Técnicas de Rastreo de Puertos en Redes TCP/IP: Métodos y Estrategias

Técnicas de Rastreo de Puertos en Redes TCP/IP

Rastreo Vainilla connect()
Es el tipo de sondeo más básico y más rápido que se puede realizar. Comprueba todos los puertos del sistema para determinar qué servicios TCP están accesibles en un host objetivo determinado.

No es sigiloso en absoluto, pues se establece una conexión TCP/IP completa con el puerto uno del host objetivo, luego con el dos, con el tres, y así sucesivamente.

Rastreo de Indicador SYN Medio Abierto

Recibe su nombre porque, a diferencia de Vainilla connect(), nunca se abre una conexión TCP completa.

Cuando se encuentra un puerto que está escuchando, un paquete con indicador RST se envía como la tercera parte del protocolo de intercambio de tres vías. De esta manera, se reinicia abruptamente la conexión TCP, y como no se completa el three-way handshake, el intento de conexión a menudo no es registrado en el host objetivo, lo que dificulta su detección.

Rastreo de Indicador TCP Inverso

Utiliza indicadores TCP malformados para realizar el sondeo de un objetivo. Se conoce como técnica inversa, pues las respuestas son devueltas únicamente por los puertos cerrados. El RFC 793 indica que si no se percibe ninguna respuesta del puerto analizado, significa que el puerto está abierto o que el equipo se encuentra apagado. Si un puerto está cerrado, se debe enviar un paquete RST/ACK para reiniciar la conexión.

Este rastreo no es muy preciso, pero es sigiloso, pues envía “basura” que normalmente no será detectada a cada puerto.

Rastreo de Sondeo de Indicador ACK

Documentado por Uriel Maimon en el número 49 del magazine Phrack, consiste en enviar paquetes con el indicador ACK activado y luego analizar la información de los segmentos recibidos con el indicador RST activado. Esta técnica explota vulnerabilidades de la pila TCP/IP de sistemas BSD, es decir, que solo será efectiva con ciertos sistemas operativos y plataformas.

Rastreo de Fragmentación TCP

Fragmentar paquetes IP es una variante de otras técnicas de exploración TCP. En lugar de enviar un paquete de prueba sencillo, el paquete se rompe en dos o más paquetes, y se ensambla en destino, con lo que evita los filtros de paquetes. Muchos sensores IDS no pueden procesar grandes volúmenes de paquetes fragmentados, ya que hacerlo crea un gran atasco en términos de memoria y consumo de CPU al nivel del sensor de red. Mientras que la mayoría de cortafuegos de los entornos altamente protegidos ponen en cola todos los fragmentos IP antes de procesarlos, algunas redes desactivan esta funcionalidad debido a su repercusión en el rendimiento.

Realmente no es un método de sondeo por sí solo, sino una modificación de otras técnicas.

Rastreo de Rebote FTP

Rastreo de Rebote FTP
Este rastreo es también una técnica de exploración muy sigilosa. Se basa en que es posible localizar un servidor FTP desactualizado que permita realizar este tipo de ataque, y que se aproveche de un defecto en la forma en la que los servidores FTP gestionan las conexiones, mediante el comando PORT (RFC 959), que envía datos a equipos y puertos especificados por el usuario.