Banner Grabbing: principales herramientas y técnicas

Todos los sistemas y dispositivos conectados a menudo exponen información confidencial que incluye nombres de software y sistemas operativos (SO), junto con sus versiones, conocidos colectivamente como «datos de banner». Conocer estos puntos de datos permite a los actores de amenazas encontrar vulnerabilidades explotables en las redes objetivo.

La captura de pancartas o Banner Grabbing es el proceso de obtener los nombres y las versiones de las aplicaciones de una empresa de destino, independientemente de la forma, manual o automáticamente mediante una herramienta de código abierto, como preparación para un ataque.

Hoy, profundizaremos un poco más para definir qué es banner grabbing, exploraremos sus diferentes tipos y examinaremos algunos ejemplos del mundo real que muestran cómo puedes obtener banners de diferentes servicios en Internet con herramientas de línea de comandos y sitios web.

¿Qué es el Banner Grabbing?

Siempre que realicemos el proceso de reconocimiento de inteligencia durante las pruebas de penetración o la auditoría de seguridad, debemos prestar atención a la información expuesta del servidor web actual.

Ahí es donde entra en juego la captura de pancartas. La captura de pancartas es el acto de obtener información de la pancarta del software (nombre y versión), ya sea de forma manual o mediante el uso de cualquier herramienta OSINT que pueda hacerlo automáticamente.

Los servidores FTP, servidores web, servidores SSH y otros demonios del sistema a menudo exponen información crítica no solo sobre el nombre del software, sino también sobre las versiones exactas y los sistemas operativos que están ejecutando: los datos del ‘banner’ en cuestión.

Ejecutar un ataque de captura de banner contra cualquier protocolo puede revelar aplicaciones inseguras y vulnerables que podrían conducir a la explotación y el compromiso del servicio, en el caso de coincidir con un CVE crítico .

¿Cómo se puede proceder con un ataque de agarre de pancartas? Simplemente elige el servicio al que deseas dirigirte, inicia la solicitud, inspecciona la respuesta que obtienes y listo.

Si bien no es exactamente ciencia espacial, hay mucho que considerar. Debido a la gran cantidad de servicios, protocolos y tipos de banners que podemos obtener, necesitamos examinar las diferentes técnicas y herramientas que pueden, al final, ayudarnos a lo largo del proceso de descubrimiento de OSINT.

¿Cómo funciona la captura de pancartas?

Un ataque de agarre de pancartas tiene tres pasos necesarios. Primero, el atacante elige el servicio al que quiere dirigirse. Luego, lanza una solicitud a la aplicación o sistema de destino. Cuando el software o dispositivo responde, inspecciona la respuesta para determinar qué exploit usar para el ataque.

¿Por qué utilizar la captura de banners?

Los servicios populares como los servidores FTP, los servidores web, los servidores SSH y otros demonios del sistema exponen información confidencial sobre los nombres, las versiones y los sistemas operativos del software. Como resultado, los piratas informáticos pueden ejecutar un ataque de captura de pancartas contra diferentes protocolos para descubrir aplicaciones inseguras y vulnerables para su compromiso y explotación.

Hay muchos servicios, protocolos y tipos de información de banner que puedes recopilar utilizando una técnica de captura de banner. Puedes desarrollar varias tácticas y herramientas para el proceso de descubrimiento.

En general, la captura de pancartas permite a un atacante descubrir hosts de red y servicios en ejecución con sus versiones en puertos abiertos, así como en sistemas operativos. Con el tipo de aplicación y la versión, un pirata informático o un probador de lápiz puede buscar rápidamente vulnerabilidades conocidas y explotables en esa versión.

Un ejemplo de captura de banners es la enumeración de un host de Microsoft Windows 7 explotable por Eternal Blue (CVE-107-0143) . El atacante puede agarrar un banner de servicio que muestra si el servicio SMB con una versión vulnerable se está ejecutando sobre él o no. Si se ejecuta, el pirata informático puede explotar fácilmente el servidor de Microsoft directamente con el ataque Eternal Blue.

Técnicas

Exploremos los diferentes tipos de técnicas de banner grabbing.

Activo

Este es el tipo más popular de captura de banners, básicamente el acto de enviar paquetes al host remoto y esperar su respuesta para analizar los datos.

Las técnicas de captura de pancartas activas implican la apertura de una conexión TCP (o similar) entre un host de origen y un host remoto. Puede considerarse activo, ya que su conexión se registrará en el sistema remoto. Este es el enfoque más arriesgado para la captura de banners, ya que a menudo algunos IDS lo detectan.

Pasivo

Por otro lado, la captura pasiva de banners permite obtener la misma información mientras evita un alto nivel de exposición de la conexión de origen. Se pueden usar diferentes plataformas y software intermedios como puerta de enlace para evitar una conexión directa y aún así permitirte obtener los datos que necesitas.

El uso de herramientas o servicios de redes de terceros, como motores de búsqueda, Shodan, o el rastreo del tráfico para capturar y analizar paquetes, puede ayudarte a determinar las versiones de software.

Herramientas

Ahora echemos un vistazo a las mejores herramientas disponibles para realizar un ataque de captura de banner, incluidas herramientas basadas en línea de comandos e interfaces basadas en web.

Telnet

Telnet es uno de los clientes multiplataforma más clásicos disponibles, uno que te permite interactuar con servicios remotos para capturar banners.

Los ataques pueden hacer telnet a otros puertos de uso común como SMTP, HTTP y POP3. La mayoría de los sistemas operativos pueden establecer sesiones Telnet, lo que permite a los usuarios realizar capturas de banners.

Con telnet, puedes consultar cualquier servicio simplemente escribiendo: telnet IP PORT

Ten en cuenta que IP es la dirección IP y PORT es el puerto donde se ejecuta el servicio remoto. Si aún no lo has hecho, es posible que desees utilizar primero un escáner de puertos para determinar los puertos abiertos en el servidor remoto.

Esto abrirá una conexión a la dirección IP 192.168.0.15 y obtendrás una respuesta del servidor remoto.

Wget

Wget es otra gran herramienta que nos puede llevar al banner remoto de cualquier servidor remoto o local. Para ello, usaremos la siguiente sintaxis: wget 192.168.0.15 -q -S

-Q suprimirá la salida normal y el parámetro -S imprimirá los encabezados enviados por el servidor HTTP, que también funciona para servidores FTP.

Wget utiliza un script simple para suprimir la salida esperada e imprimir los encabezados enviados por el servidor HTTP.

cURL

Ofrece las mismas funciones para obtener información de banner remota desde servidores HTTP. Aquí puedes utilizar la siguiente sintaxis: curl -s -I 192.168.0.15 | grep -e «Server: »

La -s se usa para evitar mostrar el progreso o mensajes de error, en definitiva, silencia la salida; el parámetro -I mostrará el encabezado de todas las páginas solicitadas y, finalmente, extraemos la salida para obtener la información del software.

Nmap

Nmap es otra gran alternativa. Este sencillo capturador de banners se conecta a un puerto TCP abierto e imprime los detalles enviados por el servicio de escucha en unos pocos segundos

Primero, probaremos algunas funciones integradas usando la siguiente sintaxis: nmap -sV –version-intensity 5 godaddy.com -p 80

La opción -sV nos permite buscar las versiones de software y, al agregar –version-Intensity 5, podemos obtener el máximo número de detalles posibles sobre el software de ejecución remota.

Al usar el poderoso NSE también podemos probar otros scripts que nos ayudarán a buscar fácilmente los banners remotos. A continuación se muestra un buen ejemplo: nmap -sV –script=banner IP

Puedes ejecutar esto contra IP o hosts, como prefieras.

Netcat

La herramienta es una de las utilidades de red más antiguas y populares para Unix y Linux.. Con el propósito de capturar pancartas, usaremos el siguiente comando: nc -v IP PORT

DMitry

DMitry no es un comando clásico para los sistemas Unix y Linux, sino una utilidad basada en infosec conocida principalmente por los investigadores de seguridad. Puede ayudarte a obtener toda la información posible de un host remoto, incluida la enumeración de DNS, la asignación de subdominios, los puertos abiertos y mucho más.

En este caso, usaremos dmitry -p para el escaneo de puertos, junto con el indicador -b para permitirte realizar el descubrimiento de pancartas. Consulta la siguiente sintaxis: dmitry -bp 127.0.0.1

DMitry puede encontrar los puertos abiertos, junto con los nombres y versiones del software, lo que permite saber el sistema operativo que está ejecutando el servidor.

ASR

Attack Surface Reduction , nuestro último producto piloto, es una de las mejores herramientas disponibles para reducir tu área de superficie de ataque. Ideal para líderes de seguridad y gerentes de TI, esta utilidad basada en la web te ayudará a descubrir áreas invisibles de tus activos en línea.

Un aspecto importante es el módulo de detección de software y escaneo de puertos, que te permite detectar fácilmente los puertos abiertos y las versiones exactas del software, junto con la información y la plataforma del sistema operativo.

Si bien algunos puertos no mostrarán ninguna información porque han modificado los encabezados y las variables de banner predeterminadas, cuando encontremos uno, se mostrará de forma predeterminada.

Una ventaja real es que ASR también te permite obtener los datos en formato JSON sin procesar.

Evitar el banner grabbing

Puedes seguir estos consejos para evitar la captura de banners:

  • Restringir el acceso a los servicios en la red.
  • Apagar los servicios no utilizados o innecesarios que se ejecutan en hosts de red
  • Puedes anular el comportamiento de banner predeterminado de tu servidor para ocultar la información de la versión. Los administradores del sistema pueden personalizar los anuncios predeterminados, configurar la aplicación del host de la red o el sistema operativo para deshabilitar los anuncios o eliminar información de los anuncios que podría ayudar a un atacante.
  • Mantén tu servidor y tus sistemas actualizados para proteger tus aplicaciones contra vulnerabilidades conocidas del servidor.

Resumen

La captura de pancartas es una de las técnicas más comunes utilizadas en el proceso de reconocimiento, durante las fases iniciales de cualquier prueba de penetración o escenario de ataque real.

Si eres nuevo en el mundo de las pruebas de penetración, encontrarás que estas herramientas y técnicas son un gran comienzo en las tareas de tu equipo rojo y, desde el punto de vista del equipo azul, estos son trucos valiosos para identificar datos críticos expuestos sobre software. ejecutándose en su servidor. Estarás bien equipado para evitar incidentes de ciberseguridad al final.