IDS/Nmap

Utilisation de Nmap

Base

nmap target

Pour faire un scan tcp standart sur les ports réservés de l'hôte <target>

 nmap -vv -PO   192.168.1.1  

scan very verbose (permet d'avoir les etapes detaillées du scan) -P0: Treat all hosts as online -- skip host discovery

FingerPrint

 nmap -O  192.168.1.1  

finger print de l os en fonction des packet tcp/ip recu

 nmap -p 5901 -O -sV  192.168.1.1 : 

scan le port 5901 seulement + os detection

 nmap -T Insane -F -O -r 192.168.1.100-105  

-T insane = fast scan -O = os detection -R = entre le range 192.168.1.102 - 192.168.1.105

nmap -sA 192.168.1.1

permet de voir si les port sont filtrer ou non (par exemple par un firewall)

nmap -sO 192.168.1.1

permet d'identifier des protocoles .

nmap -sR 192.168.1.1

permet d'identifier des services (ssh, microsoft-ds,...)

nmap -sV 192.168.1.1

variante du -sR : permet d'identifier des services.

nmap -P0 -sI 192.168.2.3  192.168.2.2

Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2006-11-06 17:49 CET
Idlescan using zombie 192.168.2.3 (192.168.2.3:80); Class: Incremental
Interesting ports on 192.168.2.2:
Not shown: 1678 closed|filtered ports
PORT   STATE SERVICE
23/tcp open  telnet
80/tcp open  http
MAC Address: 00:09:45:52:7F:35 (Palmmicro Communications)

Nmap finished: 1 IP address (1 host up) scanned in 41.956 seconds

Stealth scan : Furtif

nmap zombie scan

nmap -sl host host

Zombie scan : permet de scanner une adresse a partir d'un autre host (permettant de cacher son ip ...) (pour effectuer ce type de scan il faut trouver une victime qui a une stack ip dont les paquet sont facile a predire ... pour cela, on peut utiliser la commande :

nmap -v -O   192.168.2.1

voici le resultat :

PORT     STATE SERVICE
80/tcp   open  http
8081/tcp open  blackice-icecap
MAC Address: 00:30:F1:FA:DB:67 (Accton Technology)
Device type: WAP
Running: SMC embedded
OS details: SMC Barricade DSL Router/Modem/Wireless AP
TCP Sequence Prediction: Class=trivial time dependency
Difficulty=1 (Trivial joke)
IPID Sequence Generation: Incremental

nmap paquet ip fragment

nmap -f -xx host

permet de fragmenter les paquets ip (permet de bypasser des ids ou firewall qui ne reconstruise pas entierment les paquets

nmap avec decoy (leurre)

nmap -D -xx host

va lancer de multiple scan avec de adresse ip différentes (spoofer) de tel manière qu'un administrateur systeme ne saura pas identifier laquelle de ces adresse ip a reélment scanner sa machine ...

nmap FTP scan

nmap -b host

utilise un server ftp mal configurer comme proxy pour effectuer un scan

nmap FYN paquet

nmap -sF host

lance un scan qui utilise uniquement des paquets fin

namp Xmas scan

nmap -sX host

lance un scan qui utilise des paquet Syn, urg, psh (XMAS scan)

nmap null scan

nmap -sN host 

Lance un scan avec tous les flag off : Null scan

Packet trace option

--packet_trace

decrit le detail de tous les pacquets envoyé et recu

-- version_trace

detaille l'identification des services

autre options utiles

--spoof_mac

masquera votre mac adresse

--source_port

permet d'envoyer des paquets a partir d'un source port defini (utile contre les stateful firewall)