En este post vamos a ver uno de los más famosos buscadores, pero que no es prácticamente utilizado por los usuarios de internet, pero que cada vez gana más adeptos.
Shodan es un buscador muy utilizado y consultado por la gran mayoría de hackers informáticos (éticos y no tan éticos) y mucho se ha hablado de él.
La Wikipedia lo define como un motor de búsqueda que le permite al usuario encontrar dispositivos (routers, servidores, cámaras ip, impresoras domótica, etc.) conectados a Internet y que a través de una variedad de filtros pueden ser utilizados para concretar y afinar más la búsqueda. Algunos también lo han descrito como un motor de búsqueda de banners de servicios, que son metadatos que el servidor envía de vuelta al cliente.
El buscador se encarga al igual que google de rastrear toda la red enviando peticiones a puertos y esperando respuesta de los mismos, sobre todo recoge datos de servidores web al momento por el puerto 80, datos FTP al puerto 21, SSH puerto 22, datos TELNET del 23, SNMP 161 etc …
Toda esta información es almacenada una base de datos que cualquier usuario puede consultar en cualquier momento.
Los filtros y comando que podemos utilizar para afinar nuestra búsqueda mucho más son los siguientes:
Country: Nos permite filtrar la búsqueda a un país en concreto
country:ES VOIP
City: Filtra por ciudad, Ejemplo para buscar Servidores Apache en Madrid:
city:Madrid Apache
geo: Puedes afinar más aún la búsqueda por las coordenadas de latitud y longitud
port: Permite hacer búsqueda por el puerto especificado
port:21 city:Madrid
net: Realiza una búsqueda por una IP específica o por rangos de IP
net:195.10.12.0/24
hostname: Realiza una búsqueda por el texto
hostname:Camera
Todos ellos son accesibles desde una cuenta gratuita de Shodan pero si nos decantamos por la versión de pago disponemos de bastantes más filtros y la capacidad de enlace con un mapa que nos muestra la ubicación geográfica de los resultados.
Visto que es Shodan y como funciona vamos ha realizar una búsqueda centrándonos sobre un objetivo en concreto:
«Los routers tp-link de una ciudad en concreto con los datos de acceso por defecto del fabricante»
Primero que nada vamos a situarnos sobre la ciudad en cuestión. Podemos utilizar diferentes tipos de filtros pero en este caso para nuestro ejemplo utilizaremos el filtro city:miciudad.
Una vez listados todos los dispositivos detectados y que se encuentran en la base de datos de Shodan de la ciudad en cuestión, afinaremos la búsqueda con el nombre del dispositivo que queremos encontrar. Para ello utilizaremos el filtro product: «tp-link».
Una vez dispongamos de este listado googlerearemos por la red para encontrar cuales son lo datos por defecto para el acceso a través del puerto 80 para este tipo de router.
Conseguido este listado consultaremos a la base datos de Shodan para que nos muestre si tenemos algún dispositivo que admita los datos por defecto del fabricante.
¡Ya lo tenemos!
En pocos minutos hemos conseguido acceder a un dispositivo vulnerable con acceso total a toda su configuración.
Buenos, espero que con esto seáis conscientes de que todo dispositivo conectado y publicado en internet es vulnerable al acceso ajeno y que lo primero que hay que hacer es cambiar las credenciales que vienen por defecto y no unas credenciales cualesquiera, sino unas credenciales robustas, ya que por fuerza bruta se podría atacar el acceso a dicho dispositivo.
También especificar que todo esto explicado aquí está expuesto con fines educativos para concienciar a las personas sobre las vulnerabilidades que existen en Internet.