Je vous propose une liste d’outils indispensables à l’analyse de vos réseaux et de vos systèmes. Ils vous permettront de détecter d’éventuelles failles de sécurité, d’auditer des stratégies de mot de passe ou encore de collecter de nombreuses informations.

Scanner et analyser les réseaux et systèmes

p0f

Pof est un petit outil qui permet “d’écouter” un système et de prendre une empreinte de tous les systèmes qui s’y connecte.

Obtenir pof

Nikto

Nikto est un open source spécialisé dans l’analyse de serveurs WEB, notamment concernant les vulnérabilité liées aux scripts CGI. Sa base est régulièrement mise à jour.

Obtenir Nikto

Nessus Remote Security Scanner

Nessus est gratuit. Même si le projet est arrêté, il reste un must du genre pour l’analyse de vulnérabilité de vos systèmes.

Obtenir Nessus

Nmap

Nmap, pour Network Mapper, est un outil open source dédié à l’exploration réseau et à l’audit de sécurité. On l’utilise autant pour l’analyse d’1 machine que pour l’analyse d’un réseau complet. Il permet ainsi de récupérer de nombreuses informations concernant les hôtes disponibles sur le réseau (OS, applications, version, …)

Obtenir Nmap

SuperScan

Si vous avez besoin de petit outil pour scanner rapidement et simplement une plage IP, SuperScan sera l’outil qu’il vous faut. Personnellement je utilise pour obtenir les IP non utilisées d’une plage donnée.

Obtenir SuperScan

Wireshark

Wireshark, ex Etherreal, est un analyseur de trame puissant et conviviale. Il est disponible gratuitement sous Windows et Linux. Un must du genre.

Obtenir Wireshark

Yersinia

Yersinia est un outil d’analyse réseau qui gère les protocoles : Spanning Tree (STP), Cisco Discovery (CDP), Dynamic Trunking (DTP), Dynamic Host Configuration (DHCP), Hot Standby Router (HSRP), IEEE 802.1q, Inter-Switch Link (ISL), VLAN Trunking (VTP).

Obtenir Yersinia

Supprimer les données sensibles

Eraser

Eraser, comme son nom l’indique, permet de supprimer définitivement toutes les données d’un disque dur en les écrasant plusieurs fois avec des patterns.

Obtenir Eraser

CCleaner

CCleaner permet de supprimer toutes traces de votre passage sur un système Windows. Il permet en outre d’optimiser votre base de registre en supprimant les clés orphelines.

Obtenir CCleaner

Auditer les comptes et les mots de passe

LCP

LCP est généralement utilisé pour réaliser des audits des mots de passe des systèmes Windows. On pourra également l’utiliser pour retrouver un mot de passe perdu.

Obtenir LCP

Cain et Abel

Cain & Abel est également un outil d’audit de mots de passe dédié au systèmes Windows.

Obtenir Cain&Abel

John the Ripper

Toujours dans la catégorie Password Recovery, John The Ripper est mon favori du genre. Il n’est pas très agréable à utiliser, pas forcément évident à comprendre, mais il est extrêmement puissant. Avec une bonne machine et quelques jours devant soit vous pourrez obtenir la liste de tous les mots de passe d’un domaine Active Directory de plusieurs milliers de comptes.

Obtenir John The Ripper

Analyser les réseaux sans fil

Kismet

Kismet est un détecteur de réseau sans fil 802.11. Très utilise également pour détecter les intrusions sur votre propre système. Kismet est compatible avec toutes les cartes WIFI supportant le mode “raw monitoring” ou “rfmon”. Il peut sniffer le trafic 802.11b, 802.11a, et 802.11g.

Obtenir Kismet

NetStumbler

NetStumbler est un outil de détection de réseau sans fil (Wireless Local Area Networks) utilisant les protocoles 802.11b, 802.11a et 802.11g.

Même s’il n’est pas aussi puissant que Counterparts sous Linux, il permet très simplement, et via une interface conviviale de:

• Vérifier la cohérence de votre configuration.
• Détecter les points d’accès à faible couverture dans votre réseau WLAN.
• Détecter les autres réseaux qui peuvent interférer avec le votre
• Détecter si quelqu’un n’a pas mis en place un réseau WIFI “underground” dans vos propre locaux !

Obtenir NetStumbler

Grâce à l’utilisation conjointe des commandes DO et SHUTDOWN proposées nativement dans Windows, il est possible d’arrêter ou de redémarrer à distance une liste d’ordinateurs voir même tous les ordinateurs d’une plage d’adresses IP.

Arrêter ou redémarrer une liste d’ordinateurs

Tout d’abord créez  un nouveau fichier texte contenant la liste des ordinateurs

SERVEUR1
SERVEUR2
SERVEUR3
SERVEUR4

Vous pouvez l’appeler liste.txt et l’enregistrer dans votre lecteur C:\

Ensuite ouvrez une ligne de commande

• Pour arrêter les ordinateurs contenu dans liste.txt:

FOR /F %i in (c:\liste.txt) DO shutdown /s %i

• Pour redémarrer les ordinateurs contenu dans liste.txt:

FOR /F %i in (c:\liste.txt) DO shutdown /r %i

Arrêter ou redémarrer les ordinateurs d’une plage IP

Il est également possible de lancer des commandes sur tous les serveurs d’une plage IP donnée. Plus besoin de liste mais soyez très vigilant et surtout responsable de vos actes. Votre hiérarchie n’appréciera guère un arrêt simultané de tous les systèmes Windows d’une entreprise (postes clients et serveurs …).

• Pour arrêter tous les ordinateurs de la plage IP 192.168.0.1 à 192.168.0.254

FOR /L %i in (1,1,254) DO shutdown ''192.168.0.%i -s

• Pour redémarrer tous les ordinateurs de la plage IP 192.168.0.25 à 192.168.0.35

FOR /L %i in (25,1,35) DO shutdown ''192.168.0.%i -r

• Pour fermer les sessions de tous les ordinateurs de la plage IP 192.168.0.100 à 192.168.0.200

FOR /L %i in (100,1,200) DO shutdown ''192.168.0.%i -l

Le protocole SSH, pour Secure Shell, est aujourd’hui largement utilisé pour prendre le contrôle des systèmes Linux ou Unix, qu’ils soient sur des serveurs ou embarqués dans des appliances (Blade, ESX, Switches CISCO ou 3COM, …).

Le protocole SSH dans sa version 2 permet non seulement d’accéder au Shell d’un système distant mais également d’y transférer des fichiers en SFTP (ou SSH FTP) pour Secure File Transfert Protocole.

Je vous propose une liste de clients SSH disponibles sous  Windows …

• WinSCP - Un client SFTP graphique pour Windows. Il est très conviviale puisque l’on visualise l’arborescence du système distant à la manière d’un explorateur Windows. Il est également entièrement scriptable afin de réaliser des tâches de transfert de fichiers automatisés. Vous trouverez un exemple de ce type de script dans l’article Sauvegarder son site FTP automatiquement avec WinSCP

• PuTTY - Un client SSH multi-OS, libre, simple et très léger. Pour plus d’informations consultez les articles Se connecter en SSH avec PuTTY ou Supprimer PuTTY de son système

• FileZilla - Un client FTP/SFTP libre et très évolutif. Les mises à jour sont fréquentes et démontrent que la communauté est très active.

Les applications, les services ou les processus s’approprient parfois un port (ou un socket) afin de pouvoir établir un canal de communication avec un service tiers (Internet, Interface d’administation, Client, …).

Par exemple un serveur Web IIS se réserve par défaut le port 80 pour les écoutes HTTP. Les clients souhaitant accéder à ce serveur devront le faire sur le port 80. Si sur ce même serveur Web IIS vous souhaitez installer un serveur Web Apache, les 2 applications vont rentrer en conflit car Apache va également vouloir réserver le port 80 pour les écoutes HTTP ! Pas d’autres solutions dans ce cas que de modifier le port d’écoute d’Apache en lui attribuant par exemple le port 81. Les client pourront accéder au serveur Web Apache par l’adresse http://NomDuServeur:81

Si vous souhaitez retrouver le port d’écoute utilisé par une application ouvrez le gestionnaire des tâches Windows de votre serveur (CTRL+ALT+SUPPR) et localisez le service utilisé par votre application. Ce n’est pas toujours très explicite, mais vous devriez vous en sortir. Notez le PID associé. Il s’agit du numéro de processus attribué à ce service.

Ouvrez ensuite une invite de commande et entrez la commande suivante:

netstat -ano

Cette commande va afficher toutes les connexions en attente ou établie sur votre système.

• La première colonne correspont au type de connexion, TCP ou UDP
• La seconde colonne correspond à l’adresse locale utilisée et au port utilisé
• La troisième colonne correspond à l’adresse du client lorsqu’il sera connecté
• La quatrième colonne indique si la connexion est établit ou en attente (ESTABLISHED ou LISTENNING)
• La cinquième colonne affiche le processus associé, le PID.

Il suffit alors de retrouver dans la colonne 5 le PID de votre application et de regarder dans la colonne 2 (adresse locale) le numéro de port utilisé !

Il peut arriver que le port d’un Switch 3COM se désactive. Je vais vous montrer comment le réactiver.

Il faut tout d’abord se connecter et s’authentifier au switch concerné:

Se connecter en Telnet avec Telnet
Se connecter en Telnet avec HyperTerminal

Une fois connecté j’entre la commande sys pour passer en mode System View:

<STACK5500G>sys
System View: return to User View with Ctrl+Z.
[STACK5500G]

Je me connecte sur le port à réactiver:

[STACK5500G]interface GigabitEthernet 1/0/4
[STACK5500G-GigabitEthernet1/0/4]

J’affiche les informations concernant ce port afin de contrôler son état:

[STACK5500G-GigabitEthernet1/0/4]display this
#
interface GigabitEthernet1/0/4
stp edged-port enable
broadcast-suppression pps 3000
shutdown
port access vlan 11
undo jumboframe enable
apply qos-profile default
#
return
[STACK5500G-GigabitEthernet1/0/4]

Je réactive le port :

[STACK5500G-GigabitEthernet1/0/4]undo shutdown
[STACK5500G-GigabitEthernet1/0/4]

Je peux afficher à nouveau les informations concernant le port afin de vérifier qu’il est bien réactivé:

[STACK5500G-GigabitEthernet1/0/4]display this
#
interface GigabitEthernet1/0/4
stp edged-port enable
broadcast-suppression pps 3000
port access vlan 11
undo jumboframe enable
apply qos-profile default
#
return
[STACK5500G-GigabitEthernet1/0/4]

La ligne shutdown a effectivement disparut !

Je propose de voir dans le détail comment changer le VLAN d’un port d’un switch 3COM 5500.

Il faut tout d’abord se connecter et s’authentifier au switch concerné:

Se connecter en Telnet avec Telnet
Se connecter en Telnet avec HyperTerminal

Une fois connecté au swtich nous passons du mode User-View au mode System-View. Pour cela on entre la commande:

system-view

On obtient la réponse suivante:

<Production5500G> system-view
System View: return to User View with Ctrl+Z.
[Production5500G]

Notez que <Production5500G> devient [Production5500G]. Les signes < et > ont été remplacés par [ et ]. Lorsque l’on passe en mode system-view de nouvelles commandes sont à votre disposition. Il suffit de tapez ? pour afficher instantanément l’ensemble de ces nouvelles commandes :

Nous entrons ensuite la commande display brief interface ou d b i pour lister la configuration de l’ensemble des ports de notre switch :

<Production5500G>d b i
Interface:
Eth – Ethernet GE – GigabitEthernet TENGE – tenGigabitEthernet
Loop – LoopBack Vlan – Vlan-interface Cas – Cascade
Speed/Duplex:
A – auto-negotiation

Interface Link Speed Duplex Type PVID Description
—————————————–
GE1/0/1 UP A1000M Afull access 1 SERVEURS
GE1/0/2 UP A1000M Afull access 1 SERVEURS
GE1/0/3 UP A1000M Afull access 2 SERVEURS
GE1/0/4 UP A1000M Afull access 1 SERVEURS
GE1/0/5 UP A1000M Afull access 1 DC
GE1/0/6 UP A1000M Afull access 3 DC
…
…
GE1/0/20 UP A1000M Afull access 1 MESSAGERIE
GE1/0/21 UP A1000M Afull access 3 MESSAGERIE
GE1/0/22 UP A1000M Afull access 2 CITRIX
GE1/0/23 UP A1000M Afull access 1 CITRIX
GE1/0/24 UP A1000M Afull access 1 CITRIX
Vlan1 UP — — — — VLAN LABO 1
Vlan2 UP — — — — VLAN LABO 2
Vlan3 UP — — — — VLAN LABO 3
<Production5500G>

Ainsi GE1/0/21 UP A1000M Afull access 3 MESSAGERIE signifie que le port 21 du switch GE1 est UP (actif) et qu’il est associé au VLAN 3 représentant semble t’il un serveur de messagerie,mais ce n’est qu’une description

Un peu plus bas sont listés les 3 VLANs définit sur ce switch.

Nous souhaitons maintenant changer le VLAN attribué au port 21 du switch 1. Pour cela nous nous connectons au port:

[Production5500G]interface GigabitEthernet 1/0/21
[Production5500G]

Puis nous spécifions un nouveau VLAN grâce à la commande port access vlan:

[Production5500G-GigabitEthernet1/0/21]port access vlan 2
[Production5500G]

Nous vérifions que la modification a bien été appliquée en tapant la commande display this:

[Production5500G-GigabitEthernet1/0/21]display this
#
interface GigabitEthernet1/0/21
stp edged-port enable
port access vlan 2
description Virtual Interface
#
return
[Production5500G-GigabitEthernet1/0/21]

C’est terminé, nous pouvons sortir de la configuration du port:

[Production5500G-GigabitEthernet1/0/21]quit
[Production5500G]

Puis sortir du mode System-view (quit ou CTRL-Z)

[Production5500G]quit
<Production5500G>

Puis enfin quitter la console d’administration TELNET

<Production5500G>quit
Perte de la connexion à l’hôte.

L’outil PuTTY permet de se connecter à n’importe quel système supportant le mode terminal.

Nous allons voir ici comment ouvrir une session Putty sur un CELERRA via le protocole SSH. L’adresse IP du CELERRA sera ici 192.168.0.1.

1- Installer PuTTY

Tapez Download PuTTY dans votre moteur de recherche préféré et téléchargez la dernière version de PuTTY. Généralement PuTTY se présente comme un simple exécutable à déposer à l’emplacement de votre choix.

2- Démarrer et configurer Putty

Pour lancer PuTTY exécutez le fichier putty.exe précédemment téléchargé

Dans le champ Host Name renseignez l’adresse IP du CELERRA : 192.168.0.1

Dans le champ Port, indiquez le port: 22

Sélectionnez SSH comme Connection Type

Dans le champ Saved Sessions indiquez un nom de connexion exaustif comme par exemple : CELERRA – 192.168.0.1 et cliquez sur Save pour sauvegarder cette nouvelle connexion.

Il ne reste plus qu’à lancer la connexion en cliquant sur Open ou en double cliquant sur le nom de la connexion CELERRA – 192.168.0.1

Nous allons voir ici comment afficher la configuration d’un switch 3COM 5500.

Ouvrez une session TELNET sur le switch

Se connecter en Telnet avec Telnet
Se connecter en Telnet avec HyperTerminal

Tapez la commande suivante:

display current-configuration

Le résultat retourné est de la forme suivante:

<5500-STACK>display current-configuration
#
sysname 5500-STACK
#
undo password-control aging enable
undo password-control length enable
undo password-control history disable

password-control login-attempt 3 exceed lock-time 130
#
super password level 3 simple pa55w0rd
#
local-server nas-ip 127.0.0.1 key 3com
#
igmp-snooping enable
#
radius scheme system
#
domain system
#
local-user administrator
password simple pa55w0rd
service-type ssh telnet terminal
level 3
service-type ftp
local-user manager

Appuyez sur la barre d’espace pour continuer à consulter la configuration de votre système.

Le but de cet atelier est de retrouver le nom d’une machine connectée sur un port d’un Switch 3COM. pour cet exercice nous aurons besoin de connaître l’IP du switch sur lequel est connecté la machine ainsi que du couple admin / password du switch.

1- Lister les IP et les adresses MAC des machines actives sur un switch 3COM

Ouvrez une session TELNET sur le switch

Se connecter en Telnet avec Telnet
Se connecter en Telnet avec HyperTerminal

Une fois connecté et authentifié, tapez la commande suivante:

display arp

La réponse retournée est de la forme suivante:

IP Address MAC Address VLAN ID Port Name / AL ID Aging Type
192.168.0.3 0040-8c04-5036 12 GigabitEthernet3/0/25 3 D
192.168.0.4 0048-8c83-e85e 13 GigabitEthernet3/0/2 12 D
192.168.0.5 0038-8c84-0e74 24 GigabitEthernet3/0/4 15 D

Ainsi la machine ayant pour adresse IP 192.168.0.4 est branchée sur le port 2 du switch 3.

Il ne reste plus qu’à résoudre l’adresse IP à la condition que la machine soit enregistrée sur un serveur DNS ou dans un serveur WINS.

2- Connaître le nom d’une machine à partir de son adresse IP

Cliquez sur Démarrer / Exécuter et tapez CMD puis OK

Une fois l’invite de commande lancée tapez:

ping -a 192.168.0.4

La réponse retournée est de la forme suivante:

Envoi d’une requête ‘ping’ sur Station04.lab.fr [192.168.0.4] avec 32 octets de données :
Réponse de 192.168.0.4 : octets=32 temps<1ms TTL=128
Réponse de 192.168.0.4 : octets=32 temps<1ms TTL=128
Réponse de 192.168.0.4 : octets=32 temps<1ms TTL=128
Réponse de 192.168.0.4 : octets=32 temps<1ms TTL=128

Nous savons ainsi que la station de travail Station04.lab.fr est connectée sur le port 2 du switch 3COM numéro 3

Vous souhaitez paramétrer l’interface réseau de votre serveur à l’aide d’un script ? Vous ne parvenez plus à modifier votre configuration réseau et vous souhaitez la réinitialiser ? Ce script vous permet de spécifier l’adresse IP, le masque de sous réseau et la passerelle (Gateway) de l’interface réseau.

Créez un fichier ScriptWMI.vbs à l’aide d’un éditeur de texte et insérez le code suivant en spécifiant les paramètres IP que vous souhaitez:

strComputer = "."
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate}!\\" _
& strComputer & "\root\cimv2")
Set colNetAdapters = objWMIService.ExecQuery _
("Select * from Win32_NetworkAdapterConfiguration where IPEnabled=TRUE")
strIPAddress = Array("192.168.0.12")
strSubnetMask = Array("255.255.255.0")
strGateway = Array("192.168.0.254")
strGatewayMetric = Array(1)
For Each objNetAdapter in colNetAdapters
errEnable = objNetAdapter.EnableStatic(strIPAddress, strSubnetMask)
errGateways = objNetAdapter.SetGateways(strGateway, strGatewaymetric)
If errEnable = 0 Then
WScript.Echo "The IP address has been changed."
Else
WScript.Echo "The IP address could not be changed."
End If
Next

Lancez le script sur la machine à paramétrer.

PS : Soyez certains de la configuration que vous allez spécifier car dans le cas ou vous lancez ce script sur une machine distante via une prise de main à distance, vous allez perdre votre connexion. Si jamais vous spécifiez une adresse erronée ou une adresse déja existante vous n’auriez plus la possibilité de revenir sur vos pas …

Ce script très pratique vous permet de visualiser la configuration IP de chacune des interfaces réseaux d’un serveur distant.

strComputer = inputbox( "Nom du serveur", "Input" )
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate}!\\" _
& strComputer & "\root\cimv2")
Set colAdapters = objWMIService.ExecQuery _
("SELECT * FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled = True")
n = 1
For Each objAdapter in colAdapters
WScript.Echo "Carte réseau n° " & n
WScript.Echo "Description: " & objAdapter.Description
WScript.Echo "MAC address: " & objAdapter.MACAddress
WScript.Echo "Host name: " & objAdapter.DNSHostName
If Not IsNull(objAdapter.IPAddress) Then
For i = 0 To UBound(objAdapter.IPAddress)
WScript.Echo "Addresse IP : " & objAdapter.IPAddress(i)
Next
End If
If Not IsNull(objAdapter.IPSubnet) Then
For i = 0 To UBound(objAdapter.IPSubnet)
WScript.Echo "Masque: " & objAdapter.IPSubnet(i)
Next
End If
If Not IsNull(objAdapter.DefaultIPGateway) Then
For i = 0 To UBound(objAdapter.DefaultIPGateway)
WScript.Echo "Passerelle: " & _
objAdapter.DefaultIPGateway(i)
Next
End If
WScript.Echo "Domaine DNS: " & objAdapter.DNSDomain
If Not IsNull(objAdapter.DNSDomainSuffixSearchOrder) Then
For i = 0 To UBound(objAdapter.DNSDomainSuffixSearchOrder)
WScript.Echo "DNS suffix search list: " & _
objAdapter.DNSDomainSuffixSearchOrder(i)
Next
End If
WScript.Echo "Poste en DHCP?: " & objAdapter.DHCPEnabled
WScript.Echo "Serveur DHCP: " & objAdapter.DHCPServer
If Not IsNull(objAdapter.DHCPLeaseObtained) Then
utcLeaseObtained = objAdapter.DHCPLeaseObtained
strLeaseObtained = WMIDateStringToDate(utcLeaseObtained)
Else
strLeaseObtained = ""
End If
WScript.Echo "Date du bail DHCP: " & strLeaseObtained
If Not IsNull(objAdapter.DHCPLeaseExpires) Then
utcLeaseExpires = objAdapter.DHCPLeaseExpires
strLeaseExpires = WMIDateStringToDate(utcLeaseExpires)
Else
strLeaseExpires = ""
End If
WScript.Echo "Expiration du bail DHCP: " & strLeaseExpires
WScript.Echo "Serveur WINS: " & objAdapter.WINSPrimaryServer
n = n + 1
Next
Function WMIDateStringToDate(utcDate)
WMIDateStringToDate = CDate(Mid(utcDate, 5, 2) & "/" & _
Mid(utcDate, 7, 2) & "/" & _
Left(utcDate, 4) & " " & _
Mid (utcDate, 9, 2) & ":" & _
Mid(utcDate, 11, 2) & ":" & _
Mid(utcDate, 13, 2))
End Function

L’outil HyperTerminal, inclut dans toutes les distribution de Windows est simple et pratique pour effectuer des connexions via le protocole TELNET vers divers composants actifs de votre réseau.

Nous allons voir ici comment ouvrir une session HyperTerminal sur un Switch 3COM via le protocole TELNET.

NB : Il existe également un outils de communication appelé TELNET qui permet également d’ouvrir des sessions avec le protocole TELNET. Cet outils est plus basique qu’hyperterminal, mais il permet d’obtenir le même résultat.

Pour ouvrir Hyper Terminal, cliquez sur Démarrer / Programmes / Accessoires / Communication / Hyper Terminal

Il est également possible de le lancer comme suit : Cliquez sur Démarrer / Exécuter et tapez hypertrm.exe

Un assistant vous propose alors de configurer votre connexion

Entrez alors un nom pour cette nouvelle connexion. Par exemple Switch 3COM – Production – 192.168.0.1 puis cliquez sur OK

NB : Si vous souhaitez par la suite conserver cette connexion, il est judicieux d’indiquer un nom exaustif

Dans le champ Se connecter en utilisant sélectionnez TCP/IP (Winsock)

Dans le champ Port laissez 23

Dans le champ Adresse de l’hôte entrez l’adresse de votre matériel, ici 192.168.0.1 puis cliquez sur OK

Voila nous avons ouvert une session Hyper Terminal en TELNET via Hyper Terminal sur votre switch 3COM, ou tout autre matériel.

Il faut faire la nuance entre le protocole TELNET et l’outil de communication TELNET. Ils sont bien évidement étroitement liés mais cela me permet de rappeler qu’il existe d’autres outils pour se connecter avec le protocole TELNET. je pense notament à Putty ou HyperTerminal.

Nous allons donc voir comment se connecter à un switch 3COM, qui gère le protocole TELNET, avec l’outil natif de microsoft, le bien nommé TELNET

Scénario : Le switch SCOM de notre exemple a une interface d’administration en 192.168.0.1

Cliquez sur Démarrer / Exécuter puis taper cmd et OK

Dans l’invite de commande tapez telnet 192.168.0.1

Voila nous sommes connecté à notre switch 3COM !