Last updated
Last updated
Si nosotros queremos realizar un escaneo de red avanzado con nmap sin que herramientas de seguridad como snort nos detecte dicho escaneo, podremos hacerlo de la siguiente forma:
De primeras intentaremos descubrir los hosts que estan activos en la red sin ser detectados:
Con el -sn especificamos que no nos haga un escaneo de puertos, para asi pasar mas desapercibido. Con el -n especificamos que no nos haga una resolucion reversa
Vemos que nos muestra los hosts y si nos vamos a nuestro Snort veremos que no ha capturado nada, por lo que hemos pasado desapercibidos.
Ya que esto solo genera trafico ARP y no TCP por lo que pasamos de largo con el IDS.
Pero este metodo no es efectivo en absolutamente todas las herramientas, ya que si tienen configuraciones mas avanzadas los IDS podrian realizar un ARP Spoofing y engañarnos sobre los hosts que estan UP y los que no, haciendo asi imposible la tarea de detectar hosts activos, podremos probarlo con un script muy sencillito que vamos a lanzar en nuestro kali, que seria el siguiente:
arp_scan_spoof.py
Estas secciones de aqui nos las inventamos con las IP's/MAC's que queramos:
Si ahora nosotros ejecutamos el script:
Se va a quedar a la escucha, por lo que nosotros volveremos a lanzar la peticion de nmap:
Info:
Vemos que a parte de mostrarnos que la 128 esta UP tambien nos esta diciendo que la 152 que nosotros nos hemos inventado tambien esta UP, por lo que nos esta engañando el escaneo de ARP y esto se puede hacer de forma masiva con distintas IP's inventadas.
Y si vemos en donde esta la escucha de nuestro script de python3 veremos lo siguiente:
Ahora lo que podemos hacer para que no nos engañen con este tipo de tecnica en los hosts que encuentre sin que la herramienta snort la detecte, comprobar mediante el protocolo TCP si realmente esta levantado esa IP sin sufrir ningun tipo de engaño mediante el ARP, podremos hacerlo de la siguiente forma:
Con el -PS lo que estamos haciendo es validar con el puerto 80 si realmente esta levantado ese host, para no caer en la trampa de ningun ARP Spoofing.
Y vemos que Snort no nos detecto.