🏛️Recopilación de Información Externa
Escaneo de puertos
Comenzamos con un escaneo inicial rápido de Nmap contra nuestro objetivo para familiarizarnos con el entorno y ver con qué nos enfrentamos. Nos aseguramos de guardar todos los resultados del escaneo en el subdirectorio correspondiente del directorio de nuestro proyecto.
afsh4ck@kali$ sudo nmap --open -oA inlanefreight_ept_tcp_1k -iL scope
Starting Nmap 7.92 ( https://nmap.org ) at 2022-06-20 14:56 EDT
Nmap scan report for 10.129.203.101
Host is up (0.12s latency).
Not shown: 989 closed tcp ports (reset)
PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
143/tcp open imap
993/tcp open imaps
995/tcp open pop3s
8080/tcp open http-proxy
Nmap done: 1 IP address (1 host up) scanned in 2.25 secondsObservamos 11 puertos abiertos en nuestro análisis rápido de los 1000 puertos TCP principales. Parece que se trata de un servidor web que también ejecuta servicios adicionales como FTP, SSH, correo electrónico (SMTP, POP3 e IMAP), DNS y al menos dos puertos relacionados con aplicaciones web.
Escaneo completo
Mientras tanto, hemos estado ejecutando un escaneo completo de puertos con la opción -A"escaneo agresivo " para realizar enumeraciones adicionales, incluyendo la detección del sistema operativo, el escaneo de versiones y el escaneo de scripts. Ten en cuenta que este escaneo es más intrusivo que ejecutarlo con la opción -sV "Escaneo de versiones", y debemos asegurarnos de que los scripts que se ejecuten con el escaneo de scripts no causen problemas.
Lo primero que podemos ver es que se trata de un host Ubuntu que ejecuta algún tipo de proxy HTTP. Podemos usar esta práctica hoja de trucos de Nmap grep para simplificar el análisis y extraer la información más útil. Extraigamos los servicios en ejecución y sus números para tenerlos a mano para una investigación más profunda.
Transferencia de zona
Desde estos servicios de escucha, podemos probar varias cosas de inmediato, pero como vemos que el DNS está presente, probaremos una transferencia de zona DNS para ver si podemos enumerar subdominios válidos para una mayor exploración y ampliar el alcance de nuestras pruebas. Sabemos, por la hoja de alcance, que el dominio principal es [nombre del dominio] INLANEFREIGHT.LOCAL, así que veamos qué podemos encontrar.
La transferencia de zona funciona y encontramos 9 subdominios adicionales. En una situación real, si no es posible realizar una transferencia de zona DNS, podríamos enumerar los subdominios de diversas maneras. El sitio web DNSDumpster.com es una buena opción. El módulo Recopilación de Información enumera varios métodos para la enumeración pasiva y activa de subdominios .
Enumeración de vhosts
Si el DNS no estuviera en juego, también podríamos realizar una enumeración de vhost con una herramienta como ffuf. Probémosla aquí para ver si encontramos algo más que la transferencia de zona no haya detectado. Usaremos esta wordlist para la enumeración, que se encuentra en la ruta /usr/share/Seclists/Discovery/DNS/namelist.txt en Kali Linux.
Para fuzzear vhosts, primero debemos determinar cómo se ve la respuesta para un vhost inexistente. Podemos elegir lo que queramos; solo queremos provocar una respuesta, así que deberíamos elegir algo que muy probablemente no exista.
Al intentar especificar defnotvalid en el encabezado del host, obtenemos un tamaño de respuesta de 15157. Podemos inferir que este será el mismo para cualquier vhost no válido, así que trabajaremos con ffuf, usando el indicador -fs para filtrar las respuestas con tamaño, 15157ya que sabemos que no son válidas.
Al comparar los resultados, vemos un vhost monitoring que no fue parte de los resultados de la transferencia de zona DNS que realizamos.
Resultados de la enumeración
En nuestra enumeración inicial, detectamos varios puertos interesantes abiertos que analizaremos con más detalle en la siguiente sección. También recopilamos varios subdominios/vhosts. Los añadiremos a nuestro archivo /etc/hosts para investigarlos en profundidad.
En la siguiente sección, analizaremos más a fondo los resultados del análisis de Nmap y veremos si podemos encontrar algún servicio directamente explotable o mal configurado.
Caso práctico
Pregunta 1
Realiza una captura de banner de los servicios que escuchan en el host de destino y encuentre un banner de servicio no estándar. Envíe el nombre como respuesta (formato: palabra_palabra_palabra)
Añadimos inlanefreight.local a nuestro archivo /etc/hosts
Escaneo de puertos
Tenemos 11 puertos abiertos. Vamos a enumerar los servicios.
Enumeración de servicios
Banner no estándar detectado
Esto destaca claramente del resto de servicios. Es un banner no estándar en el servicio de DNS (puerto 53.
Pregunta 2
Realiza una transferencia de zona DNS contra el objetivo y encuentre una flag. Envíe el valor de la flag como respuesta.
Obtenemos la flag y el FQDN del servicio asociado:
Pregunta 3
Realiza la detección de vhost. ¿Qué vhost adicional existe? (una palabra)
Al realizar fuzzing de vhosts con fuff filtramos por la longitud 15157, ya que de otra manera obtenemos multitud de falsos positivos:
Encontramos varios vhosts, destacando un vhost que no nos mostraba en la transferencia de zona:
monitoring
Última actualización