Hacking con software Shodan
Shodan es un motor de búsqueda que, a diferencia de Google o Bing, no indexa páginas web, sino que rastrea y escanea la inmensa red de dispositivos conectados a internet. Piensa en él como "el Google de las cosas" o el "buscador de dispositivos del Internet de las Cosas (IoT)".
Su objetivo es encontrar y catalogar una amplia variedad de equipos, desde servidores y routers hasta cámaras de seguridad, semáforos, y sistemas de control industrial. Shodan recopila información técnica detallada sobre estos dispositivos, como su dirección IP, geolocalización, puertos abiertos, servicios en ejecución, e incluso vulnerabilidades conocidas.
¿Para qué se utiliza Shodan?
Shodan es una herramienta con doble filo. Aunque a menudo se le llama "el buscador de hackers", su uso principal en el ámbito profesional es la ciberseguridad.
Para profesionales de la seguridad: Los expertos en ciberseguridad utilizan Shodan para realizar auditorías, identificar dispositivos mal configurados o con contraseñas por defecto, y detectar posibles vulnerabilidades en sus propias redes o en las de sus clientes. Es una herramienta esencial para la "inteligencia de amenazas", ayudando a entender el estado de la seguridad de la red y a protegerse de posibles ataques.
Para ciberdelincuentes: Lamentablemente, también puede ser utilizada con fines maliciosos. Al revelar qué dispositivos están expuestos y qué vulnerabilidades tienen, un atacante puede usar Shodan para encontrar objetivos fáciles y explotarlos, ya sea para acceder a cámaras de seguridad, robar datos o lanzar ataques a gran escala.
En resumen, Shodan es una herramienta poderosa que muestra una realidad alarmante: la gran cantidad de dispositivos conectados a internet que no están adecuadamente protegidos. Su existencia subraya la importancia de mantener buenas prácticas de seguridad, como cambiar contraseñas por defecto y asegurarse de que los dispositivos no estén innecesariamente expuestos en la red.
Shodan utiliza una sintaxis de "filtros" o "dorks" para acotar las búsquedas. Combinando estos filtros, puedes encontrar dispositivos muy específicos.
Ejemplos de búsquedas con Shodan
Aquí hay algunos ejemplos prácticos de cómo se puede usar Shodan para encontrar información sobre dispositivos expuestos:
1. Búsqueda de cámaras de seguridad 📸
Para encontrar cámaras de seguridad con acceso público y sin contraseña, se pueden usar "dorks" que buscan palabras clave en los títulos o en las cabeceras HTTP de los dispositivos.
"webcamXP": Este es un software de transmisión de vídeo que a menudo se deja sin proteger."title:IP Camera Viewer": Busca dispositivos cuyo título de página web contenga "IP Camera Viewer"."Hikvision": Hikvision es un fabricante de cámaras muy popular."Vivotek": Vivotek es otro fabricante muy conocido.
2. Localización por país y ciudad 🗺️
Puedes restringir tu búsqueda a una ubicación geográfica específica, lo que es útil para investigaciones de inteligencia de amenazas.
city:"Madrid" apache: Muestra todos los servidores web Apache en la ciudad de Madrid.country:ES port:3389: Muestra todos los dispositivos en España con el puerto 3389 abierto, que es el puerto predeterminado para el Escritorio Remoto de Windows (RDP).
3. Búsqueda de bases de datos expuestas 🔒
Encontrar bases de datos expuestas a internet es un hallazgo crítico en ciberseguridad, ya que a menudo contienen información sensible.
port:27017 "MongoDB": Busca servidores MongoDB con el puerto 27017 abierto. En el pasado, muchas de estas bases de datos no tenían autenticación."product:MySQL" port:3306: Encuentra servidores de bases de datos MySQL que están abiertos a internet.
4. Dispositivos con contraseñas por defecto 🔑
Muchas veces, los administradores no cambian las contraseñas predeterminadas, dejando los dispositivos expuestos.
"default password": Busca dispositivos que tengan la cadena de texto "default password" en su información de cabecera.
5. Búsqueda por sistema operativo o servicio 💻
Puedes filtrar los resultados para encontrar dispositivos que ejecutan un sistema operativo o servicio en particular, lo cual es útil para encontrar sistemas vulnerables a un ataque específico.
os:"Windows XP": Muestra todos los dispositivos que todavía ejecutan el obsoleto y vulnerable sistema operativo Windows XP."Microsoft IIS 7.5": Busca servidores web que ejecutan la versión 7.5 de IIS, una versión con vulnerabilidades conocidas."nginx": Encuentra todos los servidores que ejecutan el popular servidor web Nginx.Además de los ejemplos anteriores, Shodan ofrece filtros avanzados que permiten búsquedas más precisas para propósitos de seguridad, investigación y análisis de la infraestructura de internet.
Búsqueda de servicios y vulnerabilidades 🛡️
Puedes buscar servicios específicos y sus versiones para identificar dispositivos que puedan tener vulnerabilidades conocidas.
product:"Apache httpd" version:"2.4.49": Busca servidores web Apache de una versión específica (2.4.49), que se sabe que tiene una vulnerabilidad crítica."http.title:phpMyAdmin" "200 OK": Busca paneles de administración phpMyAdmin con la respuesta200 OK, indicando que el servicio está activo y accesible.vuln:CVE-2014-0160: Este filtro busca dispositivos afectados por el famoso "Heartbleed" (CVE-2014-0160), una vulnerabilidad grave en OpenSSL.
Búsqueda de dispositivos industriales y de energía 🏭
Shodan es una herramienta vital para encontrar dispositivos SCADA (Supervisory Control and Data Acquisition) y otros sistemas de control industrial que no deberían estar expuestos a internet.
modbus: Busca dispositivos que utilizan el protocolo Modbus, comúnmente usado para conectar sistemas de control industrial.s7-comm: Filtra por el protocolos7-comm, utilizado por los PLC (Controladores Lógicos Programables) de Siemens."server: Siemens-SCADA": Busca específicamente servidores SCADA de la marca Siemens.
Búsqueda de dispositivos de red y de almacenamiento 💾
Los administradores de red pueden usar Shodan para auditar su propia infraestructura y detectar exposiciones no deseadas.
"Authentication Required" "ZyXEL": Busca dispositivos de red ZyXEL (routers, firewalls) que tienen su página de autenticación expuesta, lo que podría indicar una configuración predeterminada.port:5060 "SIP/2.0": Busca servidores VoIP (Voz sobre IP) con el puerto 5060, que utiliza el protocolo SIP."Server: GoAhead-Webs" "Content-Length: 461": Este filtro, muy específico, busca routers y otros dispositivos que usan el servidor GoAhead y que tienen una respuesta http particular, lo que puede ayudar a identificar modelos específicos.
Búsqueda de credenciales por defecto 🔑
Uno de los filtros más sensibles y que resalta la falta de seguridad es la búsqueda de credenciales por defecto, que son contraseñas y nombres de usuario predeterminados.
user:"admin" pass:"admin": Aunque no es una búsqueda directa de credenciales, puedes usar filtros como este para encontrar páginas de inicio de sesión que revelan los valores predeterminados en el código o en la URL."default password": Busca dispositivos que tengan la frase "default password" en su página de inicio o en la información del servicio.title:"Welcome to your router" country:"FR": Busca routers en Francia con un título de página común, a menudo un indicativo de que el dispositivo no ha sido configurado correctamente.
