Buscar con filtros y leer banners · Shodan: el buscador de dispositivos conectados

Una búsqueda suelta como apache devuelve demasiado. La fuerza de Shodan está en sus filtros: palabras clave que acotan la búsqueda a un país, un puerto, un producto o una red. Esta lección es la ficha de ese lenguaje de filtros.

Ficha del buscador de Shodan

Qué es: un lenguaje de consulta donde cada condición se escribe como filtro:valor. Varias condiciones separadas por espacios se combinan con "y" (deben cumplirse todas). Un valor con espacios va entre comillas dobles.
Dónde se usa: en la barra del sitio web, en la CLI shodan search (lección 3) y en la API. La sintaxis es la misma en todas.

Sintaxis

TEXTO_LIBRE filtro:valor filtro:"valor con espacios"

Filtros principales

Filtro	Qué hace	Ejemplo
`country`	Limita a un país por su código de dos letras	`country:CR`
`city`	Limita a una ciudad	`city:"San Jose"`
`port`	Solo equipos con ese puerto abierto	`port:443`
`product`	Nombre del software detectado	`product:nginx`
`org`	Organización o proveedor dueño de la IP	`org:"ISP Ejemplo"`
`hostname`	Parte del nombre de dominio	`hostname:ejemplo.cr`
`net`	Un rango de IPs en notación CIDR	`net:198.51.100.0/24`
`has_screenshot`	Solo resultados con captura de pantalla	`has_screenshot:true`

Consultas de ejemplo

product:nginx country:CR port:443

Servidores web nginx en Costa Rica con HTTPS. Útil para inventariar su propia infraestructura.

hostname:ejemplo.cr

Todo lo que Shodan vio bajo el dominio ejemplo.cr. Es la consulta con la que un defensor empieza a mapear su organización.

net:198.51.100.0/24 port:3389

Equipos de su propio rango que exponen Escritorio Remoto (RDP). Si aparece alguno que no debería, encontró un problema antes que un atacante.

Leer un banner

Al abrir un resultado, el banner le dice qué hay del otro lado sin necesidad de entrar. Lea estos tres datos: el producto y su versión (delata software viejo con fallos conocidos), el puerto y servicio (qué protocolo escucha ahí) y cualquier cabecera o mensaje que el servicio regale.

443/tcp
nginx 1.18.0
HTTP/1.1 200 OK
Server: nginx/1.18.0 (Ubuntu)
Content-Type: text/html

Aquí se ve un servidor web nginx 1.18.0 sobre Ubuntu respondiendo en el puerto 443. Con solo eso, un defensor ya sabe qué versión revisar contra la lista de vulnerabilidades conocidas (los CVE que Shodan marca aparte en la ficha del host).

Errores frecuentes

Please upgrade your API plan to use filters.

Está intentando usar filtros sin haber iniciado sesión. Los filtros requieren una cuenta gratuita; cree una y vuelva a buscar. Si escribe country: CR con un espacio después de los dos puntos, Shodan lo lee como dos términos distintos: pegue siempre filtro:valor sin espacio.

La mirada del defensor

Invierta la herramienta. En vez de buscar blancos ajenos, busque los suyos: su dominio con hostname:, su rango con net:, su proveedor con org:. Cada resultado es una puerta que su organización dejó abierta a internet. El objetivo no es admirarla, sino anotarla y cerrarla, que es justo lo que practicará en el laboratorio y en la última lección.