Universidad Autnoma de Nuevo Len

Facultad de Ciencias Fsico Matemticas

Laboratorio de Seguridad en aplicaciones web

Practica 2: Configuracin de VPN y escaneo de puertos.

Objetivos:
En esta prctica el alumno deber instalar un cliente de servicio vpn (openvpn) y configurarlo de manera
que pueda visualizar una red interna en la nube, de igual manera realizara un escaneo utilizando la
herramienta N-map en el kali de su mquina virtual para el reconocimiento de los activos en el sistema ;
tambin se pedir que se monitoree el trfico utilizando la herramienta wireshark. Se busca que el
alumno se familiarice con los sistemas virtuales y con herramientas de anlisis de aplicaciones.

Entregables:
Se deber entregar imgenes de la conexin establecida a travs de la vpn, imagen de la configuracin
de la red (ifconfig) y logs como evidencia de los escaneos realizados con nmap al sistema en la nube, as
como evidencia de las capturas realizadas en wireshark.

Requerimientos mnimos:
- Sistema operativo: Windows XP, Vista, 7, Mac OS
- Memoria: 4GB
- Almacenamiento: 200GB
- Conexin a Internet

1
Programas Requeridos:
- Virtualbox (previamente instalado)
- OpenVPN Client
- kali (instalado en la mquina virtual)

Open VPN

Instalacin:

Para poder conectarnos al Open VPN Access Server, primeramente necesitamos descargar el cliente de
conexin para Windows, para ello podemos ir a la siguiente url:

http://openvpn.net/index.php?option=com_content&id=357

Una vez que nos encontramos dentro de la pgina de descarga, vamos a descargar el archivo nombrado
OpenVPN Desktop Client Download For Windows.

Una vez descargado el archivo de instalacin, seguiremos con la instalacin en nuestro equipo, para ello
basta con seguir una instalacin cotidiana dando clic en siguiente hasta finalizar el asistente de
instalacin.

2
Configuracin:

Cuando tenemos ya instalado el cliente de Open VPN y el perfil de conexin el paso siguiente es abrir
Open VPN Client y obtendremos la siguiente pantalla.

La imagen anterior es la pantalla principal de Open VPN Client donde podemos conectarnos a Open VPN
Access Server de diferentes formas, una de ellas es ingresando la IP del servidor, que ser el mtodo a
utilizar en esta prctica.

En el espacio medio habr que anotar la direccin IP a la cual hay que conectarse, IP: 107.23.239.142
despus presionar el botn de Connect.

Ahora la informacin requerida son las credenciales que cada alumno utilizaran para el acceso (Login)
que ser proporcionada por el instructor tanto el nombre de usuario como la contrasea

3
Posteriormente si los datos son correctos, inicia el proceso de conexin al Open VPN Access Server,
podemos observar un proceso de carga de configuraciones.

Y por ltimo podemos observar la vista final del proceso que es cuando ya estamos conectados al Open
VPN Access Server, la cual nos brinda informacin tal como la IP del servidor, la IP local asignada a
nuestro equipo dentro de la subred, el trfico de datos de entrada y salida, y la fecha de la conexin.

Como adicional, podemos verificar que nos encontramos bajo Open VPN Access Server, verificando
nuestra IP desde pginas web que nos dan informacin acerca de nuestra IP un ejemplo es
whatsmyip.org donde podemos entrar una vez conectados y deberemos de obtener la IP del Open VPN
Access Server y si estamos desconectados deber aparecer la IP asignada por nuestro proveedor de
internet.

La misma prueba podemos realizarla entrando desde una mquina virtual con Kali Linux con el
adaptador de red en modo NAT, por lo tanto al conectarnos en el cliente para Windows, y
posteriormente abrir la mquina virtual estaremos automticamente conectados al Open VPN Access
Server en la mquina virtual.

Actividad:

Mostrar imagen con pantalla de conexin exitosa.

4
 Wireshark y Tshark:

Wireshark es una herramienta que nos permite analizar el trfico de una red, mediante tcnicas de
captura y anlisis de paquetes que bien puede ser nombrado como sniffer, por lo tanto tenemos la
posibilidad de ver detalladamente que es lo que acontece en una red.

Para empezar a utilizar Wireshark en este caso vamos a hacerlo mediante Kali, por lo tanto Wireshark ya
se encuentra instalado y listo para ser utilizado, podemos encontrar esta herramienta en el siguiente
apartado o bien simplemente tecleando desde una terminal directamente wireshark.

Aplicaciones > Kali linux > Sniffing/Spoofing > Network Sniffers > wireshark

Y una vez que damos clic en wireshark, tendremos la vista principal de Wireshark donde podemos
observar algunos apartados como Capture, Files, Online y Capture Help.

Antes de empezar a utilizar Wireshark debemos considerar algunos puntos, uno de ellos es disponer de
un controlador que soporte la captura de paquetes, otro punto es contar con los privilegios adecuados

5
para poder capturar paquetes como ROOT, y una recomendacin es tener correctamente configurada la
zona horaria nicamente para fines de organizacin con los archivos de captura posteriores.

Captura de trfico:

Primeramente antes de empezar a capturar el trfico de la red, debemos seleccionar la interface por la
cual queremos capturar el trfico, normalmente cuando se desea capturar el trfico de toda la red se
utiliza el modo de captura promiscuo, en este caso solo capturaremos el trfico local de nuestro equipo.

Una vez seleccionada al interfaz para capturar el trfico de la red, damos clic en start, y pasaremos a una
nueva vista de Wireshark, sin embargo an no tendremos ningn paquete capturado si nuestro equipo
no est generando trfico dentro de la red, para ello podemos abrir el navegador de internet y dirigirnos
a cualquier pgina web, nuestro caso ser dirigirnos a www.google.com y realizar la bsqueda de
seguridad de aplicaciones con ello podremos observar en Wireshark como la captura de paquetes ha
comenzado y podemos empezar a filtrar todos los paquetes que sean de inters para nosotros.

6
La imagen anterior nos muestra la captura de trfico de la red en tiempo real, por lo que cada vez el
archivo temporal donde se guarda la captura de los paquetes ser ms grande, por lo cual hasta que
nosotros queramos u obtengamos la informacin necesaria podemos detener la captura en tiempo real
de paquetes, para realizar esta accin desde la barra de herramientas de Wireshark podemos observar
algunos iconos, los cuales permiten realizar acciones como, enlistar las interfaces de captura, mostrar las
opciones captura, iniciar una captura en tiempo real, detener la captura en curso, o reiniciar la captura
en curso, en nuestro caso vamos a detener la captura de trfico en tiempo real que tenemos en curso.

Despliegue de filtros:

Una vez que hemos detenido la captura en tiempo real del trafico de la red, ahora tendremos un numero
muy grande de paquetes capturados, por lo tanto tendremos la necesidad de aplicar filtros a todos los
paquetes que tenemos capturados, para ello Wireshark ya tiene definida una serie de expresiones para
el filtrado de paquetes de los cuales podremos apoyarnos, para ello basta con ubicar la barra de filtrado
y dar click sobre Expresin.

Ahora nos encontraremos con una serie de filtros ya establecidos y organizados por nombre, nosotros
utilizaremos nuestra primera expresin de filtrado para IPv4.

Una vez que tenemos ubicado IPv4 al expandir la agrupacin podemos observar una serie de expresiones
de filtrado relacionadas con IPv4, cada una de ellas nos permite parametrizar nuestro filtro de diferente
forma, en esta ocasin vamos a utilizar ip.src el cual nos permite obtener todo el trafico originado por
una IP origen, la cual nosotros vamos a definir, y como deseamos llegar hasta el paquete donde se
registro la peticin de bsqueda a google de seguridad de aplicaciones originada desde nuestro
equipo local, por ello vamos a poner como IP de Origen la IP de nuestro equipo, y en esta prctica es la IP
asignada a la interface eth0. Otro parmetro importante en el filtrado es la relacin que vamos a definir
respecto al campo previamente seleccionado, es decir si queremos que sea igual, mayo que, menor que,

7
que lo contenga etc. En nuestra practica nos interesa que la IP origen sea igual a la de nuestro equipo por
lo tanto seleccionamos la relacin == y despus indicamos la ip.

Una vez definido nuestro filtro podemos observar que en el rea de paquetes capturados tenemos un
nmero menor considerable a los paquetes inciales, debido a la expresin de filtrado que acabamos de
asignar.

Podemos hacer el filtrado de paquetes aun ms preciso combinando 2 o ms filtros, esto podemos
hacerlo simplemente utilizando and (&&) or(||) para ello combinaremos nuestra expresin de ip.src
con HTTP de la siguiente forma:

Al darle click a Apply, podemos observar que nos deja nicamente los paquetes que se originaron de la
IP que especificamos en este caso la 10.0.2.15 y que pertenecen a peticiones HTTP realizadas por el
mtodo GET, por tal motivo podremos analizar el paquete capturado de la peticin de bsqueda que se
realizo por medio de google.

8
Wireshark tambin en su pgina oficial nos brinda ejemplos acerca de filtros ya establecidos y
utilizados para fines especficos, estos filtros podemos implementarlos directamente en la barra de filtro
de Wireshark nicamente copiando algn filtro que venga en la pgina de ejemplo y colocndolo,
obviamente solamente deberemos cambiar ciertos parmetros como IP etc. Para poder visualizar todos
los ejemplos expuestos en la pagina oficial de Wireshark debemos navegar a la siguiente url:
http://wiki.wireshark.org/DisplayFilters

Guardar capturas:
El siguiente paso, es guardar el archivo de captura de trfico, para ellos debemos dar clic en la barra de
herramientas en el icono de guardar, o bien en el men file > save as.

Posteriormente tendremos activa la vista para guardar el archivos donde debemos indicar el nombre del
archivo seguido de la extensin .pcap y posteriormente en File Type debemos seleccionar el segundo
tipo de formato Wireshark/tcpdump/.-libpcap una vez que tenemos estas opciones de guardado listas
y seleccionada la ubicacin donde se va a guardar el archivo, damos clic en Save y tendremos listo
nuestro archivo practica3.pcap en el escritorio que fue la ubicacin seleccionada para este ejemplo.

9
 Abrir capturas:

Cuando tenemos archivos de capturas de trafico guardados o bien se nos proporciona algn archivo para
analizar posteriormente, necesitamos abrir Wireshark y ubicar el icono de abrir archivo de captura o
bien dirigirnos a file > open y tendremos la vista para abrir archivos de captura, donde deberemos
seleccionar algn archivo ubicado en nuestro equipo, por tal motivo abriremos el archivo previamente
guardado de la captura realizada, ubicado en el escritorio y nombrado como practica3.pcap.

Una vez que hemos abierto el archivo de captura de trafico tenemos nuevamente la posibilidad de
aplicarle filtros de trfico, identificar el trafico de salida, entrada o de algn protocolo especficamente.

10
Ejemplos de capturas:

Para efectos de practica la pagina oficial de Wireshark, nos brinda algunos archivos de captura de
ejemplo para empezar a identificar trficos, filtrados y encontrar algunas situaciones interesantes en
cada uno de los archivos facilitados, para ello debemos ingresar a
http://wiki.wireshark.org/SampleCaptures y en la seccin de atachments o adjuntos podemos
encontrar una gran variedad de archivos disponibles.

Actividad:

Mostrar el log con la captura de trfico.

Nmap escaneo de activos:

Iniciar Nmap:

Nmap es una herramienta que podemos encontrar en Kali o bien instalarla independientemente del
sistema operativo que se utilice. La herramienta tiene muchas aplicaciones que se le pueden dar, para
efectos de la practica vamos a utilizarlo para escanear activos, es decir equipos o servidores e identificar
que puertos o servicios se encuentran abiertos o en lnea.

11
Para empezar a utilizar Nmap dentro de Kali primeramente tendremos que abrir una terminal, a
diferencia de herramientas como Wireshark que cuentan con una interfaz grfica Nmap es totalmente
por lnea de comandos. Una vez abierta la terminal, podremos obtener informacin acerca de todas las
opciones de Nmap, tecleando directamente en la terminal nmap.

Para iniciar con un escaneo bsico sin parmetros, nicamente es necesario teclear nmap host donde
host es el dominio o IP del servidor o equipo que se desea escanear, en este caso para una prueba bsica
local podemos realizar un escaneo a nuestro propio equipo directamente con la ip, en este caso la ip del
equipo de prueba es 10.0.2.15 por lo cual el comando quedara exactamente de la siguiente forma:
nmap 10.0.2.15 y por consiguiente obtenemos la informacin relacionada al escaneo que indicamos,
que hace referencia a que el equipo est en lnea, y se han escaneado 1000 puertos y todos se
encuentran cerrados.

Ahora vamos a describir una serie de opciones para realizar escaneos, que son totalmente
indispensables de tomarlos en cuenta, ya que esto permite escaneos ms precisos y confidenciales hasta
cierto punto.

12
Mtodos de escaneo
Iniciaremos con explicar los mtodos de escaneo que podemos encontrar dentro de nmap.

sT // nmap sT host // nmap sT 192.168.1.1 // este mtodo de escaneo es el ms bsico sobre

tcp, ya que si el puerto se encuentra escuchando o abierto, se va a mostrar en la lista de lo
contrario no aparece, sin embargo este mtodo es muy fcil de ser detectado por firewalls.

-sS // nmap sS host // nmap sS 192.168.1.1 // podemos decir que este mtodo es el ms difcil
de detectar por firewalls, tambin se le llama half open ya que no abre una conexin tcp
completa, realiza el escaneo enviando un paquete SYN como si tuviera la intencin de abrir una
conexin y espera un ACK de respuesta por lo tanto al recibir el acuse de recibo el puerto se
encuentra abierto, e inmediatamente enva un RST para cerrar la conexin, en caso de no recibir
el ACK significa que el puerto se encuentra cerrado. Entonces podemos decir que es el modo de
escaneo ms discreto.

sF, sX, sN// nmap sF host, nmap sX host, nmap sN host // nmap sF 192.168.1.1 // este
mtodo entra de un modo nombrado stealth, y especficamente el sF es el modo FIN, ya que
utiliza un paquete vaco para realizar el escaneo de puertos, por otro lado tenemos es sX que es
llamado Xmas Tree y este mtodo lo que hace es activar las banderas de FIN, URG y PUSH para el
escaneo, y por ltimo el mtodo sN tambin conocido como NULL que lo que hace es ignorar los
estndares y realizar el escaneo en una forma diferente, es como un modo de trabajo propio.
Curiosamente estos 3 mtodos estn agrupados ya que tienen una caracterstica que los
distinguen, y es que no funcionan en sistemas operativos basados en Windows95/NT por lo que
si realizamos estos mtodos de escaneo en un servidor o equipo con UNIX lo ms probable es
que detecte cualquiera de los puertos cerrados aun cuando se encuentren abiertos, y por lo
contrario si es un servidor basado en WinNT lo ms probable es que los detecte abiertos en caso
de ser as.

sP // nmap sP host / nmap sP 192.168.1.1 // este modo de escaneo, es recommendable

utilizarlo especialmente para saber si algun host se encuentra en linea, se pueden especificar
varios y los que responden se encuentran activos en su defecto no lo estan.

sU // nmap sU host // nmap sU 192.168.1.1 // metodo de escaneo especialmente para

protocolo UDP ya que se envan paquetes UDP de 0 bytes a cada puerto de la IP y si recibe algn
mensaje ICMP del puerto inalcanzable significa que se encuentra cerrado.

13
Opciones de escaneo:

Una vez que tenemos definido algn mtodo de escaneo para algn host especfico podemos utilizar
diferentes opciones para complementar nuestro escaneo, tales como:

-O // nmap -O host // nmap O 192.168.1.1 // esta opcin de escaneo se utiliza para conocer el
sistema operativo del host a escanear.

-v // nmap v host / nmap v 192.168.1.1 // opcin de escaneo con informacin ampliada, nos
muestra resultados sobre el proceso de escaneo, normalmente le llaman modo verbose.

-F // nmap F host // nmap -F 192.168.1.1 // esta opcion nos permite realizar un escaneo rapido
de puertos a un host.

-p // nmap p Puerto host // nmap p 22,80,443 192.168.1.1 // esta opcin nos permite
escanear puertos especficos de un host.

-sV // nmap sV host // nmap sV 192.168.1.1 // nos permite visualizar la versin de los
servicios que se encuentran en el servidor o host al que realizamos el escaneo.

-A // nmap A host // nmap A 192.168.1.1 // nos permite realizar un escaneo y saber qu

sistema operativo corre el host y servicios activos.

Guardar archivos de salida:

Tambin podemos especificar un archivo de salida para la informacin obtenida en cualquier escaneo,
tenemos diversos formatos de salida que podemos especificar.

1. Salida Normal // -oN // nmap -sS oN nombre_archivo.nmap host // nmap -sS oN

nmap.lab3.nmap 192.168.1.1

2. Salida XML // -oX // nmap -sS oX nombre_archivo.xml host // nmap -sS oX nmap.lab3.xml
192.168.1.1

3. Salida ScRipT KIdd|3 // -oS // nmap -sS oS nombre_archivo.nmap host // nmap -sS oS
nmap.lab3.nmap 192.168.1.1

4. Salida Grepeable // -oG // nmap -sS oG nombre_archivo.gnmap host // nmap -sS oG

nmap.lab3.gnmap 192.168.1.1

5. Salida en todos los formato // -oA // nmap -sS oA nombre_archivo.nmap, nombre_archivo.xml

host // nmap -sS oA nmap.lab3.nmap, nmap.lab3.xml 192.168.1.1

Tambin tenemos la posibilidad de hacer un escaneo en base a un archivo con una lista de hosts o redes
previamente especificadas en el archivo, si vamos a crear el archivo manualmente, es importante
mencionar que cada host debe de ir separado por un espacio.

14
Escaneo con archivo fuente de hosts:

Para utilizar el modo de escaneo con un archivo de hosts, es necesario teclear lo siguiente en la terminal:

nmap iL ubicacin_del_archivo

Como ejemplo implementado podemos dejarlo de la siguiente forma:

nmap v iL netdiscover-practica3.log

Por lo que obtendremos un proceso detallado acerca del escaneo del archivo, el nmero de hosts a
escanear y la informacin sobre cada puerto sobre los hosts.

Ejemplos:

Como practica vamos a realizar un escaneo a un servidor localmente expuesto dentro de una red privada
con la IP 10.0.1.10, realizaremos un escaneo con la opcin v para observar todo lo que va pasando en el
proceso, a su vez utilizaremos el mtodo sS previamente explicado, tambin la opcin A para conocer
el sistema operativo del servidor y los servicios en l, -sV para obtener informacin un poco ms
detallada de los servicio y p para indicar que los puertos a escanear sern del 10 al 1200, por lo tanto
nuestro comando qued de la siguiente forma:

nmap v sS A sV p 10-1200 10.0.1.10

15
Actividad:

Mostrar el log del escaneo realizado acorde al activo elegido.

Referencias:

http://openvpn.net/index.php/access-server/docs.html

http://wiki.wireshark.org

http://nmap.org/

http://scanme.nmap.org/

16