Commentaires sur : Scanner un réseau pour trouver les machines infectées avec Conficker

Par : zobi8225

zobi8225 — Fri, 03 Apr 2009 13:33:46 +0000

@Jowy: Merci de l’info

Juste pour précisé :
une foi que vous avez installer nmap, il faut lancer le script a partir du dossier en question. Sinon il risque d’utiliser le nmap que vous avez precedament installe.

A ce moment la vous aurez peut etre un warning comme ca :

Warning: File ./nselib/ exists, but Nmap is using /usr/local/share/nmap/nselib/ for security and consistency reasons. set NMAPDIR=. to give priority to files in your local directory (may affect the other data files too).

Sous ubuntu && debian faite « export NMAPDIR=. » pour enlever le warning
(sous *BSD je crois que c’est setenv)

Dites moi si je dis des conneries !

Par : dynek

dynek — Fri, 03 Apr 2009 08:14:36 +0000

Le script peut être trouvé ici:
http://nmap.org/nsedoc/scripts/smb-check-vulns.html

A+

Par : Korben

Korben — Fri, 03 Apr 2009 07:00:39 +0000

@Myst: oui voilà… j’essayerai de trouver une parade mais là j’ai pas le temps

Par : Myst

Myst — Fri, 03 Apr 2009 06:41:33 +0000

@ Jowy :
Comme Korben l’explique dans un billet précédent, c’est WordPress qui lui mange ses double tirets, raah le méchant (wordpress, pas korben) >_<

Par : Jowy

Jowy — Thu, 02 Apr 2009 20:25:21 +0000

@Zobi8225 : Oui nmap est sur les dépots mais pas dans la bonne version ! Pour que ça fonctionne il faut la 4.85 minimum (en ce moment c’est la beta 7) http://nmap.org/dist/nmap-4.85BETA7.tar.bz2

@korbé : 2 erreurs -> il faut doubler les tirets pour avoir cette commande nmap -PN -d -p445 -–script=smb-check-vulns -–script-args=safe=1 xxx.xxx.xxx.zzz-zzz >> conficker_scan.txt
-> il faut remplacer les xxx.xxx.xxx.zzz-zzz par ta plage ip du genre 192.168.0.1-254 ou 192.168.0.1/24 si tes ip vont de 1 à 254

Par : korbé

korbé — Thu, 02 Apr 2009 18:54:25 +0000

Voilà ce que ça donne:

> nmap -PN -d -p445 –script=smb-check-vulns –script-args=safe=1 xxx.xxx.xxx.zzz-zzz >> conficker_scan.txt
Failed to resolve given hostname/IP: –script=smb-check-vulns. Note that you can’t use ‘/mask’ AND ’1-4,7,100-’ style IP ranges
Failed to resolve given hostname/IP: –script-args=safe=1. Note that you can’t use ‘/mask’ AND ’1-4,7,100-’ style IP ranges
Failed to resolve given hostname/IP: xxx.xxx.xxx.zzz-zzz. Note that you can’t use ‘/mask’ AND ’1-4,7,100-’ style IP ranges
WARNING: No targets were specified, so 0 hosts scanned.

Est-ce normal? par ce que le réseau, c’est pas mon fort.

Par : zobi8225

zobi8225 — Thu, 02 Apr 2009 15:38:17 +0000

Merci pour l’info.

Au fait nmap est dans les depots de ubuntu (et je pense aussi dans ceux de debian)

Par : DadoOo Bot

DadoOo Bot — Thu, 02 Apr 2009 14:45:18 +0000

J’arrive pas à la faire fonctionner… J’ai des erreurs du genre :
« SCRIPT ENGINE: No such category, file or directory: ‘smb-check-vulns’
SCRIPT ENGINE: Aborting script scan. »

Par : Bones

Bones — Thu, 02 Apr 2009 13:27:38 +0000

Merci pour l’info, je l’ai déja reperé sur quelques machines de mon reseau, ca va être cession annihilation !

Par : !znogoudatall

!znogoudatall — Thu, 02 Apr 2009 12:31:05 +0000

Sauker, celui-ci n’est peut-être pas un virus UNIX, mais il en existe bien! Plus rare, (plus complexe?), mais ils existent bien!

Par : Jowy

Jowy — Thu, 02 Apr 2009 08:53:06 +0000

Je pense qu’il y a une erreur dans la première ligne : svn co –username=guest –password=” svn://svn.insecure.org/nmap

Je pense que ça devrait ressembler plus à ça : svn co -–username guest -–password « » svn://svn.insecure.org/nmap

Mais même en faisant ça on a « connection timed out » je pense que c’est down de l’autre côté.

Par : Sauker

Sauker — Thu, 02 Apr 2009 08:43:56 +0000

ok, merci pour la précision (Flow)

Par : Flow

Flow — Thu, 02 Apr 2009 08:35:44 +0000

@Sauker: Conficker n’est pas un malware Linux, mais un qui touche la famille Windows. De 2000 à Seven en passant par les Server 2003 / 2008. (cf. FWI la page Wikipedia dont Korben donne le lien dans son post)
Mais l’astuce de Korben fonctionne sous Linux (entre autres).

Autre chose, j’ai testé ça sur Leopard (dans un réseau Microsoft, bien sur) sans succès pour le moment, j’ai du mal a lui faire manger la range-ip j’ai l’impression.

Par : Cyril Pradel

Cyril Pradel — Thu, 02 Apr 2009 08:01:30 +0000

Merci pour l’info, très utile !

Par : Sauker

Sauker — Thu, 02 Apr 2009 08:01:24 +0000

je ne savais pas qu’il y avait des virus sur linux! (ohh l’inculte!)