Windows Recon: Nmap Host Discovery

🔍 ¿Qué es Nmap y por qué es la herramienta base del pentesting?

Nmap (Network Mapper) es la herramienta de escaneo de redes más utilizada en seguridad ofensiva y defensiva. Permite descubrir hosts activos, puertos abiertos, versiones de servicios, sistemas operativos y vulnerabilidades conocidas.

En entornos Windows, Nmap es especialmente valioso porque los sistemas Windows exponen una gran superficie a través de servicios como SMB (445), RDP (3389), WinRM (5985), IIS (80/443) y más, cada uno con su propio histórico de vulnerabilidades críticas.

Regla del reconocimiento: un escaneo bien hecho te dice qué atacar antes de intentar atacarlo. Improvisar sin información es la forma más rápida de ser detectado.

Tipos de escaneo Nmap más comunes

Flag	Tipo de escaneo	Cuándo usarlo
-sS	SYN scan (stealth)	Escaneo silencioso por defecto (requiere root)
-sT	TCP connect scan	Sin privilegios de root
-sU	UDP scan	Descubrir servicios UDP (DNS, SNMP, DHCP…)
-sV	Version detection	Identificar versiones exactas de servicios
-sC	Default scripts NSE	Scripts seguros de enumeración automática
-O	OS detection	Identificar el sistema operativo
-A	Aggressive scan	Combina -sV -sC -O y traceroute
-p-	All ports	Escanear los 65535 puertos TCP
-p <n>	Puerto específico	Enfocar el escaneo en un servicio concreto

🔧 Comandos del laboratorio

1. Identificar el objetivo

En entornos de laboratorio la IP del objetivo suele estar en un archivo del escritorio.

bash

cat /root/Desktop/target

2. Escaneo básico de puertos

Primer contacto: detecta los puertos TCP más comunes abiertos en el objetivo.

bash

nmap <IP>

3. Detección de versiones de servicios

Identifica exactamente qué software y versión corre en cada puerto — clave para buscar CVEs.

bash

nmap -sV <IP>

4. Escaneo de todos los puertos

Con -p- no dejas ningún servicio sin revisar, incluyendo los que corren en puertos no estándar.

bash

nmap -p- <IP>

bash — versión rápida

nmap -p- --min-rate 5000 <IP>

5. Detección de sistema operativo

Nmap analiza respuestas TCP/IP para determinar el SO y su versión exacta, orientando la búsqueda de exploits.

bash — requiere root

nmap -O <IP>

6. Scripts NSE específicos para Windows

El Nmap Scripting Engine (NSE) incluye cientos de scripts para tareas concretas.

bash — vulnerabilidades conocidas

nmap --script=vuln <IP>

bash — shares SMB (puerto 445)

nmap --script=smb-enum-shares -p 445 <IP>

bash — usuarios SMB

nmap --script=smb-enum-users -p 445 <IP>

bash — directorios web (puerto 80)

nmap --script=http-enum -p 80 <IP>

bash — EternalBlue MS17-010

nmap --script=smb-vuln-ms17-010 -p 445 <IP>

7. Escaneo combinado y detallado

-A activa detección de versiones, SO, scripts NSE por defecto y traceroute en un solo comando.

bash

nmap -A <IP>

8. Guardar resultados

Guarda siempre los resultados para el informe y consulta posterior.

bash — texto plano

nmap -sV -oN escaneo.txt <IP>

bash — los tres formatos a la vez

nmap -sV -oA escaneo_completo <IP>

🪟 Puertos Windows más relevantes

Puerto	Servicio	Riesgo habitual
445/TCP	SMB	EternalBlue, Pass-the-Hash, enumeración de shares
3389/TCP	RDP	BlueKeep, credenciales débiles, fuerza bruta
5985/TCP	WinRM (HTTP)	Acceso remoto con credenciales robadas
5986/TCP	WinRM (HTTPS)	Igual que 5985 pero cifrado
135/TCP	RPC / DCOM	Enumeración de usuarios, escalada de privilegios
139/TCP	NetBIOS	Enumeración de nombres NetBIOS, shares
80/443/TCP	IIS / HTTP(S)	Webshells, vulnerabilidades de aplicación web
1433/TCP	MSSQL	xp_cmdshell, credenciales por defecto
88/TCP	Kerberos	AS-REP Roasting, Kerberoasting
389/TCP	LDAP	Enumeración de AD, usuarios, grupos

🗼 Flujo del laboratorio

Identificar la IP objetivocat /root/Desktop/target o similar.

Escaneo rápido inicialnmap <IP> — puertos más comunes en segundos.

Detección de versiones y SOnmap -sV -O <IP> — software y sistema operativo.

Escaneo completo de puertosnmap -p- <IP> — ningún servicio oculto.

Scripts NSE específicosvuln, smb-enum-*, http-enum según los servicios encontrados.

Documentar resultados-oA para guardar en todos los formatos.

🎯 ¿Qué buscar? — Indicadores de éxito

Puerto 445 abierto → probar EternalBlue (MS17-010) con NSE o Metasploit.
Puerto 3389 abierto → verificar BlueKeep (CVE-2019-0708) y credenciales débiles.
Versión de servicio desactualizada → buscar en CVE o ExploitDB.
SMB shares accesibles sin autenticación (null session) → datos sensibles expuestos.
WinRM activo (5985/5986) → acceso remoto si consigues credenciales válidas.
IIS con directorios listados → posible webshell o archivos sensibles.
MSSQL en 1433 → intentar acceso con sa / contraseña vacía.

📋 Resumen de conceptos clave

Nmap — herramienta esencial de reconocimiento de red.
-sV — detecta versiones exactas de servicios para buscar CVEs.
-O — fingerprinting del SO basado en respuestas TCP/IP.
NSE — motor de scripts que convierte Nmap en una plataforma de auditoría.
-p- — escaneo exhaustivo de los 65535 puertos TCP.
-oA — guarda resultados en los tres formatos simultáneamente.

Siguiente paso: con los servicios y versiones identificados, busca exploits en searchsploit <servicio> <versión> o en el módulo de Metasploit correspondiente.