Shodan - Débuter

Shodan est un moteur de recherche qui cartographie les services exposés sur Internet en analysant les bannières et métadonnées.

0x00 · Sommaire des requêtes

Chaque numéro 0x regroupe une requête Shodan, son décryptage et la criticité associée. Utilisez cette page comme carnet : copiez la syntaxe, comprenez ce que chaque filtre révèle et notez les signaux faibles à prioriser.

0x01 IP unique 0x02 Telnet 0x03 Certificat 0x04 Certificat expiré 0x05 VNC 0x06 VNC FR 0x07 webcamXP 0x08 Hikvision 0x09 Modbus 0x0A SCADA 0x0B Log4Shell 0x0C RDP FR

Tenir votre carnet

  • Centralisez vos captures et exports dans un dossier requêtes-shodan pour garder la preuve de vos observations.
  • Notez pour chaque requête : date d’exécution, volume de résultats, actifs sensibles repérés, actions recommandées.
  • Partagez ce carnet avec l’équipe défense pour synchroniser détection, patch et communication.

0x01 · IP unique

Mettre la requête

ip:8.8.8.8 · remplacez par une adresse appartenant strictement à votre périmètre autorisé.

Affiche la fiche hôte consolidée pour cartographier en un coup d’œil chaque service exposé.

Décryptage des items

  • ip: force Shodan à agréger l’ensemble des ports observés sur l’adresse ciblée.
  • Combinez avec org:, asn: ou net: pour valider la propriété de l’actif.
  • Explorez les champs port, product, vulns et tags pour alimenter votre inventaire.

Criticité

  • Révèle instantanément les écarts entre l’exposition réelle et vos référentiels internes.
  • Permet d’identifier des services oubliés ou mal configurés avant une compromission.
  • Sert de base pour prioriser patch, cloisonnement et surveillance d’un actif isolé.

0x02 · Telnet ouvert

Mettre la requête

port:23 "login:"

Isole les services Telnet exposant un prompt d’authentification en clair.

Décryptage des items

  • port:23 cible le protocole Telnet historiquement non chiffré.
  • "login:" garantit la présence du prompt d’identification dans la bannière.
  • Ajoutez country:, org: ou city: pour zoomer sur votre périmètre.

Criticité

  • Expose des identifiants saisis en clair et facilite l’usurpation de sessions.
  • Révèle souvent des équipements legacy non maintenus (routeurs, caméras, contrôleurs).
  • Doit déclencher une migration immédiate vers des services chiffrés (SSH, VPN) ou une fermeture.

0x03 · Pivot par certificat

Mettre la requête

ssl:test.fr country:fr

Recense les hôtes exposés partageant un certificat contenant le motif « test.fr ».

Décryptage des items

  • ssl: cherche dans les champs X.509 (CN, SAN, émetteur) indexés par Shodan.
  • Le motif test.fr retourne tous les certificats qui le contiennent, même en wildcard.
  • country:fr restreint les résultats aux hôtes localisés en France ; échangez-le avec org: pour cibler une entité.

Criticité

  • Débusque des services exposés partageant un certificat parfois oublié des inventaires.
  • Met en lumière des proxys, appliances ou environnements de test réutilisant le même certificat.
  • Alerte en cas de dérive de périmètre (hébergement externe, zones non maîtrisées).

0x04 · Certificats expirés

Mettre la requête

ssl.cert.expired:true

Cible les services HTTPS dont le certificat présenté est déjà expiré.

Décryptage des items

  • ssl.cert.expired:true ne remonte que les certificats dont la date valid_until est dépassée.
  • Ajoutez hostname:, org: ou port:443/8443 pour resserrer la recherche.
  • Consultez les champs ssl.cert.subject.cn et ssl.cert.subject.organization pour attribuer l’actif.

Criticité

  • Ouvre la voie aux attaques de type man-in-the-middle ou à des alertes utilisateurs désensibilisées.
  • Signale des processus de renouvellement défaillants sur des services parfois critiques (VPN, SSO, API).
  • Impacte la conformité (RGPD, PCI-DSS) et la confiance des usagers.

0x05 · VNC non authentifié

Mettre la requête

port:5900 "RFB 003.008"

Repère les instances VNC version 3.8 diffusant un accès bureau à distance sans authentification forte.

Décryptage des items

  • port:5900 cible le port par défaut du protocole VNC (RFB).
  • "RFB 003.008" filtre les serveurs négociant la version 3.8, souvent configurés sans mot de passe.
  • Ajoutez has_screenshot:true ou authentication: pour qualifier le niveau d’exposition.

Criticité

  • Offre une prise de contrôle immédiate d’une station ou d’un serveur depuis Internet.
  • Peut dévoiler des écrans métiers sensibles ou des sessions administrateur actives.
  • Souvent indicator d’un manque de segmentation réseau et d’absence de MFA.

0x06 · VNC FR avec capture

Mettre la requête

port:5901 has_screenshot:true country:fr

Sélectionne les serveurs VNC exposés en France qui fournissent une capture d’écran accessible.

Décryptage des items

  • port:5901 vise l’instance secondaire VNC fréquemment ouverte pour les consoles distantes.
  • has_screenshot:true limite aux hôtes dont Shodan a capturé une image récente.
  • country:fr cible la France ; remplacez-le par city: ou asn: selon vos priorités.

Criticité

  • Les captures peuvent exposer données personnelles, interfaces sensibles ou sessions ouvertes.
  • Indice une absence de cloisonnement et de chiffrement des accès distants.
  • Peut engager la responsabilité RGPD/SSI en cas de diffusion d’informations confidentielles.

0x07 · webcamXP

Mettre la requête

title:"webcamXP" http.html:"Live View"

Localise les interfaces webcamXP laissant un flux « Live View » accessible sans restriction.

Décryptage des items

  • title:"webcamXP" cible les pages dont le titre HTML correspond au logiciel webcamXP.
  • http.html:"Live View" vérifie que le code HTML contient le libellé du flux en direct.
  • Ajoutez country:, org: ou city: pour contextualiser l’emplacement.

Criticité

  • Peut exposer des environnements sensibles (sites industriels, commerces, écoles) en temps réel.
  • Facilite la reconnaissance physique ou la surveillance malveillante.
  • Engage la conformité RGPD et la protection des personnes filmées.

0x08 · DVR/NVR Hikvision

Mettre la requête

product:"Hikvision" has_screenshot:true

Liste les enregistreurs Hikvision exposés en ligne avec capture visuelle disponible.

Décryptage des items

  • product:"Hikvision" filtre sur l’identification du fabricant dans la bannière ou le certificat.
  • has_screenshot:true indique que Shodan a réussi à capturer l’interface web de l’équipement.
  • Raffinez avec port:80, port:554, country: ou org: pour prioriser.

Criticité

  • De nombreuses versions Hikvision comportent des vulnérabilités critiques (ex. CVE-2021-36260).
  • Les captures peuvent dévoiler la topologie vidéo ou des angles de surveillance sensibles.
  • Un accès non protégé permet de manipuler les flux ou d’effacer des enregistrements.

0x09 · Automates Modbus

Mettre la requête

port:502 "Modbus"

Détecte les automates industriels parlant Modbus/TCP accessibles sans authentification.

Décryptage des items

  • port:502 correspond au port normalisé du protocole Modbus/TCP.
  • "Modbus" vérifie que la bannière mentionne explicitement le protocole.
  • Affinez avec product:, device:, country: pour identifier fabricant et localisation.

Criticité

  • Permet de piloter ou perturber des processus physiques (pompes, chaînes de production, énergie).
  • Absence d’authentification native expose aux attaques triviales (écriture de registres).
  • Nécessite une réponse coordonnée OT/SSI pour isoler et surveiller l’équipement.

0x0A · Interfaces SCADA

Mettre la requête

screenshot.label:ics

Affiche les captures d’écran classées par Shodan comme relevant d’interfaces industrielles (ICS/SCADA).

Décryptage des items

  • screenshot.label: exploite le tagging automatique des captures par Shodan Vision.
  • Le label ics cible les interfaces opérateur, dashboards HMI ou consoles PLC.
  • Combinez avec has_screenshot:true, org:, country: pour restreindre le périmètre.

Criticité

  • Fournit une visualisation directe de processus industriels potentiellement manipulables.
  • Permet une reconnaissance technique rapide d’infrastructures critiques.
  • Doit conduire à une isolation réseau et à l’activation de contrôles d’accès forts.

0x0B · Vulnérabilité Log4Shell

Mettre la requête

vuln:CVE-2021-44228

Identifie les hôtes que Shodan marque comme exposés à Log4Shell.

Décryptage des items

  • vuln: interroge la base de signatures de vulnérabilités détectées par Shodan.
  • CVE-2021-44228 correspond à Log4Shell et couvre les technologies Java utilisant Log4j vulnérable.
  • Ajoutez product:, org:, port: pour isoler les applications critiques.

Criticité

  • Vulnérabilité RCE facilement exploitable avec un impact maximal.
  • Doit déclencher une remédiation prioritaire et une chasse aux traces d’exploitation.
  • Permet de surveiller la résurgence de systèmes non patchés ou restaurés depuis des sauvegardes anciennes.

0x0C · RDP français avec capture

Mettre la requête

country:fr has_screenshot:true os:"Windows"

Repère les hôtes Windows localisés en France pour lesquels Shodan fournit une capture d’écran RDP.

Décryptage des items

  • country:fr restreint la recherche aux actifs géolocalisés en France.
  • has_screenshot:true signifie que Shodan a capturé un aperçu visuel (souvent l’écran de connexion RDP).
  • os:"Windows" cible les systèmes identifiés comme Windows ; associez port:3389 ou org: pour raffiner.

Criticité

  • Les services RDP exposés sont fréquemment visés par du bruteforce et des ransomwares.
  • Les captures peuvent trahir des informations sensibles (nom d’utilisateur, messages internes).
  • Nécessite durcissement immédiat : MFA, bastion, filtrage IP et journalisation renforcée.

Atelier interactif · Quick Nav

Sélectionnez l’item correspondant à la section 0x en cours, puis rejouez la requête. Notez dans votre journal : requête, date, nombre de résultats, observation marquante.

Aperçu Shodan

Annexes & documentation

Conservez ces références à portée de main pendant vos analyses. Elles constituent votre boîte à outils pour approfondir, automatiser et documenter vos recherches.

📟 Scripts API Shodan

Collection de snippets Python pour lancer des requêtes authentifiées, paginer les résultats et exporter en CSV/JSON.

Documentation API officielle

🛰️ Atelier des Machines

Compléments OSINT, fiches ICS, outils de veille et scripts prêts à l'emploi pour prolonger vos investigations.

Accéder à l'atelier

📚 Bibliographie

Sélection de lectures pour alimenter vos analyses.

Voir les recommandations

Ajoutez vos propres ressources à cette liste et partagez-les avec votre équipe pour maintenir une base de connaissances vivante.