Episodio 5: Detección de Servicios y Versiones

Introducción

¡Bienvenido/a al quinto episodio de nuestro curso completo de Nmap! En este módulo, nos enfocaremos en la detección de servicios y versiones, la habilidad crítica que transforma el escaneo básico de puertos en inteligencia de seguridad accionable. Aprenderás cómo identificar exactamente qué servicios se están ejecutando en los puertos abiertos y determinar sus versiones específicas.

Esta información es vital para las evaluaciones de seguridad, la gestión de vulnerabilidades y la documentación de la red.

Al final de este módulo, vas a poder identificar ("fingerprint") con precisión los servicios en tu red, incluso aquellos que se ejecutan en puertos no estándar o que intentan ocultar su identidad.

Fundamentos de la Enumeración de Servicios

¿Qué es la Enumeración de Servicios?

La enumeración de servicios es el proceso de identificar y recopilar información sobre los servicios que se ejecutan en una red. Mientras que el escaneo de puertos nos dice qué puertos están abiertos, la enumeración de servicios nos dice qué está realmente corriendo en esos puertos.

Esta distinción es crucial porque:

• Los números de puerto son meras convenciones, no garantías
• Los servicios pueden ejecutarse en puertos no estándar
• Servicios maliciosos podrían hacerse pasar por legítimos
• El mismo puerto podría alojar diferentes servicios en diferentes sistemas

Una enumeración de servicios efectiva proporciona la base para la evaluación de vulnerabilidades, las pruebas de penetración y la gestión de la seguridad de la red.

La Importancia de la Detección de Versión

La detección de versión es crítica porque las vulnerabilidades son específicas de cada versión. Saber que un servidor web está ejecutando Apache no es suficiente; necesitamos saber si es Apache 2.4.49 con una vulnerabilidad crítica de path traversal o una versión parcheada.

La información de la versión permite:

• Mapeo preciso de vulnerabilidades: Relacionar servicios con vulnerabilidades conocidas
• Evaluaciones de seguridad precisas: Evaluar el riesgo basado en las versiones reales
• Gestión efectiva de parches: Identificar sistemas que necesitan actualizaciones
• Verificación de cumplimiento: Asegurar que los sistemas cumplan con los requisitos de seguridad
• Detección de servicios no autorizados: Identificar servicios "rogue" o inesperados

Para los atacantes, la información de la versión revela posibles caminos de explotación. Para los defensores, destaca las brechas de seguridad que deben abordarse. Es por eso que la detección de versiones es una piedra angular tanto de las operaciones de seguridad ofensivas como defensivas.

Cómo Nmap Identifica Servicios

La detección de servicios de Nmap es sofisticada y multicapa:

El Proceso de Detección de Servicios

1. Escaneo de Puertos: Primero, Nmap identifica los puertos abiertos
2. Sondas Iniciales: Nmap envía sondas generales para provocar respuestas
3. Análisis de Respuestas: Las respuestas se comparan con la base de datos de firmas
4. Sondas de Seguimiento: Basado en las respuestas iniciales, se envían sondas más específicas
5. Banner Grabbing: Nmap captura y analiza los banners de los servicios
6. Prueba de Comportamiento del Protocolo: Nmap prueba cómo responden los servicios a solicitudes específicas del protocolo
7. Puntuación de Confianza: A cada coincidencia se le asigna un nivel de confianza

Este proceso se rige por la base de datos nmap-service-probes, que contiene miles de huellas digitales ("fingerprints") para diferentes servicios y versiones.

Base de Datos de Sondas de Servicio

El archivo nmap-service-probes contiene patrones que coinciden con las respuestas de los servicios:

# Ejemplo de nmap-service-probes
Probe TCP GetRequest q|GET / HTTP/1.0\r\n\r\n|
rarity 1
ports 80,81,631,1080,3128,8000,8080,8081
sslports 443,8443

Cada sonda especifica:

• El protocolo (TCP/UDP)
• El nombre de la sonda
• Los datos reales enviados
• Rareza (qué tan común es el servicio)
• Puertos donde típicamente se encuentra este servicio

Nmap usa estas sondas estratégicamente, comenzando con las más comunes y procediendo a sondas más raras solo cuando es necesario.

Detección Básica de Versión

Empecemos con los comandos básicos de detección de versión:

Escaneo de Versión Estándar

nmap -sV 192.168.1.1

Esto habilita la detección de versión con la configuración predeterminada. La opción -sV le dice a Nmap que intente determinar la versión del servicio en todos los puertos abiertos.

Starting Nmap 7.94 ( https://nmap.org ) at 2025-04-14 18:00 EDT
Nmap scan report for 192.168.1.1
Host is up (0.0023s latency).
Not shown: 995 closed tcp ports (reset)
PORT     STATE SERVICE  VERSION
22/tcp   open  ssh      OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
53/tcp   open  domain   ISC BIND 9.16.1 (Ubuntu Linux)
80/tcp   open  http     Apache httpd 2.4.41 ((Ubuntu))
443/tcp  open  ssl/http nginx 1.18.0 (Ubuntu)
8443/tcp open  ssl/http Apache Tomcat 9.0.60

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.52 seconds

Notá cómo Nmap identifica no solo el tipo de servicio, sino versiones específicas e incluso información de la distribución. Este nivel de detalle es crucial para la evaluación de seguridad.

Escaneo de Versión en Puertos Específicos

nmap -sV -p 22,80,443 192.168.1.1

Esto enfoca la detección de versión en puertos específicos, lo cual es útil cuando solo estamos interesados en ciertos servicios o queremos acelerar el escaneo.

Starting Nmap 7.94 ( https://nmap.org ) at 2025-04-14 18:05 EDT
Nmap scan report for 192.168.1.1
Host is up (0.0023s latency).

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))
443/tcp open  ssl/http nginx 1.18.0 (Ubuntu)

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

Combinando Detección de Versión con Otros Tipos de Escaneo

La detección de versión se puede combinar con diferentes tipos de escaneo:

# Escaneo SYN con detección de versión
sudo nmap -sS -sV 192.168.1.1

# Escaneo UDP con detección de versión
sudo nmap -sU -sV -p 53,123,161 192.168.1.1

# Escaneo comprensivo con detección de versión
sudo nmap -sS -sU -sV -p T:1-1000,U:53,123,161 192.168.1.1

Controlando la Intensidad de Detección

Nmap ofrece diferentes niveles de intensidad para la detección de versión, equilibrando la exhaustividad con la velocidad y la intrusividad:

nmap -sV --version-intensity 0 192.168.1.1

nmap -sV 192.168.1.1

nmap -sV --version-intensity 9 192.168.1.1

nmap -sV --version-all 192.168.1.1

Comparación de Niveles de Intensidad

Examinando la Detección en Acción

Veamos cómo funciona la detección de versión en la práctica examinando los paquetes y respuestas:

Rastreando la Detección de Versión

Para ver las sondas exactas que Nmap envía durante la detección de versión, usamos la opción --version-trace:

nmap -sV --version-trace 192.168.1.1 -p 80

Starting Nmap 7.94 ( https://nmap.org ) at 2025-04-14 18:15 EDT
Service scan sending probe GetRequest to 192.168.1.1:80
Service scan sending probe HTTPOptions to 192.168.1.1:80
Service scan sending probe RTSPRequest to 192.168.1.1:80
Service scan sending probe Help to 192.168.1.1:80
Service scan sending probe SSLSessionReq to 192.168.1.1:80
Service scan match (GetRequest): 192.168.1.1:80 is http. Version: Apache httpd 2.4.41
Nmap scan report for 192.168.1.1
Host is up (0.0023s latency).

PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.41

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 0.82 seconds

Esta salida muestra:

1. Nmap envía una serie de sondas (GetRequest, HTTPOptions, etc.)
2. La sonda GetRequest identifica exitosamente el servicio
3. Nmap deja de enviar sondas una vez que tiene una coincidencia de alta confianza

Análisis de Paquetes

Examinemos los paquetes reales con --packet-trace:

sudo nmap -sV -p 80 --packet-trace 192.168.1.1

SENT (0.0429s) TCP 10.10.14.2:63090 > 192.168.1.1:80 S ttl=56 id=57322 iplen=44 seq=1699105818 win=1024 <mss 1460>
RCVD (0.0573s) TCP 192.168.1.1:80 > 10.10.14.2:63090 SA ttl=64 id=0 iplen=44 seq=3349149304 win=64240 <mss 1460>
Service scan sending probe GetRequest to 192.168.1.1:80
SENT (0.0574s) TCP 10.10.14.2:63090 > 192.168.1.1:80 A ttl=56 id=57323 iplen=40 seq=1699105819 win=1024
SENT (0.0574s) TCP 10.10.14.2:63090 > 192.168.1.1:80 PA ttl=56 id=57324 iplen=56 seq=1699105819:1699105835 win=1024
RCVD (0.0718s) TCP 192.168.1.1:80 > 10.10.14.2:63090 A ttl=64 id=1 iplen=40 seq=3349149305 win=64240
RCVD (0.0719s) TCP 192.168.1.1:80 > 10.10.14.2:63090 PA ttl=64 id=2 iplen=479 seq=3349149305:3349149744 win=64240
Service scan match (GetRequest): 192.168.1.1:80 is http. Version: Apache httpd 2.4.41

Este rastreo detallado muestra:

1. El handshake TCP inicial
2. Nmap enviando la sonda GetRequest
3. La respuesta del servidor
4. Nmap relacionando la respuesta con Apache httpd 2.4.41

Detectando Servicios en Puertos No Estándar

Los servicios no siempre se ejecutan en sus puertos estándar. Exploremos cómo Nmap maneja este desafío:

Escaneando Todos los Puertos con Detección de Versión

nmap -sV -p- 192.168.1.1

Esto escanea los 65.535 puertos e intenta la detección de versión en cualquiera que esté abierto. Es exhaustivo pero consume tiempo.

Escaneo Dirigido de Puertos No Estándar

nmap -sV -p 8080,8443,10000 192.168.1.1

Esto verifica puertos no estándar específicos que comúnmente alojan servicios web o interfaces de administración.

Ejemplo: Servidor Web en Puerto No Estándar

PORT     STATE SERVICE VERSION 8080/tcp open  http    Apache httpd 2.4.41

Nmap identifica correctamente el servicio HTTP a pesar de que se ejecuta en el puerto 8080 en lugar del puerto estándar 80.

Ejemplo: SSH en Puerto No Estándar

PORT     STATE SERVICE VERSION 2222/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.5

Nmap identifica correctamente SSH ejecutándose en el puerto 2222 en lugar del puerto estándar 22.

Técnicas Avanzadas de Enumeración

Banner Grabbing

El "banner grabbing" es una técnica para extraer información de los banners de servicio. Nmap lo hace automáticamente durante la detección de versión, pero también podemos hacerlo manualmente:

# Para HTTP
nc -v 192.168.1.1 80
GET / HTTP/1.0
(presionar Enter dos veces)

# Para SMTP
nc -v 192.168.1.1 25

# Para FTP
nc -v 192.168.1.1 21

# Para SSH
nc -v 192.168.1.1 22

Ejemplo de respuesta HTTP:

HTTP/1.1 200 OK
Date: Mon, 14 Apr 2025 18:20:00 GMT
Server: Apache/2.4.41 (Ubuntu)
Content-Type: text/html; charset=UTF-8

El encabezado "Server" revela la versión del servidor web.

Fingerprinting de Servicios con Scripts NSE

Nmap Scripting Engine (NSE) proporciona capacidades adicionales de fingerprinting de servicios:

# Información básica del servicio
nmap --script=banner 192.168.1.1

# Información del servidor HTTP
nmap --script=http-server-header 192.168.1.1

# Información del certificado SSL/TLS
nmap --script=ssl-cert 192.168.1.1

# Información del servidor SSH
nmap --script=ssh2-enum-algos 192.168.1.1

Estos scripts extraen información más detallada que la detección de versión estándar.

Enumeración Comprensiva de Servicios

Para una evaluación completa de servicios, combinamos detección de versión con scripts NSE relevantes:

nmap -sV --script=banner,version 192.168.1.1

Esto proporciona tanto detección de versión como información adicional del servicio.

Técnicas Específicas por Servicio

Diferentes servicios requieren diferentes enfoques de enumeración. Exploremos técnicas para servicios comunes:

# Información básica del servidor web
nmap -sV -p 80,443,8080,8443 --script=http-server-header 192.168.1.1

# Detectar aplicaciones web
nmap -p 80,443 --script=http-enum 192.168.1.1

# Buscar vulnerabilidades comunes
nmap -p 80,443 --script=http-vuln* 192.168.1.1

PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-server-header: Apache/2.4.41 (Ubuntu)
| http-enum:
|   /admin/: Página de login de admin
|   /wp-login.php: Página de login de WordPress
|_  /phpmyadmin/: phpMyAdmin

# Enumeración MySQL
nmap -sV -p 3306 --script=mysql-info 192.168.1.1

# Enumeración MSSQL
nmap -sV -p 1433 --script=ms-sql-info 192.168.1.1

# Enumeración PostgreSQL
nmap -sV -p 5432 --script=pgsql-brute 192.168.1.1

PORT     STATE SERVICE VERSION
3306/tcp open  mysql   MySQL 5.7.33-0ubuntu0.18.04.1
| mysql-info:
|   Protocolo: 10
|   Versión: 5.7.33-0ubuntu0.18.04.1
|   Thread ID: 9
|   Flags de capacidades: 65535
|   Algunas Capacidades: Support41Auth, Speaks41ProtocolOld, SupportsTransactions, DontAllowDatabaseTableColumn, IgnoreSigpipes, InteractiveClient, SupportsLoadDataLocal, ODBCClient, IgnoreSpaceBeforeParenthesis, SwitchToSSLAfterHandshake, LongPassword, ConnectWithDatabase, FoundRows, LongColumnFlag, SupportsCompression, Speaks41ProtocolNew, SupportsMultipleStatments, SupportsAuthPlugins, SupportsMultipleResults
|   Estado: Autocommit
|   Salt: \x14j\x08W\x16\x16\x15\x1D\x06\x0F\x01\x15\x13\x0E\x1C\x14\x10\x11\x0A\x08\x1B
|_  Nombre Plugin Auth: mysql_native_password

# Enumeración SMTP
nmap -sV -p 25,465,587 --script=smtp-commands 192.168.1.1

# Enumeración POP3
nmap -sV -p 110,995 --script=pop3-capabilities 192.168.1.1

# Enumeración IMAP
nmap -sV -p 143,993 --script=imap-capabilities 192.168.1.1

PORT   STATE SERVICE VERSION
25/tcp open  smtp    Postfix smtpd
|_smtp-commands: inlane.philocyber.com, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN, SMTPUTF8

# Enumeración SMB
nmap -sV -p 139,445 --script=smb-os-discovery 192.168.1.1

# Enumeración RDP
nmap -sV -p 3389 --script=rdp-enum-encryption 192.168.1.1

# Enumeración Active Directory (LDAP)
nmap -sV -p 389,636 --script=ldap-rootdse 192.168.1.1

PORT    STATE SERVICE      VERSION
445/tcp open  microsoft-ds Microsoft Windows 7 - 10 microsoft-ds
| smb-os-discovery:
|   OS: Windows 10 Pro 21H2 (Windows 10 Pro 6.3)
|   OS CPE: cpe:/o:microsoft:windows_10::-
|   Nombre Computadora: ESTACION01
|   Nombre NetBIOS Computadora: ESTACION01\x00
|   Nombre Dominio: ejemplo.local
|   Nombre Forest: ejemplo.local
|   FQDN: ESTACION01.ejemplo.local
|_  Hora Sistema: 2025-04-14T14:25:00-04:00

Manejando Servicios Desafiantes

Algunos servicios están diseñados para ser difíciles de identificar o pueden comportarse de maneras que confunden los métodos de detección estándar.

Manejando Puertos Filtrados

Cuando los puertos están filtrados por firewalls, la detección de versión puede fallar:

# Omitir descubrimiento de host y aumentar timeouts
nmap -Pn -sV --max-retries 2 --min-rate 100 192.168.1.1

# Usar escaneo TCP connect en lugar de SYN
nmap -sT -sV 192.168.1.1

Manejando Servicios Inusuales o Personalizados

Para servicios inusuales o personalizados:

# Usar detección de versión agresiva
nmap -sV --version-intensity 9 --version-all 192.168.1.1

# Probar todos los scripts NSE de versión
nmap -sV --script=version 192.168.1.1

Manejando Ofuscación de Servicios

Algunos servicios ocultan intencionalmente su identidad:

# Usar múltiples técnicas de sondeo
nmap -sV --version-all --script=banner,version -p 8080 192.168.1.1

# Analizar puertos inusuales (comando de ejemplo, ajustar según sea necesario)
nmap -sV -p $(nmap -p- --open -T4 -n 192.168.1.1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',') 192.168.1.1

Ejercicios Prácticos

# Escanea tu puerta de enlace predeterminada (reemplazá con IP real)
nmap -sV 192.168.1.1

# Escanea un servidor web (reemplazá con dominio/IP real)
nmap -sV -p 80,443 ejemplo.com

# Detección ligera (reemplazá con IP real)
time nmap -sV --version-intensity 0 192.168.1.1 -oN escaneo_ligero.txt

# Detección estándar
time nmap -sV 192.168.1.1 -oN escaneo_estandar.txt

# Detección agresiva
time nmap -sV --version-intensity 9 192.168.1.1 -oN escaneo_agresivo.txt

nmap -sV -p 2222 192.168.1.1

# Ejecutá un servidor web en el puerto 22 (ejemplo, requiere configuración)
# Luego escanealo
nmap -sV -p 22 192.168.1.1

# Escanea todos los hosts con detección de versión (reemplazá rango de red)
nmap -sV 192.168.1.0/24 -oX servicios_red.xml

# Convierte a reporte HTML (requiere xsltproc)
xsltproc servicios_red.xml -o servicios_red.html

Errores Comunes y Soluciones

# Aumentar intensidad, agregar scripts
nmap -sV --version-intensity 9 \
     --script=ban1:

# Usar --version-all o banner grabbing
nmap -sV --version-all 192.168.1.1
curl -I http://192.168.1.1 # Ejemplo

# Ajustar parámetros de timing
nmap -sV --max-rtt-timeout 500ms \
     --initial-rtt-timeout 200ms ...

# Escaneo en dos fases o puertos objetivo
nmap -p 80,443,22 -sV ... # Dirigido
# O usar -oG para fase 1

Aplicaciones en el Mundo Real

Puntos Clave

Próximos Pasos

En el próximo episodio, exploraremos:

• Nmap Scripting Engine (NSE)
• Usando scripts para enumeración avanzada de servicios
• Automatizando verificaciones de seguridad con NSE
• Creando scripts personalizados para tareas especializadas
• Integrando Nmap en flujos de trabajo de seguridad

Recursos Adicionales

Quiz