{"id":30258,"date":"2019-10-31T21:34:32","date_gmt":"2019-10-31T18:34:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/netbios-v-rukah-hakera\/"},"modified":"2019-10-31T21:34:32","modified_gmt":"2019-10-31T18:34:32","slug":"netbios-v-rukah-hakera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/netbios-v-rukah-hakera","title":{"rendered":"NetBIOS en manos de un hacker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En este art\u00edculo se presentar\u00e1 una breve narrativa sobre lo que puede contarnos algo que parece tan familiar como NetBIOS<\/i>. Qu\u00e9 informaci\u00f3n puede proporcionar a un potencial atacante\/pentester.<\/a><\/noindex><\/p>\n

El \u00e1rea de aplicaci\u00f3n de las t\u00e9cnicas de reconocimiento mostradas se refiere a redes internas, es decir, aisladas y no accesibles desde el exterior. Tales redes existen, por regla general, en cualquier empresa, incluso en la m\u00e1s peque\u00f1a.<\/p>\n

NetBIOS NetBIOS<\/i> se utiliza, por regla general, para obtener un nombre de red. Y eso ser\u00e1 suficiente para hacer al menos 4 cosas.<\/p>\n

Detecci\u00f3n de hosts<\/b>
\nGracias a que NetBIOS puede usar UDP como transporte, su velocidad permite detectar hosts en redes muy grandes. Por ejemplo, la herramienta nbtscan<\/i>, que forma parte del paquete hom\u00f3nimo, puede resolver direcciones de red de tipo 192.168.0.0\/16 en solo 2 segundos (puede colapsar la red), mientras que un escaneo TCP tradicional tomar\u00eda decenas de minutos. Esta caracter\u00edstica se puede usar como t\u00e9cnica de detecci\u00f3n de hosts (host sweep) en redes muy grandes, sobre las cuales no se tiene informaci\u00f3n, antes de ejecutar nmap. Aunque el resultado no garantiza un 100% de detecci\u00f3n, ya que predominantemente responder\u00e1n hosts de Windows y no todos, a\u00fan permitir\u00e1 determinar aproximadamente en qu\u00e9 rangos se encuentran los hosts activos.<\/p>\n

Identificaci\u00f3n de hosts<\/b>
\nUsando los resultados de obtenci\u00f3n de nombres de direcciones IP:<\/p>\n

\"NetBIOS
\n
\nse puede ver: adem\u00e1s de que el nombre revela el propietario de la estaci\u00f3n de trabajo (aunque esto no siempre sucede), una de las direcciones sobresale claramente por encima de las dem\u00e1s. Podemos ver que se obtuvo el nombre KALI<\/i>. Este comportamiento es caracter\u00edstico, por regla general, de unix<\/i>-implementaciones SMB\/NetBIOS<\/i> como parte del paquete de software samba<\/i> o versiones muy antiguas de Windows 2000<\/i>.
\nObtenci\u00f3n del nombre KALI<\/i>, mientras que en otros hosts esto <unknown<\/i>> indica la presencia de lo que se conoce como null-session<\/i>. Con la configuraci\u00f3n predeterminada, el servidor SMB<\/i>es propenso a ella. linux<\/i> La null-session permite obtener de manera completamente an\u00f3nima (como se puede ver en la captura, no introdujimos ninguna contrase\u00f1a) bastante informaci\u00f3n adicional, como la pol\u00edtica de contrase\u00f1as local, una lista de usuarios locales, grupos y una lista de recursos compartidos:<\/i> A menudo en<\/p>\n

\"NetBIOS
\nLinux SMB linux SMB<\/i>-en los servidores pueden haber comparticiones de acceso p\u00fablico no solo de lectura, sino incluso de escritura. La presencia de ambos conlleva diferentes amenazas, cuyo uso va m\u00e1s all\u00e1 del alcance de este art\u00edculo.<\/p>\n

NetBIOS<\/i> tambi\u00e9n permite obtener los nombres de todos los tipos que almacena la estaci\u00f3n de trabajo:<\/p>\n

\"NetBIOS
\n
\nen este caso, permite conocer que el host es tambi\u00e9n un controlador de dominio ARRIVA<\/i>.<\/p>\n

Tambi\u00e9n se debe prestar atenci\u00f3n a que NetBIOS<\/i> permite obtener mac<\/i>-direcci\u00f3n. Adem\u00e1s, a diferencia de las solicitudes arp, las solicitudes NetBIOS pueden salir del rango de la subred. Esto puede ser \u00fatil si, por ejemplo, se requiere encontrar en la red alguna computadora port\u00e1til o hardware espec\u00edfico, sabiendo su fabricante. Dado que los primeros tres octetos mac<\/i>-de la direcci\u00f3n identifican al fabricante, se puede enviar tales NetBIOS<\/i>-solicitudes a todas las subredes conocidas para intentar encontrar el dispositivo necesario (http:\/\/standards-oui.ieee.org\/oui.txt).<\/p>\n

Determinaci\u00f3n de pertenencia a el dominio<\/a><\/b>
\nA menudo, al moverse por las redes corporativas internas, se requiere atacar precisamente la estaci\u00f3n de trabajo que est\u00e1 en el dominio (por ejemplo, para elevar privilegios al nivel de administrador de dominio) o viceversa. En este caso, NetBIOS<\/i> nuevamente puede ayudar:<\/p>\n

\"NetBIOS
\n
\nEn este caso, con la ayuda de NetBIOS<\/i> se obtuvieron todos los nombres de todos los tipos. Entre ellos, se puede ver, adem\u00e1s del nombre del PC (lo que ya se hab\u00eda obtenido anteriormente), tambi\u00e9n el nombre del grupo de trabajo. Por defecto para windows<\/i> generalmente es algo como WORKGROUP<\/i> o IVAN-PC<\/i>, pero si la estaci\u00f3n de trabajo est\u00e1 en un dominio, entonces su grupo de trabajo es el mismo que el nombre del dominio.
\nAs\u00ed, con la ayuda de NetBIOS<\/i> se puede saber si la estaci\u00f3n de trabajo est\u00e1 en un dominio y, si es as\u00ed, en cu\u00e1l.
\nSi se requiere obtener una lista de hosts de dominio dentro de la subred, basta con un solo \u0437\u0430\u043f\u0440\u043e\u0441 \u0448\u0438\u0440\u043e\u043a\u043e\u0432\u0435\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e con el nombre del dominio necesario:<\/p>\n

\"NetBIOS
\n
\ncomo resultado, todos los hosts que pertenecen a dicho dominio responder\u00e1n.<\/p>\n

Detecci\u00f3n de hosts multihomed<\/b>
\nY finalmente, otra t\u00e9cnica que probablemente es muy poco conocida, pero que es simplemente indispensable para encontrar rutas<\/i> a redes protegidas, posiblemente incluso f\u00edsicamente aisladas. Estas pueden ser redes de f\u00e1bricas repletas de controladores. El acceso a esta red para un atacante significa la posibilidad de influir en el proceso tecnol\u00f3gico, y para la empresa, el riesgo de sufrir enormes p\u00e9rdidas.
\nAs\u00ed que la esencia es que, incluso si la red est\u00e1 aislada de la red corporativa, a menudo algunos administradores, ya sea por pereza o por cualquier otro motivo, tienden a activar otra tarjeta de red en sus PC para acceder a dicha red. Esto, por supuesto, se hace eludiendo todas las reglas de los cortafuegos corporativos. Es conveniente, s\u00ed, pero no muy seguro; si te hackean, te convertir\u00e1s en un puente hacia esa red y asumir\u00e1s la responsabilidad.
\nSin embargo, aqu\u00ed hay un problema para el atacante: encontrar a ese administrador que se ha conectado a la red protegida de manera ilegal. Adem\u00e1s, esto no es un desaf\u00edo f\u00e1cil para los propios expertos en seguridad de la red. En grandes empresas, esta tarea es verdaderamente complicada, como buscar una aguja en un pajar.
\nEn esta situaci\u00f3n, las opciones evidentes para el atacante ser\u00edan dos:
\n1. intentar utilizar cada PC en la subred corporativa como puerta de enlace hacia la red requerida. Esto ser\u00eda muy conveniente, pero rara vez sucede, ya que en windows<\/i> los hosts ip forwarding<\/i> casi siempre est\u00e1 deshabilitado. Adem\u00e1s, dicha verificaci\u00f3n solo es posible dentro de su propia subred y requiere que el atacante sepa exactamente la direcci\u00f3n objetivo de la red aislada.
\n2. intentar acceder remotamente a cada host y ejecutar el comando b\u00e1sico ipconfig\/ifconfig<\/i>. Y aqu\u00ed no todo es tan sencillo. Incluso si el atacante ha obtenido derechos de administrador de dominio, los cortafuegos de red y los firewalls locales siguen existiendo. Por lo tanto, esta tarea no se puede automatizar al 100%. Como resultado, queda el arduo trabajo de acceder a cada host, superando los cortafuegos de red (que a menudo bloquean espec\u00edficamente el puerto 445\/tcp), con la esperanza de finalmente ver la deseada interfaz de red.<\/p>\n

Sin embargo, todo es mucho m\u00e1s simple. Hay un truco extremadamente sencillo que permite obtener de un determinado host la lista de interfaces de red. Supongamos que tenemos un host:<\/p>\n

\"NetBIOS
\n
\nesto es la resoluci\u00f3n inversa de la direcci\u00f3n ip \u2192 nombre de host. Si ahora intentamos hacer una resoluci\u00f3n directa del nombre de host \u2192 direcci\u00f3n ip:<\/p>\n

\"NetBIOS
\n
\ndescubriremos que este host tambi\u00e9n es una puerta de enlace (presumiblemente) en otra red. Cabe se\u00f1alar que, en este caso, la solicitud se envi\u00f3 de manera difusa. En otras palabras, solo los hosts de la subred del atacante la escuchar\u00e1n.
\nSi el host objetivo est\u00e1 fuera de la subred, se puede enviar una solicitud dirigida:<\/p>\n

\"NetBIOS
\n
\nEn este caso, se observa que el objetivo est\u00e1 fuera de la subred del atacante. Con la clave -B se indic\u00f3 que la solicitud debe enviarse a una direcci\u00f3n espec\u00edfica y no a una difusi\u00f3n.
\nAhora solo queda recopilar informaci\u00f3n r\u00e1pidamente de toda la subred de inter\u00e9s, y no de una sola direcci\u00f3n. Para esto se puede utilizar un peque\u00f1o python<\/i>-script:<\/p>\n

\"NetBIOS
\n
\nY despu\u00e9s de unos segundos:<\/p>\n

\"NetBIOS
\n
\nEl host dedicado, en este caso improvisado, ser\u00eda el primer objetivo del atacante si este estuviera persiguiendo la red 172.16.1\/24.<\/p>\n

\"NetBIOS
\n
\nLos nombres repetidos en diferentes IP indican que el host tambi\u00e9n tiene dos tarjetas de red, pero ya en una \u00fanica subred. Cabe destacar que NetBIOS<\/i> no revela alias<\/i>-s (que pueden ser f\u00e1cilmente calculados a trav\u00e9s de solicitudes arp como IP con el mismo mac<\/i>). En este caso direcci\u00f3n IP<\/a> tienen diferentes mac<\/i>.<\/p>\n

Otro ejemplo del uso de esta t\u00e9cnica es el Wi-Fi p\u00fablico. A veces se puede encontrar una situaci\u00f3n en la que entre los dispositivos invitados a la red p\u00fablica se conecta personal que trabaja en un segmento corporativo cerrado. Entonces, con esta t\u00e9cnica de inteligencia, el atacante podr\u00e1 r\u00e1pidamente trazar un camino hacia la red cerrada:<\/p>\n

\"NetBIOS
\n
\nEn este caso, entre 65 clientes del Wi-Fi p\u00fablico hab\u00eda dos estaciones de trabajo con una interfaz adicional, probablemente perteneciente a la red corporativa.<\/p>\n

Si a veces hay filtraci\u00f3n de tr\u00e1fico en los segmentos de red o directamente en las estaciones de trabajo en el puerto 445\/tcp, impidiendo el acceso remoto al sistema (ejecuci\u00f3n remota de c\u00f3digo), en este caso se utiliza el puerto 137\/udp para la resoluci\u00f3n de nombres, siendo consciente de que su bloqueo casi no se encuentra, ya que esto afectar\u00eda considerablemente la comodidad de la navegaci\u00f3n en la red, por ejemplo, podr\u00eda desaparecer el entorno de red, etc. NetBIOS<\/i> Como se dice,<\/p>\n

enumeraci\u00f3n es la clave \u00bfHay protecci\u00f3n contra esto? No la hay, ya que esto no es una vulnerabilidad en absoluto. Es solo una funcionalidad est\u00e1ndar de lo poco que hay por defecto en<\/i>
\n(en windows<\/i> el comportamiento difiere un poco). Y si, de repente, te conectas sin cierta coordinaci\u00f3n, eludiendo las reglas de enrutamiento de la red en un segmento cerrado, el atacante te encontrar\u00e1 r\u00e1pidamente. linux<\/i> el comportamiento es un poco diferente). Y si, de repente, sin coherencia, se conecta a un segmento cerrado, el atacante seguramente te encontrar\u00e1 y lo har\u00e1 muy r\u00e1pido.
\n
Fuente: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS. \u041a\u0430\u043a\u0443\u044e \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0434\u043b\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\/\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u044b\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c \u0438\u0437\u0432\u043d\u0435 \u0441\u0435\u0442\u044f\u043c. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0442\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0443 \u043b\u044e\u0431\u043e\u0439 \u0434\u0430\u0436\u0435 \u0443 \u0441\u0430\u043c\u043e\u0439 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0421\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-30258","post","type-post","status-publish","format-standard","hentry","category-blog"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NetBIOS en manos de un hacker | ProHoster","description":"Este art\u00edculo ofrece una breve narraci\u00f3n sobre lo que puede decirnos una cosa que parece tan com\u00fan como NetBIOS.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/netbios-v-rukah-hakera","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47NetBIOS \u0432 \u0440\u0443\u043a\u0430\u0445 \u0445\u0430\u043a\u0435\u0440\u0430 | ProHoster","og:description":"\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS.","og:url":"https:\/\/prohoster.info\/es\/blog\/netbios-v-rukah-hakera","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:32+00:00","article:modified_time":"2019-10-31T18:34:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30258","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 15:53:47","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:38:39","updated":"2026-02-09 15:53:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/30258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=30258"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/30258\/revisions"}],"predecessor-version":[{"id":158465,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/30258\/revisions\/158465"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=30258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=30258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=30258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}