Netcat: lectura y escritura en red — diagnóstico, transferencia de datos, túneles

Netcat (nc) lee y escribe datos por conexiones TCP y UDP. Con una pequeña utilidad es cómodo comprobar un puerto, obtener el banner de un servicio, transferir un archivo entre máquinas o montar un túnel temporal. Abajo — tareas típicas.

Existen varias implementaciones de Netcat y sus flags difieren. Por defecto están:

• OpenBSD netcat — en Debian y Ubuntu (paquete netcat-openbsd), Fedora, Arch, Alpine. Los ejemplos abajo están pensados para esta versión;
• traditional (GNU) netcat — implementación antigua, tiene el flag -e para ejecutar un programa en la conexión, que no existe en la versión OpenBSD;
• Ncat del paquete Nmap — implementación aparte con TLS, proxy y manejo de varios clientes.

Comprobar tu versión: nc -h muestra la lista de opciones soportadas.

Comprobar puertos y servicios

ping usa solo ICMP y no indica si el puerto deseado está abierto. Netcat comprueba la conexión:

nc -zv -w 3 example.ru 80 443 22

• -z — solo comprobar la conexión, no transmitir datos;
• -v — salida detallada;
• -w 3 — timeout 3 segundos.

Obtener el banner de un servicio — enviar una petición y leer la respuesta:

printf 'HEAD / HTTP/1.0

' | nc -w 3 example.ru 80

Transferencia de archivos entre máquinas

Cuando no tienes scp o rsync a mano. En el lado receptor:

nc -l -p 9899 > backup.iso

En el lado emisor:

nc 192.0.2.10 9899 < backup.iso

Netcat no cifra los datos ni verifica su integridad, por lo que conviene usar esto solo dentro de una red de confianza. Para archivos grandes se comprimen los datos al vuelo:

# recepción
nc -l -p 9899 | gzip -dc > backup.iso
# envío
gzip -c backup.iso | nc 192.0.2.10 9899

Tras la transferencia, compare la suma de control (sha256sum) en ambos extremos.

Túnel TCP temporal

Redirigir un puerto local a un servicio interno se puede hacer mediante un pipe con nombre:

mkfifo /tmp/backpipe
nc -l 8080 < /tmp/backpipe | nc db.internal 5432 > /tmp/backpipe

Ahora la conexión al puerto local 8080 va al PostgreSQL interno. Esta es una solución puntual y no cifrada para depuración; para acceso permanente se usan túneles SSH o VPN.

Cuando Netcat se queda corto

• Ncat (paquete nmap) — TLS, proxy, varios clientes simultáneos, flag --exec;
• socat — transferencia bidireccional entre casi cualquier fuente (sockets, archivos, dispositivos, TLS), sintaxis más compleja.

sudo apt install nmap socat

Cómo protegerse contra el uso malintencionado de netcat

Las mismas propiedades hacen de netcat una herramienta del atacante: tras obtener acceso a un servidor, el intruso abre con él una conexión inversa hacia el exterior para eludir el firewall entrante. Lo que reduce el riesgo:

• Filtrar el tráfico saliente. Por defecto el servidor puede conectar hacia fuera cualquiera de los puertos. Permite solo las direcciones/servicios necesarios y cierra el resto — una conexión inversa a un puerto arbitrario no pasará:

# solo DNS, HTTP y HTTPS hacia afuera, lo demás — denegar
ufw default deny outgoing
ufw allow out 53
ufw allow out 80
ufw allow out 443

• No mantengas netcat, compiladores e intérpretes innecesarios en el servidor de producción — su ausencia complica la persistencia.
• Vigila procesos y conexiones inesperadas. Una conexión saliente de un proceso nc, bash o sh a una dirección externa es motivo de alarma:

ss -tnp | grep -E 'nc|bash|sh'

• Configura auditoría. Una regla de auditd marca la creación de pipes con nombre (mkfifo, mknod) — un signo típico de una shell inversa sin el flag -e:

auditctl -a always,exit -F arch=b64 -S mknod -S mknodat -k reverse_shell

De forma completa, este tipo de ataques los detectan sistemas de detección en el host (auditd con reglas listas, Falco, EDR): ven combinaciones sospechosas “proceso shell + conexión de red”. Un firewall saliente y una instalación mínima de software en el servidor cierran los escenarios más sencillos.

Conclusión

Netcat mueve bytes desde stdin hacia la red y viceversa, por lo que se combina con comandos habituales de la shell — gzip, dd, pipes. Para comprobar puertos, transferir un archivo puntual y crear un túnel rápido esto es suficiente; para cifrado y servicios permanentes se usan Ncat, socat, SSH o VPN.

Fuentes:

• man nc — OpenBSD
• Ncat Reference Guide