NMAP : sortie de la première version de la branche 4.x

Par Xavier Poli, secuobs.com
Le 02/02/2006

---

Résumé : Le plus célèbre des scanners de ports se voit gratifié d'une nouvelle version. Fyodor, mainteneur du projet, avait assuré le week-end dernier que la version de test 3.9999 serait l'ultime étape avant le passage à la branche 4.x. - Lire l'article



Le plus célèbre des scanners de ports se voit gratifié d'une nouvelle version. Fyodor, mainteneur du projet, avait assuré le week-end dernier que la version de test 3.9999 serait l'ultime étape avant le passage à la branche 4.x. La 4.0 est sortie en ce milieu de semaine avec son lot d'améliorations et offrent au final des résultats plus que satisfaisants en terme de performance et d'exactitude.

Parmi les dernières fonctions apportées, on notera tout d'abord que la réalisation des résolutions DNS s'effectue désormais de façon asynchrone, il n'est plus nécessaire de résoudre en série chaque couple nom de domaine - adresse IP lors d'un scan de ports réalisé avec NMAP. Ce procédé réduit considérablement le temps d'exécution nécessaire à ce genre d'opération en diminuant le nombre d'appels vers le résolveur interne réputé lent surtout lorsque l'on opère sur des réseaux de taille importante.

Autre changement majeur, il est dès à présent possible de presser à n'importe quel moment sur la touche [enter] afin d'obtenir un rapport d'état sur le scan en cours ; ce rapport comporte une estimation du temps restant avant la finalisation du scan. Cette fonctionnalité faisait cruellement défaut jusqu'à maintenant lors des balayages opérés sur d'importantes plages d'adresses IP ou lors de l'utilisation des paramètres Paranoid et Sneaky pour l'option « -T » . Ces combinaisons permettent d'augmenter les délais d'envoi (5 minutes contre 15 secondes) entre les différents paquets de données du scan afin de le rendre plus discret, au détriment de la rapidité, vis à vis des systèmes de détection et de de prévention d'intrusion (IDS/IPS).

Les utilisateurs des versions "Windows" seront heureux d'apprendre qu'un nouvel installateur est disponible sous forme d'exécutable conjointement à la méthode habituelle de compilation fournie quant à elle sous forme d'archive de type "ZIP". Cette nouvelle méthode facilite notamment la prise en charge de l'installation de la librairie de capture de paquets WinPcap ainsi que les différentes modifications du système permettant d'optimiser les performances du logiciel.

Pour vous donner une idée des gains de performance réalisés, le scan suivant 'nmap -T Aggressive -p- -v www.insecure.org seclist.org scanme.nmap.org » a été réalisé par Fyodor avec une machine plutôt classique (Linux 64 bits – AMD Athlon64), depuis une connexion DSL (limitée à 128 kb/s en upload), en 16 minutes pour 24 Mo de mémoire consommés au maximum au lieu de 19 pour 75 avec la version 3.93 et 58 pour 32 avec la 3.50.

Deux ans se sont écoulés entre la 3.50 et cette nouvelle mouture pour un total de 230 changements significatifs au niveau du code (cf. lien Le moteur de scan a été rééecrit entièrement pour arriver à de tels résultats via notamment la possibilité de scanner les différentes cibles en parallèle en plus de multiples ports simultanément sur chacune d'entre elles, voir également la de reconnaissance de réseaux basés sur le protocole ARP (correspondance adresse IP – adresse MAC) pour les réseaux locaux.

Comme à l'habitude, cette nouvelle version comprend son lot de nouvelles signatures permettant d'identifier de nombreux services & applications ainsi que leur version via l'option « -sV ». Celles-ci portent leur nombre à 3153 pour un total de 381 protocoles différents. Un nouvel algorithme de reconnaissance des systèmes d'exploitation a été implémenté avec des méthodes heuristiques en complément du « fingerprinting » classique basé sur TCP/IP.

Version source : lien
Version exécutable Windows : lien