La información correspondiente al servidor nginx está resaltada.

[analyst@secOps ~]$ sudo netstat -tunap

[sudo] contraseña para analyst:

Active Internet connections (servers and established)

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name 

tcp        0      0 0.0.0.0:6633            0.0.0.0:*               LISTEN      257/python2.7        

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      395/nginx: master

tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN      279/vsftpd         

tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      277/sshd: /usr/bin           

tcp6       0      0 :::22                   :::*                    LISTEN      277/sshd: /usr/bin             

udp        0      0 192.168.1.15:68         0.0.0.0:*                           237/systemd-network

Pregunta:

¿Qué significan las opciones –t,-u, –n, –a y –p ennetstat ? (utilicen man netstat para responder)

¿El orden de las opciones es importante para netstat?

Los cientes se conectarán a un puerto y, a través del protocolo correcto, solicitarán información a un servidor. En la salida de netstat que se muestra arriba se ven ciertos servicios que están escuchando puertos específicos. Las columnas interesantes son las siguientes:

En      la primera columna se ve el protocolo de Capa 4 en uso (UDP o TCP, en este caso).

En      la tercera columna se utiliza el formato <DIRECCIÓN:PUERTO> para dar formato a la dirección IP local y al puerto en el que se puede establecer una conexión con un servidor específico. La dirección IP 0.0.0.0 significa que el servidor está escuchando a todas las direcciones IP configuradas en la computadora.

En      la cuarta columna se utiliza el mismo formato de sockets <DIRECCIÓN:PUERTO> para exponer la dirección y el puerto del dispositivo presente en el extremo remoto de la conexión. 0.0.0.0:* significa que en este momento ningún dispositivo remoto está utilizando la conexión.

En      la quinta columna se puede ver el estado de la conexión.

En      la sexta columna se muestra el ID de proceso (PID) del proceso responsable de la conexión. También se muestra el nombre abreviado asociado con el proceso.

Pregunta:

Si nos basamos en el resultado de netstat que se muestra en el punto (d), ¿cuál es el protocolo de Capa 4, el estado de conexión y el PID del proceso que se están ejecutando en el puerto 80?

Aunque los números de puerto son solo una convención, ¿pueden intuir qué clase de servicio se está ejecutando en el puerto 80 de TCP?

e.En     ocasiones, resulta útil cruzar la información provista por netstat con ps. En función de la salida del punto (d), se sabe que hay un proceso con el PID 395 vinculado al puerto 80 de TCP. En este ejemplo se utiliza el puerto 395. Utilice ps y grep para generar una lista con todas las líneas de resultado de ps que contengan PID 395: Reemplazar 395 con el número PID para su instancia de ejecución particular de nginx:

[analyst@secOps ~]$ sudo ps -elf | grep 395

[sudo] contraseña para analyst:

1 S root       395     1  0  80   0 -  1829    19:33 ?        00:00:00 nginx: master process /usr/bin/nginx

5 S http       396   395  0  80   0 -  1866    19:33 ?        00:00:00 nginx: worker process

0 S analyst   3789  1872  0  80   0 -  1190    19:53 pts/0    00:00:00 grep 395

En el resultado anterior, el comando ps se canaliza a través del comando grep para filtrar solamente las líneas que contienen el número 395. El resultado son tres líneas con texto acomodado.

La primera línea muestra un proceso en propiedad del usuario root (tercera columna), iniciado por otro proceso con PID 1 (quinta columna), a las 19:33 (duodécima columna)

La segunda línea muestra un proceso con PID 396, en propiedad del usuario http, iniciado por el proceso 395, a las 19:33.

En la tercera línea se muestra un proceso que es propiedad del usuario analyst, con el PID 3789, iniciado por un proceso con el PID 1872, como el comando grep 395 .

Pregunta:

El PID 395 del proceso es nginx. ¿Cómo se pudo llegar a esa conclusión a partir de la salida anterior?

¿Qué es nginx? ¿Cuál es su función? (Busquen nginx en Google)

En la segunda línea vemos que el proceso 396 es propiedad de un usuario de nombre http y que tiene el número de proceso 395 como proceso matriz. ¿Qué significa? ¿Es común este comportamiento?

¿Por qué vemos grep 395 en la última línea?

Parte 2: Utilizar Telnet para probar los Servicios TCP

Telnet es una aplicación de shell remoto simple. Telnet se considera inseguro ya que no proporciona cifrado. Los administradores que optan por utilizar Telnet para administrar dispositivos de red y servidores en forma remota dejan expuestas las credenciales para iniciar sesión en ese servidor, ya que Telnet transmitirá los datos de la sesión como texto sin cifrar. Si bien no se recomienda utilizar Telnet como aplicación de shell remoto, puede ser muy útil para pruebas rápidas o para recopilar información sobre servicios TCP.

El protocolo Telnet funciona en el puerto 23, por medio de TCP de manera predeterminada. El cliente telnet , sin embargo, permite especificar otro puerto. Si se cambia el puerto y se establece una conexión con un servidor, el cliente telnet permite que un analista especializado en redes evalúe rápidamente la naturaleza de un servidor específico comunicándose directamente con él.

Nota: Es altamente recomendable que utilicen ssh como aplicación de shell remotoen lugar de telnet.

a.  En la     Parte 1, descubrimos que nginx se estaba ejecutando y que se le había asignado el puerto 80 de TCP. Aunque con una breve búsqueda en internet se revela que nginx es un servidor web liviano, ¿qué podría hacer un analyst para estar seguro de eso? ¿Qué sucedería si un atacante cambiara el nombre de un programa de malwarepor el de nginx, simplemente para que se pareciera al servidor web tan utilizado? Utilicen telnet para conectar el host local en el puerto 80 de TCP:

[analyst@secOps ~]$ telnet 127.0.0.1 80

Probando 127.0.0.1...

Conectado a 127.0.0.1.

El carácter de escape es '^]'.

b.Presionen     algunas teclas del teclado. Cualquiera funcionará. Después de presionar algunas teclas, pulsen INTRO. A continuación se incluye la salida completa, incluido el establecimiento de la conexión Telnet y las teclas aleatorias que se presionaron (fdsafsdaf, en este caso):

fdsafsdaf

HTTP/1.1 400 Bad Request

Server: nginx/1.16.1

Date: Tue, 28 Apr 2020 20:09:37 GMT

Content-Type: text/html

Content-Length: 173

Connection: close

<html>

<head><title>400 Bad Request</title></head>

<body bgcolor="white">

<center><h1>400 Bad Request</h1></center>

nginx / 1.16.1

</body>

</html>

Connection closed by foreign host.

Gracias al protocolo Telnet se estableció una conexión TCP de texto sin cifrar (a cargo del cliente Telnet) directamente al servidor nginx, que está escuchando al puerto 80 de TCP de 127.0.0.1. Esta conexión nos permite enviar datos directamente al servidor. Como nginx es un servidor web, no comprende la secuencia de letras aleatorias que se le envió y devuelve un error en formato de página web.

¿Por qué el error se envió como página web?

Aunque el servidor reportó un error y dio por finalizada la conexión, pudimos descubrir mucho. Descubrimos que:

1)    El nginx con el PID 395 de hecho es un servidor web.

2)    La versión de nginx es 1.16.1.

3) La pila    de red de nuestra VM CyberOps Workstation es totalmente funcional hasta la Capa 7.

No todos los servicios son iguales. Algunos servicios están diseñados para aceptar datos sin formato y no se cancelan si se introduce basura desde el teclado. A continuación vemos un ejemplo de esa clase de servicio:

c. Si     miramos la salida de netstat que presentamos anteriormente, podremos ver un proceso conectado al puerto 22. Utilicen Telnet para conectarse con él.

El puerto 22 de TCP está asignado a un servicio SSH. SSH permite que un administrador se conecte con una computadora remota en forma segura.

A continuación se detalla la salida:

[analyst@secOps ~]$ telnet 127.0.0.1 22

Probando 127.0.0.1...

Conectado a 127.0.0.1.

El carácter de escape es '^]'.

SSH-2.0-OpenSSH_8.2

sdfjlskj

Invalid SSH identification string.

Connection closed by foreign host.

Utilicen Telnet para conectarse con el puerto 68. ¿Qué ocurre? Explique.

Preguntas de reflexión

1.¿Cuáles   son las ventajas de utilizar netstat?

Área de respuesta

2.¿Cuáles   son las ventajas de utilizar Telnet? ¿Es seguro?