<\/a> <\/h2>\nUne des toutes premi\u00c3\u00a8res \u00c3\u00a9tapes dans la reconnaissance d’un r\u00c3\u00a9seau est de r\u00c3\u00a9duire un ensemble (quelques fois \u00c3\u00a9norme) de plages d’IP \u00c3\u00a0 une liste d’h\u00c3\u00b4tes actifs ou int\u00c3\u00a9ressants. Scanner tous les ports de chacune des IP est lent et souvent inutile. Bien s\u00c3\u00bbr, ce qui rend un h\u00c3\u00b4te int\u00c3\u00a9ressant d\u00c3\u00a9pend grandement du but du scan. Les administrateurs de r\u00c3\u00a9seau peuvent \u00c3\u00aatre uniquement int\u00c3\u00a9ress\u00c3\u00a9s par les h\u00c3\u00b4tes o\u00c3\u00b9 un certain service est actif tandis que les auditeurs de s\u00c3\u00a9curit\u00c3\u00a9 peuvent s’int\u00c3\u00a9resser \u00c3\u00a0 tout \u00c3\u00a9quipement qui dispose d’une adresse IP. Alors que l’administrateur se satisferait d’un ping ICMP pour rep\u00c3\u00a9rer les h\u00c3\u00b4tes de son r\u00c3\u00a9seau, l’auditeur pourrait utiliser un ensemble vari\u00c3\u00a9 de douzaines de paquets de tests (probes) dans le but de contourner les restrictions des pare\u2212feux.<\/font><\/p>\nParce que les besoins de d\u00c3\u00a9couverte des h\u00c3\u00b4tes sont si diff\u00c3\u00a9rents, Nmap propose une grande panoplie d’options pour individualiser les techniques utilis\u00c3\u00a9es. La d\u00c3\u00a9couverte d’h\u00c3\u00b4te est souvent appel\u00c3\u00a9e \u00c2\u00ab scan ping \u00c2\u00bb (ping scan), mais celle\u2212ci va bien au del\u00c3\u00a0 d’une simple requ\u00c3\u00aate echo ICMP associ\u00c3\u00a9e \u00c3\u00a0 l’incontournable outil ping. Les utilisateurs peuvent enti\u00c3\u00a8rement \u00c3\u00a9viter l’\u00c3\u00a9tape scan ping en listant simplement les cibles (\u2212sL<\/b>), en d\u00c3\u00a9sactivant le scan ping(\u2212P0<\/b>) ou alors en d\u00c3\u00a9couvrant le r\u00c3\u00a9seau avec des combinaisons de tests TCP SYN\/ACK, UDP et ICMP. Le but de ces tests est de solliciter une r\u00c3\u00a9ponse des cibles qui prouvera qu’une adresse IP est effectivement active (utilis\u00c3\u00a9e par un h\u00c3\u00b4te ou un \u00c3\u00a9quipement r\u00c3\u00a9seau). Sur de nombreux r\u00c3\u00a9seaux, seul un petit pourcentage des adresses IP sont actives \u00c3\u00a0 un moment donn\u00c3\u00a9. Ceci est particuli\u00c3\u00a8rement courant avec les plages d’adresses priv\u00c3\u00a9es (d\u00c3\u00a9finies par la sainte RFC 1918) comme 10.0.0.0\/8. Ce r\u00c3\u00a9seau comprend 16 millions d’IPs, mais il s’est d\u00c3\u00a9j\u00c3\u00a0 vu utilis\u00c3\u00a9 par des entreprises disposant de moins d’un millier de machines. La d\u00c3\u00a9couverte des h\u00c3\u00b4tes permet de trouver ces machines dans l’immensit\u00c3\u00a9 de cet oc\u00c3\u00a9an d’adresses IP.<\/font><\/p>\nLorsqu’aucune option de d\u00c3\u00a9couverte n’est sp\u00c3\u00a9cifi\u00c3\u00a9e, Nmap envoie un paquet TCP ACK sur le port 80 ainsi qu’une requ\u00c3\u00aate d’echo ICMP \u00c3\u00a0 chaque machine cible. Une exception \u00c3\u00a0 cette r\u00c3\u00a8gle est qu’un scan ARP est utilis\u00c3\u00a9 pour chaque cible du r\u00c3\u00a9seau Ethernet local. Pour les utilisateurs UNIX non\u2212privil\u00c3\u00a9gi\u00c3\u00a9s, un paquet SYN est utilis\u00c3\u00a9 \u00c3\u00a0 la place du ACK en utilisant l’appel syst\u00c3\u00a8me\u00a0 connect()<\/b>. Ces options par d\u00c3\u00a9faut sont \u00c3\u00a9quivalentes \u00c3\u00a0 la combinaison d’option \u2212PA \u2212PE<\/b>. Cette m\u00c3\u00a9thode de d\u00c3\u00a9couverte des h\u00c3\u00b4tes est souvent suffisante lors de scans de r\u00c3\u00a9seaux locaux, mais un ensemble plus complet de tests de d\u00c3\u00a9couverte est recommand\u00c3\u00a9 pour les audits de s\u00c3\u00a9curit\u00c3\u00a9.<\/font><\/p>\nLes options suivantes contr\u00c3\u00b4lent la d\u00c3\u00a9couverte des h\u00c3\u00b4tes.<\/font><\/p>\n\u2212sL<\/b> (Liste simplement)<\/font><\/p>\nCette forme d\u00c3\u00a9g\u00c3\u00a9n\u00c3\u00a9r\u00c3\u00a9e de d\u00c3\u00a9couverte d’h\u00c3\u00b4tes liste simplement chaque h\u00c3\u00b4te du(des) r\u00c3\u00a9seau(x) sp\u00c3\u00a9cifi\u00c3\u00a9(s), sans envoyer aucun paquet aux cibles. Par d\u00c3\u00a9faut, Nmap utilise toujours la r\u00c3\u00a9solution DNS inverse des h\u00c3\u00b4tes pour conna\u00c3\u00aetre leurs noms. Il est souvent \u00c3\u00a9tonnant de constater combien ces simples informations peuvent \u00c3\u00aatre utiles. Par exemple, fw.chi.playboy.com est le pare\u2212feu du bureau de Chicago de Playboy Enterprises. Nmap rend \u00c3\u00a9galement compte du nombre total d’adresses IP \u00c3\u00a0 la fin de son rapport. Cette simple liste est un bon test pour vous assurer que vos adresses IP cibles sont les bonnes. Si jamais ces noms de domaines ne vous disent rien, il vaudrait mieux s’arr\u00c3\u00aater l\u00c3\u00a0 afin d’\u00c3\u00a9viter de scanner le r\u00c3\u00a9seau de la mauvaise entreprise.<\/font><\/p>\nComme l’id\u00c3\u00a9e est de simplement afficher une liste des cibles, les options de fonctionnalit\u00c3\u00a9s plus haut niveau comme le scan de ports, la d\u00c3\u00a9tection du syst\u00c3\u00a8me d’exploitation ou la d\u00c3\u00a9couverte des h\u00c3\u00b4tes ne peuvent pas \u00c3\u00aatre combin\u00c3\u00a9es avec la liste simple. Si vous voulez juste d\u00c3\u00a9sactiver la d\u00c3\u00a9couverte des h\u00c3\u00b4tes mais quand m\u00c3\u00aame effectuer des op\u00c3\u00a9rations de plus haut niveau, lisez sur l’option \u2212P0<\/b>.<\/font><\/p>\n\u2212sP<\/b>(Scan ping)<\/font><\/p>\nCette option indique \u00c3\u00a0 Nmap de n’effectuer que<\/i> le scan ping (la d\u00c3\u00a9couverte des h\u00c3\u00b4tes), puis d’afficher la liste des h\u00c3\u00b4tes disponibles qui ont r\u00c3\u00a9pondu au scan. Aucun autre test (comme le scan des ports ou la d\u00c3\u00a9tection d’OS) n’est effectu\u00c3\u00a9. Ce scan est l\u00c3\u00a9g\u00c3\u00a8rement plus intrusif que la simple liste, et peut souvent \u00c3\u00aatre utilis\u00c3\u00a9 dans le m\u00c3\u00aame but. Il permet un survol d’un r\u00c3\u00a9seau cible sans trop attirer l’attention. Savoir combien d’h\u00c3\u00b4tes sont actifs est plus pr\u00c3\u00a9cieux pour un attaquant que la simple liste de chaque IP avec son nom d’h\u00c3\u00b4te.<\/font><\/p>\nLes gestionnaires des syst\u00c3\u00a8mes appr\u00c3\u00a9cient \u00c3\u00a9galement cette option. Elle peut facilement \u00c3\u00aatre utilis\u00c3\u00a9e pour compter le nombre de machines disponibles sur un r\u00c3\u00a9seau ou pour contr\u00c3\u00b4ler la disponibilit\u00c3\u00a9 d’un serveur. Cette option est souvent appel\u00c3\u00a9e \u00c2\u00ab balayage ping \u00c2\u00bb (ping sweep). Elle est plus fiable que sonder par ping l’adresse de diffusion (broadcast) car beaucoup d’h\u00c3\u00b4tes ne r\u00c3\u00a9pondent pas \u00c3\u00a0 ces requ\u00c3\u00aates.<\/font><\/p>\nL’option \u2212sP<\/b> envoie une requ\u00c3\u00aate d’echo ICMP et un paquet TCP sur le port par d\u00c3\u00a9faut (80). Lorsqu’ex\u00c3\u00a9cut\u00c3\u00a9e par un utilisateur non\u2212privil\u00c3\u00a9gi\u00c3\u00a9, un paquet SYN est envoy\u00c3\u00a9 (en utilisant l’appel syst\u00c3\u00a8me connect()<\/b>) sur le port 80 de la cible. Lorsqu’un utilisateur privil\u00c3\u00a9gi\u00c3\u00a9 essaie de scanner des cibles sur un r\u00c3\u00a9seau local Ethernet, des requ\u00c3\u00aates ARP (\u2212PR<\/b>) sont utilis\u00c3\u00a9es \u00c3\u00a0 moins que l’option \u2212\u2212send\u2212ip<\/b>soit sp\u00c3\u00a9cifi\u00c3\u00a9e. L’option \u2212sP<\/b> peut \u00c3\u00aatre combin\u00c3\u00a9e avec chacun des tests de d\u00c3\u00a9couverte des h\u00c3\u00b4tes (les options \u2212P*<\/b>, sauf \u2212P0<\/b>) pour une plus grand flexibilit\u00c3\u00a9. D\u00c3\u00a8s qu’un test de ce type est utilis\u00c3\u00a9 avec un num\u00c3\u00a9ro de port, il est pr\u00c3\u00a9pond\u00c3\u00a9rante sur les tests par d\u00c3\u00a9faut (ACK et requ\u00c3\u00aate echo). Quand des pare\u2212feux restrictifs sont pr\u00c3\u00a9sents entre la machine ex\u00c3\u00a9cutant Nmap et le r\u00c3\u00a9seau cible, il est recommand\u00c3\u00a9 d’utiliser ces techniques avanc\u00c3\u00a9es. Sinon des h\u00c3\u00b4tes peuvent \u00c3\u00aatre oubli\u00c3\u00a9s quand le pare\u2212feu rej\u00c3\u00a8te les paquets ou leurs r\u00c3\u00a9ponses.<\/font><\/p>\n\u2212PN<\/b> (Pas de scan ping)<\/font><\/p>\nCette option \u00c3\u00a9vite compl\u00c3\u00a8tement l’\u00c3\u00a9tape de d\u00c3\u00a9couverte des h\u00c3\u00b4tes de Nmap. En temps normal, Nmap utilise cette \u00c3\u00a9tape pour d\u00c3\u00a9terminer quelles sont les machines actives pour effectuer un scan approfondi. Par d\u00c3\u00a9faut, Nmap n’examine en profondeur, avec le scan des ports ou la d\u00c3\u00a9tection de version, que les machines qui sont actives. D\u00c3\u00a9sactiver la d\u00c3\u00a9tection des h\u00c3\u00b4tes avec l’option \u2212P0<\/b>conduit Nmap \u00c3\u00a0 effectuer les scans demand\u00c3\u00a9s sur toutes<\/i> les adresses IP cibles sp\u00c3\u00a9cifi\u00c3\u00a9es. Ainsi, si une adresse IP de classe B (\/16) est sp\u00c3\u00a9cifi\u00c3\u00a9e \u00c3\u00a0 la ligne de commande, toutes les 65 536 adresses IP seront scann\u00c3\u00a9es. Le deuxi\u00c3\u00a8me caract\u00c3\u00a8re dans l’option \u2212P0<\/b> est bien un z\u00c3\u00a9ro et non pas la lettre O. La d\u00c3\u00a9couverte des h\u00c3\u00b4tes est \u00c3\u00a9vit\u00c3\u00a9e comme avec la liste simple, mais au lieu de s’arr\u00c3\u00aater et d’afficher la liste des cibles, Nmap continue et effectue les fonctions demand\u00c3\u00a9es comme si chaque adresse IP \u00c3\u00a9tait active. Pour les machines sur un reseau local en ethernet, un scan ARP scan sera quand m\u00c3\u00aame effectu\u00c3\u00a9 (\u00c3\u00a0 moins que \u2212\u2212send\u2212ip ne soit sp\u00c3\u00a9cifi\u00c3\u00a9) parceque Nmap a besoin de l’adresse MAC pour les scans ulterieurs. Cette option s’appelait P0 (avec un z\u00c3\u00a9ro) auparavant, mais a \u00c3\u00a9t\u00c3\u00a9 renomm\u00c3\u00a9e afin d’\u00c3\u00a9viter la confusion avec le Ping par protocoles PO (lettre O).<\/font><\/p>\n\u2212PS [portlist]<\/b>(Ping TCP SYN)<\/font><\/p>\nCette option envoie un paquet TCP vide avec le drapeau (flag) SYN activ\u00c3\u00a9. La destination par d\u00c3\u00a9faut de ce paquet est le port 80 (configurable \u00c3\u00a0 la compilation en changeant la d\u00c3\u00a9finition DEFAULT_TCP_PROBE_PORT dans nmap.h\u00a0 ), mais un autre port peut \u00c3\u00aatre sp\u00c3\u00a9cifi\u00c3\u00a9 en param\u00c3\u00a8tre (ex.:\u00a0 \u2212PS22,23,25,80,113,1050,35000<\/b>), auquel cas les paquets de tests (probes) seront envoy\u00c3\u00a9s en parall\u00c3\u00a8le sur chaque port cible.<\/font><\/p>\nLe drapeau SYN fait croire que vous voulez \u00c3\u00a9tablir une connexion sur le syst\u00c3\u00a8me distant. Si le port de destination est ferm\u00c3\u00a9, un paquet RST (reset) est renvoy\u00c3\u00a9. Si le port s’av\u00c3\u00a8re \u00c3\u00aatre ouvert, la cible va entamer la seconde \u00c3\u00a9tape de l’\u00c3\u00a9tablissement de connexion TCP en 3 temps (TCP 3\u2212way\u2212handshake) en r\u00c3\u00a9pondant par un paquet TCP SYN\/ACK. La machine ex\u00c3\u00a9cutant Nmap avortera alors la connexion en cours d’\u00c3\u00a9tablissement en r\u00c3\u00a9pondant avec un paquet RST au lieu d’un paquet ACK qui finaliserait normalement l’\u00c3\u00a9tablissement de la connexion. Le paquet RST est envoy\u00c3\u00a9 par le noyau (kernel) de la machine ex\u00c3\u00a9cutant Nmap en r\u00c3\u00a9ponse au paquet SYN\/ACK inattendu; ce n’est pas Nmap lui\u2212m\u00c3\u00aame qui l’\u00c3\u00a9met.<\/font><\/p>\nNmap ne tient pas compte si le port est r\u00c3\u00a9ellement ouvert ou ferm\u00c3\u00a9. Les paquets RST ou SYN\/ACK \u00c3\u00a9voqu\u00c3\u00a9s pr\u00c3\u00a9c\u00c3\u00a9demment indiquent tout deux que l’h\u00c3\u00b4te est disponible et r\u00c3\u00a9ceptif.<\/font><\/p>\nSur les syst\u00c3\u00a8mes UNIX, seuls les utilisateurs privil\u00c3\u00a9gi\u00c3\u00a9s root sont g\u00c3\u00a9n\u00c3\u00a9ralement capables d’envoyer et de recevoir des paquets TCP bruts (raw packets). Pour les utilisateurs non\u2212privil\u00c3\u00a9gi\u00c3\u00a9s, Nmap contourne cette restriction avec l’appel syst\u00c3\u00a8me connect() utilis\u00c3\u00a9 sur chaque port de la cible. Ceci revient \u00c3\u00a0 envoyer un paquet SYN sur l’h\u00c3\u00b4te cible pour \u00c3\u00a9tablir une connexion. Si connect() r\u00c3\u00a9ussi ou \u00c3\u00a9choue avec ECONNREFUSED, la pile TCP\/IP sous\u2212jacente doit avoir re\u00c3\u00a7u soit un SYN\/ACK soit un RST et l’h\u00c3\u00b4te est alors consid\u00c3\u00a9r\u00c3\u00a9 comme \u00c3\u00a9tant actif. Si la tentative de connexion est toujours en cours jusqu’\u00c3\u00a0 l’expiration du d\u00c3\u00a9lai d’\u00c3\u00a9tablissement, l’h\u00c3\u00b4te est consid\u00c3\u00a9r\u00c3\u00a9 comme \u00c3\u00a9tant inactif. Cette technique est aussi utilis\u00c3\u00a9e pour les connexions IPv6, du fait que les paquets bruts IPv6 ne sont pas encore support\u00c3\u00a9s par Nmap.<\/font><\/p>\n\u2212PA [portlist]<\/b>(Ping TCP ACK)<\/font><\/p>\nLe ping TCP ACK ressemble fortement aux tests SYN pr\u00c3\u00a9c\u00c3\u00a9demment \u00c3\u00a9voqu\u00c3\u00a9s. \u00c3 la diff\u00c3\u00a9rence que, comme on l’imagine bien, le drapeau TCP ACK est utilis\u00c3\u00a9 \u00c3\u00a0 la place du drapeau SYN. Un tel paquet ACK acquitte normalement la r\u00c3\u00a9ception de donn\u00c3\u00a9es dans une connexion TCP pr\u00c3\u00a9c\u00c3\u00a9demment \u00c3\u00a9tablie, or ici cette connexion n’existe pas. Ainsi, l’h\u00c3\u00b4te distant devrait syst\u00c3\u00a9matiquement r\u00c3\u00a9pondre par un paquet RST qui trahirait son existence.<\/font><\/p>\nL’option \u2212PA<\/b> utilise le m\u00c3\u00aame port par d\u00c3\u00a9faut que le test SYN (80), mais peut aussi prendre une liste de ports de destination dans le m\u00c3\u00aame format. Si un utilisateur non\u2212privil\u00c3\u00a9gi\u00c3\u00a9 essaie cette option, ou si une cible IPv6 est sp\u00c3\u00a9cifi\u00c3\u00a9e, la technique connect() pr\u00c3\u00a9c\u00c3\u00a9demment \u00c3\u00a9voqu\u00c3\u00a9e est utilis\u00c3\u00a9e. Cette technique est imparfaite car connect() envoie un paquet SYN et pas un ACK.<\/font><\/p>\nLa raison pour laquelle Nmap offre \u00c3\u00a0 la fois les tests SYN et ACK est de maximiser les chances de contourner les pare\u2212feux. De nombreux administrateurs configurent leurs routeurs et leurs pare\u2212feux pour bloquer les paquets entrants SYN sauf ceux destin\u00c3\u00a9s aux services publics comme les sites Web de l’entreprise ou le serveur de messagerie. Ceci emp\u00c3\u00aache les autres connexions entrantes dans l’organisation, tout en permettant un acc\u00c3\u00a8s complet en sortie \u00c3\u00a0 l’Internet. Cette approche sans \u00c3\u00a9tat de connexion est peu consommatrice des ressources des pare\u2212feux\/routeurs et est largement support\u00c3\u00a9e dans les dispositifs de filtrage mat\u00c3\u00a9riels ou logiciels. Le pare\u2212feu logiciel Linux Netfilter\/iptables par exemple propose l’option \u2212\u2212syn<\/b> qui implante cette approche sans \u00c3\u00a9tat (stateless). Quand de telles r\u00c3\u00a8gles de pare\u2212feu sont mises en place, les paquets de tests SYN ( \u2212PS<\/b>) seront certainement bloqu\u00c3\u00a9s lorsqu’envoy\u00c3\u00a9s sur des ports ferm\u00c3\u00a9s. Dans ces cas l\u00c3\u00a0, les tests ACK contournent ces r\u00c3\u00a8gles, prenant ainsi toute leur saveur.<\/font><\/p>\nUn autre type courant de pare\u2212feux utilise des r\u00c3\u00a8gles avec \u00c3\u00a9tat de connexion (statefull) qui jettent les paquets inattendus. Cette fonctionnalit\u00c3\u00a9 \u00c3\u00a9tait \u00c3\u00a0 la base fr\u00c3\u00a9quente sur les pare\u2212feux haut\u2212de\u2212gamme, mais elle s’est r\u00c3\u00a9pandue avec le temps. Le pare\u2212feu Linux Netfilter\/iptables supporte ce m\u00c3\u00a9canisme gr\u00c3\u00a2ce \u00c3\u00a0 l’option \u2212\u2212state<\/b> qui cat\u00c3\u00a9gorise les paquets selon les \u00c3\u00a9tats de connexion. Un test SYN marchera certainement mieux contre ces syst\u00c3\u00a8mes, car les paquets ACK sont g\u00c3\u00a9n\u00c3\u00a9ralement consid\u00c3\u00a9r\u00c3\u00a9s comme inattendus ou bogu\u00c3\u00a9s et rejet\u00c3\u00a9s. Une solution \u00c3\u00a0 ce dilemme est d’envoyer \u00c3\u00a0 la fois des paquets de tests SYN et ACK en utilisant conjointement les options \u2212PS<\/b> et \u2212PA<\/b>.<\/font><\/p>\n\u2212PU [portlist]<\/b>(Ping UDP)<\/font><\/p>\nUne autre option de d\u00c3\u00a9couverte des h\u00c3\u00b4tes est le ping UDP, qui envoie un paquet UDP vide (\u00c3\u00a0 moins que l’option \u00a0 \u2212\u2212data\u2212length<\/b> ne soit utilis\u00c3\u00a9e) aux ports sp\u00c3\u00a9cifi\u00c3\u00a9s. La liste des ports est \u00c3\u00a9crite dans le m\u00c3\u00aame format que les options \u2212PS<\/b> et \u2212PA<\/b> pr\u00c3\u00a9c\u00c3\u00a9demment \u00c3\u00a9voqu\u00c3\u00a9es. Si aucun port n’est sp\u00c3\u00a9cifi\u00c3\u00a9, le port par d\u00c3\u00a9faut est le 31338. Cette valeur par d\u00c3\u00a9faut peut \u00c3\u00aatre modifi\u00c3\u00a9e \u00c3\u00a0 la compilation en changeant la d\u00c3\u00a9finition DEFAULT_UDP_PROBE_PORT dans le fichier nmap.h. Un num\u00c3\u00a9ro de port tr\u00c3\u00a8s peu courant est utilis\u00c3\u00a9 par d\u00c3\u00a9faut, car envoyer des paquets sur un port ouvert n’est que peu souhaitable pour ce type de scan particulier.<\/font><\/p>\nLorsqu’on atteint un port ferm\u00c3\u00a9 sur la cible, le test UDP s’attend \u00c3\u00a0 recevoir un paquet ICMP \u00c2\u00ab port unreachable \u00c2\u00bb en retour. Ceci indique \u00c3\u00a0 Nmap que la machine est active et disponible. De nombreuses autres erreurs ICMP, comme \u00c2\u00ab host\/network unreachable \u00c2\u00bb ou \u00c2\u00ab TTL exceeded \u00c2\u00bb indiquent un h\u00c3\u00b4te inactif ou inaccessible. Une absence de r\u00c3\u00a9ponse est \u00c3\u00a9galement interpr\u00c3\u00a9t\u00c3\u00a9e de la sorte. Si un port ouvert est atteint, la majorit\u00c3\u00a9 des services ignorent simplement ce paquet vide et ne r\u00c3\u00a9pondent rien. Ceci est la raison pour laquelle le port par d\u00c3\u00a9faut du test est le 31338, qui n’a que tr\u00c3\u00a8s peu de chances d’\u00c3\u00aatre utilis\u00c3\u00a9. Tr\u00c3\u00a8s peu de services, comme chargen, r\u00c3\u00a9pondront \u00c3\u00a0 un paquet UDP vide, d\u00c3\u00a9voilant ainsi \u00c3\u00a0 Nmap leur pr\u00c3\u00a9sence.<\/font><\/p>\nL’avantage principal de ce type de scan est qu’il permet de contourner les pare\u2212feux et dispositifs de filtrage qui n’observent que TCP. Les routeurs sans\u2212fil Linksys BEFW11S4 par exemple sont de ce type. L’interface externe de cet \u00c3\u00a9quipement filtre tous les ports TCP par d\u00c3\u00a9faut, mais les paquets de tests UDP se voient toujours r\u00c3\u00a9pondre par des messages ICMP \u00c2\u00ab port unreachable \u00c2\u00bb, rendant ainsi l’\u00c3\u00a9quipement d\u00c3\u00a9suet.<\/font><\/p>\n\u2212PE<\/b>; \u2212PP<\/b>; \u2212PM<\/b>(Types de ping ICMP)<\/font><\/p>\nEn plus des inhabituels types de d\u00c3\u00a9couverte des h\u00c3\u00b4tes TCP et UDP pr\u00c3\u00a9c\u00c3\u00a9demment \u00c3\u00a9voqu\u00c3\u00a9s, Nmap peut \u00c3\u00a9galement envoyer les paquets standard \u00c3\u00a9mis par l’\u00c3\u00a9ternel programme ping. Nmap envoie un paquet ICMP type 8 (echo request) aux adresses IP cibles, attendant un type 0 (echo reply) en provenance des h\u00c3\u00b4tes disponibles. Malheureusement pour les explorateurs de r\u00c3\u00a9seaux, de nombreux h\u00c3\u00b4tes et pare\u2212feux bloquent d\u00c3\u00a9sormais ces paquets, au lieu d’y r\u00c3\u00a9pondre comme indiqu\u00c3\u00a9 par la<\/font> RFC 1122<\/font><\/b> [3]<\/font><\/small> . Pour cette raison, les scans \u00c2\u00ab purs ICMP \u00c2\u00bb sont rarement fiables contre des cibles inconnues d’Internet. Cependant, pour les administrateurs surveillants un r\u00c3\u00a9seau local cette approche peut \u00c3\u00aatre pratique et efficace. Utilisez l’option \u2212PE<\/b> pour activer ce comportement de requ\u00c3\u00aate echo.<\/font><\/p>\nM\u00c3\u00aame si la requ\u00c3\u00aate echo est le standard de la requ\u00c3\u00aate ICMP, Nmap ne s’arr\u00c3\u00aate pas l\u00c3\u00a0, Le standard ICMP (<\/font>RFC 792<\/font><\/b> [4]<\/font><\/small> ) sp\u00c3\u00a9cifie \u00c3\u00a9galement les requ\u00c3\u00aates \u00c2\u00ab timestamp \u00c2\u00bb, \u00c2\u00ab information \u00c2\u00bb et \u00c2\u00ab adress mask \u00c2\u00bb, dont les codes sont respectivement 13, 15 et 17. Si le but avou\u00c3\u00a9 de ces requ\u00c3\u00aates est d’obtenir des informations comme le masque r\u00c3\u00a9seau ou l’heure courante, elles peuvent facilement \u00c3\u00aatre utilis\u00c3\u00a9es pour la d\u00c3\u00a9couverte des h\u00c3\u00b4tes: un syst\u00c3\u00a8me qui y r\u00c3\u00a9pond est actif et disponible. Nmap n’implante actuellement pas les requ\u00c3\u00aates d’informations, car elles ne sont que rarement support\u00c3\u00a9es. La RFC 1122 insiste sur le fait \u00c2\u00ab\u00c2\u00a0qu’un h\u00c3\u00b4te ne DEVRAIT PAS implanter ces messages\u00c2\u00a0\u00c2\u00bb. Les requ\u00c3\u00aates timestamp et masque d’adresse peuvent \u00c3\u00aatre \u00c3\u00a9mises avec les options \u2212PP<\/b> et \u2212PM<\/b>, respectivement. Une r\u00c3\u00a9ponse timestamp (code ICMP 14) ou masque d’adresse (code ICMP 18) r\u00c3\u00a9v\u00c3\u00a8le que l’h\u00c3\u00b4te est disponible. Ces deux requ\u00c3\u00aates peuvent \u00c3\u00aatre tr\u00c3\u00a8s utiles quand les administrateurs bloquent sp\u00c3\u00a9cifiquement les requ\u00c3\u00aates echo mais oublient que les autres requ\u00c3\u00aates ICMP peuvent \u00c3\u00aatre utilis\u00c3\u00a9es dans le m\u00c3\u00aame but.<\/font><\/p>\n\u2212PR<\/b>(Ping ARP)<\/font><\/p>\nUn des usages les plus courant de Nmap est de scanner un LAN Ethernet. Sur la plupart des LANS, particuli\u00c3\u00a8rement ceux qui utilisent les plages d’adresses priv\u00c3\u00a9es de la RFC 1918, la grande majorit\u00c3\u00a9 des adresses IP sont inutilis\u00c3\u00a9es \u00c3\u00a0 un instant donn\u00c3\u00a9. Quand Nmap essaie d’envoyer un paquet IP brut (raw packet) comme une requ\u00c3\u00aate ICMP echo, le syst\u00c3\u00a8me d’exploitation doit d\u00c3\u00a9terminer l’adresse mat\u00c3\u00a9rielle (ARP) correspondant \u00c3\u00a0 la cible IP pour correctement adresser la trame Ethernet. Ceci est souvent lent et probl\u00c3\u00a9matique, car les syst\u00c3\u00a8mes d’exploitation n’ont pas \u00c3\u00a9t\u00c3\u00a9 \u00c3\u00a9crits pour g\u00c3\u00a9rer des millions de requ\u00c3\u00aates ARP contre des h\u00c3\u00b4tes indisponibles en un court intervalle de temps.<\/font><\/p>\nLes requ\u00c3\u00aates ARP sont prises en charge par Nmap qui dispose d’algorithmes optimis\u00c3\u00a9s pour g\u00c3\u00a9rer le scan ARP. Si Nmap re\u00c3\u00a7oit une r\u00c3\u00a9ponse \u00c3\u00a0 ces requ\u00c3\u00aates, il n’a pas besoin de poursuivre avec les ping bas\u00c3\u00a9s sur IP car il sait d\u00c3\u00a9j\u00c3\u00a0 que l’h\u00c3\u00b4te est actif. Ceci rend le scan ARP bien plus rapide et fiable que les scans bas\u00c3\u00a9s sur IP. Ainsi, c’est le comportement adopt\u00c3\u00a9 par d\u00c3\u00a9faut par Nmap quand il remarque que les h\u00c3\u00b4tes scann\u00c3\u00a9s sont sur le r\u00c3\u00a9seau local. M\u00c3\u00aame si d’autres types de ping (comme \u2212PE<\/b> ou \u2212PS<\/b>) sont sp\u00c3\u00a9cifi\u00c3\u00a9s, Nmap utilise ARP pour chaque cible qui sont sur le m\u00c3\u00aame sous\u2212r\u00c3\u00a9seau que la machine ex\u00c3\u00a9cutant Nmap. Si vous ne souhaitez vraiment pas utiliser le scan ARP, utilisez l’option \u2212\u2212send\u2212ip<\/b><\/font><\/p>\n\u2212PO<\/b>[protolist] (IP Protocol Ping)<\/font><\/p>\nUne autre otpion de d\u00c3\u00a9couverte d’h\u00c3\u00b4tes est le Ping IPProto, qui envoie des paquets IP avec les num\u00c3\u00a9ros de protocole(s) sp\u00c3\u00a9cifi\u00c3\u00a9s dans le champ Protocol de l’en\u2212t\u00c3\u00aate IP. La liste des protocoles prend le m\u00c3\u00aame format qu’avec la liste des ports dans les options de d\u00c3\u00a9couverte en TCP et UDP pr\u00c3\u00a9sent\u00c3\u00a9es pr\u00c3\u00a9c\u00c3\u00a9dement. Si aucun protocole n’est pr\u00c3\u00a9cis\u00c3\u00a9, par d\u00c3\u00a9faut ce sont des paquets IP multiples ICMP (protocol 1), IGMP (protocol 2), et IP\u2212in\u2212IP (protocol 4) qui sont envoy\u00c3\u00a9s. Les protocoles par d\u00c3\u00a9faut peuvent \u00c3\u00aatre configur\u00c3\u00a9s \u00c3\u00a0 la compilation en changeant DEFAULT_PROTO_PROBE_PORT_SPEC dans nmap.h. Notez que pour ICMP, IGMP, TCP (protocol 6), et UDP (protocol 17), les paquets sont envoy\u00c3\u00a9s avec l’en\u2212t\u00c3\u00aate suppl\u00c3\u00a9mentaire cependant que les autres protocoles sont envoy\u00c3\u00a9s sans donn\u00c3\u00a9es suppl\u00c3\u00a9mentaires en sus de l’en\u2212t\u00c3\u00aate IP (\u00c3\u00a0 moins que l’option \u2212\u2212data\u2212length ne soit sp\u00c3\u00a9cifi\u00c3\u00a9e).<\/font><\/p>\nCette m\u00c3\u00a9thode de d\u00c3\u00a9couverte des h\u00c3\u00b4tes recherche les r\u00c3\u00a9ponses dans le m\u00c3\u00aame protocole que la requ\u00c3\u00a8te, ou le message ICMP Protocol Unreachable qui signifie que le protocole sp\u00c3\u00a9cifi\u00c3\u00a9 n’est pas support\u00c3\u00a9 par l’h\u00c3\u00b4te (ce qui implique indirectement qu’il est connect\u00c3\u00a9).<\/font><\/p>\n\u2212\u2212reason<\/b>(Raisons donn\u00c3\u00a9es \u00c3\u00a0 l’\u00c3\u00a9tat de l’h\u00c3\u00b4te et des ports)<\/font><\/p>\nMontre les raisons pour lesquelles chaque port est d\u00c3\u00a9sign\u00c3\u00a9 par un \u00c3\u00a9tat sp\u00c3\u00a9cifique et un h\u00c3\u00b4te connect\u00c3\u00a9 ou non. Cette option affiche le type de paquet qui \u00c3\u00a0 d\u00c3\u00a9termin\u00c3\u00a9 l’\u00c3\u00a9tat du port ou de l’h\u00c3\u00b4te. Par exemple, un paquet RST en provenance d’un port ferm\u00c3\u00a9 ou un echo relpy pour un h\u00c3\u00b4te connect\u00c3\u00a9. L’information que Nmap peut fournir est d\u00c3\u00a9termin\u00c3\u00a9e par le type de scan ou de ping. Le scan SYN et le ping SYN (\u2212sS et \u2212PT) sont tr\u00c3\u00a8s d\u00c3\u00a9taill\u00c3\u00a9s, mais les TCP connect scan et ping (\u2212sT) sont limit\u00c3\u00a9s par l’impl\u00c3\u00a9mentation de l’appel syst\u00c3\u00a8me connect. Cette fonctionnalit\u00c3\u00a9 est automatiquement activ\u00c3\u00a9e par le mode de deboguage (\u2212d) et les r\u00c3\u00a9sultats sont enregistr\u00c3\u00a9s dans la sortie XML m\u00c3\u00aame si cette option n’est pas sp\u00c3\u00a9cifi\u00c3\u00a9e.<\/font><\/p>\n\u2212n<\/b>(Pas de r\u00c3\u00a9solution DNS)<\/font><\/p>\nIndique \u00c3\u00a0 Nmap de ne jamais<\/i> faire la r\u00c3\u00a9solution DNS inverse des h\u00c3\u00b4tes actifs qu’il a trouv\u00c3\u00a9. Comme la r\u00c3\u00a9solution DNS est souvent lente, ceci acc\u00c3\u00a9l\u00c3\u00a8re les choses.<\/font><\/p>\n\u2212R<\/b>(R\u00c3\u00a9solution DNS pour toutes les cibles)<\/font><\/p>\nIndique \u00c3\u00a0 Nmap de toujours<\/i>faire la r\u00c3\u00a9solution DNS inverse des adresses IP cibles. Normalement, ceci n’est effectu\u00c3\u00a9 que si une machine est consid\u00c3\u00a9r\u00c3\u00a9e comme active.<\/font><\/p>\n\u2212\u2212dns\u2212servers <\/b> (Serveurs \u00c3\u00a0 utiliser pour les requ\u00c3\u00a8tes DNS inverses)<\/font><\/p>\n