Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Practica Nro. 8 USO DE TCP Y UDP UTILIZANDO EN APLICACIONES Docente: Ing. Carla Navarro Sakasegawa Alumno: I. OBJETIVOS: Explicar parmetros y resultados de comandos netstat comunes. Utilizar netstat para examinar la informacin del protocolo en un equipo host del mdulo. II. MARCO TEORICO Informacin bsica netstat es la abreviatura de la utilidad de estadsticas de red que se encuentra disponible tanto en computadoras Windows como en computadoras Unix / Linux. El paso de parmetros opcionales con el comando cambiar la informacin de resultado. netstat muestra conexiones de red entrantes y salientes (TCP y UDP), informacin de tabla de enrutamiento del equipo host y estadsticas de la interfaz. Escenario En esta prctica de laboratorio el estudiante examinar el comando netstat en un equipo host del mdulo y ajustar las opciones de resultado de netstat para analizar y entender el estado del protocolo de la capa de Transporte TCP/IP. TAREA 1: EXPLICAR PARMETROS Y RESULTADOS DE COMANDOS NETSTAT COMUNES. Abra una ventana terminal haciendo clic en Inicio | Ejecutar. Escriba cmd y presione Aceptar. Para mostrar informacin de ayuda sobre el comando netstat, utilice las opciones /?, como se muestra: C:\> netstat /? <INTRO> Utilice el comando de salida netstat /? como referencia para completar la opcin que mejor se ajuste a la descripcin: Opcin Descripcin Muestra todas las conexiones y puertos que escuchan. Muestra direcciones y nmeros de puerto en forma numrica. Vuelve a mostrar estadsticas cada cinco segundos. Presione CONTROL+C para detener la nueva visualizacin de las estadsticas. Muestra conexiones para el protocolo especificadas por protocolo. El protocolo puede ser cualquiera de los siguientes: TCP, UDP, TCPv6, o UDPv6. Si se usa con la opcin s para mostrar estadsticas por protocolo, el protocolo puede ser cualquiera de los siguientes: IP, IPv6, ICMP, ICMPv6, TCP, TCPv6, UDP, o UDPv6. Vuelve a mostrar todas las conexiones y puertos que escuchan cada 30 segundos. Muestra slo las conexiones abiertas. ste es un problema complicado. Cuando se muestran estadsticas netstat para conexiones TCP, tambin se muestra el estado TCP. Durante la conexin TCP, la conexin atraviesa por una serie de estados. La siguiente tabla es un resumen de los estados TCP desde RFC 793, Transmission Control Protocol, septiembre de 1981, tal como lo inform netstat: Fecha: Semestre: Seccin: Ciclo Acd. Nota: Pgina: 1

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Pgina: 2

Estado ESCUCHAR ESTABLECIDA TIEMPO-ESPERA CERRAR-ESPERAR SYN-ENVIADA SYN_RECIBIDA

Descripcin de la conexin La conexin local est a la espera de un pedido de conexin de parte de cualquier dispositivo remoto. La conexin est abierta y se pueden intercambiar datos a travs de la conexin. ste es el estado normal para la fase de transferencia de datos de la conexin. La conexin local est esperando un perodo de tiempo predeterminado despus de enviar un pedido de finalizacin de conexin antes de cerrar la conexin. sta es una condicin normal y generalmente dura entre 30 y 120 segundos. La conexin se cerr pero sigue esperando un pedido de finalizacin por parte del usuario local. La conexin local espera una respuesta despus de enviar un pedido de conexin. La conexin debe transitar rpidamente por este estado. La conexin local espera un acuse de recibo que confirme su pedido de conexin. La conexin debe transitar rpidamente por este estado. Conexiones mltiples en el estado SYN_RECIBIDO pueden indicar un ataque TCP SYN.

Las direcciones IP mostradas por netstat entran en varias categoras: Direccin IP 127.0.0.1 0.0.0.0 Direccin remota Descripcin Esta direccin se refiere al host local o a este equipo. Una direccin global, lo que significa CUALQUIERA. La direccin del dispositivo remoto que tiene una conexin con este equipo.

TAREA 2: UTILIZAR NETSTAT PARA EXAMINAR LA INFORMACIN DEL PROTOCOLO EN UN EQUIPO HOST DEL MDULO. Paso 1: Utilice netstat para ver conexiones existentes. Desde la ventana Terminal en Tarea 1, arriba, ejecute el comando netstat a: C:\> netstat a <INTRO> Se mostrar una tabla que lista el protocolo (TCP y UDP), direccin local, direccin remota e informacin sobre el estado. All tambin figuran las direcciones y los protocolos que se pueden traducir a nombres. La opcin n obliga a netstat a mostrar el resultado en formato bruto.Desde la ventana Terminal, ejecute el comando netstat an: C:\> netstat an <INTRO> Utilice la barra de desplazamiento vertical de la ventana para desplazarse hacia atrs y adelante entre los resultados de los dos comandos. Compare los resultados, note cmo los nmeros de puertos bien conocidos cambiaron por nombres.

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Pgina: 3

Anote tres conexiones TCP y tres UDP del resultado de netstat a y los nmeros de puertos traducidos correspondientes del resultado de netstat an. Si hay menos de tres conexiones que se traducen, antelo en la tabla. Conexin Protocolo Direccin Local Direccin extranjera Estado

Consulte el siguiente resultado netstat. Un ingeniero de red nuevo sospecha que su equipo host ha sufrido un ataque exterior a los puertos 1070 y 1071. Cmo respondera? C:\> netstat n Conexiones activas Protocolo Direccin Local TCP 127.0.0.1:1070 TCP 127.0.0.1:1071 C:\>

Direccin extranjera Estado 127.0.0.1:1071 ESTABLISHED 127.0.0.1:1070 ESTABLISHED

TAREA 3: IDENTIFICAR CAMPOS DE ENCABEZADO Y OPERACIN TCP MEDIANTE EL USO DE UNA CAPTURA DE SESIN FTP WIRESHARK. Paso 1: Capture una sesin TFTP. Las sesiones TCP a diferencia de las UDP se controlan y administran debidamente con informacin que se intercambia en los campos de encabezado TCP. En esta tarea se realizar una sesin TFTP con un servidor TFTP local que denominares en la prctica Server. Cuando finalice, se analizar la captura de sesin. Las computadoras con Windows utilizan al cliente TFTP, tftp, para conectarse al servidor TFTP. Abra una ventana de lnea de comandos con un clic en Iniciar / Ejecutar, escriba cmd y luego presione Aceptar.

Figura 1. Ventana de lnea de comandos.

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Deber abrirse una ventana similar a la Figura 1. Inicie una captura Wireshark en la interfaz que tenga la direccin IP 172,16.Pod#.[1-2]. Inicie una conexin TFTP con Server. Escriba el comando: > tftp En la unidad C, se crea una carpeta denominada TFTP-Root Para descargue un archivo: tftp> get archivo Para colocar un archivo: tftp> put archivo Cierre la ventana de lnea de comandos con el comando exit: > exit Detenga la captura Wireshark. Paso 2: Analice los campos UDP Cambie a las ventanas de captura Wireshark. La ventana superior contiene resumen de informacin para cada registro capturado. Verifique la trama de los campos UDP Paso 2.1: Repita el mismo procedimiento pero utilizando un servidor FTP Antes de profundizar en los detalles del paquete TCP, se necesita una explicacin del resumen de informacin. Cuando el cliente FTP est conectado al servidor FTP, el protocolo TCP de la capa de Transporte cre una sesin confiable. El TCP se utiliza en forma continua durante una sesin para controlar la entrega del datagrama, verificar la llegada del datagrama y administrar el tamao de la ventana. Por cada intercambio de datos entre el cliente FTP y el servidor FTP, se inicia una nueva sesin TCP. Al trmino de la transferencia de datos, se cierra la sesin TCP. Finalmente, cuando la sesin FTP finaliza, TCP realiza un cierre y terminacin ordenados. Pgina: 4

Figura 3. Captura Wireshark de un datagrama TCP. Hay informacin TCP detallada disponible en la ventana del medio, en Wireshark. Resalte el primer datagrama TCP del equipo host y mueva el puntero del mouse hacia la ventana del medio. Puede ser necesario ajustar la ventana del medio y expandir el registro TCP con un clic en la casilla de expansin de protocolo. El datagrama TCP expandido debe ser similar a la Figura 3. Cmo se identifica el primer datagrama en una sesin TCP?

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Pgina: 5

Figura 4. Campos del paquete TCP. Observe la Figura 4, un diagrama de datagrama TCP. Se provee a los estudiantes una explicacin de cada campo para refrescarles la memoria: El nmero de puerto de origen TCP pertenece al host de la sesin TCP que inici una conexin. Generalmente el valor es un valor aleatorio superior a 1023. El nmero de puerto de destino se utiliza para identificar el protocolo de capa superior o la aplicacin en un sitio remoto. Los valores dentro del intervalo 0 1023 representan a los llamados puertos bien conocidos y estn asociados con servicios y aplicaciones conocidos (como se describe en RFC 1700, telnet, File Transfer Protocol (FTP), HyperText Transfer Protocol (HTTP), etc.). La combinacin de campo cudruple (direccin IP de origen, puerto de origen, direccin IP de destino, puerto de destino) identifica de manera exclusiva la sesin, tanto del emisor como del receptor. El nmero de secuencia especifica el nmero del ltimo octeto en un segmento. El nmero de acuse de recibo especifica el prximo octeto que espera el receptor. Los bits de cdigo tienen un significado especial en la administracin de sesin y en el tratamiento de los segmentos. Entre los valores interesentes se encuentran: ACK (Acuse de recibo de un segmento), SYN (Sincronizar, configurar slo cuando una sesin TCP nueva se negocia durante un protocolo de enlace de tres vas). FIN (Finalizar, solicitud para cerrar la sesin TCP). El tamao de la ventana es el valor de la ventana deslizante; cuntos octetos se pueden enviar antes de esperar un acuse de recibo. El puntero urgente se utiliza slo con un sealizador URG (Urgente) cuando el emisor necesita enviar datos urgentes al receptor. Opciones: La nica opcin definida actualmente es el tamao de segmento TCP mximo (valor opcional).

Utilice la captura Wireshark del inicio de la primera sesin TCP (bit SYN fijado en 1) para completar la informacin acerca del encabezado TCP. Del equipo host del mdulo a Eagle Server (slo el bit SYN se fija en 1): Direccin IP de origen: Direccin IP destino: Nmero de puerto de origen: Nmero de puerto de destino Nmero de secuencia: Nmero de acuse de recibo: Longitud del encabezado: Tamao de la ventana: __ * Del Server al equipo host del mdulo (slo los bits SYN y ACK se fijan en 1): Direccin IP de origen: _______________ Direccin IP destino: 172.16.___.___ Nmero de puerto de origen: ________ Nmero de puerto de destino: __________ Nmero de secuencia: ______________ Nmero de acuse de recibo: ___________

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Longitud del encabezado: Tamao de la ventana: ________ ___________ Pgina: 6

Del equipo host del mdulo al Server (slo el bit ACK se fija en 1): Direccin IP de origen: 172.16.___.___ Direccin IP destino: _______________ Nmero de puerto de origen: ________ Nmero de puerto de destino: __________ Nmero de secuencia: ______________ Nmero de acuse de recibo: ___________ Longitud del encabezado: ________ Tamao de la ventana: ___________ A excepcin de la sesin TCP iniciada cuando se realiz una transferencia de datos, cuntos otros datagramas TCP contienen un bit SYN? Respuesta: Ninguno. Un bit SYN se utiliza slo durante el comienzo de una sesin TCP. Los atacantes se aprovechan del protocolo de enlace de tres vas al iniciar una conexin half-open. En esta secuencia la sesin TCP inicial enva un datagrama TCP con el bit SYN establecido y el receptor enva un datagrama TCP relacionado con los bits SYN ACK establecidos. Un bit ACK final no se enva nunca para finalizar el intercambio TCP. En cambio, se inicia una conexin TCP nueva de manera half-open. Con suficientes sesiones TCP en estado half-open, el equipo receptor agotar recursos y colapsar. Un colapso puede incluir una prdida de servicios de red o un dao en el sistema operativo. De cualquier modo, el atacante gana. El servicio de red se ha detenido en el receptor. ste es un ejemplo de ataque de denegacin de servicio (DoS).

Figura 5. Administracin de sesin TCP. El cliente y el servidor FTP se comunican uno con el otro sin saber y sin importarles que TCP tenga el control y manejo de la sesin. Cuando el servidor FTP enva una Respuesta: 220 al cliente FTP, la sesin TCP del cliente FTP enva un acuse de recibo a la sesin TCP en Eagle Server. Esta secuencia se muestra en la Figura 5 y es visible en la captura Wireshark.

Figura 6. Terminacin de la sesin TCP ordenada. Cuando la sesin FTP termin, el cliente FTP enva un comando para salir. El servidor FTP acusa recibo de la terminacin FTP con una Respuesta 221 Adis. En este momento la sesin TCP del servidor FTP enva un datagrama TCP al cliente FTP que anuncia la terminacin de la sesin TCP. La sesin TCP del cliente FTP acusa recibo de la recepcin del datagrama de terminacin y luego enva su propia terminacin de

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Pgina: 7

sesin TCP. Cuando quien origin la terminacin TCP (servidor FTP) recibe una terminacin duplicada, se enva un datagrama ACK para acusar recibo de la terminacin y se cierra la sesin TCP. Esta secuencia se muestra en la Figura 6 y es visible en la captura Wireshark. Sin una terminacin ordenada, como por ejemplo cuando se interrumpe la conexin, las sesiones TCP esperarn un cierto perodo de tiempo hasta cerrarse. El valor de lmite de tiempo de espera predeterminado vara, pero normalmente es de 5 minutos. Tarea 4: Identificar campos de encabezado y operacin TCP mediante el uso de una captura de sesin HTTP Wireshark. Paso 1: Iniciar las capturas de Wireshark. Inicie una captura de Wireshark. Wireshark mostrar capturas basadas en el tipo de paquete. Paso 2: Iniciar el explorador Web del host del mdulo. 1. 2. 3. Con un explorador Web, como Internet Explorer o Firefox, conctese al URL de su compaero Haga clic en el botn Actualizar del explorador Web. No debe haber cambios en la pantalla del cliente Web. Abra un segundo explorador Web y conctese al URL En la pantalla aparece una pgina Web diferente. No cierre ningn explorador hasta que la captura de Wireshark se detenga. Paso 3: Detener las capturas de Wireshark y analizar los datos capturados. 1. 2. Detenga las capturas de Wireshark. Cierre los exploradores Web.

Figura 4: Sesin de HTTP capturada En la Figura 4 se muestra un ejemplo de una sesin HTTP capturada. Antes de que la HTTP pueda comenzar, se debe crear una sesin TCP. Esto se ve en las tres primeras lneas de sesin, nmeros 10, 11 y 12. Utilice los resultados de captura de Wireshark o similares para responder las siguientes preguntas: 3. Complete la siguiente tabla con la informacin presentada en la sesin HTTP: Direccin IP del explorador Web Direccin IP del servidor Web Protocolo de la capa de transporte (UDP/TCP) Nmero de puerto del explorador Web Nmero de puerto del servidor Web 4. Qu computadora inici la sesin HTTP y cmo lo hizo?

__________________________________________________________________________ __________________________________________________________________________ . 5. Qu computadora seal inicialmente un fin a la sesin HTTP y cmo lo hizo?

___________________________________________________________________

Facultad de Ingenieras y Arquitectura Escuela Profesional de Ingeniera de Sistemas e Informtica

REDES DE COMPUTADORAS Pgina: 8

___________________________________________________________________ . 6. Resalte la primera lnea del protocolo HTTP, una solicitud GET (Obtener) del explorador Web. En la Figura 4 de arriba, la solicitud GET est en la lnea 13. Vaya a la segunda ventana de Wireshark (la del medio) para examinar los protocolos en capas. Si es necesario, expanda los campos. Qu protocolo se lleva (encapsulado) dentro del segmento TCP? Expanda el ltimo registro de protocolo y cualquier subcampo. sta es la informacin real enviada al servidor Web. Complete la siguiente tabla utilizando la informacin del protocolo. Versin del protocolo Mtodo de solicitud * Solicitud URI Idioma * La solicitud URI es la ruta para el documento solicitado. En el primer explorador, la ruta es el directorio raz del servidor Web. Aunque no se solicit ninguna pgina, algunos servidores Web estn configurados para mostrar un archivo predeterminado, si est disponible. El servidor Web responde con el prximo paquete HTTP. En la Figura 4 se puede ver en la lnea 15. Una respuesta para el explorador Web es posible porque el servidor Web (1) comprende el tipo de solicitud y (2) tiene que devolver un archivo. Los crackers a veces envan solicitudes desconocidas o daadas a servidores Web para intentar detener el servidor o poder acceder a la lnea de comando del servidor. Adems, una solicitud para una pgina Web desconocida da como resultado un mensaje de error. 9. Resalte la respuesta del servidor Web y luego vaya a la segunda ventana (la del medio). Abra todos los subcampos de HTTP colapsados. Observe la informacin que devuelve el servidor. En esta respuesta, slo hay unas pocas lneas de texto (las respuestas del servidor Web pueden contener miles o millones de bytes). El explorador Web comprende los datos de la ventana del explorador y los formatea correctamente. .

7. 8.

10. Cul es la respuesta del servidor Web para la solicitud GET del cliente Web? 11. Qu significa esta respuesta?