Category Archive Seguridad

Byadmin

Diferentes formas en que Google elimina sitios web del índice de búsqueda

Diferentes formas en que Google elimina sitios web del índice de búsqueda

John Mueller analiza las diferentes formas en que Google elimina sitios web del índice de búsqueda.

Mueller de Google respondió a un propietario de un sitio Web el cual se desindexó y perdió su PageRank en los resultados de búsqueda. John Mueller detalló los problemas técnicos que pueden hacer que Google elimine un sitio web de los resultados de búsqueda destacando entre dos tipos de desindexación, una desindexación lenta y una desindexación rápida.

Otra causa posible en la desindexación de Google puede un ataque hack al sitio Web destinado a tal fin o contenido dentro del sitio Web considerado como spam para los usuarios. También John Mueller aclaró que deberían de testear internamente el sito Web para descartar todo contenido que Google considere malicioso o de dudosa procedencia. Recordemos que Google trabaja continuamente en eliminar sitios Web spam o contenido que es considerado spam Web. Te recomendamos el artículo “Google: En el 2020 detectamos 40 mil millones de sitios Web spam”.

El propietario del sitio Web expresó que en los últimos días las palabras clave principales para su sitio Web volvieron a los resultados de búsqueda por un período de horas para luego desaparecer por completo.
Testearon el archivo robots.txt y mapa del sitio Web sin encontrar una línea de error como así los enlaces internos HTTPS. También comprobaron si las páginas Web internas contenían una definición de etiqueta Noindex.

Desindexación parcial lenta

A continuación Mueller describe una desindexación parcial lenta de una parte del sitio Web, es decir, la desindexación no completa del sitio Web.

Mueller:

“Pero podría muy bien ser un problema técnico en alguna parte.

Porque normalmente … cuando reducimos la indexación de un sitio, cuando decimos que no necesitamos tener tantas URL indexadas de un sitio web, tendemos a mantener las … URL que son más relevantes para ese sitio y que tienden a ser algo eso pasa … no sé … este período de tiempo más largo en el que cambia lentamente la indexación “.

Desindexación del sitio completo

Mueller detalló la posible razón por la que un sitio podría experimentar una desindexación completa en Google.

Mueller:

“Entonces, si ve algo en el que todo el sitio desaparece de la indexación, casi parece algo que podría estar relacionado con un problema técnico … algo por el estilo”.

John Mueller continúo diciendo que, de no tener contenido spam en el sitio el sitio Web, puede ser que Google toma en cuenta cierto contenido interno el cual considera de mayor relevancia contra el contenido que realmente desea posicionar. Muchas veces hacemos foco en posicionar un contenido de una página interna pero Google toma en cuenta otro contenido por considerarlo de mayor relevancia para los usuarios.

 

Byadmin

API REST de WordPress: Qué es y cómo usarla para el posicionamiento Web en Google

Noticias SEO – Actualidad SEO

API REST de WordPress: Qué es y cómo usarla para el posicionamiento Web en Google

¿Qué es una API REST y para qué sirve?

Una API REST transferencia de estado representacional (REST), también denominada API de RESTful, es una interfaz de programación de aplicaciones que se ajusta a los límites definidos para laarquitectura REST. Una gran ventaja de las API es que no se necesita saber cómo se recibe el recibe el dato o recurso. Una API REST es una excelente solución para ofrecer servicios o consumir servicios entre diferentes computadoras. Un ejemplo sería una consulta embebida en un sitio Web la cual consume los datos mediante solicitudes API REST de otra página Web.

REST API de WordPress

La API REST de WordPress es una interfaz de desarrollo en que los programadores pueden utilizar para acceder a al gestor de contenido desde fuera de la propia instalación de WordPress. Para acceder a WordPress con la API REST se puede utilizar JavaScript para crear sitios web y aplicaciones interactivas.

¿Cómo pude utilizarse la API REST para el SEO?

La API REST puede utilizarse para listar entradas, categorías y páginas con determinadas consultas y automatizar el trabajo de SEO.
Un ejemplo muy utilizado de una API RES en WordPrss es listar todas las categorías de un sitio Web por su ID o nombre de categoría, es decir, por su url amigable.
Otro ejemplo en el que podemos beneficiarnos de una API REST para el SEO es en determinar y exportar todas las entradas con una determinada categoría para armar un archivo JSON. Aunque existen plugins para crear archivos JSON y archivos de datos estructurados, en un nivel avanzado de SEO debemos poder crear nuestras propias herramientas para generar nuestro propio dato estructurado.
Además el uso de una API REST nos ayudará a comprender cómo ven los bots de los motores de búsqueda la estructura de nuestro sitio Web. Una cosa es como lo vemos los humanos y otra muy importante es como lo ven los robots.

Ejemplos de REST API en el sitio oficial de WordPress

Consulta API REST para listar todas las categorías de un sitio Web en WordPress:
https://developer.wordpress.org/rest-api/reference/categories/

Consulta API REST para listar todos los post publicados en un sitio Web en WordPress por su nombre de categoría o slug (url amigable)
https://example.com/wp-json/wp/v2/posts?categories?slug=noticias-seo

Manual de API REST del sitio oficial de WordPress

Byadmin

Posicionamiento Web SEO en DuckDuckGo

Noticias SEO

Posicionamiento Web SEO en DuckDuckGo

Cuando hacemos SEO, posicionamiento orgánico en motores de búsqueda, hacemos foco en hacer SEO para Google, aunque es un error no aplicar las mejores técnicas de posicionamiento Web en otros motores de búsqueda como DuckDuckGo, Bing y Yahoo. DuckDuckGo ha seguido ganando popularidad con cada año que pasa.
En el último año DuckDuckGo ha cobrado mayor popularidad y omitir hacer SEO en DuckDuckGo es dejar gran parte de un universo de visitantes y posibles clientes fuera de la jugada. Luego de leer este post te puede interesar “DuckDuckGo superó 100 millones de consultas en un día”.
Google es el buscador con mayores usuarios en la red pero un especialista SEO debe aplicar las técnicas de posicionamiento para todos los motores de búsqueda como Bing, Yahoo y DuckDuckGo.

Es un mito SEO pensar en hacer SEO únicamente para Google y librar al azar la indexación en otros motores de búsqueda sin hacer posicionamiento Web específico para otros buscadores. Como Agencia SEO dejar de hacer optimizar para otros motores de búsqueda como DuckDuckGo, Bing y Yahoo es hacer perder parte del mercado a los sitios Web de nuestros clientes.

¿Hacer SEO en DuckDuckGo es los mismo que hacer SEO para Google?

La respuesta es no. Si deseas clasificar un sitio Web en DuckDuckGo necesitará de otras técnicas de posicionamiento Web y reforzar una de las más difíciles de conseguir en el mundo del SEO, conseguir gran cantidad de backlinks.

SEO en DuckDuckGo Relación Costo Beneficio

Si piensas en términos de relación costo beneficio al momento de hacer SEO en DuckDuck como en otros motores de búsqueda deber de pensar lo siguiente: Google se lleva gran parte de la porción de la torta en cuanto a cantidad de usuarios, aproximadamente un 85% de la cuota de consultas en Internet, con lo cual estamos dejando un 25% de visitantes y posibles clientes fuera del mercado de los sitios Web en que hacemos SEO.

No pongas todos los huevos en la misma canasta

Es una estrategia de SEO inteligente no confiar en una única plataforma para posicionar una empresa en Internet, corremos el riesgo de perder gran parte de la audiencia y de potenciales clientes. ¿Perderías el 25% de posibles visitantes y clientes?

¿Cómo posicionar una Web en DuckDuckGo?

Para posicionar un sitio Web en DuckDuckGo tenemos que comprender su funcionamiento. El motor de búsqueda DuckDuckGo toma en cuenta diferentes fuentes de información para generar sus resultados de búsqueda. DuckDuckGo emplea el uso de múltiples fuentes de información como motores de búsqueda tradicionales y su propio motor de búsqueda para formar su propia indexación.
Todas las buenas prácticas SEO que utilizamos para posicionar nuestros sitios Web en motores de búsqueda tradicionales también se emplean para hacer SEO en DuckDuckGo. Generar contenido de calidad, palabras clave basadas en tendencias de búsqueda, sitio Web adaptativo a cualquier dispositivo y backlinks marcarán la diferencia.

¿Qué son los backlinks?

Un backlink es un link o vínculo que otra página web ha puesto hacia la nuestra a través de un ancla o anchor text. Los backlinks o links de retroceso para todo motor de búsqueda equivale a las veces que se menciona nuestro sitio Web en otros sitios Web, generan popularidad y grado de relevancia de nuestro Web site. A mayor número de backlinks mayor el grado de relevancia de un sitio Web tanto para los buscadores como para los usuarios.
Los backlinks son muy útiles para todos los motores de búsqueda tanto tradicionales como no convencionales. Para posicionar un sitio Web en DuckDuckGo los backlinks juegan un rol muy importante y marcan una diferencia significativa en su PageRank.
Los backlinks son muy difíciles de conseguir en SEO. Una de las técnicas utilizadas para conseguir backlinks en un sitio Web es contactarse con un sitio Web de relevancia con el fin de convencer a su propietario agregar un backlink en su contenido que apunte a nuestro sitio Web.

Byadmin

¿Qué es la Deep Web y cómo puedo entrar en la Internet Profunda?

¿Qué es la Deep Web?

La Deep Web o Internet profunda​ o internet oculta​ es el contenido de internet que no está indexado por los motores de búsqueda convencionales, debido a diversas causas.​ El término Deep Web se atribuye al informático Mike Bergman quien lo definió como la Internet opuesto al superficial.
Técnicamente todo sitio Web penalizado por los motores de búsqueda convencionales como Google, Bing y Yahoo, por defecto se encuentran en la Deep Web.

Penalización de sitios Web

Los sitios Web penalizados no son indexados y por lo tanto no aparecen en los resultados de búsqueda para los principales buscadores, es decir, reciben un castigo es dejándolos “fuera del sistema” por no cumplir con las normas de contenido. Existen varios factores por los cuales los motores de búsqueda expulsan sitios Web al penalizarlos, uno de ellos es la práctica del BlackHat SEO. El Black Hat SEO es una técnica por la cual se intenta posicionar un sitio Web con malas prácticas de posicionamiento orgánico.
Los principales factores por los que un motor de búsqueda penaliza un sitio Web, son todos los ligados a sitios Web ilegales, de ventas de estupefacientes, armas, pornografía, Grooming y otros delitos informáticos.

Nunca hagas Black Hat SEO y mucho menos en sitios Web de clientes. La inteligencia Artificial y los algoritmos de Google han avanzado al grado de detectar casi automáticamente cuando se aplican estrategias de Black SEO en un sitio Web. Si eres especialista en posicionamiento Web orgánico nunca hagas Black SEO, al menos que desees posicionar un sitio Web en la Deep Web.

¿Qué es Dark Net?

El término Deep Web se utiliza para englobar a todas los sitios Web no indexados en motores de búsqueda y el concepto de Dakr Net hace referencia a todo el contenido ilegal que se encuentra en la Deep Web. Para ingresar en la Dark Net se necesita un software con protocolos de enrutamiento específicos. Si bien no es cierto que todo lo referido a la Deep Web es información ilícita, el término Dark Net se utiliza para la navegación de sitios ilícitos en la Deep Web.
En la Dark Net se encuentra toda la información de contenido prohibido como ventas de armas, servicios de hackers, venta de drogas, documentos hackeados, venta de billetes, venta de autopartes robadas, criptomonedas y documentos falsos.

¿Cómo entrar en la Deep Web?

Tor es el software más conocido para entrar a la Deep Web. En alguno momento escuchamos o vimos la configuración y utilización de este tipo de software en alguna película o serie. Por ejemplo en la serie Mr. Robots que se encuentra actualmente en Amazon Prime se puede ver al protagonista ingresar a la Deep Web mediante un Software específico. En la serie La Casa de papel uno de los protagonistas configura la red para no ser detectado para comprar armas y tecnología en la Dark Net.

Tor Browser

El software específico o Tor Browser es una variación de desarrollo del navegador Firefox aunque es otra versión del navegador Firefox optimizada para la navegación anónima. Si queremos navegar en la Deep Web sin utilizar los navegadores convencionales Tor es una de las mejores opciones aunque necesitas de ingresar con los enlaces .onion correspondientes al sitio Web de la red oscura que queremos visitar.
Tor viene por defecto con el motor de búsqueda https://duckduckgo.com/ para que puedas navegar sin ser rastreado por otros motores de búsqueda como Google, Bing y Yahoo.
Otras alternativas a Tor para la navegación anónima son ZeroNet y ZeroNet.

Te puede interesar

DuckDuckGo supera 100 millones de búsquedas en un día

Próximo post ¿Cómo posicionar un sitio Web en DuckDuckGo?

Byadmin

Google FLoC: WordPress propone bloquear el nuevo rastreador de Google

Noticias SEO

Google FLoC: WordPress propone bloquear el nuevo rastreador de Google

WordPress discute en su foro de programadores una propuesta para bloquear el nuevo rastreador de seguimientos de usuarios de Google.  El nuevo rastreador de Google es una alternativa a los cookies utilizados hasta el momento por el motor de búsqueda. Aunque la gran mayoría de programadores y colaboradores de WordPress expresó su apoyo, otros argumentaran preocupaciones alarmantes por el nuevo rastreador de Google FloC.  Por el momento la discusión continúa en el foro oficial de programadores de WordPress (WordPress Slack) y no han tomado una decisión.

Google FLoC

Google obtiene grandes ganancias con su rastreo de intereses de usuarios mediante el uso de cookies de terceros y ahora enfrenta una demanda por un supuesto proyecto secreto llamado “Bernanke”.  En este proyecto se descubrió que los anuncios orientados basados en el interés del usuario mediante cookies de terceros, fija un valor de ganancia logrando liquidar a su competencia.

Muchos navegadores están bloqueando automáticamente las cookies y por este motivo tienden a desaparecer. Google tiene un plan B para el rastreo de intereses de usuarios implementando una nueva forma de rastrear sus gustos y tendencias de compra llamada Federated Learning of Cohorts (FLoC).

La nueva alternativa de Google para el rastreo de usuarios toma en cuenta sus patrones de navegación, eventos, movimientos del mouse e historial de visitas anónimamente con el fin de clasificar a los usuarios en grupos de categorías por interés.

La mayoría de los integrantes de la comunidad de desarrolladores de WordPress han aceptado esta nueva modalidad de Google aunque varios de ellos citaron y argumentaron sus preocupaciones.

The suggestion of this policy as a security concern is exactly what should happen. I would be happy to provide a core patch if that would help further this effort. With 40% of the web WordPress has a responsibility to act to protect those who use the sites it is built on. This will go a long way to helping ensure that responsibility is fulfilled. – Chris Wiegman

Link discusión sobre Google FLoC en el foro oficial desarrolladores de WordPress

Byadmin

El Proyecto Bernanke de Google favorece a Google sobre otros competidores

El Proyecto Bernanke de Google favorece a Google sobre otros competidores

El “proyecto Bernanke” se compartió accidentalmente por Google al subir documentos durante una demanda antimonopolio.

El “Proyecto Bernanke” favorece a Google en las campañas gráficas de pago por Display. Luego de leer el documento la justicia culpa a Google por otorgar a sus propios anuncios una ventaja injusta dentro de la Red de anuncios en formato de Display.
Durante la presentación reciente, como parte de una demanda legal antimonopolio en curso, Google subió un documento por error con la información del Proyecto Bernankeal. El documento se unificó con el expediente público de la Corte Suprema de Justicia que no estaba redactado en el expediente judicial inicial.
Integrantes del Wall Street Journal lograron leer el documento antes de que un juez les permitiera volver a archivar los documentos judiciales redactados informando sobre inmediatamente al juez de la causa.
En esos documentos compartidos Google identificó un programa conocido como “Proyecto Bernanke”, en el cual detallaba cómo Google capturaba datos para formar una campaña competitiva totalmente desleal ante otros anunciantes.
Google recopilaba datos de editores de contenido de calidad para comprender el precio que pagaban otros anunciantes y así fijar un precio de lo que tendrían que pagar anunciantes para lograr ubicaciones específicas, es decir, usaba esos datos para modelar sus ofertas y obtener ganancias siderales.

La Demanda

La demanda inicial investigaba un proyecto secreto entre Google y Facebook denominada “Proyecto Jedi Blue” para obtener datos de usuarios y aprovechar al máximo una ventaja desleal contra otros servicios de campañas pagas.

Varios estados acordaron realizar una demanda judicial contra Google y es liderada por el estado de Texas. Los estados alegan que Google ha monopolizado productos y servicios en campañas de Display y que Google participó en actos engañosos al realizar operaciones de compra y vena de anuncios de Display. La demanda apunta directamente contra Google por disminuir la capacidad de los editores de contenido para poder monetizar al mismo tiempo que aumenta los costos de los anunciantes.

 

Byadmin

Google: Si decide bloquear el tráfico Web de un país, no bloquee el robot de Google

Google: Si decide bloquear el tráfico Web de un país, no bloquee el robot de Google

Si decide bloquear el tráfico Web entrante de un país, desde un punto de vista SEO, lo importante que debe tener en cuenta es no bloquear el robot de Google por completo.
Propietarios de sitios Web deciden bloquear tráfico generado por bots malicioso de un país entero en lugar de realizar un bloqueo individual. De tomar una decisión de bloqueo tenga mucho cuidado de no bloquear Google Bots el cual no podrá acceder al contenido de su sitio Web.

El robot de Google rastrea sitios de todo el mundo y en primer lugar comienza a rastrear los sitios de EE. UU, si decide bloquear sitios Web con origen de tráfico en EE. UU. Es muy probable que cause problemas.

Recordemos que habilitar  el robot de Google es de vital importancia para el SEO de su sitio Web. Una de las primeras tareas que realizamos los expertos en SEO es configurar correctamente los archivos robots.txt y mapa del sitio XML.

Consejos de John Mueller

El experto en SEO de Google recomienda a los propietarios de sitios Web que tengan mucho cuidado de no bloquear el robot de Google por completo, si optan por bloquear el tráfico entrante de todo un país.
Mueller abordó este tema durante el Hangout de Google Search Central el 9 de abril y también apareció como tema central seo en un hilo de Reddit.
Durante el Hangout de Google Search Central el propietario de un sitio envió conultó a Mueller sobre el bloqueo de un país donde reciben gran cantidad de tráfico de bots maliciosos.
Respuesta de John Mueller al propietario del sitio Web:

Lo recomendable es realizar un análisis de DNS inversa para determinar desde dónde está rastreando el sitio el robot de Google. En diferentes declaraciones el experto en SEO de Google afirma que es muy raro que Googlebot rastree un sitio desde varias ubicaciones.

English Google SEO office-hours from April 9, 2021

Byadmin

DuckDuckGo supera 100 millones de búsquedas en un solo día

DuckDuckGo supera 100 millones de búsquedas en un solo día

DuckDuckGo está lejos de ser un competidor de Google aunque su modelo de negocio puede servir de guía para el resto de los motores de búsqueda.

¿Qué es DuckDuckGo?

DuckDuckGo es un motor de búsqueda con foco en la privacidad de los usuarios. Este motor utiliza la información de sitios de origen público con el objetivo de aumentar los resultados tradicionales y mejorar la relevancia.
La propia empresa se define como

La empresa de privacidad en Internet que le permite tomar el control de su información personal en línea sin inconvenientes, sin concesiones

La mayoría de los motores de búsqueda ofrecen servicios gratuitos para respaldar imágenes, documentos, email ilimitados con la contraparte de obtener datos personales de los usuarios y aquí entra el modelo de negocio de DuckDuckGo para diferenciarse del resto. DuckDuckGo ofrece navegación totalmente privada sin realizar trackeo de los usuarios durante la navegación.

DuckDuckGo posee una landingpage para mostrar su topic de usuarios y podés consultarlo en su enlace https://duckduckgo.com/traffic

Claramento DuckDuckGo como otros competidores de Google no significan una competencia directa y, en muchos casos, los usuarios optan por navegar en diferentes motores de búsqueda. Existen usuarios que utilizan DuckDuckGo para realizar consultas en las oficinas o computadoras brindadas por su empresa para realizar teletrabajo y utilizand el resto de los navegadores en sus dispositivos personales.

¿Cómo hacer SEO con DuckDuckGo?

Desde Posicionamiento Web SEO te recomendamos comenzar a indexar tu sitio Web para el motor de búsqueda DuckDuckGo como mínimo registrando su bot en el archivo robots.txt

Si quieres ver un modelo de robots.txt para ayudar a DuckDuckGo interpretar el contenido de tu sitio Web o ecommerce, puedes visitar el enlace de ejemplo en https://www.ganhartudo.com/robots.txt

 

 

 

Byadmin

Truco SEO: ¿Cómo espiar las palabras clave de tu competencia?

Noticias SEO

Truco SEO: ¿Cómo espiar las palabras clave de tu competencia?

En Posicionamiento Web SEO te detallamos cómo espiar las palabras clave de tu competencia 💪 para que llegues a la cima en Google.
Conocer las palabras clave correctas también implica un nivel de dificultad para posicionarlas, aunque estarías dando el primer paso para superar a tu competencia en los resultados de búsqueda, forma parte de un conjunto de estrategias SEO.
Si llegaste al punto de estar un poco abrumado lidiando con el posicionamiento Web (SEO) es totalmente entendible, la mayoría de las personas y empresas no logran resultados con la optimización de su sitio Web por su cuenta. Los constantes cambios en los algoritmos de los motores de búsqueda requieren de aplicar las mejores prácticas SEO, tienes que estar al dia con todas las novedades y aplicar cambios constantemente en tu sitio Web sin obtener ganancias en los resultados, puede llegar a ser frustrante.
En este post te detallaremos cómo obtener las palabras clave de tu competencia, aunque esto debe ser parte de un combo de estrategias SEO y de Marketing Digital para que puedas lograr tus objetivos.

Además las palabras clave es necesario sumarle las siguientes técnicas SEO para poder lograr llegar a superar a tu competencia en Google:

Estrategia inteligente de Marketing Digital: Puedes identificar las debilidades de tus competidores y lograr obtener mejores resultados con mayor frecuencia. Conocer la estrategia de éxito de tu competidor, tomar su modelo, mejorarlo y adaptarlo a tus necesidades.

Contenido de calidad: Genera contenido relevante y de calidad para maximizar las posibilidades de generar un mayor tráfico a tu sitio Web.

Keyword research: El corazón del proceso está en la investigación de palabras clave. El Keyword research (Investigación de palabras clave) es uno de los procesos más importantes de un experto en SEO o Agencia SEO.
La gran mayoría de las personas no tiene idea de cómo buscar las palabras clave de mayor relevancia, su tipo y mucho menos de su implementación.

Desde Posicionamiento Web SEO te detallamos cómo descubrir las palabras clave (keywords) de tu competencia en estos sencillos pasos:

Herramienta de búsqueda de palabras clave:

  • SpyFu Esta herramienta puede extraer las palabras clave orgánicas y las palabras clave que utiliza la competencia en campañas de pago.
    Para encontrar las palabras clave de tu competencia visita la página de SpyFu, ingresa la url de tu competidor en su buscador interno y realiza la búsqueda.
    Terminada la búsqueda selecciona la solapa o pestaña competitors. En los resultados podrás ver las palabras clave de mayor relevancia que utiliza tu competencia (Top Organic Competitors).
    Truco SEO: Con SpyFu puedes ver las tendencias en baja de las palabras clave de tu competencia y aquí entra el juego de implementar una estrategia SEO inteligente. Utilizar las palabras clave que están a la baja en tu competencia, puede hacer que los superes rápidamente en los resultados de Google.
Cómo espiar las palabras clave de tu competencia con SpyFu

Cómo espiar las palabras clave de tu competencia con SpyFu

  • Herramienta de análisis Web y SEO gratis: Nuestra herramienta de análisis Web y SEO permite extraer las palabras clave utilizadas en los encabezados H1-H6, párrafos e imágenes de un sitio Web. Nuestra herramienta es totalmente gratis y puedes utilizarla las veces que quieras. La idea es que puedas utilizar  nuestra herramientas hasta que logres tus objetivos (No quiere registro para ser utilizada).
    Aunque desarrollamos esta herramienta para que puedas encontrar problemas WEB y SEO en tu Website, también puedes consultar la url de tu competencia para conocer sus palabras clave.
    Visita nuestra herramienta de análisis Web y SEO, ingresa en el buscador interno la url de tu competencia y comienza la búsqueda.
Herramienta de análisis SEO gratis - Puedes utilizar esta herramienta para Truco SEO: ¿Cómo espiar las palabras clave de tu competencia

Truco SEO: ¿Cómo espiar las palabras clave de tu competencia? – Herramienta de análisis SEO gratis

Byadmin

Ethical hacking: pentesting con Kali Linux

Actualmente existen diversas herramientas para realizar una auditoría en busca de vulnerabilidades también denominada prueba de penetración o pentesting. El pentesting consiste en atacar un sistema informático para identificar fallos y vulnerabilidades para así poder prevenir los ataques externos.

Nmap es una herramienta que no puede faltar a la hora de realizar una prueba de penetración aunque Kali Linux cuenta con Metasploit Framework el cual integra Nmap como parte de su paquete de herramientas de penetración.

Para este análisis de prueba de penetración  en primer lugar veremos el uso de Nmap  y luego Metasploit Framework.

Las pruebas de penetración se pueden dividir en varias etapas: tenemos que conocer la ip del servidor, computadora o sitio Web al que deseamos auditar, buscar vulnerabilidades e intentar acceder.

Es muy probable que en la red del servidor que deseamos auditar exista un firewall o políticas de control de acceso (ACL) en su router o SO (Sistema Operativo) que impidan realizar una prueba de ping para traducir su dirección IP.

Supongamos que deseamos conocer la dirección IP de ww.mixxxsoft.com para ello abrimos la terminal y realizamos una prueba de ping.

ping www.mixxxsoft.com

 

ping

Excelente ahora sabemos que su dirección IP es 40.113.200.201

Para analizar un escaneo de vulnerabilidades con Nmap deberíamos ejecutar en la terminal el siguiente script:

nmap -f -sS -sV -Pn --script auth 40.113.200.201

Auth: Este script realizará una búsqueda para saber si existen servicios con usuarios con contraseñas vacías.

-Pn: es para forzar la prueba en el caso de existir un firewall o política de seguridad para impedir la respuesta de ping.

-v : verbose

-sV : Con esto obtenemos la versión del servicio que esta corriendo bajo un puerto determinado.

Como resultado Nmap mostrará los puertos, estado del servicio y su versión como se muestra en la siguiente imagen.

nmap auth

En este caso podemos ver que microsoft utiliza fingerprint para las peticiones entrantes. fingerprint es una excelente solución para asignar a cada usuario o visitante Web un identificador único (ID). fingerprint también es muy utilizado en las entidades bancarias a fin de evitar fraudes. En este link https://github.com/fingerprintjs/fingerprintjs2 encontrarás toda la información para poder implementar fingerprint.

fingerprint toma en cuenta los datos del visitante para generar su ID, es un hash que se genera tomando en cuenta los siguientes datos del usuario o visitante (del lado del cliente): el sistema operativo, el tipo y versión de navegador, resolución de pantalla, movimiento del mouse, dirección de red, tiempo de conexión, ubicación geográfica y otros datos que deseen agregar.

Vuln: Nmap cuenta con este script para buscar las vulnerabilidades más conocidas.

Para realizar una búsqueda de las vulnerabilidades más conocidas ejecuta

nmap -f --script vuln {idrección-ip}

 

Explotando una vulnerabilidad con Metasploit Framework

Para comenzar la prueba de penetración con Metasploit Framework debemos de iniciar su consola con el siguiente comando desde la terminal
> msfconsole

metasploit-console

Desde la consola de Metasploit podemos realizar consultas para comenzar a recopilar información con Nmap. Para utilizar Nmap desde Metasploit debemos anteponer la consulta de nmap con db_nmap
db_nmap {dirección ip} -p 1-65535

En el caso en que se ha encontrado información de un servicio en especial es posible determinar si el mismo es vulnerable. Desde la consola,se realiza una búsqueda de un exploit en para ese servicio y luego se ejecutará la explotación sobre este servicio.
Para realizar la búsqueda del exploit para el servicio potencialmente vulnerable se debe realizar la consulta desde la consola:

search cve:{código CVE}

Supongamos que encontramos el código de vulnerabilidad 279

Buscamos el código para ver los exploits que podemos utilizar

search cve: 279

search 279

Para utilizar el exploit se introduce el comando use seguido de la ruta del exploit seleccionado. En este caso el comando sería el siguiente:

use exploit/multi/http/phpmyadmin_preg_relpace

Luego podemos ver las opciones de este exploit con el comando show options.

Para ejecutar las opciones que presenta cada exploit introducimos el comando set {opción}
show-options-y-set

Luego debemos de seleccionar el Payload adecuado una vez que se haya explotado con éxito la vulnerabilidad
Mediante el comando “show payloads” se pueden ver  cuáles son compatibles con la arquitectura seleccionada.

show payloads

De igual manera podemos consultar las opciones con en el comando show options

Luego de configurar cada opción del payload debemos ejecutar el exploit con el comando exploit y Metasploit realizará todo el trabajo.

De resultar todo bien Metasploit mostrará un mensaje en la consola y así ya puedes ejecutar comandos en el servidor atacado.

 

Metasploit se divide básicamente en los siguientes grupos

Exploits: Todos los exploits disponibles  que podemos utilizar. Estan dividos por SO y categorías. Por ejemplos todos los exploits para el navegador de Windows en: exploits/windows/browser/
Payloads: Acciones que se van a realizar si se logra explotar la vulnerabilidad que seleccionamos.

windows/shell/reverse_tcp  para obtener la shell inversa de Windows.

Auxiliary: son scripts con funciones de scan. Por ejemplo para escanear los puertos TCP/IP y sus servicios utilizamos  auxiliary/scanner/portscan/tcp

Enconders: Algoritmos de codificación para evadir antivirus.

help: Lista todos los comandos disponibles

show: Lista exploits, payloads, auxiliary encoders y nops. Si deseamos realizar una consulta para un tipo de categorá en especial podemos ejecutar por ejemplo show exploits

search Buscar por cualquier palabra clave. Ejemplo: search ssh