Tancàvem el Mòdul 1 amb el marc de l'auditoria de TechNova S.L. complet: sabem quin tipus de pentesting farem (extern + web + caixa grisa amb extensió interna), sota quines regles ètico-legals i amb quina metodologia (PTES com a columna vertebral). Ha arribat el moment de fer el primer pas real del cicle: el reconeixement. I dins del reconeixement, comencem per la seva modalitat més discreta i de menor risc: el reconeixement passiu.

Reconeixement passiu vol dir recollir informació sobre l'objectiu sense interactuar directament amb els seus sistemes. No enviem ni un sol paquet a tienda.technova.lab: tota la informació surt de fonts públiques de tercers (registres whois, DNS públic, cercadors, certificats, arxius històrics, metadades de documents). Des del punt de vista de TechNova, és com si no haguéssim aparegut mai als seus registres, perquè tècnicament no ho hem fet. En aquesta lliçó aprendràs quines fonts existeixen, com llegir-les i com començar a construir l'expedient de reconeixement que alimentarà tot el mòdul, sempre respectant l'abast i les Regles de Compromís (RoE) que vam signar.

1. Passiu vs. actiu: la frontera que no has de creuar
2. Whois: qui hi ha darrere del domini
3. Registres DNS públics
4. Certificats TLS i transparència de certificats (crt.sh)
5. Motors de cerca i Google dorks
6. El passat del web: archive.org
7. Metadades de documents públics
8. Xarxes socials i empremta corporativa
9. Enquadrament ètic i d'abast
10. Errors comuns i consells
11. Exercicis
12. Conclusió

La distinció és la base de tot el mòdul, així que convé fixar-la des del principi:

La regla mental és senzilla: si la teva acció genera trànsit que arriba a un sistema de l'objectiu, ja és actiu. Consultar el whois de TechNova en un servidor whois públic és passiu. Fer una transferència de zona contra el seu servidor DNS és actiu. En aquesta lliçó ens quedem estrictament del costat passiu.

Un advertiment important per no encavalcar mòduls: aquí no escanegem ports ni enumerem serveis. Això és reconeixement actiu (02-02) i, en profunditat, el Mòdul 3. El reconeixement passiu dibuixa el "qui i què existeix"; l'actiu confirma "què està viu i respon".

El protocol whois consulta bases de dades públiques de registre de dominis i IP. Ens diu qui va registrar un domini, quan, amb quin registrador i, de vegades, dades de contacte administratives i tècniques. Com que la consulta va a un servidor whois (un tercer), és passiva.

Sortida d'exemple (fictícia):

Què n'extraiem, línia a línia:

• Registrant Organization / Country: confirma que el domini pertany a TechNova (Espanya). Útil per validar que estem dins de l'abast.
• Admin Email: [email protected] ens revela el patró de correu corporatiu i un contacte tècnic. Aquesta dada és or per a l'OSINT (lliçó 02-04).
• Name Server: NS1 i NS2.technova.lab són els seus servidors DNS. Els anotem per al reconeixement actiu.
• Creation Date: l'antiguitat del domini de vegades suggereix la maduresa de la infraestructura.

Per a adreces IP existeix la consulta als RIR (registres regionals; a Europa, RIPE). Si coneixem una IP pública associada a TechNova, whois 203.0.113.10 ens dirà a quin rang i organització pertany, cosa que ajuda a delimitar quines IP estan dins de l'abast contractat.

Contrapartida defensiva: les organitzacions redueixen aquesta exposició fent servir privacitat de whois (contacte anonimitzat del registrador) i correus genèrics de contacte en lloc de noms d'empleats.

El DNS (Domain Name System) tradueix noms a adreces IP i guarda altres registres de configuració. Consultar registres DNS és una zona grisa: preguntar a un resolutor públic (com 1.1.1.1 o 8.8.8.8) és passiu, perquè parlem amb un tercer que ja té la informació a la memòria cau o la resol per nosaltres. Consultar directament el servidor autoritatiu de TechNova seria més aviat actiu. Aquí fem servir resolutors públics.

Tipus de registre més útils en reconeixement:

Exemple amb dig (o nslookup/host) fent servir un resolutor públic:

Lectura: el registre SPF revela que TechNova fa servir un proveïdor extern de correu (correo-pro.example). Aquest proveïdor queda fora del nostre abast: no el podem atacar encara que tècnicament formi part de la cadena de correu de TechNova. Anotem la dada, però respectem l'abast. La verificació google-site-verification suggereix ús de serveis de Google (per exemple Google Workspace o Search Console).

Cada vegada que una organització emet un certificat TLS (HTTPS), aquest queda registrat en logs públics de Certificate Transparency (CT). Aquests logs es poden consultar i són una mina de subdominis, perquè revelen tots els noms per als quals s'han emès certificats, fins i tot els que no apareixen en cap enllaç públic.

El servei web crt.sh consulta aquests logs. Com que consultem crt.sh (un tercer), continua sent passiu:

Sortida d'exemple:

Aquest resultat és molt revelador. A més de la botiga, apareixen subdominis interessants:

• dev. i staging-tienda. → entorns de desenvolupament/preproducció, que solen estar pitjor protegits que producció.
• intranet. i vpn. → punts d'accés a la xarxa interna.
• correo. → un webmail o servidor de correu.

Els anotem tots com a candidats de la superfície d'atac. Compte: que apareguin al CT no confirma que estiguin vius ni accessibles; això ho verificarem amb reconeixement actiu (02-02) i escaneig (Mòdul 3). I només treballarem els que estiguin dins de l'abast contractat.

Contrapartida defensiva: els CT logs són públics per disseny (milloren la seguretat global), però una organització conscient evita posar als noms de certificat pistes evidents com ara admin- o test-, i protegeix igual de bé els entorns de staging que els de producció.

Els cercadors han indexat durant anys parts dels llocs web. Amb operadors de cerca avançada (coneguts com a Google dorks) podem trobar informació exposada sense tocar el servidor de TechNova: tot surt de l'índex de Google.

Operadors útils:

Exemples de consultes de reconeixement:

Troba documents PDF públics (manuals, catàlegs, tarifes) que després analitzarem per les seves metadades.

Descobreix pàgines d'accés (panells, intranets) que revelen tecnologies i punts d'entrada.

Cerca llistats de directoris oberts, un clàssic d'exposició accidental de fitxers.

Els dorks són passius perquè interroguem l'índex del cercador, no TechNova. Existeixen col·leccions públiques de dorks (la més coneguda, la Google Hacking Database d'Exploit-DB) que sistematitzen aquestes cerques.

La Wayback Machine d'archive.org guarda còpies històriques de pàgines web. És utilíssima perquè una organització pot haver eliminat del seu web actual un enllaç, un panell o un comentari al codi, però la versió antiga continua arxivada. Consultem l'arxiu (un tercer), així que és passiu.

Aquí veiem rutes històriques que potser ja no estan enllaçades però podrien continuar existint: /backup/, /old-panel/. Són pistes per a fases posteriors. També ens permet reconstruir com ha evolucionat la tecnologia del lloc (per exemple, deduir que en el seu moment va fer servir WordPress per la ruta /wp-content/).

Els fitxers ofimàtics (PDF, Word, Excel, imatges) incorporen metadades que poden filtrar informació sensible: noms d'usuari interns, programari i versions, rutes de xarxa, noms d'equips. Descarregar un document públic ja indexat i analitzar-lo en local és passiu (no interactuem amb la infraestructura interna de l'objectiu).

Amb l'eina exiftool sobre un PDF descarregat des del cercador:

Lectura de la troballa:

• Author: jlopez → un nom d'usuari intern probable (patró "inicial + cognom"). Sumat al [email protected] del whois, comencem a deduir la convenció de noms de l'empresa.
• Creator/Producer → programari ofimàtic en ús (Office 2016), que orienta sobre l'ecosistema tecnològic.

Aquestes dades són llavor per a OSINT de persones i per a futurs atacs a credencials (Mòdul 4), sempre dins de l'abast.

Les pàgines corporatives a xarxes professionals, el blog de l'empresa, les notes de premsa i els perfils d'empleats publiquen, sense voler, informació tècnica i organitzativa: tecnologies que fan servir ("busquem desenvolupador amb experiència en Laravel i MySQL"), noms i càrrecs, correus, i fins i tot fotos d'oficina que mostren pantalles o pissarres.

Tot això és passiu (llegim contingut públic) i molt valuós per al mapa de persones. Però és també el terreny més delicat des del punt de vista ètic: treballem amb dades personals. Aquí només ho introduïm; la disciplina completa d'OSINT sobre persones, amb el seu marc de privacitat i RGPD, es tracta a la lliçó 02-04.

Exemple de flux de reconeixement passiu per a TechNova:

Encara que el reconeixement passiu no toca els sistemes de l'objectiu, no és un xec en blanc. Recorda les RoE de TechNova:

• Respecta l'abast. Pots trobar infraestructura de tercers (el proveïdor de correu correo-pro.example, un CDN, un hosting), però no la pots atacar. En passiu això es tradueix en documentar sense explotar.
• No pivotis cap a tercers ni cap a empleats fora de contracte. Descobrir el perfil professional d'un empleat és diferent d'assetjar-lo o fer-li enginyeria social si això no està autoritzat a l'abast.
• Tracta les dades personals d'acord amb el RGPD. Recull només el necessari per a l'objectiu de l'auditoria, guarda-ho de manera segura i esborra-ho segons el que s'hagi pactat.
• Documenta cada font. Anota d'on va sortir cada dada: és imprescindible per a la traçabilitat de l'informe i perquè TechNova pugui reproduir i remediar.

• Creuar sense voler cap a l'actiu. Escriure la URL d'un subdomini al navegador ja envia una petició a l'objectiu: això és actiu. Mantén la disciplina de fonts de tercers mentre facis passiu.
• Confondre "existeix en un certificat" amb "està viu". crt.sh i archive.org mostren el que hi havia o hi podia haver; no confirmen disponibilitat. Verifica-ho després.
• Ignorar l'abast en trobar tercers. És fàcil emocionar-se amb el servidor de correu del proveïdor; recorda que queda fora del contracte.
• No documentar la procedència. Una dada sense font no serveix en un informe professional. Registra sempre origen i data.
• Consell: treballa el reconeixement passiu abans de l'actiu. Com més sàpigues de fonts públiques, més quirúrgic i menys sorollós serà el teu reconeixement actiu posterior.

Exercici 1. Classifica cada acció com a passiva o activa i justifica-ho: (a) consultar whois technova.lab; (b) obrir https://intranet.technova.lab al navegador; (c) cercar site:technova.lab filetype:pdf a Google; (d) fer dig @1.1.1.1 tienda.technova.lab.

Exercici 2. A partir de la sortida de crt.sh de la secció 4, indica quins tres subdominis prioritzaries com a interessants per a la fase d'escaneig i per què. Recorda esmentar la reserva de "existeix ≠ està viu".

Exercici 3. Analitzes les metadades d'un PDF públic de TechNova i trobes Author: mgarcia i Company: TechNova S.L.. Juntament amb l'Admin Email: [email protected] del whois, quin patró de nom d'usuari corporatiu pots deduir i per a quina fase futura serà útil? Esmenta el límit ètic.

Solució 1. (a) Passiva: la consulta va a un servidor whois de tercers, no a TechNova. (b) Activa: obrir el subdomini envia una petició HTTP directa al servidor de l'objectiu. (c) Passiva: interroguem l'índex de Google, no el web de TechNova. (d) És passiva/frontera: preguntem a un resolutor públic (1.1.1.1), no al servidor autoritatiu de l'objectiu; el trànsit va al tercer. Si haguéssim fet servir dig @ns1.technova.lab, seria clarament activa.

Solució 2. Prioritzaria staging-tienda.technova.lab i dev.technova.lab (entorns de preproducció/desenvolupament, típicament pitjor assegurats i de vegades amb dades reals), i vpn.technova.lab o intranet.technova.lab (portes d'accés a la xarxa interna, alt valor). La reserva clau: aparèixer en un certificat (crt.sh) només prova que es va emetre un certificat per a aquest nom; no garanteix que l'amfitrió estigui viu, accessible ni dins de l'abast. Caldrà confirmar-ho a 02-02 i al Mòdul 3.

Solució 3. El patró deduïble és "inicial del nom + cognom": mgarcia = M. García, coherent amb jlopez = J. López de l'exemple. El correu sistemas@... és un compte genèric, però el patró d'usuari ens permetrà construir llistes de possibles usuaris/correus (p. ex. [email protected]). Serà útil a la lliçó 02-04 (OSINT de persones i correus) i, més endavant, al Mòdul 4 (atacs a contrasenyes). Límit ètic: són dades personals; només es fan servir dins de l'abast autoritzat, d'acord amb el RGPD, i sense assetjar ni contactar les persones fora del que s'hagi pactat.

El reconeixement passiu ens ha permès començar l'expedient de TechNova sense enviar ni un sol paquet als seus sistemes: hem identificat l'organització i els contactes (whois), la seva infraestructura DNS i de correu (registres públics), un bon grapat de subdominis candidats (crt.sh), fitxers i panells exposats (dorks i archive.org), noms d'usuari interns (metadades) i una primera empremta de persones i tecnologies (xarxes socials). Tot això amb un rastre pràcticament nul i respectant escrupolosament l'abast i el RGPD.

Però el passiu té un límit: ens diu què podria existir, no què està viu i responent. Per confirmar-ho cal interactuar amb l'objectiu. A la lliçó següent, 02-02 Reconeixement Actiu, començarem a "tocar" la infraestructura de TechNova de manera controlada —resolució i transferència de zona DNS, descobriment d'amfitrions vius, banner grabbing bàsic, traceroute i enumeració activa de subdominis— marcant amb claredat la frontera amb l'escaneig profund de ports, que reservem per al Mòdul 3.