root-me.org | Archivos .pcap

Buenas amigos!

De nuevo nos vemos por aquí. Seguimos haciendo retos, está vez vamos con otra web que para empezar, como es mi caso, https://www.root-me.org. Es una web, que tras registrarnos, podremos hacer diferentes retos, desde CTF diarios, que podremos inscribirnos y competir contra otra gente en cualquier lugar del mundo, como con diferentes retos de redes, web-cliente y servidor, estegranofia ,cracking... etc

Volviendo al título de la entrada, vamos a ver los archivos .pcap. Visto en un reto en el apartado Redes \ FTP-authentication.

Según le damos a Empezar reto se nos descarga un archivo llamado ch1.pcap. Como no sabemos lo que es, acudamos al oráculo (google) para ver qué es eso:

El pcap es una interfaz de una aplicación de programación para captura de paquetes. La implementación del pcap para sistemas basados en Unix se conoce como libpcap; el port para Windows del libpcap recibe el nombre de WinPcap.

El libpcap y WinPcap pueden ser utilizados por un programa para capturar los paquetes que viajan por toda la red y, en las versiones más recientes, para transmitir los paquetes en la capa de enlace de una red, así como para conseguir una lista de las interfaces de red que se pueden utilizar con el libpcap o WinPcap.

Sabiendo que es una interfaz para ver paquetes, vamos a utilizar Wireshark, que se podrá descargar desde la página oficial, para analizar dichos paquetes. Cargamos el archivo y vamos que nos encontramos:

El fin de este reto es conseguir la pass de acceso, con lo cual vamos a ver las trazas de conexión. Vemos que en el nº 1 el Dst Port es el 21, con lo cual sabemos que se está conectando a un FTP (si, ya lo sabíamos, el título del reto es ese).

En otra ocasión veremos el protocolo de conexión TCP, pero está bien saber eso de Syn, syn/ack y ack:

Una conexión TCP siempre se inicia con el "apretón de manos en tres pasos" (3-way handshake), que establece y negocia la conexión sobre la que se enviarán los datos. La sesión entera se inicia con un paquete SYN (“solicitud”), seguido por un paquete SYN/ACK (“aceptación”) y finalmente por un paquete ACK (“confirmación”), para establecer la sesión (1-"hola, ¿quieres hablar conmigo?", 2-"de acuerdo", 3-"bien, pues empecemos"). En este momento la conexión se establece y está preparada para empezar a enviar datos.

Es el pilar básico dentro de una conexión TCP y está bien saber cómo funciona, volviendo al wireshark, vamos a observando las líneas, hasta que vemos una que pone User cdts3500. Y debajo una que pone: pass cdts3500. Pero no sabemos si es lo que buscamos, lo podemos confirmar un poco más abajo con el mensaje: cdts3500 logged on.