Blog

Formas de ser anonimo con NMAP

Vamos a ver varias formas de ser anónimo con nmap.

Escaneo anonimo por excelencia: IDDLE SCAN

El escaneo IDDLE SCAN consiste en utilizar una máquina zombie para que deje su rastro y su IP en la máquina víctima que queramos escanear. Esto ocurre por una característica de las comunicaciones TCP/IP en donde hay un identificador que aumenta en 1 por cada paquete que se genera. Entonces nosotros (arriba a la derecha) consultamos al zombie por este ID y nos guardamos el numero. En el siguiente paso (2) lo que hacemos es mandar los paquetes para escanear a la víctima pero suplantando la IP origen de estos por la del zombie, de tal manera que la víctima responderá al zombie. El zombie responderá a la víctima diciendo que él no ha realizado ninguna comunicación, pero habrá gastado un paquete con lo que el ID que os comento habrá aumentado en 1. Y por ultimo (paso 4) volvemos a mandar un paquete al zombie para consultar este ID, y si vemos que ha aumentado en 2, es que la víctima ha respondido a nuestro paquete de escaneo, con lo cual habrá escaneado la máquina. La técnica es bastante más compleja, he intentado simplificarla para que la pudiese entender todo el mundo si tener conocimientos de redes TCP/IP.

Primero buscaremos un host zombie que será la que deje el que deje  rastro en los logs por nosotros. Para esto nmap nos ofrece un script que nos dirá si un host es válido o no. No nos vale cualquiera porque si la máquina zombie tiene mucho tráfico no podremos llevar el control de si ha contestado la víctima al zombie o no.

Vamos a buscar en una red si hay algún host que cumpla esta condición.

root@kali:~# nmap –script ipidseq 150.244.214.0/24

Resultado deseado:

Host script results:
|_ipidseq: Incremental!

BINGO! Uno de mis resultados me sirve:

Nmap scan report for biblioteca.uam.es (150.244.214.206)
Host is up (0.0092s latency).
Not shown: 999 filtered ports
PORT STATE SERVICE
80/tcp open http

Host script results:
|_ipidseq: Incremental!

Una vez tengo el zombie, ya podría realizar el escaneo de la siguiente manera:

root@kali:~# nmap -Pn -sI 150.244.214.206 8.8.8.8

Que el script de nmap lo haya dado por bueno el host no quiere decir que siempre lo sea, quiere decir que en ese momento la maquina no estaba generando tráfico y era valida.

 

Nmap a través de TOR

Para esto vamos a utilizar la herramienta proxychains que lo que hace es llevar por un proxy todo el tráfico que genera la herramienta con la que invoquemos proxychains.

Primero debemos indicarle a proxychains cual será el proxy que usemos, que en esto caso usaremos la red TOR.

root@kali:~# leafpad /etc/proxychains.conf

En la ultima linea del fichero pon la dirección de localhost (donde está corriendo TOR como servicio) y en el puerto en el que esté que normalmente es 9050.

# defaults set to “tor”
socks4 127.0.0.1 9050

Después levantamos TOR como servicio:

root@kali:~# service tor start
[ ok ] Starting tor daemon…done (already running).

Y ya está todo listo para lanzar cualquier herramienta a través de TOR.

root@kali:~# proxychains nmap 8.8.8.8

 

Disimulando el escaneo

Nmap nos ofrece la posibilidad con la opción “-D” de realizar el escaneo no solo con nuestra ip, si no también para cada paquete que enviemos con nuestra IP enviar otro o otros con las IPS que le digamos. De esta manera podemos ver con wireshark que la víctima lo que vería es que le están escaneando muchas máquinas a la vez.

root@kali:~# nmap -D 1.1.1.1,2.2.2.2,3.3.3.3 -A 192.168.1.47

nmapDisimulando

Vemos en la foto como los paquetes vienen de 4 direcciones IP distintas, 1 de ellas es la real, que es mi IP de mi red LAN, y las otras 3 son las que he puesto como argumento en nmap.

 

Ip Spoofing con Nmap

Por ultimo nmap te permite la opción de realizar el escaneo utilizando la técnica de Ip Spoofing. Seguro que estais pensando lo mismo que pensé yo el primer día que lo vi, ¿y esto para que te sirve si no te llega la respuesta a ti? Pues en este caso para tocarle los cojones a alguien y simular que otra IP está escaneando la IP. Ya fuera de nmap, la técnica de IP Spoofing sirve básicamente para realizar ataques de denegación de servicio ocultando tu IP.

root@kali:~# nmap -S 8.8.8.8 -e wlan0 -Pn -A 192.168.1.47

ipSpoofing

 

Autor: Roberto (@leurian)

 

  1. Guillermo
    Guillermo10-14-2014

    Muy interesante el artículo. Muchas gracias por el aporte.

Leave a Reply

*

    No Twitter Messages