Scanner le trafic réseau globale.

tcpdump -n
-n = ne pas resoudre les noms (surtout si acces DNS coupé)

→ vision du reseau cache 192.168.0.1

Scan et sauvegarde du scan dans un fichier.

tcpdump -n -w /root/infos.dump
-w = ecrire dans le fichier
Ctrl+C pour arrêter la capture.

Lire le fichier scanné (c'est là qu'il faut mettre l'option -n parce que c'est à ce moment qu'il va essayer de résoudre les noms).

tcpdump -n -r /root/infos.dump
-r = lire le fichier

ATTENTION le fichier est un binaire, il n'est donc pas lisible avec vi ou cat.

Recherche dans le fichier des requêtes ARP “who-has”

tcpdump -n -r /root/infos.dump arp[6:2]==1

Ensuite on fait des filtres dessus. ether[X]==1 arp[X]==1

[6:2] Ca veut dire on se positionne sur le 6ème octet et on lit les 2 octets qui suivent dans la trame ARP. Si cette valeur est 1 c'est qu'on est en présence d'un who-has.

Il faut trouver la liste des IP qui font du who-has.

tcpdump -n arp -w /root/arpinfo.dump
tcpdump -n -r /root/arpinfo.dump | cut -d ' ' -f 6

ou avec awk

tcpdump -n -r /root/arpinfo.dump | awk '{print$6}'

On récupère d'abord les trames avec -w dans un fichier et ur extraire des infos.

tcpdump -n arp[6:2]==1 -r /root/arpinfo.dump | cut -d ' ' -f 6 | sort | uniq

On récupère d'abord les trames avec -w dans un fichier et ensuite on fait des filtres dessus pour extraire des infos.

tcpdump -n arp[6:2]==1 -r /root/arpinfo.dump | cut -d ' ' -f 6 | sort | uniq

Installation de l'outil de recherche ARP.

apt-get install arpwatch

Recherche dans le fichier de scann de l'adresse MAC correspondante à l'adresse IP spécifiée.

arpwatch -d -f /root/arpinfo.dump -n 192.168.0.1

On obtient : 0:19:b9:5b:68:a8

http://www.frameip.com → Entrer dans le champ pour connaître le constructeur.

Nombre de requêtes ARP réalisées par les machines du réseau (les adresses IP du réseau).

tcpdump -l -n arp | grep 'arp who-has' | head -100 | awk '{print $NF }' | sort | uniq -c | sort -n

Scan sur une seule interface.

tcpdump -n -i eth2

Filtrage sur le réseau.

tcpdump -i eth0 -vv src net <@IP> mask <mask>

Filtrage sur un hôte.

tcpdump -i eth0 -vv host <@IP>

Filtrage sur un hôte sans convertir les IP en noms.

tcpdump -nni eth0 -vv host <@IP>

Exclusion d'un port.

tcpdump -i eth0 not port 22

Filtrage sur l'host et exclusion du port.

tcpdump -nni eth0 -vv host <@IP> and not port 22

Filtrage sur port et host.

tcpdump -ni eth0 -vv port 20 and host <@IP>