Los metadatos son información que contienen los archivos de forma interna y no se puede acceder a dicha información desde el propio archivo.
La fecha de creación del documento, o la modificación del mismo; quién lo creó, etc. Los metadatos son sensibles porque se puede filtrar información sensible si el documento se expone en Internet.
De la información que podemos sacar de los metadatos está el sistema operativo en el que se ha desarrollado dicho documento, o la versión de los programas utilizados, como pro ejemplo si la versión del office es legal o vulnerable (y nos permitiría generar un documento malicioso).
FOCA.
Para realizar el análisis de metadatos, vamos a utilizar el programa FOCA, cuya estructura es muy sencilla y que además, puede utilizar varios plugins que añadirán funcionalidad y que nos ayudarán en nuestra fase de pestenting.
FOCA nos permite encontrar metadatos de un objeto.
Te puedes bajar la versión de Windows que vamos a utilizar en este ENLACE.
Nuevo proyecto con FOCA.Cuando pulsemos sobre el enlace anterior, nos guardará un archivo comprimido .zip llamado FocaPro. Extraeremos los archivos en la carpeta de estudio del curso (o en cualquier directorio), y dentro de la carpeta bin, tendremos el ejecutable FOCA.EXE, que es portable y no requiere instalación.
Extrae FOCA en un directorio para usarlo, por ejemplo Escritorio.
NOTA: Es posible que smartScreen de Windows te bloquee la aplicación, porque considera una aplicación peligrosa. Ignora éste mensaje y ejecutalo como administrador.
La ventana principal es una aplicación de Windows habitual con una serie de menús y un árbol de directorios que nos permitirán conocer la ruta actual hacia un documento. Para esta clase vamos a utilizar el sitio web siguiente:
La página anterior es un sitio web puesto a propósito para que realicemos pruebas de pentester sobre ella, ya que es un sitio pensado para que pongamos a prueba nuestros conocimientos.
Volviendo a nuestro proyecto, pulsa sobre Projects y crea un New Project.
En Project podrás crear y guardar el proyecto.
Yo voy a crear un directorio nuevo llamado objetivo y que será donde guardaré los resultados que encontraré en FOCA para un objetivo particular, por ejemplo, en este caso hackthissite.org.
Nuevo directorio para cada objetivo a investigar.
Además, puedes subir el tiempo de autoguardado para que no te esté el programa avisando cada 5 minutos. Yo lo pongo en 30 minutos. Ya puedes pulsar el botón de Create y se crea el proyecto.
Nuevo proyecto en FOCA. Configuración básica.
El primer paso será la búsqueda con motores de navegación. Pulsa sobre Search All y el programa buscará todos los documentos chequeados en el cuadro de búsqueda anterior.
Búsqueda básica de documentos en el dominio solicitado.
Cuando termine la búsqueda, nos devolverá todos los documentos que ha encontrado del sitio Web. Puede ocurrir que no te devuelva ningún documento. Eso significará que el sitio está caído en ese momento o que ya no existe.
Resultado de búsqueda con FOCA.
También en Network, haremos una búsqueda de DNS, escogeremos la opción de Búsqueda de directorios, y añadiremos el archivo que está en el directorio FOCA\bin\DNSDirectory\hosts.txt. Esto nos devolverán los servidores DNS ligados a este dominio o subdominios que ya aprendistes a comprobar con nslookup.
Búsqueda de subdominios y dominios FOCA.
Aquí nos mostrarán DNS principales, servidores de correos, subdominios, rangos de IPs.,,,. Volviendo a la raíz del proyecto, podemos ver los metadatos y pinchando sobre ellos podremos descargarnos los archivos encontrados.
Resultado de búsqueda con FOCA de servidores en hackthissite.org.
Nos descargaremos todos los datos y aparecerán en el menú izquierdo en la pestaña de servidores y metadatos como metadata summary. Una vez descargados todos los archivos, podemos extraer todos los metadatos de los archivos, con click derecho del ratón y pulsar sobre Extract All Metadata.
Resultado del análisis de los metadatos.
Y aquí en el resumen, podemos ver que existen usuarios, directorios, una carpeta y 12 programas. Por lo que al haber encontrado usuarios y programas, podríamos aplicar fuerza bruta hacia ellos.
Como has podido ver, hemos encontrado información valiosa de archivos y documentos de un dominio web sin que nos impliquemos más en los métodos de análisis de información, ya que estamos haciendo consultas pasivas que nos permiten obtener información que comparte el objetivo en su Web pública.
EXIFTOOL.
La anterior aplicación es muy potente, pero puede parecer un poco liosa si lo que quieres es sacar información de un solo archivo. Y para eso tenemos ExifTool. La herramienta ExifTool es sencilla. Descargatela para Windows o MacOS en el siguiente ENLACE.
Esta aplicación funciona en línea de comandos, por lo que cuando descomprimas el .zip de la aplicación aparecerá esta ventana:
ExifTool y directorios.
Lo primero que vas a hacer es cambiar el nombre del archivo de exiftool(-k).exe a exiftool.exe tal y como indican en las instrucciones del archivo README.txt.
Cambiar el nombre del archivo para usarlo en la consola.
Y después, abre la consola y vete a esa ruta donde está el ExifTool.exe. Ahora en dicha ruta, arrastra un documento word, PDF, excel, xml, etc., que quieras analizar, y ExifTool te sacará los metadatos.
Arrastrar y soltar el archivo en el directorio de la consola.
Existen otras herramientas para Linux como WGET que te permiten bajar directamente archivos desde los servidores web, sin necesidad de otros programas, y después con ExifTool, podrías analizar dichos archivos.
wget -r -nd -A pdf, docx xlsx, pptx-P ruta_local dominio
Console
En la clase práctica vamos a ver herramientas de Linux que nos permitirán hacer reconocimiento activo y pasivo. Si consideras que el curso cumple con tu satisfcción, por favor comparte este contenido.
