A la lliçó anterior vam construir l'expedient de TechNova sense tocar-ne els sistemes: whois, DNS públic, crt.sh, dorks, archive.org i metadades ens van donar una llista de candidats —subdominis com ara dev., staging-tienda., intranet. i vpn., la IP de la botiga, els servidors de noms NS1/NS2—. Però tot això és una hipòtesi: ens diu què podria existir, no què està viu i responent. Per passar de "existeix en un certificat" a "aquest amfitrió contesta", cal parlar directament amb la infraestructura de l'objectiu. Això és el reconeixement actiu.

Reconeixement actiu vol dir interactuar directament amb els sistemes de l'objectiu enviant-los paquets i analitzant-ne les respostes. A diferència del passiu, aquí sí que deixem rastre: les nostres peticions poden aparèixer als logs de TechNova i activar els seus sistemes de detecció. Per això és doblement important mantenir-nos dins de l'abast i les RoE, i anar amb compte. En aquesta lliçó cobrim la primera franja de tècniques actives —consultes i transferència de zona DNS, descobriment d'amfitrions vius, banner grabbing bàsic, traceroute, enumeració activa de subdominis i crawling web lleuger—, i marquem amb claredat on acaba el reconeixement i comença l'escaneig (que és el Mòdul 3).

1. Què canvia respecte del passiu (i la frontera amb el Mòdul 3)
2. DNS actiu: consultes al servidor autoritatiu i transferència de zona
3. Descobriment d'amfitrions vius (ping sweep)
4. Traceroute: la ruta fins a l'objectiu
5. Banner grabbing bàsic
6. Enumeració activa de subdominis
7. Web crawling lleuger
8. Enquadrament ètic i d'abast
9. Errors comuns i consells
10. Exercicis
11. Conclusió

El canvi essencial és que ara el trànsit arriba a l'objectiu. Amb això guanyem certesa (confirmem què viu) a canvi de visibilitat (podem ser detectats). Situem aquesta lliçó entre el que ja vam veure i el que ve:

La frontera que no creuarem en aquesta lliçó: l'escaneig profund de ports (escombrar els 65535 ports, detecció fina de versions, scripts d'enumeració de serveis) pertany al Mòdul 3. Aquí fem reconeixement actiu "de superfície": confirmar amfitrions vius, obtenir algun banner puntual i mapar noms i rutes. Pensa-hi com passar llista ("hi ets?") abans de l'interrogatori detallat que vindrà després.

En el passiu preguntàvem a un resolutor públic. Ara preguntem directament al servidor autoritatiu de TechNova (ns1.technova.lab), cosa que ja és interacció directa.

La tècnica estrella aquí és la transferència de zona (AXFR). Una zona DNS mal configurada pot permetre que qualsevol es descarregui tots els seus registres de cop: un mapa complet de la infraestructura servit en safata.

Si el servidor està mal configurat, la sortida és un regal:

Lectura de la troballa:

• Confirmem les IP dels subdominis que a 02-01 només eren candidats.
• Apareixen registres interns (10.10.10.x) que no sortien en fonts públiques: dev, intranet i un revelador db-interno.technova.lab → 10.10.10.40. Això connecta directament amb la xarxa interna 10.10.10.0/24 de l'abast.
• Una transferència de zona reeixida és en si mateixa una troballa reportable (mala configuració del DNS).

Si la zona està ben configurada, veurem alguna cosa com ara Transfer failed o REFUSED, que és el comportament correcte.

Contrapartida defensiva: TechNova ha de restringir les transferències de zona als servidors secundaris autoritzats (allow-transfer a BIND). Permetre AXFR a qualsevol filtra el mapa complet de la xarxa.

Dins de l'abast intern tenim la xarxa 10.10.10.0/24 (254 adreces útils). Abans de res volem saber quines adreces tenen una màquina viva. Un ping sweep envia sondes (ICMP echo, o ARP en xarxa local) a tot el rang i anota qui respon.

Amb nmap en mode "només descobriment" (-sn, sense escaneig de ports):

Fixa't en el flag: -sn fa descobriment d'amfitrions sense escanejar ports. És la frontera exacta d'aquesta lliçó. El resultat és un inventari d'amfitrions vius: 10.10.10.1 (probable gateway/controlador de xarxa), .15 (dev), .20 (intranet), .40 (db-interno) i .55 (una estació no vista abans). Aquests cinc amfitrions seran els objectius de l'escaneig profund del Mòdul 3.

Alternativa lleugera amb fping:

-a mostra només els vius (alive) i -g genera el rang.

Contrapartida defensiva: filtrar ICMP al perímetre i segmentar la xarxa redueix l'èxit del ping sweep; un IDS pot detectar el patró de "una IP sonda tot un /24 en segons".

traceroute (o tracert a Windows) revela els salts de xarxa entre nosaltres i l'objectiu, mostrant la topologia intermèdia (routers, tallafocs).

Lectura: veiem que la botiga està darrere del gateway 203.0.113.1. Els salts intermedis ajuden a entendre on és el perímetre i si hi ha un tallafocs filtrant (sovint apareixen salts amb * * * quan un dispositiu no respon al TTL esgotat). És informació de topologia, no de serveis.

Quan connectem a un port obert, molts serveis es "presenten" amb un banner que pot revelar el programari i la seva versió. En reconeixement actiu fem banner grabbing puntual i manual sobre un servei concret que ja sabem que existeix; l'escombrat sistemàtic de versions en molts ports és tasca del Mòdul 3.

Amb netcat contra el port 80 de la botiga:

Resposta:

Lectura: el banner confirma la pila Apache 2.4.29 sobre Ubuntu amb PHP 7.2.24, coherent amb la "botiga PHP/MySQL" de l'abast. Anotem versions concretes: són claus per buscar vulnerabilitats conegudes més endavant. PHP 7.2 està fora de suport, un indici primerenc d'exposició.

També es pot llegir el banner d'un servei SSH:

De nou: versió concreta d'OpenSSH de l'amfitrió dev. Aquí només el llegim; explotar-lo o enumerar-lo a fons és de mòduls posteriors.

A 02-01 vam obtenir subdominis de fonts passives (crt.sh). Ara els verifiquem activament i intentem descobrir-ne més mitjançant força bruta de noms: provem una llista de noms comuns (www, dev, api, correo, vpn, git...) resolent-los contra el DNS per veure quins existeixen.

Amb una eina com dnsx alimentada per un diccionari:

Apareix api.technova.lab i git.technova.lab, que no eren a crt.sh: la força bruta activa complementa el passiu. Un git. exposat és especialment interessant (possible fuita de codi font). Això és actiu perquè cada intent genera una consulta DNS real; amb un diccionari gran, el volum de consultes és perceptible.

Un crawler recorre els enllaços d'un web per mapar-ne les rutes i els recursos. En reconeixement fem un rastreig lleuger i respectuós (poca profunditat, baixa concurrència) per dibuixar l'estructura del lloc, no un escaneig agressiu de vulnerabilitats (això és Mòdul 3/4).

Lectura: descobrim rutes de la botiga —login.php, producto.php?id=1 (paràmetre candidat a injecció, a estudiar al Mòdul 4), un directori /admin/—. Convé mirar sempre robots.txt i sitemap.xml, que sovint llisten rutes que el propietari no volia indexar però que existeixen:

Irònicament, robots.txt ens revela directoris sensibles (/admin/, /backup/). És un clàssic. Rastreja amb compte: mantén la càrrega baixa per no degradar el servei de TechNova.

El reconeixement actiu ja deixa empremta i toca els sistemes del client, així que les RoE pesen més que mai:

• No surtis del rang autoritzat. El ping sweep s'ha de limitar a 10.10.10.0/24 i a les IP públiques de l'abast. Escombrar una xarxa veïna o el rang del proveïdor de hosting és sortir de l'abast.
• Res de tercers. Si el traceroute travessa la xarxa d'un ISP o un CDN, això és trànsit, no objectiu: no el sondegis.
• Controla la intensitat. Un crawling agressiu o un ping sweep massiu poden degradar serveis en producció. Ajusta ritme i concurrència; coordina finestres amb el client si hi ha risc.
• Documenta amb marca de temps. Com que ara deixes rastre, registra què vas llançar i quan. Si el SOC de TechNova detecta activitat, han de poder correlacionar-la amb la teva feina autoritzada (d'aquí la utilitat d'una IP d'origen coneguda i comunicada).

• Creuar la frontera del Mòdul 3 sense adonar-se'n. Llançar nmap -sV -p- "ja que hi soc" és escaneig profund, no reconeixement. Mantén l'actiu en -sn i banners puntuals; deixa l'escaneig per al seu mòdul.
• Sortir del rang. Un /24 mal escrit (10.10.0.0/16) pot escombrar xarxes fora de l'abast. Revisa sempre el CIDR abans d'executar.
• Ignorar robots.txt i sitemap.xml. Són de les fonts actives més rendibles i sovint es passen per alt.
• Anar massa fort contra producció. Un ping sweep o crawler agressiu pot causar una interrupció; això és un incident, no una troballa.
• Consell: parteix sempre del que vas descobrir en passiu. L'actiu confirma i completa; fer servir la llista de candidats de 02-01 fa el teu reconeixement actiu molt més dirigit i silenciós.

Exercici 1. Explica per què nmap -sn 10.10.10.0/24 és reconeixement actiu apropiat per a aquesta lliçó, mentre que nmap -sV -p- 10.10.10.15 no ho és. A quin mòdul correspon el segon?

Exercici 2. Una transferència de zona (dig @ns1.technova.lab technova.lab AXFR) té èxit i retorna registres interns 10.10.10.x. Indica dues coses: (a) quin valor té això per al reconeixement i (b) per què és en si mateix una troballa reportable, amb la seva contrapartida defensiva.

Exercici 3. Després d'un crawling lleuger de la botiga trobes robots.txt amb Disallow: /admin/ i Disallow: /backup/. Per què aquesta informació, pensada per a cercadors, és útil per al pentester? Quina precaució d'intensitat has de mantenir en rastrejar producció?

Solució 1. nmap -sn fa descobriment d'amfitrions sense escanejar ports: només confirma quines IP del rang estan vives, que és just l'objectiu del reconeixement actiu d'aquesta lliçó. En canvi, nmap -sV -p- escombra els 65535 ports i fa detecció de versions de cada servei: això és escaneig profund i enumeració, propi del Mòdul 3. La diferència és la profunditat: passar llista vs. interrogatori detallat.

Solució 2. (a) Ens dona un mapa complet i confirmat de la infraestructura, inclosos amfitrions interns (db-interno → 10.10.10.40) que no apareixien en fonts públiques, i ens estalvia gran part del descobriment. (b) És reportable perquè una zona que permet AXFR a qualsevol és una mala configuració: filtra tota la topologia DNS a un atacant. Contrapartida defensiva: restringir allow-transfer únicament als servidors secundaris autoritzats.

Solució 3. Perquè robots.txt demana als cercadors que no indexin aquestes rutes, però en llistar-les revela'n l'existència: /admin/ (panell d'administració) i /backup/ (possibles còpies amb dades sensibles) són objectius directes que potser no hauríem trobat enllaçats. Precaució: rastrejar amb baixa profunditat i concurrència per no degradar la botiga en producció; un crawler agressiu pot provocar una caiguda, cosa que seria un incident i una violació de les RoE de no interrompre el servei.

Amb el reconeixement actiu hem passat d'hipòtesis a certeses: hem confirmat les IP dels subdominis, descobert amfitrions interns via transferència de zona (db-interno → 10.10.10.40), inventariat els amfitrions vius de 10.10.10.0/24 amb un ping sweep, mapat la ruta fins a la botiga, llegit banners que revelen Apache 2.4.29 / PHP 7.2.24 / OpenSSH 7.6, ampliat la llista de subdominis (api, git) i dibuixat l'estructura de la botiga amb un crawling lleuger. Tot això deixant rastre de manera controlada i sense sortir de l'abast.

Ja hem tocat moltes eines —whois, dig, nmap -sn, nc, dnsx, wget— de manera dispersa, a mesura que les necessitàvem. A la lliçó següent, 02-03 Eines de Recollida d'Informació, fem un pas enrere per veure aquestes i altres eines com un catàleg comparat i, sobretot, per aprendre a orquestrar-les en un flux de recon coherent per a TechNova, en lloc de fer-les servir soltes. Ni passiu ni actiu en abstracte: quina eina, per a què, en quin ordre.