lsof

Elenca i file aperti dalle applicazioni, indica quale applicazione usa una determinata porta

lsof -i tcp:54226 → info sulla porta 54226 (tcp si può anche omettere es. lsof -i :25)
lsof -i @192.168.0.1 → Cerca i processi collegati all'ip

-p 15783 → Elenca i file usati dall'applicazione con pid 15783
-p ^8526 → Esclude l'applicazione 8526
-d File_descriptor → Include o esclude (se preceduti da ^) i file descriptor (separati da virgola se più di uno)
-a → Operatore AND (tutte le opzioni devono essere verificate)

lsof /percorso/file → Cerca l'applicazione che usa quel file
lsof /percorso/dir → Cerca i file aperti in quel percorso (es un dvd)

tcpdump

Analizza il traffico di rete (sniffer)

tcpdump -n (non risolve hostname)
tcpdump -q (meno informazioni)
tcpdump port 22 (connessioni sulla porta 22)
tcpdump src host (host sorgente)
tcpdump dst blogspot.com (registra le connessioni verso blogspot.com)
tcpdump dst port 80 (connessioni sulla porta 80 del destinatario (pagine web))
tcpdump src host (connessioni che originano da host)
tcpdump -c 10 (esce dopo 10 risultati)

Sono ammesse espressioni con gli Operatori booleani:
! o not →  negazione
&& o and → and
|| o or → or
< o > → minore o maggiore

tcpdump src 192.168.0.2 && dst port 80 (connessioni generate da 192.168.0.2 verso la porta 80 del destinatario)

Strumenti Online

Reverse Lookup e Ricerca domini sullo stesso ip:
www.pagesinventory.com
www.myiptest.com/staticpages/index.php/Reverse-IP
ip_da_cercare.ipaddress.com

Analizzatore di USER_AGENT (scrive in forma leggibile i valori della stringa)
www.useragentstring.com

nmap

nmap -sP 192.168.0.1-50 (Ping Scan)
Esegue un Ping Scan (verifica se gli host sono online) tra 192.168.0.1 e 192.168.1.50
nmap -PS 192.168.0.10 (TCP SYN Ping)
Verifica se l'host è online inviando un pacchetto TCP vuoto
nmap -PA 192.168.0.10 (TCP ACK Ping)
Verifica se l'host è online inviando un pacchetto TCP ACK per bypassare il firewall
nmap -P0 host (Non esegue ping)

-- scansione --
nmap -sS 192.168.0.1 (TCP SYN scan invisibile, root)
Usa connessioni TCP incomplete, è in grado di bypassare firewall e restituire l'indirizzo MAC
nmap -sU host (Scansione UDP)
nmap -sA host (TCP ACK scan, cerca regole firewall)

nmap -v host (Visualizza info più dettagliate)

-- porte --
nmap -p 1-24 host (Scansiona le porte da 1 a 24)
nmap -p U:300,T:400,401 host (Scansiona la porta UDP 300 e le porte TCP 400 e 401)
nmap -F host (Scansione veloce delle porte principali)
nmap --open (solo le porte aperte)

-- detection --
nmap -sV host (Cerca le versioni dei servizi attivi)
nmap -O host (Identifica il sistema operativo, root)
nmap -A host (version detection e sistema operativo)

-- mascheramento --
-f (Frammenta i pacchetti, può causare errori)
sudo nmap -D 192.168.0.1,192.168.0.2,ME host
Decoy. Usa delle esche attive (separate dalla virgola per nascondere la sorgente). ME alla fine (+6a posizione) nasconde l'ip. Non funziona con "version detection" e TCP connect().
nmap -S 192.168.0.5 -e eth0 -P0 host
Falsifica l'indirizzo sorgente con 192.168.0.5, definisce tramite -e l'interfaccia da usare
nmap -g 53 host
Invia i pacchetti dalla porta 53. Alcuni firewall permettono l'accesso da determinate porte
nmap --spoof-mac Cisco host
Cambia l'indirizzo mac di origine (es. Apple, 0, 01:02:03:04:05:06, deadbeefcafe, 0020F2, Cisco)

nmap -sS -PS80 -iR 0 -p 80 (Cerca casualmente dei webserver online)
nmap -oX file.xml host (Salva l'output nel file.xml)