sam spade es como su nombre lo indica una gran utilidad para buscar informacion publica , no debe faltar en nuestro arsenal para auditorias de seguridad informatica.
sam spade no es solo un whois u obtencion de informacion si no que es una gran variedad de herramientas, trae un scaner de direcciones similar a nmap, asi como diversas funcionalidades como chequear transferencias de zonas,  traceos de rutas, entre otras funcionalidades muy importantes en el mundo del hacking.
en este caso vamos a hacerle un whois a una empresa del gobierno de mexico para ver que informacion importante es la que nos puede brindar de cara como "atacantes".
 voy a seleccionar una al azar pero no dire cual ni mucho menos pondre la informacion que me aparezca aqui en esta investigacion,  mas adelante podremos observar como un simple whois nos puede llevar hacia la puerta del mismo objetivo en un abrir y cerrar de ojos y ni siquiera darnos cuenta de que el atacante esta frente a nuestra puerta y casi con solo un error que cometamos para poder entrar y saquear nuestra tan apreciada informacion.
antes de entrar en terreno cabe mencionar que el otro dia navegando me he encontrado una web bastante troll y peligrosa, puesto que en esta misma se expone como "solo una foto de nuestro gato puede comprometernos y es que algunos moviles o camaras de fotos modernas activan el gps y los encabezados EXIF de metadatos que nos pueden delatar a ciertos atacantes nuestra "ubicacion actual".
por eso es conveniente y no solo con este caso si no con cualquier tecnologia desactivar ciertas funciones si no las estas utilizando,  por ejemplo si no estas usando el bluetooth entonces para que proposito lo tienes encendido?, si no estas usando ipv6 completamente en tus redes, para que las tienes activadas en ciertos rangos?,  este desconocimiento puede abrir una nueva brecha de amenazas hacia atacantes externos,  hay que desactivar TODOS los servicios que no estemos utilizando.
vamos entonces a abrir la utilidad sam spade para investigar algunos detalles importantes mediante la utilidad whois que incluye informacion publica.

como vemos nos dice todo tipo de informacion asi como el nombre del administrador del website o de las redes del gobierno :p.  intedesante no?  :V.
ahora lo que vamos hacer es ir buscando mas informacion pero ahora con la herramienta nslookup inluida dentro de la mayoria de sistemas operativos.
 al parecer hay un firewall entre las solicitudes de dns y las transferencias de zonas.
las transferencias de zonas fue una falta de configuracion por parte de los administradores de sistemas y de redes por alla a inicios de los 2000s,  se centraba principalmente en que los administradores no configuraban bien solo las zonas validas dentro de los dominios especificos, por ejemplo si un servidor de correo tiene que resolver solicitudes dns y otro servidor tiene contacto con este,  se podian volcar los registros de una base de datos hacia otra lo que cabria en la posibilidad de que los atacantes tambien podian volcar desde afuera todos los registros posibles.
parece que el website del gobierno esta arriba dentro de un servicio de cloud computing o computo en la nube,  por lo que es literal que bloque las solicitudes.
con la misma utilidad hice un crawling hacia el sitio para buscar datos interesantes y......
ahora vamos a investigar ese correo electronico aver hacia donde apunta el servidor:
vemos los servidores dns del dominio funcionpublica.gob.mx,  ahora vamos a escanear uno de esos servidores:
esperamos a que finalize el escaneo para poder observar minuciosamente que es lo que ocurrio tras bambalinas.

podemos apreciar que el escaneo fue un exito y que nos dan los puertos abiertos, entre otras cuestiones tecnicas como por ejemplo el servicio o los servicios que se encuentran corriendo en ese momento.vemos que tenemos muchas opciones ademas de opciones con la interfaz grafica que se ve en la demo o en la GUI tambien podremos utilizar esta herramienta con la linea de comandos,  cada quien elegira segun su preferencia y su administracion de recursos computacionales.

podemos analizar que el campo que dice Network I/F  es la tarjeta de nosotros donde vamos a aduntar la tool para que empiece a olfatear, el campo que dice ip address es nuestra direccion IP desde donde estamos ejecutando la utilidad,  la mac es la de nosotros igualmente ,  ademas nos muestra otras opciones de escaneo de las que dependera del entorno donde nos encontremos como por ejemplo en un entorno empresarial,  ademas nos permite seleccionar el protocolo correspondiente para realizar nuestro analisis,  el comando que automaticamente se ejecutara para ver que puertos estan corriendo en que servicios se nos muestra en el apartado Command Line en la seccion External Command.podremos analizar que nos detecto la direccion mac de los clientes que estan conectados posteriormente y la direccion IP.

a veces y sin darnos cuenta los servidores DNS nns pueden ser de una ayuda monumental al momento de estar realizando una auditoria de seguridad informatica.
el server dns puede ser nuestro principal aliado cuando de recogida de informacion se trata y de reconocimiento de informacion.
la cache del dns puede ser vista por terceros para estudiar ala victima u objetivo.
esto no puede ser una informacion vital dentro de la jearquia de internet pero si nos encontramos dentro de una organizacion y tenemos constancia de que dicha organizacion cuenta con servidores dns internos, entonces este pequeño fingerprint nos sera de bastante utilidad,  ya que a partir de aqui podemos saber que correos utilizan los empleados,  hacia donde se encuentran las mayores conexiones por parte de los empleados.
de esta informacion recogida podemos explotar otros fallos de seguridad internos dentro de la organizacion,  actualmente existen diversos metodos para llegar a recolectar los datos dentro de la cache del servidor dns,   esto permite al atacante recolectar informacion para por ejemplo crear una campaña de phishing despues  hacia los empleados o hacia el departamento de informatica,  al ser el departamento de informatica uno de los medianamente dificiles de atacar ya que al poseer de conocimientos, estos mismos desconfian de algunos detalles de internet,  pero sabemos de antemano que todo ser humano tiene vulnerabilidades en sus pensamientos y en sus gustos,  los atacantes se aprovechan de ello utilizando ingenieria social suficientemente sofisticada para que estos mismos caigan en su trampa, tal vez utilizando los encantos de una femina como hemos visto en algunas peliculas que ya se las mencionare despues ;).
uno de los metodos mas faciles e intuitivos es del metodo de un script con el lenguaje de programacion lua que podemos crear nuestros propios scripts e importarlos hacia nmap como parte de las extensiones del propio escaner de puertos.
 con nmap contamos variaciones de scripts ya preconstruidos para hacer algunas tareas asi como auditar en busca de vulnerabildiades y su posterior parchado en equipos de nuestra red.
ahora vamos a probar un script con nmap para ver las respuestas no recursivas que nos tienen que ofrecer los servidores dns,  al ser estas respuestas no recursivas es decir no pueden ir desde nuestro servidor dns objetivo hacia otro servidor dns de replicador,  entonces nos podra arrojar los dns root o primarios en algunas ocasiones, aunque esto cabria destacar que todo depende de las configuraciones desde los servidoes, entonces todo depende de los administradores de sistemas :V XD LOL.
vamos hacer una prueba con nslookup antes de entrar al nmap:
los mensajes de query refused indican que no existen tales direcciones ni dominios en la cache del servidor lo que muy probablemente no hayan sido resueltas en algun tiempo de vida del refrescamiento del servidor.
ahora vamos a trastear con otros servidores  y consultando la cache ahi mismo:
lo que en instancia nos da mucha informacion acerca de la empresa que estamos auditando, podemos ver las paginas que mas visitan los empleados de la misma,  dandonos mucha imaginacion para los posteriores ataques que perfilaremos.

 uno de los otros metodos es buscar en la herramienta foca con el modulo para dns snooping incluido en la misma herramienta.
una de las posibilidades de esta recoleccion de informacion es hacer despues un dns spoofing para tomar o falsificar todo el servidor desde donde las victima o la victima hace sus resoluciones dns,  una vez tenemos controlado un servidor dns, podemos redirigir todo el trafico hacia direcciones falsificadas para hacer un phishing bastante inteligente, la victima al no tener consciencia de esto, caera eficientemente en la trampa.
 una parte importante es que el dominio update.microsoft pertenece a microsoft y a sus actualizaciones, entonces podemos buscar en las caches aver si alguna de las maquinas solicita actualizaciones y hasta poder perfilar el ataque evil grade que se basa en las actualizaciones falsificadas e infectadas para tomar control de los ordenadores.


como vemos la pagina anterior tiene en su dns cache el sitio o el dominio cajaespana.es,  cuando un dominio esta en la cache esto quiere decir que los empleados de la intranet visitan mucho este mismo dominio, el server se refresca cada dos minutos esto es por eso que tiene la opcion de refrescar o buscar cada dos minutos en la utilidad foca.
ahora vamos a checar con dns snoopy y tcpdump aver que resultado tiene nuestro fingerprinting y vamos analizar que es lo que dice nuestro trafico de red.
 vamos aver que tal el script dns-snoopy:
y el resultado es NADA! XD,  y es que nos dice que en la cache no hay nada almacenado pero si lo hay , lo que pasa es que un bendito firewall esta detras de este misterio haciendonos la vida un poco mas dificil.
 y de seguro algunas veces nosotros nos frustramos asi con la anterior cara en algunas ocasiones cuando estamos realizando alguna auditoria de seguridad en la fase de recogida de informacion.
debemos tener paciencia no todo sale como queramos en la cyberseguridad,  uno de los mayores pilares es ser muy pero muy paciente para que nuestros ataques sean completamente exitosos.
vamos a seguir buscando servidores vulnerables aver si en alguna ocasion tenemos exito rotundo:
lo ideal es realizar una busqueda no recursiva ya que recordad que tenemos que hacer la consulta solo en la cache del o de los servidores dns.  (domain name system).

http://hakan.niska.se/binary/DNS_Cache_Snooping_1.1.pdf 
https://nmap.org/nsedoc/scripts/dns-cache-snoop.html 
https://github.com/z0mbiehunt3r/dns-snoopy 
http://cs.unc.edu/~fabian/course_papers/cache_snooping.pdf 
https://github.com/felmoltor/DNSSnoopDogg 

en la imagen del trafico de red podemos ver que las conexiones siempre se inicializan en este numero de secuencia y va incrementando aleatoriamente.
ahora nos vamos a dirigir a una base de datos referencial en internet para ver todos los parametros que nos han resultado.
los resultados son los siguientes:

ami parecer estos valores son suficientes para buscar sobre que sistema operativo se trata.
buscamos estos valores en internet para corroborar efectivamente de que sistema operativo se trata.
un tip que les puedo dar es que las tramas o paquetes de datos en el trafico ciruclante de la red contiene muchisima informacion,  mas informacion misma de lo que te puedas imaginar.
como vemos en efecto es un sistema windows, parece que todos los sistemas operativos de microsoft tratan igual estos valores y hasta la fecha desde el windows XP.