A 03-01 vam obtenir una taula de ports oberts per host: a dev (10.10.10.15) vam veure el 22, 80, 3306, 8080 i un misteriós 54321; a db-interno (10.10.10.40) el 53 i el 161/UDP; a la botiga el 80 i el 443. Però aquell 3306/tcp mysql és només una etiqueta que Nmap posa pel número de port: qualsevol pot posar un servei a qualsevol port. No sabem quina versió corre, quin servidor web serveix el 80, ni què dimonis és el 54321.

Enumerar serveis és respondre aquesta pregunta: per a cada port obert, quin servei és, quina versió, quin sistema operatiu l'allotja i quina informació exposa. L'entregable d'aquesta lliçó és un inventari de serveis amb versions —la peça que a 03-03 creuarem amb vulnerabilitats conegudes—. Aquí identifiquem i inventariem; encara no valorem ni prioritzem vulnerabilitats. I, com sempre, dins de l'abast: l'enumeració també genera trànsit i algunes sondes (força bruta de recursos, consultes SNMP massives) poden ser intrusives, així que s'acorden i es documenten.

1. De port obert a servei identificat
2. Detecció de versions amb Nmap (-sV)
3. Detecció de sistema operatiu (-O)
4. Banner grabbing manual
5. Enumeració per protocol: panorama
6. HTTP/HTTPS: whatweb, nikto i NSE
7. SMB: enum4linux i smbclient
8. SNMP: snmpwalk
9. Altres: FTP, SSH, SMTP, DNS, MySQL
10. L'inventari de serveis de TechNova
11. Contrapartida defensiva
12. Errors comuns i consells
13. Exercicis
14. Conclusió

L'escaneig de ports diu on escolta alguna cosa; l'enumeració diu què escolta i què explica de si mateix. La diferència és enorme per a un pentester:

• "El 3306 està obert" → no sé si és explotable.
• "El 3306 és MySQL 5.5.62, sense TLS, i accepta connexions des de la xarxa" → ja puc buscar vulnerabilitats concretes d'aquesta versió.

La versió és la dada més valuosa d'aquesta fase, perquè les vulnerabilitats conegudes estan lligades a versions concretes (ho veurem a 03-03 amb CVE i CPE). Per això l'objectiu central és afinar cada port obert fins a un servei + versió.

-sV fa que Nmap, després de trobar un port obert, interrogui el servei enviant sondes i comparant les respostes amb la seva base de dades de firmes (nmap-service-probes). Retorna el servei real i, sovint, la versió exacta.

Lectura línia a línia:

• 22 ... OpenSSH 7.6p1 Ubuntu: no només "ssh", sinó la versió exacta i que el sistema és Ubuntu (dada de SO de franc).
• 80 ... Apache httpd 2.4.29: el servidor web és Apache 2.4.29.
• 3306 ... MySQL 5.5.62: la base de dades ja no és una etiqueta: és MySQL 5.5.62, una versió antiga (pista per a 03-03).
• 8080 ... Jetty 9.4.z: un servidor Java Jetty, probablement una aplicació diferent.
• 54321 ... Werkzeug httpd 0.14.1 (Python 3.6.9): resolt el misteri: el port estrany és una app web en Python/Flask (Werkzeug és el seu servidor de desenvolupament). Que corri el servidor de desenvolupament en un port exposat és en si un indici de mala configuració.

Opcions útils: --version-intensity 0-9 regula quantes sondes envia (més intensitat = més precís però més sorollós); -sV --version-light és un compromís ràpid.

-O intenta endevinar el SO analitzant detalls de la pila TCP/IP (fingerprinting): valors inicials de TTL, mida de finestra, opcions TCP... Cada SO té una "empremta" diferent.

• Running: Linux 4.X|5.X: és un Linux amb kernel de la sèrie 4 o 5.
• OS CPE: cpe:/o:linux:linux_kernel:4: apareix el CPE, l'identificador estandarditzat que farem servir a 03-03 per buscar vulnerabilitats.
• Network Distance: 1 hop: està a un salt (mateixa xarxa), coherent amb l'auditoria interna.

Una drecera molt usada és -A, que combina -sV -O més scripts per defecte i traceroute:

És còmode, però més sorollós; en escenaris sigilosos es prefereix llançar -sV i -O per separat i controlats.

No sempre cal Nmap. Molts serveis es presenten sols en connectar (el banner). Connectar-se a mà amb netcat o openssl confirma versions i de vegades revela detalls que Nmap resumeix:

La capçalera X-Powered-By: PHP/7.2.24 és or: confirma que darrere d'Apache hi ha PHP 7.2 (la versió sense suport que ja sospitàvem de la botiga). Per a serveis sobre TLS es fa servir openssl s_client -connect host:443 en lloc de nc.

A partir de la versió, cada protocol té les seves pròpies tècniques d'enumeració per extreure informació. Mapa de què mirar segons el port:

Nmap porta la NSE (Nmap Scripting Engine): scripts categoritzats. Aquí fem servir la categoria safe d'enumeració (no la vuln, que és de 03-03). Els scripts viuen a /usr/share/nmap/scripts/ i s'invoquen amb --script.

La botiga és l'objectiu estrella, així que la seva enumeració web és prioritària. Primer whatweb per identificar tecnologies:

Confirma Apache 2.4.29, PHP 7.2.24 i jQuery 1.12.4 (totes versions antigues). Després nikto, un escàner de servidor web que busca fitxers i configuracions conegudes (l'utilitzem aquí com a reconeixement, no com a veredicte de vulnerabilitat):

Troballes d'enumeració molt útils: un directori /admin/ amb llistat, un config.php.bak (possible fuga de credencials) i un phpinfo.php (revela tota la configuració PHP). Amb NSE ampliem amb scripts segurs:

Si en un host Windows o Samba apareixen el 139/445, SMB és una font riquíssima. A TechNova hi ha estacions i un controlador de xarxa; suposem que 10.10.10.55 (estació) els té oberts. enum4linux automatitza l'enumeració:

Un null session (sessió sense credencials) permet llistar usuaris (reapareixen jlopez i mgarcia del recon!) i recursos compartits com RRHH. Amb smbclient intentem accedir al recurs (dins de l'abast):

Poder llistar RRHH amb -N (sense contrasenya) és una fallada de configuració seriosa. Ho documentem; explotar-lo a fons és matèria de mòduls posteriors.

A 03-01 vam veure el 161/UDP (SNMP) obert a db-interno. SNMP amb la comunitat per defecte (public) exposa un bolcat enorme d'informació interna. Primer endevinem la comunitat amb onesixtyone, després snmpwalk:

SNMP ens regala: el SO exacte (Linux 4.15.0-112), els processos en execució (mysqld corrent), les interfícies de xarxa i els ports locals. És enumeració interna gairebé de franc, i per això SNMP amb public és una troballa clàssica.

Escombrat d'altres protocols habituals amb NSE i clients natius:

Exemple de sortida de mysql-info:

Confirma MySQL 5.5.62 des del mateix protocol (no només per -sV), i que accepta connexions des de la xarxa —una base de dades no hauria d'estar exposada així—.

Consolidem tot en l'entregable de la lliçó: un inventari de serveis amb versions. Ordenat, és l'entrada directa de 03-03.

Fixa't: passem de "ports oberts" a un qui-és-qui amb versions llest per buscar CVE. Aquest és exactament el material que necessita la lliçó següent.

Tota aquesta enumeració es recolza en el fet que els serveis donen massa informació. El hardening corresponent:

• Ocultar banners i versions. ServerTokens Prod a Apache, treure X-Powered-By de PHP, banners neutres a SSH/SMTP. No impedeix l'atac, però dificulta el mapatge.
• Tancar sessions nul·les d'SMB (restrict anonymous), desactivar SMBv1 i no exposar recursos com RRHH sense autenticació.
• SNMP: canviar la comunitat public, fer servir SNMPv3 amb autenticació i xifratge, o desactivar-lo si no es fa servir.
• No exposar bases de dades (bind-address 127.0.0.1 a MySQL); mai deixar servidors de desenvolupament (Werkzeug, phpinfo.php, .bak) en sistemes accessibles.
• Detecció: l'enumeració amb -sV i NSE genera connexions completes i patrons reconeixibles; un IDS ben afinat i el registre d'accessos anòmals (moltes peticions a rutes inexistents, consultes SNMP externes) la delaten.

• Refiar-se del SERVICE per número de port. El 3306 podria no ser MySQL. Confirma sempre amb -sV o banner grabbing.
• Saltar directe a --script vuln. Això és 03-03. Aquí toca inventariar amb scripts safe/d'enumeració; barrejar fases embruta la feina.
• Ignorar UDP i SNMP. SNMP amb public dóna mig informe fet i molta gent ni el mira per ser UDP.
• Enumeració web sense context. nikto i whatweb solten molt soroll; anota el rellevant (versions, rutes, fitxers sensibles) i descarta la resta.
• Sessions nul·les no documentades. Si un null session et dóna usuaris i shares, és una troballa per si mateixa: registra-la, no la donis per feta.
• Ser massa intrusiu. Algunes sondes (força bruta de directoris agressiva, consultes SNMP massives) carreguen el servei. Ajusta intensitat i respecta la finestra.
• Consell: mantén un inventari viu en taula (host/port/servei/versió/notes) des de la primera comanda. Aquest document és literalment l'entrada de 03-03.

Exercici 1. Tens el 8080/tcp open de dev però Nmap només va dir "http-proxy" a 03-01. Escriu la comanda per identificar servei i versió d'aquest port i explica quina informació esperaries obtenir i per què és més útil que "http-proxy".

Exercici 2. A 10.10.10.55 un enum4linux -a retorna una null session amb la llista d'usuaris i un recurs RRHH accessible amb smbclient -N. Classifica què és enumeració (propi d'aquesta lliçó) i què seria ja explotació (mòduls posteriors), i què has de fer aquí i ara.

Exercici 3. Justifica, amb dos exemples concrets de l'inventari de TechNova, per què la versió és la dada més valuosa d'aquesta fase de cara a la lliçó següent (03-03).

Solució 1.

-sV interroga el servei i el compara amb les firmes de Nmap; amb intensitat alta afina la versió. Esperaríem alguna cosa com Jetty 9.4.z-SNAPSHOT (servidor Java) en lloc de l'etiqueta genèrica "http-proxy". És més útil perquè "http-proxy" és només una suposició per número de port, mentre que "Jetty 9.4.z" identifica el programari real i la seva versió, que és el que permet buscar vulnerabilitats concretes a 03-03.

Solució 2. Enumeració (aquesta lliçó): descobrir que existeix la null session, llistar usuaris (jlopez, mgarcia, Administrador) i llistar/llegir els noms del recurs RRHH. Tot això és inventariar informació exposada. Explotació (mòduls posteriors): fer servir aquests usuaris per a atacs de contrasenyes (Mòdul 4), o descarregar i exfiltrar els fitxers de RRHH com a part d'un accés. Aquí i ara: documentar la fallada (SMB permet sessió nul·la i exposa RRHH sense autenticació) amb evidència, i incloure-la a l'inventari; no anar més enllà del que l'abast autoritzi en aquesta fase.

Solució 3. Exemple A: MySQL 5.5.62 — sense la versió només sabríem "hi ha una base de dades"; amb la versió podem buscar a la NVD/exploit-db els CVE específics de MySQL 5.5.62 (03-03). Exemple B: PHP 7.2.24 / Apache 2.4.29 — versions concretes sense suport els CVE conegudes de les quals podrem llistar i prioritzar. La versió és la clau de cerca que connecta un servei amb la seva llista de vulnerabilitats conegudes; sense ella, la detecció de vulnerabilitats de la propera lliçó seria endevinar.

Hem transformat la taula de ports oberts en un inventari de serveis amb versions: ja no tenim "el 3306 obert", sinó "MySQL 5.5.62 exposat a la xarxa en un host Ubuntu 4.15"; no "el 80 obert", sinó "Apache 2.4.29 amb PHP 7.2.24, amb /admin/ llistable i un config.php.bak"; i hem resolt misteris com el 54321 (un Werkzeug/Flask de desenvolupament). Pel camí hem fet servir -sV, -O, banner grabbing manual i enumeració específica per protocol (whatweb, nikto, enum4linux, smbclient, snmpwalk, NSE), sempre identificant i inventariant, sense valorar encara la gravetat.

I aquesta és just la frontera que creuem ara. Tenim una llista de programari amb versions concretes, moltes d'elles visiblement antigues (MySQL 5.5, PHP 7.2, jQuery 1.12, un servidor de desenvolupament exposat, SMB amb sessió nul·la, SNMP public). La pregunta ja no és "què hi ha", sinó "què d'això és vulnerable, com de greu i per on convé començar".

A 03-03 Detecció de Vulnerabilitats, l'última lliçó del mòdul, creuarem aquest inventari amb les bases de dades de vulnerabilitats conegudes (CVE, CPE, NVD, exploit-db), passarem escàners (Nessus/OpenVAS, nmap --script vuln, nuclei) i, sobretot, validarem críticament els resultats per separar el fals positiu de la troballa real. El resultat serà una llista prioritzada de vulnerabilitats candidates: el pont cap a l'explotació del Mòdul 4.