123/udp - Pentesting NTP

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
Descubre The PEASS Family, nuestra colección exclusiva de NFTs
Obtén el swag oficial de PEASS y HackTricks
Únete al 💬 grupo de Discord o al grupo de telegram o sígueme en Twitter 🐦@carlospolopm.
Comparte tus trucos de hacking enviando PRs al repositorio de hacktricks y al repositorio de hacktricks-cloud.

Sigue a HackenProof para aprender más sobre errores web3

🐞 Lee tutoriales de errores web3

🔔 Recibe notificaciones sobre nuevos programas de recompensas por errores

💬 Participa en discusiones comunitarias

Información básica

El Protocolo de Tiempo de Red (NTP) es un protocolo de red para la sincronización de relojes entre sistemas informáticos a través de redes de datos conmutadas por paquetes y de latencia variable.

Puerto predeterminado: 123/udp

PORT    STATE SERVICE REASON
123/udp open  ntp     udp-response

Enumeración

ntpq -c readlist <IP_ADDRESS>
ntpq -c readvar <IP_ADDRESS>
ntpq -c peers <IP_ADDRESS>
ntpq -c associations <IP_ADDRESS>
ntpdc -c monlist <IP_ADDRESS>
ntpdc -c listpeers <IP_ADDRESS>
ntpdc -c sysinfo <IP_ADDRESS>

nmap -sU -sV --script "ntp* and (discovery or vuln) and not (dos or brute)" -p 123 <IP>

Examinar archivos de configuración

ntp.conf

Ataque de Amplificación NTP

Cómo funciona el ataque DDoS NTP

El protocolo NTP utiliza UDP por diseño para operar, lo que no requiere ningún tipo de handshake como TCP, por lo tanto, no hay registro de la solicitud. Por lo tanto, el ataque de amplificación NTP DDoS comienza cuando un atacante crea paquetes con una dirección IP de origen falsificada para hacer que los paquetes parezcan provenir del objetivo previsto y los envía al servidor NTP. El atacante inicialmente crea el paquete de unos pocos bytes, pero NTP responde con una gran cantidad de datos, lo que contribuye a la amplificación de este ataque.

Comando MONLIST: Es un comando del protocolo NTP que tiene muy poco uso, pero es este comando el principal culpable de este ataque. Sin embargo, el uso del comando MONLIST es para dar detalles de los últimos 600 clientes que se han conectado al servicio de tiempo NTP. A continuación se muestra la sintaxis del comando:

ntpdc -n -c monlist <IP>

Shodan

ntp (Protocolo de tiempo de red)

Comandos Automáticos de HackTricks

Protocol_Name: NTP    #Protocol Abbreviation if there is one.
Port_Number:  123     #Comma separated if there is more than one.
Protocol_Description: Network Time Protocol         #Protocol Abbreviation Spelled out

Entry_1:
  Name: Notes
  Description: Notes for NTP
  Note: |
    The Network Time Protocol (NTP) is a networking protocol for clock synchronization between computer systems over packet-switched, variable-latency data networks.

    https://book.hacktricks.xyz/pentesting/pentesting-ntp

Entry_2:
  Name: Nmap
  Description: Enumerate NTP
  Command: nmap -sU -sV --script "ntp* and (discovery or vuln) and not (dos or brute)" -p 123 {IP}