Encuentra todos los paquetes que incluyen SYN
tcpdump -n -r snort.log 'tcp[13] & 2 != 0'
Encuentra todos los paquetes que incluyen RST
tcpdump -n -r snort.log 'tcp[13] & 4 != 0'
Encuentra todos los paquetes que incluyen ACK
tcpdump -n -r snort.log 'tcp[13] & 16 != 0'
URG
ACK
PUSH
RESET
SYN
FIN
TOTAL
NO
NO
NO
NO
NO
NO
0
NO
NO
NO
NO
NO
SI
0
NO
NO
NO
NO
SI
NO
75262
NO
NO
NO
NO
SI
SI
0
NO
NO
NO
SI
NO
NO
221
NO
NO
NO
SI
NO
SI
0
NO
NO
NO
SI
SI
NO
0
NO
NO
NO
SI
SI
SI
0
NO
NO
SI
NO
NO
NO
0
NO
NO
SI
NO
NO
SI
0
NO
NO
SI
NO
SI
NO
0
NO
NO
SI
NO
SI
SI
0
NO
NO
SI
SI
NO
NO
0
NO
NO
SI
SI
NO
SI
0
NO
NO
SI
SI
SI
NO
0
NO
NO
SI
SI
SI
SI
0
NO
SI
NO
NO
NO
NO
19
NO
SI
NO
NO
NO
SI
0
NO
SI
NO
NO
SI
NO
221
NO
SI
NO
NO
SI
SI
0
NO
SI
NO
SI
NO
NO
79239
NO
SI
NO
SI
NO
SI
0
NO
SI
NO
SI
SI
NO
0
NO
SI
NO
SI
SI
SI
0
NO
SI
SI
NO
NO
NO
0
NO
SI
SI
NO
NO
SI
0
NO
SI
SI
NO
SI
NO
0
NO
SI
SI
NO
SI
SI
0
NO
SI
SI
SI
NO
NO
0
NO
SI
SI
SI
NO
SI
0
NO
SI
SI
SI
SI
NO
0
NO
SI
SI
SI
SI
SI
0
SI
NO
NO
NO
NO
NO
0
SI
NO
NO
NO
NO
SI
0
SI
NO
NO
NO
SI
NO
0
SI
NO
NO
NO
SI
SI
0
SI
NO
NO
SI
NO
NO
0
SI
NO
NO
SI
NO
SI
7513
SI
NO
NO
SI
SI
NO
0
SI
NO
NO
SI
SI
SI
3
SI
NO
SI
NO
NO
NO
0
SI
NO
SI
NO
NO
SI
0
SI
NO
SI
NO
SI
NO
0
SI
NO
SI
NO
SI
SI
0
SI
NO
SI
SI
NO
NO
0
SI
NO
SI
SI
NO
SI
0
SI
NO
SI
SI
SI
NO
0
SI
NO
SI
SI
SI
SI
0
SI
SI
NO
NO
NO
NO
0
SI
SI
NO
NO
NO
SI
0
SI
SI
NO
NO
SI
NO
0
SI
SI
NO
NO
SI
SI
0
SI
SI
NO
SI
NO
NO
0
SI
SI
NO
SI
NO
SI
0
SI
SI
NO
SI
SI
NO
0
SI
SI
NO
SI
SI
SI
0
SI
SI
SI
NO
NO
NO
0
SI
SI
SI
NO
NO
SI
0
SI
SI
SI
NO
SI
NO
0
SI
SI
SI
NO
SI
SI
0
SI
SI
SI
SI
NO
NO
0
SI
SI
SI
SI
NO
SI
0
SI
SI
SI
SI
SI
NO
0
SI
SI
SI
SI
SI
SI
0
2.- Con base en la combinación de FLAGS que encontró en el punto 1, identifique el tipo de escaneo que se realizó para tener esa combinación de FLAGS.
Se encontraron 79239 escaneos de tipo
TCP-SYN en los cuales el puerto se encontraba cerrado. Sabemos que las banderas
utilizadas en este caso son [RST, ACK] para puertos cerrados Y [SYN, ACK] para
puertos abiertos.
Se muestra a continuación algunos ejemplos
de las tramas de un escaneo TCP-SYN de
puertos cerrados con las banderas resaltadas y el número total de tramas
correspondientes en el archivo.
Para escaneos con puertos abiertos se
encontraron 221 tramas correspondientes a un escaneo TCP-SYN de puertos abiertos, se resaltan las banderas activadas.
Un escaneo de tipo
ACK utilizarán al menos la bandera de ACK encendida.
Para estos
escaneos se muestran las tramas que coinciden, se obtuvieron 79479 tramas, se resaltan las banderas y se puede apreciar el numero de tramas que coinciden con este tipo de escaneo.
3.- Con base en la investigación de hping2 ó nmap, cree la línea que reproduce las tramas con las combinaciones de FLAGS anteriormente identificadas.
Con nmap es posible generar estas tramas mediante los comandos
nmap -sS {objetivo} //genera un escaneo tipo TCP-SYN
nmap -sA {onjetivo} // genera un escaneo tipo ACK, útiles para la detección de firewalls
