Reconocimiento activo y pasivo de recursos

Reconocimiento pasivo. 

 Es la obtención de información pública sin interactuar directamente con los servidores objetivo (sin enviar paquetes ni autenticarse). Útil para mapear superficie de ataque sin dejar rastro. 

 Herramientas utilizadas: 

 

 Google Dorks. Consultas avanzadas a motores de búsqueda para localizar páginas, archivos y configuraciones expuestas. 

 Shodan / Censys / FOFA. Motores de búsqueda de Internet que indexan dispositivos y servicios expuestos (banners, puertos, certificados). 

 Amass / Sublist3r . Descubrimiento de subdominios mediante fuentes públicas, certificados y técnicas OSINT. 

 DNSdumpster: Mapeo DNS público, registros y hosts visibles desde fuentes públicas. 

 crt.sh: base pública de certificados TLS/SSL; útil para encontrar subdominios públicos vía registros de certificados. 

 

 Google Dorks. 

 Filtra resultados de Google para encontrar páginas, ficheros o directorios específicos, por ejemplo: 

 

 site:dominio.gob.bo intitle:"login" => Busca páginas dentro del dominio que contienen "login" en el título. 

 site:dominio.gob.bo filetype:env OR filetype:sql OR filetype:bak => Busca archivos con extensiones típicas de backups o configuración. 

 site:dominio.gob.bo "index of" "backup" => Detecta índices de directorios que contengan la palabra backup. 

 site:dominio.gob.bo inurl:admin OR inurl:dashboard => Encuentra URLs con “admin” o “dashboard” en la ruta. 

 

 Ejemplo de salida: 

 

 Resultado 1: [https://intranet.dominio.gob.bo/admin/login](https://intranet.dominio.gob.bo/admin/login) — "Página de acceso administración" 

 Resultado 2: [https://www.dominio.gob.bo/.env.bak](https://www.dominio.gob.bo/.env.bak) — "Archivo .env (posible fuga de credenciales)" 

 Resultado 3: [https://archivos.dominio.gob.bo/index](https://archivos.dominio.gob.bo/index) of/backup/ — "Índice público con backups" 

 

 Shodan / Censys / FOFA 

 Permiten consultar por IP, dominio o servicio para ver los banners, puertos y software expuesto, por ejemplo: 

 Consulta: dispositivo con ip 200.12.34.56, resumen de salida: 

 

 Host: 200.12.34.56 

 Puertos abiertos: 22 (OpenSSH 7.6p1), 80 (nginx 1.14.0), 443 (nginx + certificado) 

 Banner: "Apache/2.4.29 (Ubuntu)" 

 Geolocalización: Bolivia (país de origen según IP) 

 

 Sublist3r. 

 Permite la enumeración de subdominios mediante consultas a múltiples fuentes públicas. 

 python3 sublist3r.py -d dominio.gob.bo -o subdoms.txt 

 Salida en archivo subdoms.txt: 

 cat subdoms.txt:

portal.dominio.gob.bo

mail.dominio.gob.bo

sri.dominio.gob.bo

dev.dominio.gob.bo 

 Amass (modo pasivo) Agrega resultados de múltiples fuentes (crt.sh, ASN, servicios públicos) para hallar subdominios. 

 amass enum -passive -d dominio.gob.bo -o amass.txt 

 Salida en archivo amass.txt. 

 cat amass.txt, ejemplo

portal.dominio.gob.bo

api.dominio.gob.bo

backup.dominio.gob.bo 

 Uso de crt.sh 

 Busca certificados emitidos que incluyan subdominios del dominio objetivo. 

 URL de ejemplo: https://crt.sh/?q=%25.dominio.gob.bo 

 Resumen de la salida: 

 Certificado emitido: *.dominio.gob.bo — emitido 2025-03-12 — CN: api.dominio.gob.bo 

 DNSdumpster 

 Devuelve un mapa DNS público (registros A, MX, NS, subdominios detectados). Resumen de la salida: 

 Registros A:

portal.dominio.gob.bo -> 200.12.34.10

mail.dominio.gob.bo -> 200.12.34.20

Registros MX:

mx1.dominio.gob.bo -> 200.12.34.30 

 Una vez realizado el reconocimiento pasivo es recomendable: 

 

 Consolidar resultados en ficheros (subdoms.txt, amass.txt, crt_domains.txt). 

 Correlacionar IPs con ASN y whois para identificar infraestructura. 

 Registrar fechas de captura y fuentes (para trazabilidad). 

 

 Reconocimiento activo. 

 Es la interacción directa con el objetivo (escanear puertos, enumerar directorios, consultas DNS directas). Dejará registros en el objetivo; se debe realizar solo con autorización. 

 Herramientas utilizadas: 

 

 Nmap: escaneo de puertos y fingerprinting de servicios/sistema operativo. 

 dig / host: consultas DNS directas para obtener registros A, MX, TXT, etc. 

 gobuster / ffuf: fuerza bruta de directorios/archivos web (enumeración de rutas). 

 curl: realizar peticiones HTTP(S) y extraer cabeceras, cuerpos y respuestas. 

 

 Nmap para puertos comunes. 

 Escanea los puertos más comunes y detecta versiones de servicios. 

 nmap -sT -sV --top-ports 100 -T2 dominio_o_ip 

 Explicación breve de flags: 

 

 -sT : TCP connect scan (no requiere privilegios root). 

 -sV : detección de versión del servicio. 

 --top-ports 100 : escanear los 100 puertos más comunes. 

 -T2 : velocidad de escaneo conservadora. 

 

 Ejemplo resumen de salida: 

 Nmap scan report for dominio_o_ip (200.12.34.10)

Host is up (0.023s latency).

PORT STATE SERVICE  VERSION

22/tcp  open  sshOpenSSH 7.6p1 Ubuntu

80/tcp  open  http  nginx 1.14.0

443/tcp open  https nginx 1.14.0

Service Info: OS: Linux 

 Nmap para escaneo completo y OS detection. 

 Realiza un escaneo más agresivo y detección de SO (requiere privilegios). 

 sudo nmap -sS -p- -sV -O -T3 dominio_o_ip 

 Explicación breve de flags: 

 

 -sS : SYN scan (stealthy, requiere root). 

 -p- : escanea todos los puertos (1-65535). 

 -O : detección de sistema operativo. 

 -T3 : velocidad moderada. 

 

 Ejemplo resumen de salida: 

 PORTSTATE SERVICE VERSION

21/tcp open  ftp  vsftpd 3.0.3

22/tcp open  ssh  OpenSSH 7.6p1

80/tcp open  http nginx 1.14.0

443/tcpopen  httpsnginx 1.14.0

OS details: Linux 4.x 

 DNS (dig / host) . 

 Realiza consultas directas al servidor DNS para obtener registros. 

 dig dominio.gob.bo  => Consulta A/AAAA/other por defecto; muestra servidores autoritativos y TTL. 

 Salida ejemplo (dig):

 ; <<>> DiG 9.16.1 <<>> dominio.gob.bo

 ;; ANSWER SECTION:

 dominio.gob.bo.  3600  IN  A  200.12.34.10

 ;; AUTHORITY SECTION:

 dominio.gob.bo.  172800 IN NS ns1.dominio.gob.bo.

 ;; ADDITIONAL SECTION:

 ns1.dominio.gob.bo. 172800 IN A 200.12.34.2 

 host subdominio.dominio.gob.bo   => Respuesta simple: subdominio.dominio.gob.bo has address 200.12.34.20 

 Gobuster. 

 Realiza la enumeración de directorios y archivos web mediante fuerza bruta con wordlists. 

 gobuster dir -u [https://dominio.gob.bo](https://dominio.gob.bo) -w wordlist.txt 

 Explicación: 

 

 dir : modo directorios 

 -u : URL objetivo 

 -w : palabra lista para probar rutas 

 

 Ejemplo de salida: 

 /admin (Status: 200)

/backup (Status: 403)

/config.php (Status: 200)

/robots.txt (Status: 200) 

 Uso de ffuf . 

 Es un fuzzer web rápido, útil para encontrar endpoints ocultos o parametrizados. 

 ffuf -u [https://dominio.gob.bo/FUZZ](https://dominio.gob.bo/FUZZ) -w wordlist.txt 

 Salida ejemplo: 

 Found: /secret (Status: 200, Size: 1534)

Found: /old-admin (Status: 200, Size: 4210) 

 Uso de curl. 

 Tiene el objetivo de solicitar recursos HTTP(S), ver cabeceras y contenido; útil para comprobar respuestas, cookies y cabeceras de seguridad. 

 curl -I [https://dominio.gob.bo](https://dominio.gob.bo)  => Obtiene solo cabeceras (HEAD). 

 Ejemplo de salida (cabeceras): 

   HTTP/1.1 200 OK

 Server: nginx/1.14.0

 Content-Type: text/html; charset=UTF-8

 Strict-Transport-Security: max-age=31536000; includeSubDomains 

 curl -L -s -D - [https://dominio.gob.bo/login](https://dominio.gob.bo/login) -o /dev/null => Sigue redirecciones (-L), imprime cabeceras (-D -), suprime el cuerpo (-o /dev/null). 

 Se recomienda: 

 

 Respetar límites de velocidad y ventanas de tiempo para evitar DoS involuntario (-T2/-T3 en nmap). 

 Realizar escaneos iniciales con perfiles conservadores y aumentar detalle solo con autorización. 

 Usar IPs y ranges detectados para correlacionar servicios y subdominios. 

 

 Divulgación de Credenciales 

 Identificación de credenciales expuestas públicamente. 

 Herramientas 

 

 Have I Been Pwned 

 DeHashed 

 Leak-Lookup 

 

 Enlaces 

 

 https://haveibeenpwned.com/   

 

 

 

 https://app.dehashed.com/login 

 

 

 

 https://leak-lookup.com/ 

 

 Procedimiento 

 

 Buscar correos filtrados. 

 Registrar hallazgos.