7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 1/11

FOCA 2.5 Free Manual de Usuario

Mucho ha ido creciendo la FOCA desde que comenzó siendo una herramienta

de análisis de metadatos para dibujar una red a partir de los metadatos. Eneste manual se intentará realizar un recorrido de todas las opciones y elfuncionamiento de la herramienta en cada momento.

Panel de Documentos 

Esta es la parte que para muchos de vosotros será mucho más familiar, en ellase descargan y se busca información de los siguientes tipos de ficheros:

- MS Office: doc, docx, xls, xlsx, ppt, pptx, ppsx y pps- Open Office: odf, ods, odt, odp, sxw, swi y sxc

- Adobe: pdf, indd- Otros: wpd, svg y svgz

Para que se habilite esta opción, es necesario crear un proyecto.

Figura 1: Creación de un proeyecto con la FOCA 2.5 

Estos documentos se buscan utilizando tres posibles buscadores que sonGoogle, Bing y Exalead. La suma de los tres buscadores, en muchos casos,

consigue un gran número de documentos. Ninguno de los buscadores ofrece el100% de los documentos en la mayoría de los casos, y, ni la suma de los 3garantiza ese objetivo, pero sí que se máxima el resultado.

En cualquier búsqueda se puede elegir el tipo de ficheros y el motor a utilizar.Hay que tener en cuenta que Exalead no ofrece comandos como Google, quebuscar por extensión o que BING no reconoce todos los filetypes, por lo que,la mejor opción es seleccionar el tipo de documento y dejar que la FOCArealice la búsqueda por los tres motores.

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 2/11

 

Figura 2: Búsqueda de ficheros FOCA 2.5 

Si se realizan muchas búsquedas con Google, es posible que aparezca uncaptcha de Google, la FOCA mostrará entonces el Captcha para que el usuariointroduzca el valor correcto y pueda continuar buscando documentos.

Añadir ficheros Manualmente 

FOCA no sólo trabaja con ficheros buscados a través de los motores, y esposible añadir una carpeta o un fichero, simplemente arrastrando la carpeta oel fichero a FOCA o, usando las opciones de menú contextual del botónderecho del ratón.

Si se añaden ficheros locales de esta forma, es posible también extraer lainformación EXIF de archivos gráficos. En la versión Online de la FOCA esposible subir ficheros ofimáticos o ficheros gráficos para analizar susmetadatos.

También se pueden añadir ficheros remotos, utilizando la opción de añadirURL de tal manera que la FOCA descargará también ese fichero.

Personalizar la búsqueda de ficheros 

Por defecto la FOCA busca ficheros que tienen que ver sólo con el dominio

principal del proyecto y sin poner ninguna otra restricción que el tipo deficheros. En el caso de querer añadir más ficheros al análisis, por ejemplo demás de un dominio, es posible cambiar los parámetros de búsqueda deficheros de la FOCA, para eso es suficiente con apretar sobre la opción customsearch y se desplegará un cuadro de texto donde se podrá cambiar laconfiguración de búsqueda a utilizar en los motores.

Análisis de la URL 

Una vez generada esa lista de enlaces, y previamente a descargar los ficheros,la FOCA ya ha empezado a trabajar. Esta es una de las novedades que trae lanueva versión. La URL va a ser descompuesta en las siguientes partes:

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 3/11

- Si es encontrado por buscadores Web, entonces se asume que es un servidorweb.

- Se extrae el nombre de dominio.

- Se busca su dirección IP.

- Si está seleccionada la opción de fingerprinting pasivo, se intenta averiguarla tecnología del servidor web a través de:o El banner del puerto 80.o El error 404o El error de Aspx  

- La ruta al documento se descompone en todos los posibles directorios, asíalgo como http://www.uno.com/directorio1/docs/pdf/fichero.pdf sedescompondría en:

o http://www.uno.com/o http://www.uno.com/directorio1/o http://www.uno.com/directorio1/docs/o http://www.uno.com/directorio1/docs/pdf/ 

Y se darían de alta asociados como directorios al nombre de dominio dewww.uno.com.

- En cada directorio se prueba si tiene el listado de directorios abiertos,mediante una petición de la ruta y una búsqueda de la cadena Index of. Esta

cadena pueda cambiarse en las opciones. Si la página tiene esa cadenaentonces se asocia a cada dominio esa ruta dentro de la opción Open Folders.

Figura 3: Opciones de FOCA 2.5 

- En cada directorio se hace una petición Options buscando los métodosinseguros. Estos métodos inseguros se definen en las opciones y, por defectoson PUT y DELETE. Si uno de estos métodos existe, entonces esas rutas semeten en la parte de Methods on Folders.

Luego, antes incluso de descargar el fichero se ha realizado un análisiscompleto de la información descubierta a través de la URL.

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 4/11

 

Figura 4: Resultado inicial del mapa de red tras buscar documentos 

Descarga de los ficheros 

Una vez seleccionados todos los ficheros que van a formar parte del procesode análisis, se podrá proceder a descargarlos. FOCA 2.5 Free descarga los

ficheros uno tras uno. Se puede seleccionar, uno, varios o todos los ficherospara la descarga y, si se quiere saber cuál es el tamaño del archivo antes dedescargarlo, se puede utilizar la opción HEAD en las opciones. Esto hará quela FOCA, nada más descubrir un fichero, haga una petición Http HEAD alservidor para obtener su tamaño.

Figura 5: Habilitar HEAD 

Si por cualquier motivo se queda bloqueado el hilo de descarga de un fichero,

se puede detener la descarga y volver a descargar. Esto suele pasar cuando elservidor deja el hijo de petición de descarga en espera.

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 5/11

 Extracción de los Metadatos 

Una vez descargados los ficheros, se puede proceder a la extracción. Como enversiones anteriores, FOCA extrae todos los metadatos, datos ocultos e

información perdida que puede de los ficheros. Ahora estos se organizan ennodos por tipos de ficheros que permiten encontrar más fácilmente unfichero.

Figura 6: Guía de Instalación de Guadalinex hecha con MS Word  

Además, se crean unas listas resúmenes de metadatos que permiten:

a) Exportar a un fichero de texto la lista de información descubiertab) Trazar el dato hasta el documento en el que aparece dicho dato

En esta última versión, se ha añadido, a las listas existentes de direcciones e-mail, usuarios, software, rutas e impresoras, una opción de sistemasoperativos.

Figura 7: Listas de Metadatos 

Análisis de Metadatos 

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 6/11

Con todos los datos extraídos de todos los ficheros con los que se desea crearel fichero, la FOCA va a unir la información, tratando de reconocer quedocumentos han sido creados desde el mismo equipo, y qué servidores yclientes se pueden inferir de ellos.

Así, como se ve en la figura siguiente se infiere un equipo cliente a partir deun único documento.

Figura : Cliente Apple inferido de 1 documento 

O en este ejemplo, se infiere un servidor, llamado Cadiz en Metrodemadrid.esque comparte varias impresoras y al que se sabe que acceden a imprimirdiversos usuarios.

Figura 8: Servidor Cadiz inferido en unallocated  

Unallocated Servers 

Como se puede ver en la imagen superior, el servidor Cadiz aparece en la listade unallocated servers. Eso es porque no se ha podido resolver su dirección IPni su nombre de dominio. Para la resolución de servidores, lo que FOCA hacees intentar el nombre del servidor, en este caso cadiz, con todos los dominiosque forman parte del proyecto. Es decir, todos los dominios principales y los

dominios alternativos.

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 7/11

Los dominios principales son los que cuelgan del dominio principal, así, si parael domino metrodemadrid.es apareciera ftp.intranet.metrodemadrid.es oxxx.ramalnorte.metro.metrodemadrid.es como servidores descubiertos por laFOCA, entonces, automáticamente se comprobaría el servidor cadiz con todosellos, es decir, se intentaría resolver:

- Cadiz.metrodemadrid.es- Cadiz.intranet.metrodemadrid.es- Cadiz.ramalnorte.metro.metrodemadrid.es- Cadiz.metro.metrodemadrid.es 

Además, se intentará resolver con los dominios alternativos. Estos dominiosalternativos se pueden añadir, bien desde la ficha de creación del proyecto,bien desde la opción el menú contextual sobre un nombre de dominio. Así, sien la parte de dominios relacionados apareciera un nombre de dominio quepodría ser importante para el dominio del estudio, se podría agregar con las

opciones del menú contextual del nombre de dominio. AutomáticamenteFOCA intentará resolver todos los unallocated servers con ese nuevo dominio.

Figura 9: Alternative domains 

FOCA 2.5 Free Manual de Usuario [3 de 6] 

DNS Search Panel 

La principal novedad que aportaba FOCA 2 fue este modulo de descubrimientode servidores. El objetivo es automatizar el proceso de búsqueda de

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 8/11

servidores utilizando un conjunto de técnicas enlazadas de forma recursivahasta llegar al máximo descubrimiento posible de la red asociado al dominioprincipal. Las técnicas que utiliza son:

Figura 10: Panel de búsqueda DNS 

Web Search 

La idea es buscar nombres de hosts y dominios a través de la búsqueda deURLs asociadas al dominio principal en Google Web, Google API, Bing Web oBing API. Así, cada link se analiza para sacar de él nuevos nombres de hosts ynombres de domino.Para maximizar el número de resultados descubiertos, si el sitio alcanza ellímite de resultados en el buscador, la FOCA intentará obtener más resultadoshaciendo nuevas búsquedas en las que irá excluyendo con los modificadores –

inurl los hostnames ya registrados.

DNS Search 

A cada dominio se le consultará cuales son los hostnames configurados en losservidores NS, MX y SPF para descubrir nuevos nombres de hosts y nombres dedominios.

Resolución IP 

Cada nombre de host se resolverá contra el DNS para obtener la dirección IPasociada a ese nombre de servidor. Para que esta tarea sea lo más certeraposible, la consulta se realiza contra un DNS interno de la organización.

PTR Scanning 

Para encontrar más servidores en el mismo segmento de una determinadadirección IP FOCA realizará un escaneo de registros PTR. FOCA lanzaráconsultas a registros PTR del DNS de todas las direcciones descubiertas.

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 9/11

 

Figura 11: Ejemplo de consulta PTR a IP interna 

Bing IP 

A cada dirección IP descubierta se lanzará un proceso de búsqueda de nuevosnombres de dominio asociados a esa dirección IP. Si el nombre del hostsdescubierto a través de esta consulta está en el dominio principal delproyecto de análisis, entonces se volverá a realizar todo el trabajorecursivamente, es decir, se volverá a resolver su dirección IP a ver si da unadistinta, si es así, se volverá a realizar el proceso de PTR Scanning y de Bing

IP.

Figura 12: Descubrimiento de dominios por BING IP  

En la Figura 12 se puede ver como donarsang.cat aparece tras hacer unabúsqueda Bing IP a la dirección IP de www.donarsang.gencat.cat 

Esta parte del algoritmo puede bloquear el análisis total del proyecto debidoa que se dé con un servidor de hosting con miles de dominios asociados. Paraevitar estas situaciones, la herramienta FOCA en el DNS Search Panel cuentacon el botón Skip.

Este botón parará la parte del algoritmo donde esté y pasará a la siguiente.

Así, si FOCA está durante mucho tiempo en un servidor de hosting y seconsidera que la información que se ha obtenido ya es suficiente, entonces se

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 10/11

puede saltar a la siguiente haciendo clic en él.

Google Sets 

El servicio Google Sets permite buscar servidores dentro del dominio cuando

el sistema de nombres está organizado temáticamente, es decir, los equiposestán nombrados siguiendo una lógica de conjunto. Por ejemplo, ríosamericanos, capitales europeas o personajes de El Señor de los Anillos. Paraello, FOCA, para cada nombre de dominio descubierto realiza una petición deconjunto de palabras en Google Sets que probará a resolver contra el dominiodel análisis.

Por cada nuevo servidor descubierto se realizará todo el análisis completo, esdecir, búsqueda de IP, rastreo de dominios asociados en Bing IP, escaneo deregistros PTR al segmento de red de la IP.

Common names 

Este módulo está pensado para realizar ataques de diccionario contra el DNS.Utiliza un fichero de texto donde se añade una lista de nombres de hostcomunes como ftp, pc01, pc02, intranet, extranet, internal, test, etcétera.Todos estos nombres se intentan resolver contra los dominios principales delproyecto. En el momento que se descubra uno nuevo, se volverá a proceder alanálisis recursivo del mismo.

DNS Prediction 

Para aquellos entornos en los que se haya descubierto un nombre de equipoque pueda dar pie a pensar que se está utilizando un patrón en el sistema denombres, se puede utilizar este módulo. La opción se encuentra accesible enel menú contextual del botón de derecho y permite establecer la creación,mediante variables, de patrones de búsqueda en el DNS. Así si hay unpc23.domino.com se podría configurar un patrón pc{0}.dominio.com haciendoque {0} fuera sustituido por valores numéricos desde el 11 al 99.

Figura 13: DNS Prediction, incluido desde la FOCA RC1 

7/23/2019 Manual Foca 2

http://slidepdf.com/reader/full/manual-foca-2 11/11

 Este módulo permite utilizar múltiples variables, numéricas o alfanuméricas,en la creación del patrón de búsqueda.

Robtex 

El servicio robtex es uno de los múltiples servicios que hay en Internet paraanalizar las direcciones IP y los dominios. En la FOCA, esta opción estáaccesible en las opciones del menú contextual del botón derecho paraintentar descubrir nuevos dominios buscando en la información que Robtextposee de ella.