Universidad Autónoma de Nuevo León Facultad de Ciencias Físico Matemáticas Laboratorio de Seguridad en aplicaciones web Practica 2: Configuración de VPN y escaneo de puertos. Objetivos: En esta práctica el alumno deberá instalar un cliente de servicio vpn (openvpn) y configurarlo de manera que pueda visualizar una red interna en la nube, de igual manera realizara un escaneo utilizando la herramienta N-map en el kali de su máquina virtual para el reconocimiento de los activos en el sistema ; también se pedirá que se monitoree el tráfico utilizando la herramienta wireshark. Se busca que el alumno se familiarice con los sistemas virtuales y con herramientas de análisis de aplicaciones. Entregables: Se deberá entregar imágenes de la conexión establecida a través de la vpn, imagen de la configuración de la red (ifconfig) y logs como evidencia de los escaneos realizados con nmap al sistema en la nube, así como evidencia de las capturas realizadas en wireshark. Requerimientos mínimos: - Sistema operativo: Windows XP, Vista, 7, Mac OS - Memoria: 4GB - Almacenamiento: 200GB - Conexión a Internet 1
Programas Requeridos: - Virtualbox (previamente instalado) - OpenVPN Client - kali (instalado en la máquina virtual) Open VPN Instalación: Para poder conectarnos al Open VPN Access Server, primeramente necesitamos descargar el cliente de conexión para Windows, para ello podemos ir a la siguiente url: http://openvpn.net/index.php?option=com_content&id=357 Una vez que nos encontramos dentro de la página de descarga, vamos a descargar el archivo nombrado OpenVPN Desktop Client Download For Windows. Una vez descargado el archivo de instalación, seguiremos con la instalación en nuestro equipo, para ello basta con seguir una instalación cotidiana dando clic en siguiente hasta finalizar el asistente de instalación. 2
Configuración: Cuando tenemos ya instalado el cliente de Open VPN y el perfil de conexión el paso siguiente es abrir Open VPN Client y obtendremos la siguiente pantalla. La imagen anterior es la pantalla principal de Open VPN Client donde podemos conectarnos a Open VPN Access Server de diferentes formas, una de ellas es ingresando la IP del servidor, que será el método a utilizar en esta práctica. En el espacio medio habrá que anotar la dirección IP a la cual hay que conectarse, IP: 107.23.239.142 después presionar el botón de Connect. Ahora la información requerida son las credenciales que cada alumno utilizaran para el acceso (Login) que será proporcionada por el instructor tanto el nombre de usuario como la contraseña 3
Posteriormente si los datos son correctos, inicia el proceso de conexión al Open VPN Access Server, podemos observar un proceso de carga de configuraciones. Y por último podemos observar la vista final del proceso que es cuando ya estamos conectados al Open VPN Access Server, la cual nos brinda información tal como la IP del servidor, la IP local asignada a nuestro equipo dentro de la subred, el tráfico de datos de entrada y salida, y la fecha de la conexión. Como adicional, podemos verificar que nos encontramos bajo Open VPN Access Server, verificando nuestra IP desde páginas web que nos dan información acerca de nuestra IP un ejemplo es whatsmyip.org donde podemos entrar una vez conectados y deberemos de obtener la IP del Open VPN Access Server y si estamos desconectados deberá aparecer la IP asignada por nuestro proveedor de internet. La misma prueba podemos realizarla entrando desde una máquina virtual con Kali Linux con el adaptador de red en modo NAT, por lo tanto al conectarnos en el cliente para Windows, y posteriormente abrir la máquina virtual estaremos automáticamente conectados al Open VPN Access Server en la máquina virtual. Actividad: Mostrar imagen con pantalla de conexión exitosa. 4
Wireshark y Tshark: Wireshark es una herramienta que nos permite analizar el tráfico de una red, mediante técnicas de captura y análisis de paquetes que bien puede ser nombrado como sniffer, por lo tanto tenemos la posibilidad de ver detalladamente que es lo que acontece en una red. Para empezar a utilizar Wireshark en este caso vamos a hacerlo mediante Kali, por lo tanto Wireshark ya se encuentra instalado y listo para ser utilizado, podemos encontrar esta herramienta en el siguiente apartado o bien simplemente tecleando desde una terminal directamente wireshark. Aplicaciones > Kali linux > Sniffing/Spoofing > Network Sniffers > wireshark Y una vez que damos clic en wireshark, tendremos la vista principal de Wireshark donde podemos observar algunos apartados como Capture, Files, Online y Capture Help. Antes de empezar a utilizar Wireshark debemos considerar algunos puntos, uno de ellos es disponer de un controlador que soporte la captura de paquetes, otro punto es contar con los privilegios adecuados 5
para poder capturar paquetes como ROOT, y una recomendación es tener correctamente configurada la zona horaria únicamente para fines de organización con los archivos de captura posteriores. Captura de tráfico: Primeramente antes de empezar a capturar el tráfico de la red, debemos seleccionar la interface por la cual queremos capturar el tráfico, normalmente cuando se desea capturar el tráfico de toda la red se utiliza el modo de captura promiscuo, en este caso solo capturaremos el tráfico local de nuestro equipo. Una vez seleccionada al interfaz para capturar el tráfico de la red, damos clic en start, y pasaremos a una nueva vista de Wireshark, sin embargo aún no tendremos ningún paquete capturado si nuestro equipo no está generando tráfico dentro de la red, para ello podemos abrir el navegador de internet y dirigirnos a cualquier página web, nuestro caso será dirigirnos a www.google.com y realizar la búsqueda de seguridad de aplicaciones con ello podremos observar en Wireshark como la captura de paquetes ha comenzado y podemos empezar a filtrar todos los paquetes que sean de interés para nosotros. 6
La imagen anterior nos muestra la captura de tráfico de la red en tiempo real, por lo que cada vez el archivo temporal donde se guarda la captura de los paquetes será más grande, por lo cual hasta que nosotros queramos u obtengamos la información necesaria podemos detener la captura en tiempo real de paquetes, para realizar esta acción desde la barra de herramientas de Wireshark podemos observar algunos iconos, los cuales permiten realizar acciones como, enlistar las interfaces de captura, mostrar las opciones captura, iniciar una captura en tiempo real, detener la captura en curso, o reiniciar la captura en curso, en nuestro caso vamos a detener la captura de tráfico en tiempo real que tenemos en curso. Despliegue de filtros: Una vez que hemos detenido la captura en tiempo real del trafico de la red, ahora tendremos un numero muy grande de paquetes capturados, por lo tanto tendremos la necesidad de aplicar filtros a todos los paquetes que tenemos capturados, para ello Wireshark ya tiene definida una serie de expresiones para el filtrado de paquetes de los cuales podremos apoyarnos, para ello basta con ubicar la barra de filtrado y dar click sobre Expresión. Ahora nos encontraremos con una serie de filtros ya establecidos y organizados por nombre, nosotros utilizaremos nuestra primera expresión de filtrado para IPv4. Una vez que tenemos ubicado IPv4 al expandir la agrupación podemos observar una serie de expresiones de filtrado relacionadas con IPv4, cada una de ellas nos permite parametrizar nuestro filtro de diferente forma, en esta ocasión vamos a utilizar ip.src el cual nos permite obtener todo el trafico originado por una IP origen, la cual nosotros vamos a definir, y como deseamos llegar hasta el paquete donde se registro la petición de búsqueda a google de seguridad de aplicaciones originada desde nuestro equipo local, por ello vamos a poner como IP de Origen la IP de nuestro equipo, y en esta práctica es la IP asignada a la interface eth0. Otro parámetro importante en el filtrado es la relación que vamos a definir respecto al campo previamente seleccionado, es decir si queremos que sea igual, mayo que, menor que, 7
que lo contenga etc. En nuestra practica nos interesa que la IP origen sea igual a la de nuestro equipo por lo tanto seleccionamos la relación == y después indicamos la ip. Una vez definido nuestro filtro podemos observar que en el área de paquetes capturados tenemos un número menor considerable a los paquetes iníciales, debido a la expresión de filtrado que acabamos de asignar. Podemos hacer el filtrado de paquetes aun más preciso combinando 2 o más filtros, esto podemos hacerlo simplemente utilizando and (&&) ó or( ) para ello combinaremos nuestra expresión de ip.src con HTTP de la siguiente forma: Al darle click a Apply, podemos observar que nos deja únicamente los paquetes que se originaron de la IP que especificamos en este caso la 10.0.2.15 y que pertenecen a peticiones HTTP realizadas por el método GET, por tal motivo podremos analizar el paquete capturado de la petición de búsqueda que se realizo por medio de google. 8
Wireshark también en su página oficial nos brinda ejemplos acerca de filtros ya establecidos y utilizados para fines específicos, estos filtros podemos implementarlos directamente en la barra de filtro de Wireshark únicamente copiando algún filtro que venga en la página de ejemplo y colocándolo, obviamente solamente deberemos cambiar ciertos parámetros como IP etc. Para poder visualizar todos los ejemplos expuestos en la pagina oficial de Wireshark debemos navegar a la siguiente url: http://wiki.wireshark.org/displayfilters Guardar capturas: El siguiente paso, es guardar el archivo de captura de tráfico, para ellos debemos dar clic en la barra de herramientas en el icono de guardar, o bien en el menú file > save as. Posteriormente tendremos activa la vista para guardar el archivos donde debemos indicar el nombre del archivo seguido de la extensión.pcap y posteriormente en File Type debemos seleccionar el segundo tipo de formato Wireshark/tcpdump/.-libpcap una vez que tenemos estas opciones de guardado listas y seleccionada la ubicación donde se va a guardar el archivo, damos clic en Save y tendremos listo nuestro archivo practica3.pcap en el escritorio que fue la ubicación seleccionada para este ejemplo. 9
Abrir capturas: Cuando tenemos archivos de capturas de trafico guardados o bien se nos proporciona algún archivo para analizar posteriormente, necesitamos abrir Wireshark y ubicar el icono de abrir archivo de captura o bien dirigirnos a file > open y tendremos la vista para abrir archivos de captura, donde deberemos seleccionar algún archivo ubicado en nuestro equipo, por tal motivo abriremos el archivo previamente guardado de la captura realizada, ubicado en el escritorio y nombrado como practica3.pcap. Una vez que hemos abierto el archivo de captura de trafico tenemos nuevamente la posibilidad de aplicarle filtros de tráfico, identificar el trafico de salida, entrada o de algún protocolo específicamente. 10
Ejemplos de capturas: Para efectos de practica la pagina oficial de Wireshark, nos brinda algunos archivos de captura de ejemplo para empezar a identificar tráficos, filtrados y encontrar algunas situaciones interesantes en cada uno de los archivos facilitados, para ello debemos ingresar a http://wiki.wireshark.org/samplecaptures y en la sección de atachments o adjuntos podemos encontrar una gran variedad de archivos disponibles. Actividad: Mostrar el log con la captura de tráfico. Nmap escaneo de activos: Iniciar Nmap: Nmap es una herramienta que podemos encontrar en Kali o bien instalarla independientemente del sistema operativo que se utilice. La herramienta tiene muchas aplicaciones que se le pueden dar, para efectos de la practica vamos a utilizarlo para escanear activos, es decir equipos o servidores e identificar que puertos o servicios se encuentran abiertos o en línea. 11
Para empezar a utilizar Nmap dentro de Kali primeramente tendremos que abrir una terminal, a diferencia de herramientas como Wireshark que cuentan con una interfaz gráfica Nmap es totalmente por línea de comandos. Una vez abierta la terminal, podremos obtener información acerca de todas las opciones de Nmap, tecleando directamente en la terminal nmap. Para iniciar con un escaneo básico sin parámetros, únicamente es necesario teclear nmap host donde host es el dominio o IP del servidor o equipo que se desea escanear, en este caso para una prueba básica local podemos realizar un escaneo a nuestro propio equipo directamente con la ip, en este caso la ip del equipo de prueba es 10.0.2.15 por lo cual el comando quedaría exactamente de la siguiente forma: nmap 10.0.2.15 y por consiguiente obtenemos la información relacionada al escaneo que indicamos, que hace referencia a que el equipo está en línea, y se han escaneado 1000 puertos y todos se encuentran cerrados. Ahora vamos a describir una serie de opciones para realizar escaneos, que son totalmente indispensables de tomarlos en cuenta, ya que esto permite escaneos más precisos y confidenciales hasta cierto punto. 12
Métodos de escaneo Iniciaremos con explicar los métodos de escaneo que podemos encontrar dentro de nmap. st // nmap st host // nmap st 192.168.1.1 // este método de escaneo es el más básico sobre tcp, ya que si el puerto se encuentra escuchando o abierto, se va a mostrar en la lista de lo contrario no aparece, sin embargo este método es muy fácil de ser detectado por firewalls. -ss // nmap ss host // nmap ss 192.168.1.1 // podemos decir que este método es el más difícil de detectar por firewalls, también se le llama half open ya que no abre una conexión tcp completa, realiza el escaneo enviando un paquete SYN como si tuviera la intención de abrir una conexión y espera un ACK de respuesta por lo tanto al recibir el acuse de recibo el puerto se encuentra abierto, e inmediatamente envía un RST para cerrar la conexión, en caso de no recibir el ACK significa que el puerto se encuentra cerrado. Entonces podemos decir que es el modo de escaneo más discreto. sf, sx, sn// nmap sf host, nmap sx host, nmap sn host // nmap sf 192.168.1.1 // este método entra de un modo nombrado stealth, y específicamente el sf es el modo FIN, ya que utiliza un paquete vacío para realizar el escaneo de puertos, por otro lado tenemos es sx que es llamado Xmas Tree y este método lo que hace es activar las banderas de FIN, URG y PUSH para el escaneo, y por último el método sn también conocido como NULL que lo que hace es ignorar los estándares y realizar el escaneo en una forma diferente, es como un modo de trabajo propio. Curiosamente estos 3 métodos están agrupados ya que tienen una característica que los distinguen, y es que no funcionan en sistemas operativos basados en Windows95/NT por lo que si realizamos estos métodos de escaneo en un servidor o equipo con UNIX lo más probable es que detecte cualquiera de los puertos cerrados aun cuando se encuentren abiertos, y por lo contrario si es un servidor basado en WinNT lo más probable es que los detecte abiertos en caso de ser así. sp // nmap sp host / nmap sp 192.168.1.1 // este modo de escaneo, es recommendable utilizarlo especialmente para saber si algun host se encuentra en linea, se pueden especificar varios y los que responden se encuentran activos en su defecto no lo estan. su // nmap su host // nmap su 192.168.1.1 // metodo de escaneo especialmente para protocolo UDP ya que se envían paquetes UDP de 0 bytes a cada puerto de la IP y si recibe algún mensaje ICMP del puerto inalcanzable significa que se encuentra cerrado. 13
Opciones de escaneo: Una vez que tenemos definido algún método de escaneo para algún host específico podemos utilizar diferentes opciones para complementar nuestro escaneo, tales como: -O // nmap -O host // nmap O 192.168.1.1 // esta opción de escaneo se utiliza para conocer el sistema operativo del host a escanear. -v // nmap v host / nmap v 192.168.1.1 // opción de escaneo con información ampliada, nos muestra resultados sobre el proceso de escaneo, normalmente le llaman modo verbose. -F // nmap F host // nmap -F 192.168.1.1 // esta opcion nos permite realizar un escaneo rapido de puertos a un host. -p // nmap p Puerto host // nmap p 22,80,443 192.168.1.1 // esta opción nos permite escanear puertos específicos de un host. -sv // nmap sv host // nmap sv 192.168.1.1 // nos permite visualizar la versión de los servicios que se encuentran en el servidor o host al que realizamos el escaneo. -A // nmap A host // nmap A 192.168.1.1 // nos permite realizar un escaneo y saber qué sistema operativo corre el host y servicios activos. Guardar archivos de salida: También podemos especificar un archivo de salida para la información obtenida en cualquier escaneo, tenemos diversos formatos de salida que podemos especificar. 1. Salida Normal // -on // nmap -ss on nombre_archivo.nmap host // nmap -ss on nmap.lab3.nmap 192.168.1.1 2. Salida XML // -ox // nmap -ss ox nombre_archivo.xml host // nmap -ss ox nmap.lab3.xml 192.168.1.1 3. Salida ScRipT KIdd 3 // -os // nmap -ss os nombre_archivo.nmap host // nmap -ss os nmap.lab3.nmap 192.168.1.1 4. Salida Grepeable // -og // nmap -ss og nombre_archivo.gnmap host // nmap -ss og nmap.lab3.gnmap 192.168.1.1 5. Salida en todos los formato // -oa // nmap -ss oa nombre_archivo.nmap, nombre_archivo.xml host // nmap -ss oa nmap.lab3.nmap, nmap.lab3.xml 192.168.1.1 También tenemos la posibilidad de hacer un escaneo en base a un archivo con una lista de hosts o redes previamente especificadas en el archivo, si vamos a crear el archivo manualmente, es importante mencionar que cada host debe de ir separado por un espacio. 14
Escaneo con archivo fuente de hosts: Para utilizar el modo de escaneo con un archivo de hosts, es necesario teclear lo siguiente en la terminal: nmap il ubicación_del_archivo Como ejemplo implementado podemos dejarlo de la siguiente forma: nmap v il netdiscover-practica3.log Por lo que obtendremos un proceso detallado acerca del escaneo del archivo, el número de hosts a escanear y la información sobre cada puerto sobre los hosts. Ejemplos: Como practica vamos a realizar un escaneo a un servidor localmente expuesto dentro de una red privada con la IP 10.0.1.10, realizaremos un escaneo con la opción v para observar todo lo que va pasando en el proceso, a su vez utilizaremos el método ss previamente explicado, también la opción A para conocer el sistema operativo del servidor y los servicios en él, -sv para obtener información un poco más detallada de los servicio y p para indicar que los puertos a escanear serán del 10 al 1200, por lo tanto nuestro comando quedó de la siguiente forma: nmap v ss A sv p 10-1200 10.0.1.10 15
Actividad: Mostrar el log del escaneo realizado acorde al activo elegido. Referencias: http://openvpn.net/index.php/access-server/docs.html http://wiki.wireshark.org http://nmap.org/ http://scanme.nmap.org/ 16