{"id":223,"date":"2018-07-21T13:37:02","date_gmt":"2018-07-21T11:37:02","guid":{"rendered":"http:\/\/remivernier.com\/?p=223"},"modified":"2018-08-24T14:11:39","modified_gmt":"2018-08-24T12:11:39","slug":"outils-danalyse-reseau","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2018\/07\/21\/outils-danalyse-reseau\/","title":{"rendered":"Outils d’analyse r\u00e9seau"},"content":{"rendered":"

L’analyseur de trafic r\u00e9seau ou analyseur de trame\u00a0 est un outil essentiel pour comprendre le fonctionnement et d\u00e9boguer les protocoles de communication sur les r\u00e9seaux.<\/p>\n

Cet article comprend deux parties. Dans un premier temps, nous parlerons des analyseurs de \u00ab\u00a0trame bas niveau\u00a0\u00bb comme Wireshark par exemple. Dans un deuxi\u00e8me temps, nous \u00e9voquerons ceux qui sont sur les couches les plus hautes, en g\u00e9n\u00e9ral la couche application pour les protocoles WEB g\u00e9n\u00e9ralement.<\/p>\n

 <\/p>\n

Analyseurs de \u00ab\u00a0trame bas niveau\u00a0\u00bb<\/h1>\n

Wireshark<\/strong><\/h2>\n

\"\"<\/a><\/p>\n

Microsoft Message Analyzer<\/strong><\/h2>\n

\"\"<\/a><\/p>\n

NETSH<\/strong><\/h2>\n

Dans un environnement Microsoft, il arrive parfois que nous souhaitions faire une analyse sans avoir \u00e0 installer un produit ou quelconque driver sp\u00e9cifique pour effectuer cette analyse de trame. Il existe pourtant une m\u00e9thode comme sous linux via TCPDUMP qui permet d’effectuer cette tache de mani\u00e8re native. Cette commande est pr\u00e9sente depuis\u00a0Windows 7 et Windows Server 2008 R2.<\/p>\n

La commande s\u2019effectue dans un \u00ab\u00a0cmd\u00a0\u00bb \u00e0 ex\u00e9cuter en tant qu\u2019administrateur:<\/p>\n

netsh trace start persistent=yes capture=yes tracefile=c:\\Logs\\nettrace.etl<\/strong><\/p>\n

Dans cette commande, nous pr\u00e9cisons capture=yes pour capturer le trafic r\u00e9seau sur l\u2019ensemble des interfaces de la machine.Le commutateur persistent=yes permet de prendre une trace au red\u00e9marrage d\u2019une machine ce qui peut \u00eatre tr\u00e8s pratique. Le chemin d’export des traces se fait via l’option tracefile=. Si le chemin n’est pas pr\u00e9cisi\u00e9,\u00a0les captures sont sauvegard\u00e9es dans C:\\Users\\<compte admin>\\AppData\\Local\\Temp\\NetTraces\\NetTrace.etl<\/p>\n

Pour arr\u00eater la capture, il suffit d\u2019entrer la commande<\/p>\n

netsh trace stop<\/strong><\/p>\n

La g\u00e9n\u00e9ration du fichier d’export peut prendre un certain temps.<\/p>\n

Il est possible de lire le fichier ainsi g\u00e9n\u00e9r\u00e9 gr\u00e2ce \u00e0\u00a0Microsoft Message Analyzer. Dans les version pr\u00e9c\u00e9dentes de ce logiciel appel\u00e9es\u00a0Microsoft Network Monitor (toujours disponible en v3.4 ici<\/a>) il fallait s\u00e9lectionner un \u00ab\u00a0parser\u00a0\u00bb particulier (Windows) pour pouvoir interpr\u00e9ter correctement ces traces. Sous\u00a0Microsoft Message Analyzer \u00e7a n’est plus n\u00e9cessaire.<\/p>\n

NETSH est plus complet qu’il en a l’air et de nombreux sc\u00e9nario sont possible. Il est possible de les afficher via la commande\u00a0netsh trace show scenarios
\n<\/strong>Par exemple\u00a0netsh trace start scenario=FileSharing\u00a0capture=yes pour comprendre d’\u00e9ventuels\u00a0probl\u00e8mes de partage de fichiers et d’imprimantes. La virgule (,) servira de s\u00e9parateur pour plusieurs sc\u00e9narios.<\/p>\n

Analyseurs de trafic WEB<\/h1>\n

Fiddler<\/strong><\/h2>\n

Fiddler est un outil qui va aider \u00e0 d\u00e9boguer les applications Web en capturant le trafic r\u00e9seau entre un site et un client. L’outil permet d’inspecter les donn\u00e9es entrantes et sortantes pour surveiller et \u00e9ventuellement modifier les demandes et les r\u00e9ponses avant que le navigateur les re\u00e7oive.\u00a0Il se positionne en tant que PROXY pour un navigateur et agit comme un Man-in-the-Middle. Il peut aussi d\u00e9sencapsuler et d\u00e9chiffrer le trafic TLS\/SSL moyennant l’injection d’un certificat \u00ab\u00a0trusted root certificate\u00a0\u00bb sur le poste client.<\/p>\n

\"\"<\/a><\/p>\n

Burp suite<\/strong><\/h2>\n

Ici utilis\u00e9 dans la suite Kali. Burp Suite se positionne comme Fiddler en tant que PROXY entre le client et le site. Il est capable de manipuler le trafic qui passe au travers de celui-ci.\u00a0Cette disposition est commun\u00e9ment appel\u00e9e attaque de l’homme du milieu (MITM). L’application utilise une interface permettant ais\u00e9ment la manipulation des donn\u00e9es \u00e9chang\u00e9es dans les deux sens. Gr\u00e2ce \u00e0 cette fonctionnalit\u00e9, il est possible d’injecter des donn\u00e9es non-conformes dans l’objectif de provoquer un comportement anormal de l’application et donc d’en identifier les bugs et vuln\u00e9rabilit\u00e9s associ\u00e9es.<\/p>\n

Il int\u00e8gre aussi plusieurs outils et notamment:<\/p>\n