DMitry est petit outil de Kali Linux qui permet de trouver des informations sur un site internet via le whois avec en prime une recherche du sous-domaine et des ports ouverts du serveur Web. DMitry peut être aussi utilisé pour trouver des informations sur une « adresse IP d’un routeur WAN pour connaitre le fournisseur d’accès et les ports ouverts.
Quand un pirate ou testeur d’intrusion vont chercher des informations, il va faire plusieurs fois les mêmes étapes de recherche. En général il recherche des informations dans le whois, rechercher les sous-domaines, les adresses email du site internet et les ports qui sont ouverts. Après avoir trouvé ces informations ils peuvent tenter une attaque pour obtenir l’accès au réseau local.
DMitry permet d'automatiser toutes ses recherches avec en prime une recherche sur Netcraft.com qui renvoie tous les informations qu’il connaît. Ce qui est idéal pour trouver les informations associer au site internet sur le qu’elle on fait des recherches.
Manuel de DMitry
-o Sauvegarder la sortie dans host.txt ou le fichier spécifié par l'option -o fichier
-i Faire un Whois sur une adresse IP ou un Host
-w Faire un Whois sur le nom de domaine d'un Host
-n Afficher les informations de Netcraft.com à propos d'un Host
-s Faire une recherche d'hypothétiques sous-domaines existants
-e Faire une recherche d'hypothétiques adresses e-mail existantes
-p Faire un Scan de Port TCP sur un Host
-f Faire un Scan de Port TCP sur un Host et affiche dans la sortie les ports reportés comme filtrés
-b Lire les bannières renvoyés par les ports scannés
-t 0-9 Définit le TTL (Time To Leave) en seconde lorsqu'un port est scanné (2 par défaut)
Trouver des information sur un site web
La commande dmitry -wnsepfb gmail.com -o host va permettre de lancer une recherche dans le whois et dans Netcraft.com. Elle va chercher dans google les adresses email du site web et afficher les ports ouverts.
Quand vous mettez l’option -o tout est enregistrées dans un fichier. Vous pouvez accélérer le scan avec l’option -t mais pour un test d’intrusion on préférera l’option par défaut qui est plus discrète quand on scan les ports du serveur web.
root@kali:~# dmitry -wnsepfb gmail.com -o host
Deepmagic Information Gathering Tool
"There be some deep magic going on"
HostIP:173.194.40.182
HostName:gmail.com
Gathered Inic-whois information for gmail.com
---------------------------------
Domain Name: GMAIL.COM
Registrar: MARKMONITOR INC.
Whois Server: whois.markmonitor.com
Referral URL: http://www.markmonitor.com
Name Server: NS1.GOOGLE.COM
Name Server: NS2.GOOGLE.COM
Name Server: NS3.GOOGLE.COM
Name Server: NS4.GOOGLE.COM
Status: clientDeleteProhibited
Status: clientTransferProhibited
Status: clientUpdateProhibited
Status: serverDeleteProhibited
Status: serverTransferProhibited
Status: serverUpdateProhibited
Updated Date: 15-sep-2010
Creation Date: 13-aug-1995
Expiration Date: 12-aug-2014
>>> Last update of whois database: Thu, 05 Jun 2014 05:29:10 UTC <<
The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.
Gathered Netcraft information for gmail.com
---------------------------------
Retrieving Netcraft.com information for gmail.com
Netcraft.com Information gathered
Gathered Subdomain information for gmail.com
---------------------------------
Searching Google.com:80...
HostName:www.gmail.com
HostIP:173.194.40.213
HostName:imap.gmail.com
HostIP:173.194.66.109
HostName:smtp.gmail.com
HostIP:173.194.78.109
HostName:Www.gmail.com
HostIP:173.194.45.85
Searching Altavista.com:80...
Found 4 possible subdomain(s) for host gmail.com, Searched 0 pages containing 0 results
Gathered E-Mail information for gmail.com
---------------------------------
Searching Google.com:80...
alum...@gmail.com
email-cc@gmail.com
emialaddress@gmail.com
Searching Altavista.com:80...
Found 3 E-Mail(s) for host gmail.com, Searched 0 pages containing 0 results
Gathered TCP Port information for 173.194.40.182
---------------------------------
Port State
1/tcp filtered
2/tcp filtered
3/tcp filtered
------------------ECT------------------------
74/tcp filtered
75/tcp filtered
76/tcp filtered
77/tcp filtered
78/tcp filtered
79/tcp filtered
80/tcp open
81/tcp filtered
------------------ECT------------------------
Portscan Finished: Scanned 150 ports, 0 ports were in state closed All scans completed, exiting
Trouver des information sur un routeur internet.
La commande dmitry -ipfb 96.61.21.118 -o host va permette de connaitre le FAI de l’adresse IP d’un routeur internet. Cela peut permettre avec l’email de signaler le propriétaire pour un délit majeur à son FAI.
Pour un pirate ces informations peuvent servir à connaitre les caractéristiques de la plage de l’adresse IP et de plus ou moins déterminer le type de routeur utiliser en fessant des recherches complémentaires. Si le pirate arriv à déterminer le routeur avec précision, un pourra chercher un exploit connu avec lequel le routeur est faillible.
Ainsi il pourrait pénétrait le réseau si le routeur n’a pas été patcher. Dans mon exemple fictif avec le routeur internet j’ai mis le port 139 ouvert ce qui permettrait de faire une attaque SMB si le routeur est faillibl à un exploit.
root@kali:~# dmitry -ipfb 96.61.21.118 -o host
Deepmagic Information Gathering Tool
"There be some deep magic going on"
HostIP:96.61.21.118
HostName:118.21.61.96.rev.sfr.net
Gathered Inet-whois information for 96.61.21.118
---------------------------------
inetnum: 96.61.0.0 - 96.61.63.255
netname:
descr:
N9UF-DYN-DSL
descr: Dynamic pools
remarks: ***********************************
remarks: * Abuse e-mail: abuse@gaoland.net *
remarks: ***********************************
country: FR
source: RIPE # Filtered
address: SFR
remarks: ***********************************
remarks: * Abuse e-mail: abuse@gaoland.net *
remarks: ***********************************
source: RIPE # Filtered
% Information related to '96.61.21.118/19AE6340'
route: 96.61.0.0/12
source: RIPE # Filtered
% This query was served by the RIPE Database Query Service version 1.73.1 (DBC-WHOIS2)
Gathered TCP Port information for 96.61.21.118
---------------------------------
Port State
80/tcp open
139/tcp open
Portscan Finished: Scanned 150 ports, 147 ports were in state closed
All scans completed, exiting
Pour conclure
Si vous êtes propriétaire d’un nom de domaine, il est conseillé de protéger vos informations sensibles dans le WHOIS. Si vous avez des ports ouverts comme par exemple un accès FTP, veiller à mettre un mot de passe qui résiste au attaque brute force (soit plus de 10 caractères).
Même si l’adresse IP est controverse aujourd’hui comme identité numérique et elle reste du moins votre adresse. Veiller à ne pas divulguer autant que possible votre adresse IP public à des tiers qui pourraient être nuisible ou qui voudraient vous nuire. Bien que ce soit pas toujours possible financièrement ou faute de connaissance technique, je vous suggère de remplacer votre routeur WAN fourni par votre FAI pas un modèle d’un autre constructeur comme le font les entreprises.