Introducción a tcpdump Evaluacion PDF

Preview

Summary

Actividad Integradora...

Description

I nt r oducc i óna t c pdump 1hor a1cr édi t o Cal i ficarl ab

I nt r oducci ón Enes t el ab,pr esent ar emos" t c pdump"yal gunasdes usf unc i ones . " t c pdump"esl aher r ami ent adeanál i s i sder edmási mpor t ant epar al os pr of es i onal esder edesys egur i daddel ai nf or mac i ón.Comoes pec i al i st aen as i s t enc i adeTI ,esf undament al queconoz cabi enes t aapl i c aci óns ides ea ent enderTCP/ I P." t cpdump"l oay udar áamos t r arel t r áfi coder eddeuna maner amásf ác i l par aanal i z arysol uc i onarpr obl emas . Tendr á60mi nut ospar acompl et ares t el ab.

Actividades 

Aspect osbási cosdelcomando:Apr ender ácómous ar" t cpdump"y quéf unc i ónt i enenal gunasdesusmar cas ,ademásdecómoi nt er pr et arel r es ul t ado.



Capt ur asdepaquet e:Pr act i car ácómoguar darc apt ur asde paquet esenar c hi v osyv ol v eral eer l as . Al gunaspar t esdees t el abr equer i r ánquemásdeunat er mi nales t éabi er t a al mi s mot i empo.Porl ot ant o,as egúr es edet enerunat er mi nalc onot r a t er mi nal deconex i ónabi er t a.Dees t amaner a,puedeusarSSHenunaVM másdeunav ez .

Cómoconfigur arell ab Comience el lab Par apoderac cederalmat er i al delSO del amáqui nav i r t ual ,t endr áque c omenz arell ab.Par ael l o,hagacl i cenel bot ón" Comenz arl ab"enl apar t e s uper i ordel apant al l a. Not a:Par aest el ab,t endr áqueacc ederal aVM deLi nuxmedi ant e s ucl i ent eSSHl ocal ,ynousarGoogl eConsol e( elbot ónAbr i r GCPConsol enoes t ádi s poni bl epar aes t el ab) .

Des puésdehac erc l i cenel bot ón" Comenz arl ab" ,v er ál osdet al l esdel a c onex i ónSSHenl apar t ei z qui er dadel apant al l a.Deber í av erunapant al l a par ec i daal as i gui ent e:

Accedaal amáqui navi r t ual Bus queunadel ass i gui ent esf unc i oness egúnels i s t emaoper at i v odes u di s posi t i v o. Not a:Tr abaj arconQwi k l abspuedesersi mi l aralt r abaj oquer eal i z a c omoEspeci al i st adeAsi st enci aI nf or mat i ca;s eenf r ent ar acon t ec nol ogi adepunt aquer equi er emul t i pl espas ospar aac ceder ,yt alv ez muc hasdosi sdepac i enci ayper s i s t enc i a!Tambi enest ar aus andoSSHpar a ac cederal osl abor at or i os-Unacal i fi c aci oncr i t i caAs i s t enc i aI nf or mat i c a quepr act i c ar aat r av ezdel osl abor at or i os .

Opción 1: Usuarios de Windows: Conéctese a su VM

Enes t as ecc i ón,us ar áel c l i ent eSecur eShel l ( SSH)dePuTTYyl a di r ecc i ónI Pex t er nades uVM par ac onect ar se. Descar guesuar chi vodecl avePPK Puededes car garel ar c hi v odecl av epr i v adadel aVM en f or mat oPPKcompat i bl econPuTTYdel apági nadei ni c i odell abde Qwi k l abs .Hagac l i cenDescar garPPK.

Conéct eseasuVM medi ant eSSHyPuTTY 1. Ha gacl i caquípar adesc ar garPut t y . 2.Enel c ampoHostName( orI Paddr ess) ,i ngr ese us er name@ex t er nal _i p_addr ess . Not a:Reempl aceuser nameyext er nal _i p_addr essc onl osv al or es pr opor ci onadosenel l ab.

3.Enl al i s t aCat egor y,ex pandaSSH. 4.Hagacl i cenAut h( s i nex pandi r ) . 5.Enel c uadr oPr i vat ekeyfil ef oraut hent i cat i on,bus queelar c hi v o PPKquedes car góyhagac l i cenél . 6.Hagacl i cenel bot ónOpen. Not a:El ar c hi v oPPKs ei mpor t aal aher r ami ent aPuTTYmedi ant el aopci ón deexpl or ac i óndi sponi bl eenel l a.Nodeber í aabr i r s edi r ect ament e,sol o medi ant ePuTTY.

7.Cuandos el es ol i c i t eper mi t i runapr i mer ac onex i ónals er vi dorr emot o deSSH,hagac l i cenYes.Comout i l i z aunpardec l av espar al a aut ent i c aci ón,nosel epedi r áunacont r as eña. Pr obl emascomunes Si PuTTYnopuedeconec t ar s easuVM deLi nux ,c ompr uebel os i gui ent e:  

I ngr esó@enPuTTY. Des car góel nuev oar c hi v oPPKpar aes t el abdeQwi kl abs .



Us aelar c hi v oPPKdes car gadoenPuTTY.

Opción 2: Usuarios de OSX y Linux: Conéctese a su VM mediante SSH Descar gueelar chi vodecl avepr i vadadesuVM Puededes car gar l oenf or mat oPEM del apági nadei ni c i odel l abde Qwi k l abs .Hagac l i cenDescar garPEM.

Conéct eseal aVM medi ant el aapl i caci ónl ocaldel at er mi nal Unt er mi nalesunpr ogr amaquepr opor c i onaunai nt er f azdet ext opar a escr i bi rcomandos.Aquíus ar ás ut er mi nal comoc l i ent eSSHpar a c onect ar seconVM deLi nuxpr opor c i onadaenel l ab. 1.Abr al aapl i c aci óndelt er mi nal . o Par aabr i rel t er mi nalenLi nux ,us el ac ombi naci ónde t ec l asCt r l+Al t+t . o Par aabr i rel t er mi nalenMac( OSX) ,i ngr es ecmd+spacey bus quet er mi nal .  I ngr esel oss i gui ent escomandos . Not a:Reempl acer ut a/ nombr edear chi voporelar chi voPEM que des car gó,el user nameyl aExt er nalI Paddr ess. Espr obabl equeenc uent r eelar c hi v oPEM enDownl oads.Si nocambi ól a c onfigur ac i óndedes car gasdesus i st ema,l ar ut adel ac l av ePEM s er á~/ Downl oads/ qwi kLABSXXXXX. pem. chmod 600 ~/Downloads/qwikLABS-XXXXX.pem ssh -i ~/Downloads/qwikLABS-XXXXX.pem username@external_ip_address

Opción 3: Usuarios del Sistema operativo Chrome: Conéctese a su VM mediante SSH Renunci ader esponsabi l i dad:Unt er cer opr opor c i onal aapl i cac i ónques e us aenes t as ecc i ón.Googl enopr opor c i onar epr esent ac i ónni gar ant í asde ni ngúnt i pos obr el av al i dezni c ual qui erot r oas pect odees t aapl i c ac i ón. Not a:As egúr es edenoes t arenMododei ncógni t o/ pr i vadoali ni c i arl a apl i cac i ón. Descar gueelar chi vodecl avepr i vadadesuVM Puededes car gar l oenf or mat oPEM del apági nadei ni c i odel l abde Qwi k l abs .Hagac l i cenDescar garPEM.

Conéct eseasuVM 1. Ag r egueel cl i ent eTer mi us SSHdes deaquíasunav egadorChr ome. Si v eeli ndi cador" Nost r asl adamos " ,canc el el aacc i ónycont i núecon el l ab. 2.Enel menúdes pl egabl equeapar ecej unt oall ogot i podel a apl i cac i ón,esdec i r ,Ter mi us ,hagac l i cenKeychai n.

3.Enl apar t ei nf er i order ec hadel av ent ana,hagac l i cenel bot ónAdd Keypar aagr egarl acl av ePEM quedes car gó. 4.Enl as ecc i ónLabel ,i ngr eseel nombr edel ar c hi v oPEM des car gado, i nc l ui dal aex t ensi ón.P.ej . :qwi kx xx x xx x x x . PEM.Enl a s ecc i ónPr i vat ekey,pegueel cont eni dodel ar chi v oPEM des c ar gado. Dej el osdemásv al or espr edet er mi nadosyhagac l i cenel bot ónSave. Habr áagr egadoc or r ect ament el ac l av ePEM.Ci er r el a v ent anaTer mi usPr ef er ences. 5.Ahor ahagac l i cenNew Host ,enl aes qui nai nf er i order ec hadel a v ent ana.Enl as ec ci ónAddr ess,i ngr es el adi r ecc i ónI Pdes u i ns t anc i adeVM ques emenci onaenl as ecc i óndedet al l esde c onex i óndel l ab.EnUser name,i ngr eseel nombr edeusuar i oque apar ec eal l í .Par aPasswor d,hagacl i cenKeysj unt oalc ampode c ont r aseñasys el ecc i onel acl av equeacabadeagr egar .Hagac l i cen el bot ónSel ectdel aes qui nasuper i order ec hapar aconfi r marl ac l av e s el ecc i onada.

6.Hagac l i cenel bot ónSavepar aguar darel hos t .Podr áv erel hos t guar dadoenHost s. 7.Despl ác eses obr eelhos tguar dadoyapar ec er ál aopc i ónConnecten el l adoder ec ho.Hagac l i cenConnectpar aconect ar s eal hos t

guar dado.

8.Siapar eceunmens aj equesol i ci t al aaut ent i c i dadel hos t ,hagac l i c enel bot ónYes. 9.Yas econec t ócor r ect ament eas uVM deLi nux . Yapuedecont i nuarc onell ab.

Cómousar" t cpdump" Ahor a,us ar á" t c pdump"par ar eal i z aral gunast ar eas .Comenz ar emosc onel us obás i c oyc ont i nuar emoscont emasunpocomásav anz ados .

Uso básico Par acomenz ar ,i ngr es ar emos" t c pdump"yl oej ec ut ar emoss i nni nguna opc i ón.Tengaenc uent aque,c omotcpdump r equi er epr i v i l egi osde admi ni s t r adorpar ac apt ur arel t r áfi co,t odosl osc omandosdebencomenz ar c onsudo.Comomí ni mo,debees pec i fi c arunai nt er f azenl aquebus carcon l amar ca-i.Rec omendamosus arip link par av er i fi carel nombr edel a i nt er f azder edpr i nc i pal .Enes t ec aso,usar emosl ai nt er f azeth0 par at odos l osej empl os ,aunquenoesneces ar i ament el aqueusar í aens upr opi a máqui na. Si des eaus artcpdump par acomenz arabus carl ospaquet esenl ai nt er f az , i ngr es eel si gui ent ecomando. Avi so:Es t ec omandol l enar ás ut er mi nal conunfl uj odet ex t oc onst ant ea medi daques el eenl ospaquet esnuev os .Nos edet endr áhas t aque pr es i oneCt r l+C. sudo tcpdump -i eth0

Comor es ul t ado,s emos t r ar ái nf or mac i ónbás i cas obr el ospaquet esquev e di r ect ament eenl as al i daes t ándar .El pr oces ocont i nuar áhas t aques el e i ndi queques edet enga.Pr es i oneCt r l+Cpar adet enerelfl uj oenc ual qui er moment o.

Puedev erque,unav ezquetcpdump t er mi na,semuest r aunr es umendel a c apt ur ar eal i z ada,i nc l ui dal acant i daddepaquet escapt ur ados ,fi l t r adoso qui t ados :

Demaner apr edet er mi nada," t c pdump"r eal i z ar áunanál i si sdepr ot ocol o bás i co.Par ahabi l i t arunanál i s i smáscompl et o,us el amar ca-v afi nde ac t i v arelr es ul t adodet al l ado.Demaner apr edet er mi nada," t c pdump" t ambi éni nt ent ar ár eal i z arbús quedasdeDNSi nv er s asafi nder es ol v erl as di r ecc i onesI Pennombr esdehost ,ademásder eempl az arl osnúmer osde puer t oc onnombr esdeser v i c i oscomúnment eas oci ados .Puedeus arl a mar c a-n par ai nhabi l i t ares t ecompor t ami ent o.Recomendamosus ares t a

mar c apar aev i t argener art r áfi coadi ci onal apar t i rdel asbúsquedasde DNSyafi ndeacel er arel anál i s i s .I ngr es eels i gui ent ecomandopar a pr obar l o: Avi so:Es t ec omandol l enar ás ut er mi nal conunfl uj oc onst ant edet ex t oa medi daques el eenl ospaquet esnuev os .Nos edet endr áhas t aque pr es i oneCt r l+C. sudo tcpdump -i eth0 -vn

Puedev erqueahor ael r es ul t adopr opor ci onamásdet al l ess obr ec ada paquet e:

Si nl amar cader esul t adodet al l ado," t c pdump"s ol opr opor ci onal os i gui ent e: el pr ot oc ol odeLay er 3,l asdi r ec ci onesyl ospuer t osdeor i geny des t i no  det al l esdeTCP,c omomar cas ,s ecuenc i aynúmer osdeac k ,el t amañodel av ent anayl asopci ones Si ac t i v al amar c ader esul t adodet al l ado,t ambi énobt endr át odal a i nf or mac i óns obr eelenc abez adodeI P,c omoel t i empodev i da,el númer o deI DdeI P,l asopc i onesdeI Pyl asmar casdeI P. 

Fi l t r ado Ac ont i nuac i ón,anal i z ar emosbr ev ement eel l enguaj edefil t r adodetcpdump, j unt oc onel anál i s i sdepr ot ocol o.tcpdump admi t eunl enguaj epot ent epar a el fi l t r adodepaquet esquel eper mi t ec apt ur ars ol oel t r áfi coquel ei nt er esa oquedes eaanal i z ar .Lasr egl asdefi l t r adov anal final del comando, des puésdees pec i fi c arel r es t odel asmar c as .Sol ous ar emoselfi l t r ado par acapt ur art r áfic odeDNSauns er vi dorDNSes pec í fic o.Ac ont i nuaci ón, gener ar emost r áfic odeDNSafindedemos t r arl acapac i dadde" t c pdump" dei nt er pr et arc ons ul t asyr espues t asdeDNS. I ngr eseel comandoahor a.Al i gual queel comandoant er i or ,es t es e ej ec ut ar áhas t aquel odet engaconCt r l+C,per ot odaví anodeber í av er ni ngúnr esul t ado. sudo tcpdump -i eth0 -vn host 8.8.8.8 and port 53

Anal i cemoscómoes t áf or madoes t efi l t r oyquéhaceex act ament e.Host 8.8.8.8 e s pec i fi c aques ol oquer emospaquet esc uy adi r ecc i ónI Pdeor i gen odes t i nocoi nc i dac onl oquei ndi c amos( enes t ecas o,8. 8. 8. 8) .Si s ol o quer emost r áfi coenunadi r ecc i ón,t ambi énpodr í amosagr egarun c al i fi cadordedi r ec ci ón,comodst osrc ( par al asdi r ecc i onesI Pdedes t i no yor i genr espect i v ament e) .Si nembar go,s i noi nc l uy eel cal i fi cador ,s e c apt ar áel t r áfi coenc ual qui erdi r ec ci ón. Lapar t eport 53 i ndi c aquesol oquer emosv erpaquet esc uy opuer t ode or i genodes t i nocoi nci dac onl oquees peci fi camos( enes t ec as o,DNS) . Es t osdosfi l t r osseunenmedi ant eel oper adorl ógi c o" and" ,l oques i gni fi ca queambaspar t esdebens erv er dader aspar aquenues t r ofil t r ocapt ur eun paquet e. Ac ont i nuac i ón,s i gal asi ns t r uc c i onesenl as ec ci ónAcceda a la máquina virtual p ar aconec t arl asegunda terminal.Hagac l i cenAcceda a la máquina virtual e nel paneldenav egac i ónal ader echay ,al l í ,ej ecut e es t ec omando: dig @8.8.8.8 A example.com

Deber í av erel s i gui ent er esul t adoenl apant al l a:

Est ecomandous al aher r ami ent adig par ac onsul t aruns er v i dorDNS es pec í fic o( enes t ec as o,8. 8. 8. 8)yl epi deel A record d eldomi ni o es pec i fi c ado( enes t ec aso," ex ampl e. com" ) . Enl at er mi nalor i gi nal ,deber í av erdospaquet escapt ur ados ,y aque nues t r asr egl asdefi l t r adodeber í anfi l t r arc ual qui erot r ot i podet r áfi co:

El pr i mer oesl ac onsul t adeDNS,queesnuest r apr egunt a( del as egunda t er mi nal )quev aal s er v i dor .Tengaenc uent aque,enes t ec aso,el t r áfic oes UDP.El anál i s i squetcpdump hacedel ac ons ul t adeDNScomi enz a

i nmedi at ament edes puésdelc ampochecksum deUDP.Empi ez aconel númer odeI DdeDNS,segui doporal gunasopc i onesdeUDPy ,porúl t i mo, el t i podecons ul t a( enest ec as o,A?,quei ndi caquepedi mosunA record). Ac ont i nuac i ón,s i gueel nombr ededomi ni oquenosi nt er es a ( example.com) .

El segundopaquet eesl ar es puest adel s er v i dor ,quei nc l uy eel mi s moI Dde DNSdel ac onsul t aor i gi nal ,s egui dodel acons ul t aor i gi nal .Ac ont i nuaci ón, s eencuent r al ar es puest aal acons ul t a,quec ont i enel adi r ec ci ónI P as oc i adac onelnombr ededomi ni o.

Par adet enerl ases i ónde" t c pdump"enl at er mi nal or i gi nal ,pr es i oneCt r l+ C.As egúr esededej arabi er t al av ent anadel as egundat er mi nal ,y aquel a nec esi t ar ápr ont o. Ac ont i nuac i ón,apr ender emossobr el ac apaci daddetcpdump deguar dar c apt ur asdepaquet esenunar chi v oy ,l uego,v ol v erl eer l as .

Cómoguar darpaquet escapt ur ados Enunadesust er mi nal es ,ej ec ut eel s i gui ent ec omando: sudo tcpdump -i eth0 port 80 -w http.pcap

Espec i fiqueel puer t o" 80"par acomenz arunac apt ur aennues t r ai nt er f az " et h0"quesol ofi l t r eel t r áfi codeHTTP.Lamar ca-w i ndi caquequer emos guar darl ospaquet escapt ur adosenunar chi v ol l amadohttp.pcap.Al i gual quel asot r ascapt ur as ,s eej ec ut ar áhas t aquef uer c el adet enci ónconCt r l+ C.

Unav ezquesees t éej ec ut ando,v uel v aal asegundat er mi nal ,enl aque gener ar áal godet r áfi coht t pques ecapt ur ar áenl at er mi nalor i gi nal . Todaví anodet engal acapt ur aquecomenz óc onel comandoant er i or( s iy a l ohi z o,pueder ei ni c i arahor a) . Enl av ent anadel as egundat er mi nal ,ej ecut eel s i gui ent ec omandopar a gener aral godet r áfic o: curl example.com

Est ecomandoobt i eneel HTMLdeexample.com yl omues t r aenl apant al l a. Deber í av er s edel as i gui ent emaner a( t engaenc uent aqueaquís ol os e mues t r al apr i mer apar t edel r esul t ado) .

Unav ezquehay at er mi nado,c i er r el av ent anadel as egundat er mi naly v uel v aal at er mi nal or i gi naldondes ees t áej ec ut andol ac apt ur a.Det engal a c apt ur ac onCt r l+C.Deber í amost r ar seunr es umendel númer ode paquet escapt ur ados :

Tambi éns ehabr ác r eadounar chi v obi nar i o,l l amadohttp.pcap,que c ont i enel ospaquet esqueacabamosdecapt ur ar .Noi nt ent emost r arel c ont eni dodees t ear c hi v oenl apant al l a.Comoesunar c hi v obi nar i o,s e mos t r ar ácomot ex t oc onf usoquenopodr ál eer .

Enal gúnl ugardel ar chi v o,hayi nf or mac i ónsobr el ospaquet esc r eados c uandoex t r aj oel HTMLdeexample.com.Ahor apodemosus arel s i gui ent e c omandopar al eerelt ex t odees t ear c hi v ocont c pdump: tcpdump -r http.pcap -nv

Tengaenc uent aquenonec esi t amosusarsudo par al eerpaquet esdeun ar c hi v o.Recuer de,además ,que" t c pdump"guar dapaquet esc ompl et osen el ar chi v o,nos ol oel anál i s i sbasadoent ex t oquesemues t r aenl apant al l a c uandoest áf unc i onandonor mal ment e.Porej empl o,enal gúnl ugardel r es ul t adodeber í av erel HTMLques emos t r ócomoc uer podel abús queda or i gi nal enl aot r at er mi nal :

Hagacl i cen" Rev i s armipr ogr eso"par av er i fi carel obj et i v o. Guar depaquet esenunar chi vo Rev i sarmi pr ogr eso

Concl usi ón ¡ Fel i c i t ac i ones !Us ó" t c pdump"c or r ec t ament epar ar eal i z art ar easbás i cas des uper v i si ónder ed,i ncl ui doelfi l t r adodet r áfi coes pecí fi c o.T ambi én apr endi óai nt er pr et arl ai nf or mac i ónque" t c pdump"mues t r asobr eun paquet e,ademásdeguar darycar garr esúmenesdel ospaquet esques e c apt ur ar ondur ant eunas esi ón.

Fi nal i cesul ab Cuandohay acompl et adol acapac i t aci ón,hagac l i cenFi nal i z arl ab. Qwi k l absqui t ar ál osr ecur sosqueusóybor r ar ál osdat osdel ac uent apor us t ed. Tendr ál aopor t uni daddec al i fi cars uex per i enci a.Sel ecc i onel ac ant i dadde es t r el l asquec or r esponda,i ngr es euncoment ar i oyhagac l i cenEnvi ar . Lacant i daddees t r el l asi ndi cal osi gui ent e:     

1es t r el l a=Muyi ns at i s f ec ho 2es t r el l as=I ns at i s f ec ho 3es t r el l as=Neut r al 4es t r el l as=Sat i s f ec ho 5es t r el l as=Muys at i s f ec ho Si nodes eapr opor c i onarcoment ar i os ,ci er r eel c uadr odedi ál ogo. Par aenv i ars uger enc i asocor r ecc i ones ,usel apest añaAsi st enci a....