Fiche mémo
Ports et services
Reconnaître un service à son port fait gagner du temps, que tu lises un scan, un journal de pare-feu ou une capture réseau.
Les incontournables
| Port | Service | À retenir |
|---|---|---|
| 21/tcp | FTP | Identifiants en clair ; vérifier la connexion anonyme |
| 22/tcp | SSH | Accès distant chiffré ; la bannière donne souvent la version et l'OS |
| 23/tcp | Telnet | Tout circule en clair |
| 25/tcp | SMTP | Envoi de courriel ; 465 et 587 pour les variantes chiffrées |
| 53/tcp+udp | DNS | UDP pour les requêtes, TCP pour les transferts de zone |
| 67-68/udp | DHCP | Attribution d'adresses IP |
| 69/udp | TFTP | Transfert sans authentification |
| 80/tcp | HTTP | Web en clair ; 8080 et 8000 en variantes fréquentes |
| 88/tcp | Kerberos | Signe presque certain d'un contrôleur de domaine |
| 110/tcp | POP3 | Relève de courriel ; 995 en version chiffrée |
| 111/tcp | rpcbind | Souvent associé à NFS |
| 135/tcp | MSRPC | Mappeur de points de terminaison RPC Windows |
| 137-139 | NetBIOS | Ancien partage Windows, noms NetBIOS |
| 143/tcp | IMAP | Relève de courriel ; 993 en version chiffrée |
| 161/udp | SNMP | Supervision ; communautés par défaut « public » / « private » |
| 389/tcp | LDAP | Annuaire (Active Directory) ; 636 en LDAPS |
| 443/tcp | HTTPS | Le certificat révèle souvent des noms d'hôtes |
| 445/tcp | SMB | Partages Windows ; cible et vecteur de mouvement latéral |
| 514/udp | Syslog | Envoi de journaux vers un collecteur |
| 873/tcp | rsync | Synchronisation de fichiers, parfois sans authentification |
| 1433/tcp | MSSQL | Base de données Microsoft |
| 1521/tcp | Oracle TNS | Base de données Oracle |
| 2049/tcp | NFS | Partages réseau Unix ; vérifier les exports |
| 3268/tcp | Catalogue global | LDAP sur l'ensemble de la forêt AD |
| 3306/tcp | MySQL | Base de données |
| 3389/tcp | RDP | Bureau à distance Windows ; logon de type 10 |
| 5432/tcp | PostgreSQL | Base de données |
| 5601/tcp | Kibana | Interface d'Elastic |
| 5985-5986 | WinRM | Administration PowerShell à distance (HTTP / HTTPS) |
| 6379/tcp | Redis | Base clé-valeur, parfois exposée sans mot de passe |
| 9200/tcp | Elasticsearch | API REST d'Elastic |
Reconnaître un rôle de machine
| Combinaison de ports | Probablement |
|---|---|
| 53, 88, 135, 389, 445, 636, 3268 | Contrôleur de domaine Active Directory |
| 135, 139, 445, 3389 | Poste ou serveur Windows |
| 22 seul, ou 22 + 80/443 | Serveur Linux, souvent web |
| 25, 110/995, 143/993 | Serveur de messagerie |
| 111, 2049 | Serveur de fichiers NFS |
| 5601, 9200 | Pile Elastic (SIEM) |
RappelUn port n'est qu'une convention : un service peut écouter n'importe où. La détection de version (bannière, réponse du service) fait foi.