044a fcea 6aaf 60e5 ea5b .......J..j.`..[ 0x0020
5018 fd34 8917 0000 0000 0038 ff53 4d42 P..4.......8.SMB 0x0030
7500 0000 0098 07c8 0000 0000 0000 0000 u............... 0x0040
0000 0000 04b0 fffe 01a8 c000 07ff 0038 ...............8 0x0050
0001 00ff 0100 00ff 0100 0007 0049 5043 .............IPC 0x0060

Options (Opciones) de longitud variable (32 bits max) con información opcional para el
datagrama. Puede tener 0 o más opciones.

Aquí comienza el TCP

Captura traza TCP
PUERTO ORIGEN PUERTO DESTINO

NÚMERO DE SECUENCIA

NÚMERO DE CONFIRMACIÓN

LONGITUD
HEADER RESERVADO URG ACK PSH RST SYN FIN WINDOW

CHECKSUM PUNTERO URGENTE

OPCIONES (Si hay)

Datos
Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

05c0 Puerto origen con tamaño de 16 bits

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

0cea Puerto destino; tamaño de 16 bits

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

27dd 44a3 Número de secuencia. (32 bits)

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

6fad 253b Número de acuse de recibo. (32 bits)

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

5 Posición de los datos (Data Offset). (4 bits)

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

Reservado URG ACK PSH RST SYN FIN

6 Bits 6 Bits
Uso Futuro Propósito y contenido
Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

Window (16 bits).

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

2def Checksum (16 bits).

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

0000 Urgent Pointer (16 bits).

Captura traza TCP

4500 0165 12ac 4000 8006 6341 c0a8 0122 E.......@.......

c0a8 0103 05c0 0cea 27dd 44a3 6fad 253b ....sbin/shutdow
5018 fd59 2def 0000 6901 0000 0355 5044 lt.mail:x:8:12:m

6901 0000 Opciones (32 bits) Si está presente únicamente se define una
opción: el tamaño máximo de segmento que será aceptado.

6901 0000 Relleno Se utiliza para que la longitud de la cabecera de (32 bits) .
Paquete TCP/IP

IP versión 4
IHL 5
NumSec: 1020517571
Tos 00: normal
NumConf: 1873618235
Longitud: 101100101 = 357 bits
LH: 5 Seg. sin datos
ID: 4780
Banderas: ACK + PSH
Offset: 4000
Windows: 64857
Protocolo: 06 TCP
IP origen: 192.168.1.34
IP destino: 192.168.1.3
Porigen: 1472
Pdestino: 3306
 Laboratorio

• Seguir la instrucción que el profesor entregue!!!

– Haga disección de los tráficos entregados
– Compare
– Concluya
 ¿Que es Nmap?

Nmap ha sido diseñado para permitir a

administradores de sistemas y gente curiosa en
general el escaneo de grandes redes para
determinar que servidores se encuentran activos
y que servicios ofrecen
Que es nmap?
NMAP proporciona también características avanzadas
como:

• Detección remota del sistema operativo por medio

de huellas TCP/IP
• Escaneo tipo stealth (oculto) y paralelo
• Detección de servidores inactivos por medio de ping
paralelos
• Detección de filtrado de puertos
• Escaneo por fragmentación y especificación flexible
de destino y puerto
¿Que es nmap? (cont.)
NMAP es compatible con un gran numero de
técnicas de exploración de puertos como:
• Scan UDP
• Scan TCP connect()
• Scan TCP SYN (half open)
• Scan ftp proxy (bounce attack)
• Scan Reverse ident
• Scan ICMP (ping sweep)FIN, ACK sweep, Xmas
Tree, SYN sweep y Null scan
Tipos de Scan

TCP Conect Scan

Envio de una conexión normal → (SYN|SYN,ACK|ACK)

Scan Semi Completo:

TCP Syn Scan (semi abierta) → (SYN|SYN,ACK|RST,ACK)

Idle Scan (falsificando una conexión) → (Syn|SYN-ACK)

Tipos de Scan (cont.)
Scan Invisibles:

TCP Fin Scan: Envia paquetes FIN al puerto si esta cerrado responde
con un RST, si no hay respuesta está abierto.

TCP ACK Scan: Usado para probar si existen reglas en un firewall a

nivel de filtrado de paquetes

TCP Null Scan: Sin envío de banderas, devuelve RST para los puertos
cerrados

TCP Xmas Tree Scan: Envía paquetes con las banderas FIN,URG,PSH, a
los puertos, si esta cerrado devuelve RST

Syn|Ack: Envía paquetes Syn|Ack, si no existe una respuesta el

puerto esta abierto.
 Exploración de puertos
TCP Scan
Cumple las 3 fases de una conexión tcp
entre cliente y servidor
Tcp scan

• Si el puerto esta a la escucha, connect() tendrá éxito, de

otro modo, el puerto resulta inalcanzable

• Una ventaja importante de esta técnica es que no resulta

necesario tener privilegios especiales

• Envio de una conexión normal → (SYN|SYN,ACK|ACK)

nmap –sT –P0 –p 80 10.152.10.8
(→) SYN

Cliente Servidor

Cliente SYN Servidor

nmap –sT –P0 –p 80 10.152.10.8
SYN+ACK ()

Cliente Servidor

Cliente SYN + ACK Servidor

nmap –sT –P0 –p 80 10.152.10.8
(→) ACK

Cliente Servidor

Cliente ACK Servidor

 nmap –sT –P0 –p 80 10.152.10.8

• Trata de establecer una conexión TCP

completa, implementa el protocolo de tres
fases para crear una sesión verdadera

• Si dicha sesión se completa nmap pasa a

anotar el puerto como abierto
nmap –sT –P0 –p 80 10.152.10.8
• Por Ultimo nmap manda un paquete de tipo
RESET y ACK para que el servidor deshaga la
pila de conexiones para la conexión en curso
y así evitar una denegación de servicio en la
maquina
• Nota: La victima dejara la conexión como
pendiente de procesar si no recibe un Reset +
ACK del cliente
 Exploración de puertos
TCP SYN Scan
No cumple las 3 fases de una conexión
tcp entre cliente y servidor
 -sS Escaneo TCP SYN (1/2)

• TCP Syn Scan (semi abierta) → (SYN|SYN,ACK|RST,ACK)

• “Half open“ porque no se abre una conexión TCP completa

• Se envía un paquete SYN, como si se fuese a abrir una conexión real y se

espera que llegue una respuesta

• Un SYN|ACK indica que el puerto esta a la escucha

• Un RST es indicativo de que el puerto no esta a la escucha (en realidad es el

kernel de nuestro sistema operativo el que hace esto por nosotros)
 -sS Escaneo TCP SYN (2/2)

• Si se recibe un SYN|ACK de la victima, el atacante envía un RST

inmediatamente para cortar la conexión, la ventaja principal de esta
técnica de escaneo es que será registrada por muchos menos servidores
que la anterior

• En este caso el puerto se marca como abierto porque esta activo el servicio

• Pero si recibe un paquete de tipo RESET + ACK significa que no existe ningún
servicio que escuche por el puerto que se eligió explorar
 Exploración de puertos
X mas tree, Fin y Null scan
No cumple las 3 fases de una conexión
tcp entre cliente y servidor
 -sF -sX –sN Modos FIN, Xmas Tree o Null scan (1/2)

• Envía paquetes con las banderas FIN|URG|PSH

• A veces ni siquiera el escaneo SYN resulta lo suficientemente

clandestino

• Algunas firewalls y filtros de paquetes vigilan el envió de

paquetes SYN a puertos restringidos

• Estos tipos de escaneo avanzado pueden cruzar estas

barreras sin ser detectados
 -sF -sX –sN Modos FIN, Xmas Tree o Null scan (2/2)

• Si los puertos están cerrados la victima responda a nuestro

paquete de prueba con un RST

• De lo contrario el SO al no entender el paquete mal formado,

por ende, el puerto debe estar abierto

• Si el escaneo encuentra puertos cerrados,

probablemente se trate de una maquina UNIX,
mientras que todos los puertos abiertos es indicativo
de Windows

• Excepcionalmente, Cisco, BSDI, HP/UX, MVS, e IRIX

también envían RST en vez de desechar el paquete
 Laboratorio

• Seguir la guía que el profesor entregue!!!

– Conozca algunos comandos NMAP
– Seleccione un objetivo
– Ejecute comandos
– Registre resultados
– Concluya
Vulnerability Scanning
Identificados los servicios y sus versiones; algunos métodos
para la identificación de vulnerabilidades son:

• Pruebas de vulnerabilidad manual: Tratar de conectarse a

un servicio por usuarios y contraseñas por omisión.

• Tráfico de red: Mediante un sniffer.

• Sledgehammer: Lanzar un ataque y observar el resultado

• Scan de Vulnerabilidades: Herramientas que barren varios

destinos en busca de los se las vulnerabilidades, en
muchos caso consumen altos componentes del ancho de
banda.
Vulnerability Scanning (cont.)
Las vulnerabilidades son agrupadas.

• Debilidades en Administración de Cuentas

• Vulnerabilidades de configuración en SO y/o aplicaciones

• Vulnerabilidades de código en SO y/o aplicaciones

• Versiones obsoletas de software

• Vulnerabilidades en cuanto a privilegios

• Denegación de servicio

• Vulnerabilidades en WEB y CGI

• Exploits
Vulnerability Scanning (cont.)

Integración con CVE (Common

Vulneravilities and Exposure), a
través del uso del número de
identificación de vulnerabilidades
identificadas. http://cve.mitre.org

Algunos Productos:

No comerciales:
• Nessus. PortScanning, Fingerprinting, Vuln DB Extension, CVE, Account Vuln,
OS/APP Vuln, Trojan/BackDoor, DoS

Comerciales:
• VLAD. PortScanning, Vuln DB Extension,Account Vuln, OS/APP Vuln
• SARA. PortScanning, Fingerprinting, Vuln DB Extension, CVE, Account Vuln,
OS/APP Vuln,Trojan/BackDoor, DoS
 Laboratorio

• Seguir la guía que el profesor entregue!!!

– Conozca alagunas generalidades de NESSUS
– Seleccione un objetivo
– Ejecute scan
– Registre resultados
– Concluya
– Pero antes descargue Secunia PSI y revise para
qué sirve.
 Exploits: Afectar el sistema operativo del
huésped.

Intrusión

Son las diferentes

técnicas que
permiten penetrar el
sistema de una u otra
manera con el
objetivo de ejecutar Crack de Password:
operaciones. Identificación de las
contraseñas
Ataques de Aplicaciones:
Afectar vulnerabilidades de
las aplicaciones y/o servicios.
Crack de password

diegoparada@/: ./john ingsocial.txt

a…………. xc72mK5%9YRqhCb7W2y^t8
j………….. J………..4
m………… 12345679
b…………. briard258
f………….. f……..0
y……........ 1.2.3.A.B.C.

Será que el tamaño importa???

 Criptografía:
• En qué pilar de la seguridad está la Criptografía???

Conocimiento

Información

Datos
 Criptografía:
• En qué pilar de la seguridad está la Criptografía???

Conocimiento

Información

Datos
Definición
• Criptología

– Etimología: del griego

– Cripto → κρυπτός kryptós = oculto

– logos → λόγος logía = estudio

• Es decir: Estudio de lo oculto

Definición
• Criptografía

– Etimología: del griego

– Cripto → κρυπτός kryptós = oculto

– Grafía → γραφή graphḗ = escritura

• Es decir: Escribir de forma oculta

Definición
• RAE:
– “Arte de escribir con clave secreta o de
modo enigmático”

– Enigmático: enigma; de significación oscura

y misteriosa y muy difícil de penetrar

– Enigma: Enunciado de sentido

artificiosamente encubierto para que sea
difícil de entender o interpretar
Definición
• Precisiones sobre la RAE:
– Un arte → a partir de la teoría de la
información se soportan las bases
matemáticas para que ésta sea considerada
una ciencia.

– Escribir → actualmente no sólo se escriben

mensajes, se están generando archivos
digitales en: texto, audio, imágenes y vídeo,
entre otros formatos.
Definición
• Precisiones sobre la RAE:
– Clave secreta → hoy en día en escenarios
complejos como comunicaciones mediante
protocolos SSL/TLS, se intercambian llaves
que comunican mediante certificados
digitales que tienen relación con la firma
digital.

– Enigmático → si el alfabeto de cifrado fuese

diferente al alfabeto del texto en claro, sería
valido, pero todo archivo digital son bits, es
decir, 0 y1.
Definición

• Ingenieril → Según Ramio

– Ciencia que hace uso de métodos y
herramientas matemáticas con el objeto
principal de cifrar, y por tanto proteger, un
mensaje o archivo por medio de un algoritmo,
usando para ello dos o más claves, con lo que se
logra en algunos casos y principalmente la
confidencialidad.
Definición
• Encriptar / Desencriptar

• Cifrar / Descifrar

¿Cómo se dice?
 Otras definiciones
• Criptoanálisis: ciencia que se ocupa de descifrar
criptogramas rompiendo la clave utilizada hacer
entendible el mensaje. Es el inverso de la
criptografía.

• Criptosistema: según el Centro

Criptológico Nacional (CCN), es el
conjunto de claves, software y
hardware, utilizados de manera lógica y
sistemática, ofrecen un medio para
cifrar y descifrar.
 Criptosistema Texto

Elementos + Proceso = Salida

PC

Clave Algoritmo
Clave Algoritmo Clave
Algoritmo
Texto

Criptograma

Criptograma
Elementos de la Criptografía
Todo criptosistema tiene mínimo los siguientes elementos.

• Mensaje sin cifrar, texto en claro o texto nativo → (m)

– Dato (documentos) en su estado original, sin haber sido cifrado.

• Algoritmo de cifrado → (E)

– Permite la modificación del texto en claro.

• Conjunto de claves → (K)

– Dato o llave que modula a los algoritmos de Cifrado o
Descifrado.
• Mensaje cifrado→ (C)
– También conocido como criptograma.

• Algoritmo de descifrado→ (D)

– Permite resolver el criptograma.
Esquema de los Elementos de
un Criptosistema

Texto en Texto Texto en

Plano Cifrado Plano
Algoritmo Algoritmo
de de
Cifrado Descifrado

M C M

Emisor 𝑬𝒌 𝑫𝒌 Receptor

Llaves de
Cifrado y
Descifrado

K
Propiedad de un Criptosistema

𝐶 = 𝐸𝑘 𝑀
𝐷𝑘 𝐸𝑘 𝑀 =𝑀
 Reflexión
• Criptografía es la integración de una serie de
técnicas, utilizando una clave, convertir un
mensaje legible (texto en claro) en otro (texto
cifrado) en un texto inteligible, cuyo contenido
solo puede ser comprendido por quienes
conozcan la clave.

• Los algoritmos de cifrado son el método

utilizado para ocultar el contenido del
mensaje.

• Criptosistema es el conjunto de equipos y

claves usados para cifrarlo.
 Funciones Resumen
Hash
Tan importante como la autenticación y la
confidencialidad, lo es la integridad.

De nada sirve un canal seguro, si no se

puede, soportar un mensaje sin
alteraciones e igual al original.
 Qué es una función Hash?

• Es un algoritmo que mapea un conjunto de grandes

datos, de tamaño variable, llamados claves, en
pequeños conjuntos de datos de longitud fija.

• Vela por la integridad, teniendo en cuenta que al ser

calculado y luego con cambiar un solo bit del mensaje
original, el resultado obtenido al aplicar la función hash
será diferente.
 Propiedades de una función Hash
• A continuación me mencionan las propiedades:
– Independencia entre el tamaño de M y la función hash, el
resumen siempre tendrá el mismo valor.
– El variar el contenido de M, genera un resumen diferente para
cada cambio.
– Resistencia a la preimagen, es decir, si se halla un resumen, a
partir de éste no se pude obtener el mensaje original.

– Resistencia a la segunda preimagen, es decir, si se tiene un 𝑀1 no

existe un 𝑀1∗ que genere el mismo resumen.

– Resistencia a colisiones, es decir, no es posible que

dos (𝑀1 y 𝑀2 ) entradas diferentes generen el mismo
resumen.
¿Qué significa que el hash en el
𝑅𝑥 es el mismo?

Mensaje en el M ha salido Tx, al salve

Hash oeste de la red, solo para
Tx
Tx M no ha sido
modificado porque el lo
Mensaje K hizo y posee la K para
hacerlo.

Hash K
Mensaje Rx
Si ambos hash son Rx
iguales significa que:
Calcula
• 1- El Rx es quien
dice ser
Hash
• 2-El mensaje no ha Calculado
cambiado
 Consideraciones
• Imagine que un atacante logre conseguir 2 mensajes
diferentes que den el mismo hash.
• Podría interceptar el mensaje, cambiarlo, volver a
ensamblar la estructura (M + hash) y transmitirlo.
• ¡El Rx no tendrá forma de darse cuenta de que el
mensaje que ha recibido es falso!

• Por ejemplo si el hash es de 64 bits habría 264 posibles

valores, pero bastaría generar 232 para que apareciera
uno que cumpliese con la condición anterior.

• Por ende → el tamaño si importa, el secreto

está en usar funciones hash que generen
huellas suficientemente grandes.
Laboratorio Password Craking
• Inicie su maquina de KaliLinux
• Cree 4 usuarios en la máquina
• A cada usuario genérele contraseña
– A dos de los usuarios asigne la misma contraseña
– Uno dejelo sin asignarle
– Al último creerle un carácter especial
• ¿En dónde se almacenan las contraseñas?
– Linux
– Windows
• Revisemos el archivo
– Windows
– Linux
 Laboratorio Password Craking (cont.)

• ¿Las contraseñas están cifradas?

• ¿Qué paso con usuarios con contraseñas iguales?
• ¿Qué es un ataque?
– Por diccionario
– Por fuerza bruta

• Prueba de concepto
 Laboratorio John The Ripper
• /usr/share/john
• Unshadow /etc/passwd /etc/shadow > prueba.txt
• Comandos
– john prueba.txt
– john – single prueba.txt
– john -format=crypt prueba.txt
• Cd /root/.john/
 Esteganografía
• Definición

– Etimología: del griego

– Estegano → στεγανος steganos = cubierto

– Grafía → γραφή graphḗ = escritura

• Es decir: Escribir de forma oculta

 ¿Cuál es la diferencia?
• Si etimológicamente significan lo mismo,
entonces…

Esteganografía Criptografía

Dato Invisible Dato Inteligible

Esteganograma Criptograma

Esteganálisis Criptoanálisis

Detectar y Revelar Descifrar

 ¿Cómo es el proceso?
Data a
Ocultar

Algoritmo
Portador P
EmbebeD/ Extrae
Esteganograma

Clave
Esteganografía

• Técnica que describe la forma de enviar lo

cualquier tipo de dato digital, dentro de otro
(portador) a través de medios que no
generan sospecha.

• El propósito de asegurar que el mensaje sea

recibido por el destinatario, pasando
desapercibido durante el trayecto recorrido,
sin importar el medio utilizado.
Técnicas Esteganografícas

• Adición:
– Se oculta el mensaje en secciones del portador,
ignoradas por la aplicación que la interpreta

• Generación:
– El esteganograma se da a partir de data secreta,
sin necesidad de un portador

• Sustitución:
– Se reemplazan ciertos datos del portador, con los
datos del mensaje a ocultar.
Técnicas Esteganografícas

• Adición en:
– Archivos multimedia – Paquetes TCP/IP – Slack
Space

• Generación:
– Null Cipher (tomar las letras de un texto)

• Sustitución:
– LSB → Least Significant Bit → Para cualquier archivo
multimedia
 Técnicas Esteganografícas
• Adición en:
– Slack Space → Error del Sistema de archivos

• #:bmap → herramienta
/home/dparada: echo “texto de prueba” > test.txt
/home/dparada: bmap --mode slack test.txt
getting from block
file size was: 40
slack size: 54476
Block size: 54496

/home/dparada: echo “los datos a ocultar” | bmap --mode putslack test.txt

getting from block
file size was: 40
slack size: 54476
block size: 54496
los datos a ocultar
Técnicas Esteganografícas
• Generación: Null Cipher

Pershing sails from NYr June

 Técnicas Esteganografícas
• Sustitución:
– LSB → Least Significant Bit → Para cualquier archivo multimedia
– No se altera de manera notoria la calidad del portador.
– No se altera el tamaño del archivo
– Proporciones:
• 1 Pixel → 3 Bytes
• 1 Carácter → 1 Byte → 8 bits
• Para representar un 1 carácter → 3 Pixeles
L
La letra “A” equivale a 65 en ASCII y a
B
10000011 en binario
S
1 0 1 0 1 0 1 0 0 1 0 1 0 1 0 1 0 1
1Pixel 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 0
0 1 0 1 0 1 0 1 1 0 1 0 1 0 1 0 1 0
1 Carácter

0 1 0 1 0 1 0 1 1 0 1 0 1 0 1 0 1 0
1Pixel 1 0 1 0 1 0 1 0 1 1 0 1 0 1 0 1 0 0
1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 0

1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1
1Pixel 1 0 1 0 1 0 1 0 1 1 0 1 0 1 0 1 0 1
 Técnicas Esteganografícas
• Sustitución:
– LSB → Least Significant Bit → Para cualquier archivo
multimedia
Qué técnica utilizar???

• Adición:
– La data a ocultar se adapta, por lo tanto se puede
insertarse en cualquier lugar del archivo.
– Aumenta el tamaño del archivo

• Sustitución:
– El manejo de la paleta de colores juega a favor, la
cual es “ilimitada”, dependiendo de la calidad del
archivo.
– Debido al tamaño reducido poco se puede ocultar,
además de tedioso.
Prueba de Concepto
y
Laboratorio 2
 Otra forma de intrusión
SQL Injection
SQL Injection o SQLi refiere a un ataque de inyección donde un atacante
puede ejecutar sentencias SQL maliciosas en un servidor de base de datos
a través de una aplicación web.

Integridad

Seguridad de la
información

Confidencialidad Disponibilidad
 ¿Qué es SQL Injection?
SQL Injection o SQLi refiere a un ataque de inyección donde un atacante
puede ejecutar sentencias SQL maliciosas en un servidor de base de datos
a través de una aplicación web.

Integridad

Seguridad de la
información

Confidencialidad Disponibilidad
 ¿Qué es SQL Injection?
SQL Injection o SQLi refiere a un ataque de inyección donde un atacante
puede ejecutar sentencias SQL maliciosas en un servidor de base de datos
a través de una aplicación web.

Integridad

Seguridad de la
información

Confidencialidad Disponibilidad
 ¿Qué es SQL Injection?
SQL Injection o SQLi refiere a un ataque de inyección donde un atacante
puede ejecutar sentencias SQL maliciosas en un servidor de base de datos
a través de una aplicación web.

Integridad

Seguridad de la
información

Confidencialidad Disponibilidad
 ¿Qué es SQL Injection?
SQL Injection o SQLi refiere a un ataque de inyección donde un atacante
puede ejecutar sentencias SQL maliciosas en un servidor de base de datos
a través de una aplicación web.

Integridad

Seguridad de la
información

Confidencialidad Disponibilidad
Exploits Metasploit
# cd /pentest/exploits/framework2

Deteminar cuál usar: use msrpc_dcom_ms03_026

Tipo de ataque: PAYLOAD

• win32_adduser: agregara un usuario
• win32_bind: mostrará una pantalla con permisos de admon.
• win32_downloadexec: descargará un archivo un servidor
WEB o FTP y lo ejecutara.
• win32_exec: ejecutará un comando en la variable CMD.
• win32_reverse: otorga una shell inversa por si la maquina abrir
puertos.
• win32_reverse_vncinject: establece un VNC inverso por si
tiene firewall y no podemos abrir puertos.

Establecer el objetivo: RHOST

 Reporte de Nessus

Puerto Severidad Descripción Factor de riesgo

microsoft-ds Hole The remote version of Windows contains a flaw in the function Critical / CVSS Base
(445/tcp) RemoteActivation() in its RPC interface which may allow an Score : 10
attacker to execute arbitrary code on the remote host with the
SYSTEM privileges.

A series of worms (Blaster) are known to exploit this vulnerability in

the wild.