2.5 · Recon ofensivo: superficie de ataque, subdominios y monitoreo continuo

9 min de lectura · osint / recon / attack-surface / subdominios / red-team / deteccion · ⎙ PDF

Panorama#

Las tres ramas anteriores de P2 coleccionaban inteligencia con un fin investigativo: anclar a una persona (2.2), leer el contenido que produce (2.3), mapear la infraestructura que opera (2.4). El recon ofensivo reorienta exactamente el mismo instrumental hacia un fin distinto: la superficie de ataque de una organización. Es el capítulo bisagra de la Parte 2 —donde el mapa OSINT deja de ser un dossier y se convierte en una lista de objetivos—, y su salida alimenta directamente la metodología de pentest (3.1) y, tras el primer punto de apoyo, el reconocimiento interno de Active Directory (4.1). La enumeración exhaustiva y cíclica que 3.1 consagra como principio empieza aquí, del lado de afuera.

Dos ejes ordenan la disciplina. El primero es pasivo frente a activo: el reconocimiento pasivo no toca al objetivo —consulta bases que ya escanearon internet, lee certificados, mira repositorios— y por eso es invisible; el activo interroga directamente los sistemas del objetivo —escanea puertos, fuerza subdominios, enumera buckets— y deja huella en sus registros. El segundo eje es puntual frente a continuo: la ventaja real del atacante no es una herramienta sino el tiempo. Una superficie segura hoy puede exponer mañana un Redis sin contraseña o un Jenkins abierto; quien la vigila —y no solo la escanea una vez— captura esa ventana antes que el defensor la cierre.

flowchart LR
  subgraph P2["Mapa OSINT (2.2–2.4)"]
    ID["personas · dominios ·\nIPs · certificados"]
  end
  subgraph RO["Recon ofensivo (2.5)"]
    PAS["Pasivo\n(Shodan · Censys · certs ·\nGitHub — invisible)"]
    ACT["Activo\n(subdominios · S3 ·\nport scan — deja huella)"]
  end
  AS["Superficie de ataque\n(subdominios · servicios\nexpuestos · secretos · buckets)"]
  ID --> PAS & ACT
  PAS --> AS
  ACT --> AS
  AS -.->|"lista de objetivos"| C31["explotación (3.1)"]
  AS -.->|"tras el foothold"| C41["recon interno AD (4.1)"]
  classDef n fill:#1e293b,stroke:#475569,color:#e2e8f0;
  class ID,PAS,ACT,AS,C31,C41 n;

Pasivo antes que activo, continuo antes que puntual#

La distinción entre reconocimiento pasivo y activo no es académica: gobierna el orden de trabajo y el riesgo de detección. Todo lo que se agotó en la infraestructura (2.4) —Shodan, Censys, crt.sh, GitHub, WHOIS histórico— es pasivo: se consultan motores que ya escanearon internet, y el objetivo no registra una sola conexión anómala. El reconocimiento activo —escanear los puertos del objetivo, forzar sus subdominios contra sus propios servidores de nombres, enumerar sus buckets— es donde empiezan las huellas. La disciplina profesional, y la que las reglas de enganche de un engagement exigen (el scoping de 3.1), es agotar lo pasivo primero y reservar lo activo para cuando ya hay un objetivo definido y autorizado.

Sobre ese orden se monta la segunda idea, la que separa al atacante paciente del oportunista: el recon es monitoreo continuo, no un evento. En lugar de un escaneo puntual, se instala vigilancia permanente de la superficie. La técnica canónica es el Nmap diffing: un cron diario corre nmap y usa ndiff para comparar el resultado de hoy con el de ayer y alertar los puertos nuevos. Un Masscan permite barridos masivos —internet entero en minutos, aunque poco fiable para el diffing en rangos grandes—, y las herramientas de captura de pantalla web (EyeWitness, HTTPScreenshot) generan un mapa visual de cientos de aplicaciones, paneles RDP y VNC de un vistazo, para priorizar sin abrir cada una.

# Nmap diffing: cron diario que alerta puertos nuevos (recon como vigilancia)
d=$(date +%F); y=$(date -d yesterday +%F)
nmap -T4 -oX /opt/nmap_diff/scan_$d.xml 203.0.113.0/24 >/dev/null 2>&1
[ -e /opt/nmap_diff/scan_$y.xml ] && ndiff /opt/nmap_diff/scan_$y.xml /opt/nmap_diff/scan_$d.xml > diff.txt
# mapa visual de la superficie web desde un escaneo de nmap
nmap 203.0.113.0/24 --open -p 80,443 -oX scan.xml
python EyeWitness.py -x scan.xml --web

La nube rompió el escaneo por rango; los certificados lo resolvieron#

El escaneo por rango de IP daba por sentada una infraestructura propia con bloques asignados. La nube lo rompió: un objetivo alojado en AWS puede estar en cualquier IP de un /13 repartido en cualquier región, con direcciones dinámicas y sin bloque atribuible —un nmap por rango no lo encuentra—. La solución es pasiva e indirecta, y extiende la técnica de certificados de 2.4 hacia el ataque: parsear los certificados SSL. Censys ya scrapea los certificados de todo internet, y como el Common Name y los Subject Alternative Names llevan el hostname real del servidor —incluidos los internos int., dev., vpn., que no responden por IP pública—, el certificado revela dónde está alojado el objetivo y qué servidores internos existen. La misma lógica corre a mano con una herramienta como sslScrape, que escanea el puerto 443 de un rango y extrae los hostnames de cada certificado. Es el ejemplo más limpio del capítulo: un dato pensado para dar confianza —el certificado que cifra el tráfico— delata la topología que se quería ocultar.

Enumeración de subdominios#

Cada subdominio es un candidato de entrada, y el objetivo casi siempre tiene más de los que publica. Los rangos se obtienen de los registros regionales (ARIN, RIPE y pares). Los subdominios se descubren por tres caminos de riesgo creciente. El bruteforce por diccionario (Knock y listas como las de SecLists) prueba nombres comunes —webmail, ftp, vpn, dev— contra los servidores de nombres del objetivo: es efectivo pero activo y ruidoso. La consulta vía buscadores (Sublist3r) extrae subdominios ya indexados sin tocar al objetivo, aunque arriesga captchas. Y la vía más elegante es el bruteforce a través de resolvedores DNS abiertos (SubBrute con MassDNS): al preguntar a resolvedores públicos en lugar de a los del objetivo, evita el rate-limit y no deja huella en los servidores de nombres de la víctima —anonimato y velocidad a la vez—. Los frameworks de descubrimiento (Discover Scripts, y hoy Amass o amass enum) orquestan las tres vías y las cruzan con las fuentes pasivas. El producto es la lista de dev, staging y vpn que 2.4 anticipó: la puerta trasera arquitectónica de casi toda organización.

Secretos en GitHub y almacenamiento en la nube#

Dos fuentes convierten el recon en acceso casi inmediato. La primera es GitHub, que filtra los secretos que sus dueños creen borrados: cuando un desarrollador sube por error una clave de AWS, una contraseña o un hostname interno y luego lo elimina, Git conserva el archivo en el historial de commits —el borrado da una falsa sensación de seguridad—. TruffleHog y git-all-secrets recorren todo el historial y todas las ramas buscando cadenas de alta entropía (claves, tokens) que delatan un secreto. La segunda fuente es el almacenamiento en la nube, que amplifica lo visto en 2.3 y 2.4: los buckets S3 se enumeran (Slurp, Bucket Finder) y se abusan con la propia awscli —s3 ls y s3 sync para leer y descargar todo, get-bucket-acl para leer permisos—; y un bucket con escritura global cuyos archivos se sirven en las páginas de la aplicación escala de fuga de datos a ejecución de código, porque modificar esos archivos inyecta contenido malicioso en los servidores web del objetivo. El pariente de esta clase es el subdomain takeover: un CNAME colgante que apunta a un servicio de terceros ya dado de baja (S3, Heroku, GitHub Pages) permite reclamar ese hostname del objetivo y servir desde él. La cosecha se cierra con la de correos (formato corporativo de 2.2, SimplyEmail, brechas), que arma la lista de destinatarios del spear phishing —el puente hacia la ingeniería social—.

Defensa, encuadre púrpura y detección#

El rasgo que define la defensa de este capítulo es incómodo: buena parte del recon ofensivo es invisible. Como lo pasivo no toca al objetivo, no hay nada que detectar en el perímetro, y la defensa deja de ser detección para volverse postura y gestión de superficie externa (attack surface management, la disciplina que 2.4 introdujo).

flowchart TD
  A["Recon ofensivo\n(mayormente pasivo = invisible)"]
  B["ASM: correr las mismas\nherramientas CONTRA UNO MISMO"]
  A --> B
  B --> C["Shodan/Censys/sslScrape propios\n→ inventario de lo expuesto"]
  B --> D["TruffleHog/git-secrets sobre\nrepos propios → rotar claves"]
  B --> E["auditar ACL de S3\n(nunca Everyone write)"]
  B --> F["eliminar CNAMEs colgantes\n(IOC de subdomain takeover)"]
  G["Lo ÚNICO detectable:\nrecon activo"] --> H["picos de conexiones +\nqueries DNS fallidas (brute)"]
  H -.->|"pero SubBrute usa resolvers\nabiertos → no toca al objetivo"| I["correlación parcial\n(SIEM 4.9)"]
  classDef n fill:#1e293b,stroke:#475569,color:#e2e8f0;
  class A,B,C,D,E,F,G,H,I n;

El programa defensivo es, punto por punto, la inversión de las técnicas —el self-recon (2.1) llevado a la infraestructura—. Se corren Shodan, Censys y sslScrape contra la propia organización para inventariar lo que está expuesto y descubrir servidores internos que el certificado filtra; se escanean los repositorios propios con TruffleHog o git-secrets como control continuo, rotando y revocando cualquier credencial filtrada; se endurecen los permisos de S3 (jamás escritura para Everyone, auditoría de get-bucket-acl); se eliminan los CNAME colgantes, que son el indicador de compromiso directo del subdomain takeover; y se monitorean las brechas para forzar el reinicio de las cuentas expuestas. Lo único detectable es el reconocimiento activo: el diffing de Nmap o Masscan y el bruteforce de subdominios generan picos de conexiones y de consultas DNS fallidas, correlacionables en un SIEM —el terreno de la defensa de AD (4.9) y de la telemetría de perímetro—; pero el atacante disciplinado usa resolvedores abiertos precisamente para no tocar los servidores de nombres del objetivo, de modo que la correlación siempre es parcial. La superficie del subdomain takeover y del S3 escribible enlaza además con las clases del web moderno (3.5).

En MITRE ATT&CK el capítulo cruza el reconocimiento pasivo y el activo: T1595 (Active Scanning, con T1595.001 escaneo de bloques de IP y T1595.002 escaneo de vulnerabilidades), T1596.001/T1596.003 (Search Open Technical Databases: DNS y certificados digitales), T1593.003 (Search Open Websites: Code Repositories, para GitHub) y T1590 (Gather Victim Network Information). Su mitigación combina Pre-compromise (M1056) con un programa maduro de ASM: dado que lo pasivo no se detecta, la única defensa real es conocer y reducir la propia superficie antes que el atacante la descubra.

Referencias#

red-infra/hacker-playbook3/cap-02 — Before the Snap: Red Team Recon: el recon como monitoreo continuo (Nmap diffing con ndiff, Masscan, capturas web con EyeWitness/HTTPScreenshot), el descubrimiento en la nube por certificados SSL (Censys, sslScrape), la enumeración de subdominios (Knock, Sublist3r, SubBrute con resolvedores abiertos), los secretos en GitHub (TruffleHog, git-all-secrets), el abuso de buckets S3 y el subdomain takeover por CNAME colgante, y la cosecha de correos para el spear phishing.
osint/bazzell-osint/cap-06 — apoyo pasivo: crt.sh/Censys para el pivoteo por certificados y los SAN, Shodan con sus filtros, y el marco de gestión de superficie externa (la misma base que sostiene la infraestructura (2.4)).
Herramientas: Amass (enumeración de subdominios), TruffleHog, EyeWitness, crt.sh y Censys; listas de SecLists.
MITRE ATT&CK — Reconnaissance (TA0043): T1595 (Active Scanning), T1596 y T1593/003 (repositorios de código), con mitigación Pre-compromise (M1056) y gestión de superficie externa.

Mencionado en

1.2 · Colección: fuentes, taxonomía y evaluaciónLa segunda fase del ciclo: de dónde sale el material. Desarrolla la taxonomía completa de fuentes —internas y las seis familias externas: honeynets y darknets, sinkholes, informes de proveedor, escaneo y crawling, procesamiento de malware y relaciones humanas en canales cerrados—, el dilema entre construir y comprar, y el criterio que ordena todo lo anterior: el valor de una fuente no es su volumen sino su unicidad y su latencia respecto de la decisión. Cierra con la priorización concéntrica hacia los activos estratégicos, la señal de explotación como corrección al parcheo por severidad, y los tres riesgos de la colección misma.
2.1 · Metodología OSINT y OPSEC del investigadorEl capítulo-marco que abre P2: OSINT es una disciplina antes que un conjunto de herramientas. Dos pilares convierten el dato público en inteligencia defendible —el método (el ciclo intake→triage→colección→reporte, donde «la información no es inteligencia hasta que tiene contexto» y cada dato sirve para saltar al siguiente identificador) y el OPSEC (la máquina limpia por caso, la identidad no atribuible, la cadena de custodia)—, y sobre ambos la ética que gobierna cuándo y cómo aplicarlos (proporcionalidad, intención, decepción articulable). Encuadre dual-use: el mismo tradecraft alimenta el recon ofensivo, la investigación blue/CTI y la reducción de la huella propia.
2.2 · OSINT de identidad: email, usernames, teléfono y personasEl primer capítulo de contenido de P2 recorre la rama «identidad de persona» del árbol de pivoteo: cuatro identificadores —correo, username, nombre real y teléfono— anclan a una persona, y cada uno salta a los otros. El correo es el ancla preferida porque es único; se verifica, se permuta y, sobre todo, se cruza con datos de brechas —la técnica más valiosa del oficio, que confirma que una cuenta es real y dice en qué servicios investigar—. El username se enumera cross-platform, el nombre real se convierte en dossier con los people-search engines, y el teléfono se trabaja en tres fases hasta el titular. La misma cosecha que arma el perfil de un objetivo para un ataque mide, invertida, la exposición de credenciales de la propia organización.
2.3 · OSINT de contenido: imágenes, EXIF, geoint, documentos y videoLa segunda rama del árbol de pivoteo: el contenido que un objetivo produce o que lo referencia. El patrón durable no es «mirar» una foto, un mapa o un documento, sino extraer la propiedad estable que lleva incrustada —una coordenada GPS, un campo de metadata, un número de serie de cámara, el identificador de un video— y dispararla en paralelo contra decenas de proveedores, porque cada uno guarda una porción y una fecha distintas. Y el rasgo que hace valioso el capítulo: el contenido casi siempre filtra más de lo que su autor quiso —la matrícula que el difuminado suelta unos metros después, el thumbnail que conserva la foto sin recortar, la metadata que nombra la computadora del autor—.
2.4 · OSINT de infraestructura: dominios, IPs, registros, cripto y APIsLa tercera rama del árbol de pivoteo: la infraestructura que un objetivo opera. El anclaje ya no es un identificador de persona ni una propiedad embebida en un archivo, sino un identificador técnico estable —un dominio, una IP, un certificado SSL, un ID de analytics, una dirección de criptomoneda— y el movimiento definitorio es la correlación que no depende de WHOIS: la privacidad que el objetivo aplica (WhoisGuard, Cloudflare) se filtra por los identificadores que su infraestructura comparte consigo misma y por el pasado, que casi siempre queda registrado. Todo pivota contra todo: dominio↔IP↔ID de analytics↔SAN del certificado↔email↔brecha, y las APIs de enriquecimiento y los frameworks convierten ese pivoteo en un dossier automatizado y persistente.
4.1 · Reconocimiento de Active DirectoryCómo se mapea un dominio de Active Directory antes de atacarlo: el modelo de grafo de BloodHound, la enumeración con PowerView y el AD Module, el user hunting hacia Domain Admin y el catálogo de aristas abusables, con su detección.
8.1 · El factor humano como superficie de ataqueEl capítulo que abre la Parte 8 y traslada la lógica del manual a la superficie que ningún parche cierra: la cognición humana. Sostiene que la ingeniería social no «hackea» a la persona sino que explota atajos mentales —heurísticos— que en la vida normal funcionan bien, igual que un exploit no rompe el hardware sino que abusa de un camino de código legítimo. Presenta la automaticidad de la mente (los patrones de acción fija de Cialdini, el «click, whirr»), la reencuadra en términos de seguridad como una superficie de ataque con sus propios vectores, la escala del individuo a la masa con Le Bon, y traza el continuo de influencia —de la persuasión legítima a la ingeniería social operativa, al control coercitivo y a la operación de influencia a escala de población— que organiza el resto de la Parte. Cierra con la tesis que la recorre entera: la cognición no se parchea, pero sí se inocula.