Episodio 8: Extendiendo Nuestros Poderes - Nmap Scripting Engine

Introducción

¡Bienvenidos al octavo episodio de nuestro curso completo de Nmap! En este módulo, exploraremos el Nmap Scripting Engine (NSE), el potente framework que transforma a Nmap de un simple escáner de puertos a una plataforma integral de investigación de redes.

Al finalizar este módulo, vamos a poder usar scripts preexistentes, seleccionar los scripts adecuados para diferentes escenarios e incluso escribir nuestros propios scripts personalizados para automatizar tareas complejas y extraer exactamente la información que necesitamos de los sistemas objetivo.

Arquitectura y Propósito del NSE

El Nmap Scripting Engine es un potente framework que permite extender Nmap con funcionalidades personalizadas escritas en el lenguaje de programación Lua. Fue introducido en 2007 y desde entonces se ha convertido en una de las características más valiosas de Nmap.

Esta extensibilidad hace que Nmap sea mucho más que un simple escáner de puertos: se convierte en una plataforma integral de investigación de redes que podemos personalizar para tareas y entornos específicos.

Categorías y Organización de Scripts

Los scripts NSE se organizan en categorías según su propósito y comportamiento:

nmap --script banner 192.168.1.1

nmap --script brute 192.168.1.1

nmap --script ssl-heartbleed 192.168.1.1

nmap --script smb-vuln-ms17-010 192.168.1.1

nmap --script http-default-accounts 192.168.1.1

nmap --script hostmap-* 192.168.1.1

nmap -sV --script=version 192.168.1.1

Comprender estas categorías nos ayuda a seleccionar los scripts apropiados para diferentes escenarios y requisitos de seguridad.

Momentos de Ejecución de Scripts

Los scripts NSE se ejecutan en fases específicas del proceso de escaneo de Nmap:

nmap --script targets-xml -iL targets.xml

nmap --script os-detection 192.168.1.1

nmap --script http-enum 192.168.1.1 -p 80

nmap --script summary 192.168.1.0/24

Esta ejecución por fases permite que los scripts generen objetivos, realicen acciones específicas del host, se ejecuten contra servicios relevantes y analicen resultados. Entender estas fases nos ayuda a predecir el comportamiento de los scripts y optimizar los flujos de trabajo de escaneo.

Ejecutando Scripts Básicos

Empecemos con el uso básico de scripts:

Script Único

nmap --script banner 192.168.1.1

Esto ejecuta el script `banner` para obtener los banners de servicio de todos los puertos abiertos.

Starting Nmap 7.94 ( https://nmap.org ) at 2025-04-14 20:00 EDT
Nmap scan report for 192.168.1.1
Host is up (0.0023s latency).
Not shown: 995 closed tcp ports (reset)
PORT    STATE SERVICE
22/tcp  open  ssh
| banner: SSH-2.0-OpenSSH_8.2p1 Ubuntu-4ubuntu0.5
53/tcp  open  domain
80/tcp  open  http
| banner: HTTP/1.1 200 OK\x0D\x0ADate: Mon, 14 Apr 2025 20:00:15 GMT\x0D
|_\x0AServer: Apache/2.4.41 (Ubuntu)\x0D\x0AContent-Type: text/html\x0D\x0A
443/tcp open  https
8443/tcp open https-alt

Nmap done: 1 IP address (1 host up) scanned in 1.31 seconds

Múltiples Scripts

nmap --script=http-title,http-headers 192.168.1.1 -p 80

Esto ejecuta los scripts `http-title` y `http-headers` contra el puerto 80.

Starting Nmap 7.94 ( https://nmap.org ) at 2025-04-14 20:05 EDT
Nmap scan report for 192.168.1.1
Host is up (0.0023s latency).

PORT   STATE SERVICE
80/tcp open  http
| http-headers: 
|   Date: Mon, 14 Apr 2025 20:05:15 GMT
|   Server: Apache/2.4.41 (Ubuntu)
|   Content-Type: text/html; charset=UTF-8
|   
|_  (Request type: GET)
|_http-title: Example Domain

Nmap done: 1 IP address (1 host up) scanned in 0.45 seconds

Categorías de Scripts

Podemos ejecutar categorías enteras de scripts:

# Ejecutar todos los scripts seguros (safe)
nmap --script safe 192.168.1.1

# Ejecutar todos los scripts HTTP
nmap --script http-* 192.168.1.1 -p 80

# Ejecutar todos los scripts de detección de vulnerabilidades (vuln)
nmap --script vuln 192.168.1.1

Selección de Scripts con Comodines

Podemos usar comodines para seleccionar scripts:

# Todos los scripts que empiezan con "ssl-"
nmap --script "ssl-*" 192.168.1.1 -p 443

# Todos los scripts con "enum" en el nombre
nmap --script "*enum*" 192.168.1.1

Combinando con Otras Opciones de Nmap

Los scripts funcionan bien con otras opciones de Nmap:

# Escaneo completo con scripts
nmap -sV -O --script default 192.168.1.1

# Apuntar a puertos específicos con scripts
nmap -p 80,443 --script http-* 192.168.1.1

Argumentos de Scripts

Muchos scripts aceptan argumentos para personalizar su comportamiento:

Sintaxis Básica de Argumentos

nmap --script http-brute --script-args userdb=usuarios.txt,passdb=contraseñas.txt 192.168.1.1

Esto pasa archivos personalizados de nombres de usuario y contraseñas al script `http-brute`.

Múltiples Argumentos

nmap --script http-enum --script-args http-enum.category="default,safe" 192.168.1.1

Esto especifica qué categorías de rutas verificar con `http-enum`.

Argumentos Globales vs. Específicos de Script

# Argumento global (aplica a todos los scripts)
nmap --script "http-*" --script-args useragent="Mozilla/5.0" 192.168.1.1

# Argumento específico de script
nmap --script http-enum --script-args http-enum.maxpagecount=500 192.168.1.1

Encontrando Argumentos Disponibles

Para descubrir qué argumentos acepta un script:

nmap --script-help http-enum

http-enum
Categories: discovery intrusive
https://nmap.org/nsedoc/scripts/http-enum.html
  Enumera directorios usados por aplicaciones web y servidores populares.

  Esto parsea un archivo de huellas digitales (fingerprint) similar en formato al
  escáner de aplicaciones web Nikto. Este script, sin embargo, va un paso más allá
  incorporando coincidencias de patrones avanzadas y teniendo la habilidad de
  identificar versiones específicas de aplicaciones web.

Argumentos del Script (Script Arguments)
http-enum.basepath
  Ruta base para anteponer a todas las solicitudes. Por defecto: /
http-enum.displayall
  Mostrar todos los códigos de estado, no solo 200 OK y 401 Authentication Required
http-enum.fingerprintfile
  Especificar un archivo diferente conteniendo datos de huellas digitales
http-enum.category
  Establecer la categoría de huellas digitales a usar (por defecto: safe,intrusive)
...

Scripts NSE Comunes por Tarea

Exploremos algunos de los scripts NSE más útiles para diferentes tareas:

# Información del servidor HTTP
nmap --script http-enum,http-headers,http-methods 192.168.1.1 -p 80

# Enumeración SMB
nmap --script smb-enum-shares,smb-enum-users 192.168.1.1 -p 445

# Información SSH
nmap --script ssh2-enum-algos 192.168.1.1 -p 22

# Enumeración de bases de datos
nmap --script mysql-info,mysql-databases 192.168.1.1 -p 3306

# Escaneo general de vulnerabilidades
nmap --script vuln 192.168.1.1

# Vulnerabilidades de aplicaciones web
nmap --script http-vuln* 192.168.1.1 -p 80,443

# Vulnerabilidades SSL/TLS
nmap --script ssl-* 192.168.1.1 -p 443

# Vulnerabilidades SMB
nmap --script smb-vuln* 192.168.1.1 -p 445

# Chequeo de credenciales por defecto
nmap --script http-default-accounts 192.168.1.1 -p 80

# Fuerza bruta SSH
nmap --script ssh-brute --script-args userdb=usuarios.txt,passdb=contraseñas.txt 192.168.1.1 -p 22

# Fuerza bruta formularios HTTP
nmap --script http-form-brute --script-args http-form-brute.path=/login.php 192.168.1.1 -p 80

# Información DNS
nmap --script dns-* 192.168.1.1 -p 53

# Información WHOIS
nmap --script whois-* philocyber.com

# Información de certificado SSL
nmap --script ssl-cert 192.168.1.1 -p 443

Creando Scripts NSE Personalizados

Una de las características más poderosas de NSE es la capacidad de crear nuestros propios scripts:

Estructura Básica de un Script

description = [[
Este es un script de ejemplo simple que imprime "¡Hola, Mundo!" para cada puerto abierto.
]]

-- La regla que determina cuándo debe ejecutarse este script
portrule = function(host, port)
  return port.state == "open"
end

-- La acción que se realiza cuando la regla devuelve true
action = function(host, port)
  return "¡Hola, Mundo! El puerto " .. port.number .. " está abierto."
end

Guardá esto como `hola-mundo.nse` en el directorio de scripts de Nmap (usualmente `/usr/share/nmap/scripts/` o similar).

Ejecutando Tu Script Personalizado

# Ejecutar el script
nmap --script hola-mundo 192.168.1.1

Usando Librerías NSE

NSE proporciona librerías para tareas comunes:

description = [[
Script de ejemplo que usa la librería HTTP para obtener el título de una página web.
]]

-- Cargamos la librería HTTP
local http = require "http"
local shortport = require "shortport"

-- Ejecutar contra puertos HTTP
portrule = shortport.http

-- La acción
action = function(host, port)
  -- Hacemos una solicitud HTTP
  local response = http.get(host, port, "/")
  
  -- Extraemos el título
  local title = response.body:match("<title>(.-)</title>")
  
  if title then
    return "Título de la página: " .. title
  else
    return "No se encontró título"
  end
end

Recursos para Desarrollo de Scripts

• Documentación Oficial de NSE
• Referencia de la API de NSE
• Scripts de Ejemplo

Ejercicios Prácticos

# Listar todos los scripts disponibles (la ruta puede variar)
ls /usr/share/nmap/scripts/

# Encontrar scripts relacionados con HTTP
ls /usr/share/nmap/scripts/http*

# Obtener ayuda para un script específico
nmap --script-help http-enum

# Scripts seguros (safe)
nmap --script safe 192.168.1.1

# Scripts de descubrimiento (discovery)
nmap --script discovery 192.168.1.1

# Scripts por defecto (default) (igual que -sC)
nmap --script default 192.168.1.1

# Enumeración de servidor web
nmap --script "http-enum,http-headers,http-methods,http-title" 192.168.1.1 -p 80,443

# Enumeración de bases de datos
nmap --script "mysql-*" 192.168.1.1 -p 3306

nmap -sV 192.168.1.1 -p 80,443,3306 -oN basico.txt
nmap -sV --script "http-*,mysql-*" 192.168.1.1 -p 80,443,3306 -oN con_scripts.txt
# Compará los archivos (por ejemplo, usando diff)
diff basico.txt con_scripts.txt

# Escaneo general de vulnerabilidades
nmap --script vuln 192.168.1.1 -oN escaneo_vuln.txt

# Escaneo de vulnerabilidades dirigido
nmap --script "ssl-heartbleed,ssl-poodle,http-shellshock" 192.168.1.1 -p 80,443 -oN escaneo_vuln_dirigido.txt

Problemas Comunes y Soluciones

# Verificar si el script existe (ajustar ruta si es necesario)
ls /usr/share/nmap/scripts/script-faltante.nse

# Actualizar la base de datos de scripts
sudo nmap --script-updatedb

# Ejecutar con depuración (debugging)
nmap -d --script http-enum 192.168.1.1

# Limitar a puertos específicos
nmap --script http-enum -p 80,8080,8000 192.168.1.1

# Limitar el tiempo de espera del script
nmap --script http-enum --script-timeout 30s 192.168.1.1

# Ejecutar scripts solo contra servicios relevantes
nmap -sV --version-intensity 2 --script "http-*" 192.168.1.1

# Aumentar la verbosidad del script
nmap -v --script vuln 192.168.1.1

# Verificar manualmente los hallazgos (ej., Heartbleed)
openssl s_client -connect 192.168.1.1:443 -tlsextdebug

# Para Debian/Ubuntu (librerías Lua)
sudo apt install lua-ldap lua-json lua-socket

# Para scripts que requieren capacidades de fuerza bruta
# (A menudo incluidas en el paquete nmap, verificar instalación)

Aplicaciones en el Mundo Real

Puntos Clave

Próximos Pasos

Recursos Adicionales

Quiz