netdiscover

Overview

netdiscover discovers hosts on local area networks using ARP. It works in active mode (sending ARP requests) or passive mode (just listening for ARP traffic). It identifies IP and MAC addresses and vendor OUIs, making it ideal for initial host discovery on internal networks.

Active Scanning

Scan local network (auto-detects your subnet)

sudo netdiscover

Scan specific subnet

sudo netdiscover -r 10.10.10.0/24

Scan specific range

sudo netdiscover -r 192.168.1.0/24

Specify interface

sudo netdiscover -i eth0 -r 10.10.10.0/24

Fast scan (sends multiple ARP requests)

sudo netdiscover -r 10.10.10.0/24 -f

Slow scan (avoids detection)

sudo netdiscover -r 10.10.10.0/24 -s 1000   # 1000ms between packets

Passive Mode

Passive mode (listen for ARP traffic only, no packets sent)

sudo netdiscover -p

Passive on specific interface

sudo netdiscover -p -i eth0

Passive with output file

sudo netdiscover -p -o capture.txt

Output

Non-interactive (print results, then exit)

sudo netdiscover -r 10.10.10.0/24 -N

Save to file

sudo netdiscover -r 10.10.10.0/24 -N -o results.txt

Single scan mode (stop after first complete sweep)

sudo netdiscover -r 10.10.10.0/24 -N -c 1

Output Format

IP              At MAC Address     Count     Len  MAC Vendor / Hostname
10.10.10.1      00:50:56:c0:00:01   1        42  VMware, Inc.
10.10.10.5      de:ad:be:ef:00:01   1        42  Unknown vendor
10.10.10.10     00:0c:29:ab:cd:ef   1        42  VMware, Inc.

Tips

• ARP requests are limited to the local segment — can’t discover hosts on other subnets without routing
• Passive mode (-p) is completely silent — useful for stealth reconnaissance on internal segments
• MAC vendor information can hint at device types (Cisco = network gear, VMware = VM, Apple = MacBook)
• For remote subnets, use nmap -sn (ping scan) or masscan instead

netdiscover [options]

-i device       Network interface
-r range        CIDR range to scan (e.g. 192.168.0.0/24)
-l file         List of ranges to scan
-p              Passive mode (listen only)
-m file         List of MAC addresses to resolve
-F filter       Custom pcap filter
-s time         Milliseconds between each ARP request
-c count        Number of times to send each ARP request
-n node         Last source IP octet used by sender
-d              Ignore home config file
-f              Enable fast mode (less accurate)
-N              Print only results, exit when done
-P              Print results in POC format
-L              Print results in list format
-S              Enable sleep time suppression
-o file         Output file

Vue d’ensemble

netdiscover découvre les hôtes sur les réseaux locaux via ARP. Il fonctionne en mode actif (envoi de requêtes ARP) ou en mode passif (simple écoute du trafic ARP). Il identifie les adresses IP et MAC ainsi que les OUI de vendeur, ce qui en fait un outil idéal pour la découverte initiale d’hôtes sur les réseaux internes.

Scan actif

# Scanner le réseau local (détecte automatiquement votre sous-réseau)
sudo netdiscover

# Scanner un sous-réseau spécifique
sudo netdiscover -r 10.10.10.0/24

# Scanner une plage spécifique
sudo netdiscover -r 192.168.1.0/24

# Spécifier l'interface
sudo netdiscover -i eth0 -r 10.10.10.0/24

# Scan rapide (envoie plusieurs requêtes ARP)
sudo netdiscover -r 10.10.10.0/24 -f

# Scan lent (évite la détection)
sudo netdiscover -r 10.10.10.0/24 -s 1000   # 1000ms entre les paquets

Mode passif

# Mode passif (écoute uniquement le trafic ARP, aucun paquet envoyé)
sudo netdiscover -p

# Passif sur une interface spécifique
sudo netdiscover -p -i eth0

# Passif avec fichier de sortie
sudo netdiscover -p -o capture.txt

Sortie

# Non interactif (afficher les résultats, puis quitter)
sudo netdiscover -r 10.10.10.0/24 -N

# Sauvegarder dans un fichier
sudo netdiscover -r 10.10.10.0/24 -N -o results.txt

# Mode scan unique (s'arrêter après le premier balayage complet)
sudo netdiscover -r 10.10.10.0/24 -N -c 1

Format de sortie

IP              At MAC Address     Count     Len  MAC Vendor / Hostname
10.10.10.1      00:50:56:c0:00:01   1        42  VMware, Inc.
10.10.10.5      de:ad:be:ef:00:01   1        42  Unknown vendor
10.10.10.10     00:0c:29:ab:cd:ef   1        42  VMware, Inc.

Conseils

• Les requêtes ARP sont limitées au segment local : impossible de découvrir des hôtes sur d’autres sous-réseaux sans routage
• Le mode passif (-p) est totalement silencieux : utile pour la reconnaissance furtive sur les segments internes
• Les informations de vendeur MAC peuvent indiquer le type d’appareil (Cisco = équipement réseau, VMware = VM, Apple = MacBook)
• Pour les sous-réseaux distants, utiliser plutôt nmap -sn (ping scan) ou masscan

netdiscover [options]

-i device       Network interface
-r range        CIDR range to scan (e.g. 192.168.0.0/24)
-l file         List of ranges to scan
-p              Passive mode (listen only)
-m file         List of MAC addresses to resolve
-F filter       Custom pcap filter
-s time         Milliseconds between each ARP request
-c count        Number of times to send each ARP request
-n node         Last source IP octet used by sender
-d              Ignore home config file
-f              Enable fast mode (less accurate)
-N              Print only results, exit when done
-P              Print results in POC format
-L              Print results in list format
-S              Enable sleep time suppression
-o file         Output file