Introduction 69

464/tcp open kpasswd5 593/tcp open http-rpc-epmap 636/tcp open ldapssl 3268/tcp open globalcatLDAP 3269/tcp open globalcatLDAPssl 5722/tcp open unknown 49154/tcp open unknown 49158/tcp open unknown 49159/tcp open unknown 49166/tcp open unknown

MAC Address: 00:0C:29:28:6C:33 (VMware)

Nmap finished: 1 IP address (1 host up) scanned in 305.750 seconds

Otro buen rastreador de línea de comandos es ScanLine (antes denominado fscan). Aunque carece de la gran cantidad de características que tiene nmap, cubre de manera muy elegante los fundamentos:

• Toma la entrada del archivo de texto para hosts y puertos

• Rastrea TCP y UDP de manera intercambiable; si usa entrada de archivo de texto para puertos, incluya el prefijo –u para puertos UDP en la línea (por ejemplo, -u130-140) o sólo use la lista interna de puertos UDP con el interruptor –U)

• Obtiene anuncios mientras rastrea (la obtención de anuncios se analiza en su propia sección, un poco más adelante)

• Puede realizar rastreo de puertos utilizando el interruptor –g

• Tiene características de sigilo: el ping es opcional (–p), puede hacerse aleatorio el orden de los puertos (–z), el interruptor –d “gotea” los puertos a la velocidad definida por el usuario, para evitar que lo perciban los sistemas de detección de intrusos (IDS)

• Puede utilizarse el interruptor –c para cambiar el valor de tiempo de espera de la conexión para esperar respuestas de puertos TCP y UDP, permitiendo que los usuarios elijan si quieren rastreos más rápidos (número menor) o más exactos (número mayor) • Con un uso juicioso del interruptor –c, los rastreos exactos de LAN pueden alcanzar

más de 100 puertos por segundo

La siguiente sintaxis de ScanLine ejemplifica un rastreo simple para servicios que se encuen- tran a menudo ejecutando en sistemas de Windows. No significa que sea un rastreo exhaustivo, sino que es una manera muy rápida y exacta de determinar si hay sistemas Windows conectados.

c:\>s1 –bpz –c 300 –t 1–445,3389 –u 88,135–137,161,500 10.0.0.1–99

El interruptor –bpz indica a ScanLine que obtenga anuncios (b), que no haga ping en cada host antes de rastrearlo (p) y que no ordene de manera aleatoria los puertos (z). El interruptor –c establece un tiempo de espera de 300 milisegundos para una respuesta de un puerto, permitien- do rastreos más rápidos (la opción predeterminada es 4000). Los interruptores –t y –u definen que habrán de rastrearse los puertos TCP y UDP, respectivamente. Por último, el último argu- mento de comando especifica el rango de direcciones IP que habrá de rastrearse (puede especifi- car un rango de direcciones IP, una lista delimitada por comas o una combinación de ambos, tal como están definidos los puertos). He aquí cómo podría ser la salida de este tipo de rastreo:

10.0.0.1

Responds with ICMP unreachable: Yes TCP ports: 53 80 88 135 139 389 445 3389 UDP ports: 88 137 500

TCP 80:

[HTTP/1.1 200 OK Content-Length: 1433 Content-Type: text/html Content-Location: http://192.168.234.244/iisstart.htm

Last-Modified: Sat, 22 Feb 2003 01:48:30 G] TCP 389:

[0 a]

Observe que aparecen en la lista todos los puertos activos y que se han obtenido los anuncios de algunos puertos (por ejemplo, al parecer el sistema está ejecutando un servidor Web en el puerto 80). Este rastreo determinado promedia alrededor de 80 puertos por segundo en una co- nexión LAN.

En la tabla 3-2 se presenta una lista de varios servicios TCP y UDP que suelen encontrarse escuchando en productos de Windows. Aunque algunos de estos puertos son comunes a mu- chos sistemas operativos orientados a Internet (por ejemplo, TCP 80/HTTP), los que aparecen en negritas son específicos de productos de Windows (por ejemplo, TCP 445/SMB sobre TCP). También puede usar esos puertos como archivos para su propia rutina de ScanLine o nmap, o analizar sintácticamente la salida de cualquier herramienta que busque estos puertos, si está in- teresado en encontrar sistema y servicios de Windows.

He aquí algunas cosas que deben tomarse en cuenta acerca de la tabla 3-2:

• Los sistemas de la familia NT escuchan en el TCP 139, como opción predeterminada, pero Windows 9x no escucha en el TCP/UDP 135.

• Otro diferenciador es el TCP/UDP 445, que está disponible como opción predeterminada en Windows 2000 y posterior, pero no en NT 4 o Windows 9x.

Esta pequeña parte de trivialidad debe permitirle distinguir entre miembros de la familia Win- dows, si todos estos puertos se muestran en los resultados del rastreo de puertos.

Un punto final acerca de la tabla 3-2. Desde Windows XP Service Pack 2, Microsoft ha imple- mentado la Firewall de Windows para bloquear todos esos puertos, como opción predetermina- da, de modo que no los verá en los resultados del rastreo de puertos. Una excepción interesante son los servidores de Windows que se han promovido a controladores de dominio que presenta- rán una listas de varios de estos servidores como disponibles. Recuerde nuestra prueba de un con- trolador de dominio predeterminado Longhorn Server Build 1715 empleando nmap en páginas anteriores de este capítulo. Como puede ver de éste y otros resultados de prueba de rastreador en esta sección, varios servicios están escuchando como opción predeterminada en controladores de dominio de Longhorn (por lo menos en la construcción previa a la versión), y también fue permi- tido el ping. Validamos estos resultados al ejecutar netstat en el host de destino, y todos menos un FTP estaban en realidad escuchando (no estamos seguros por qué FTP apareció en esta prueba en particular). La Firewall de Windows estaba activada y en su configuración predeterminada. Casi todos estos servicios están relacionados con la funcionalidad de dominio de Windows, de modo que este resultado no es inesperado. Pero aún es sorprendente ver que todos estos servicios que pueden ser explotables están accesibles como opción predeterminada en controladores de domi- nio que se supone son guardianes de la infraestructura de dominio de Windows.