Méthodologie offensive
Reconnaissance et énumération
La première phase d'un test d'intrusion : cartographier la cible, trouver les services exposés et relier chaque version à des faiblesses connues. À pratiquer uniquement sur un périmètre autorisé (labo privé, machines HTB).
Le processus
- PassiveOSINT, DNS public, certificats : aucun paquet vers la cible.
- DécouverteHôtes vivants, ports ouverts, services et versions.
- ÉnumérationCreuser chaque service : partages, utilisateurs, répertoires.
- CartographieRelier versions et configurations à des vulnérabilités connues.
Règle d'orL'énumération fait 80 % du travail. Un accès raté vient presque toujours d'un service ou d'une version qu'on n'a pas vus. Re-scanner après chaque nouvel accès, depuis le nouveau point de vue.
Reconnaissance passive
- WHOIS, DNS : propriétaire du domaine, serveurs de noms, enregistrements A, MX, TXT.
- Sous-domaines : certificats publics (crt.sh), moteurs de recherche, listes de mots.
- OSINT : fuites d'identifiants, dépôts de code, métadonnées de documents, profils publics.
- Empreinte technologique : en-têtes HTTP, Wappalyzer, favicon, messages d'erreur.
Balayage avec Nmap
| Commande | Rôle |
|---|---|
| nmap -sn 10.10.10.0/24 | Découverte d'hôtes, sans scan de ports |
| nmap -p- --min-rate 1000 cible | Tous les ports TCP, rapidement |
| nmap -sC -sV -p … cible | Scripts par défaut et versions sur les ports trouvés |
| nmap -sU --top-ports 100 cible | Principaux ports UDP (DNS, SNMP, TFTP…) |
| nmap -Pn cible | Traiter l'hôte comme actif (ICMP filtré) |
| nmap -oA scan cible | Sauvegarder dans les trois formats |
Démarche : un scan rapide de tous les ports, puis un scan ciblé -sC -sV sur les ports ouverts. États : open, closed, filtered. Voir aussi la fiche Ports et services.
Énumération par service
| Service | À chercher |
|---|---|
| Web (80/443) | Technologies, répertoires et fichiers cachés, sous-domaines virtuels, robots.txt, pages de connexion |
| SMB (139/445) | Partages et accès anonyme, utilisateurs, politique de mots de passe |
| DNS (53) | Transfert de zone, sous-domaines, enregistrements internes |
| FTP (21) | Connexion anonyme, fichiers lisibles ou inscriptibles |
| SNMP (161/udp) | Chaînes de communauté par défaut, inventaire du système |
| LDAP (389) | Objets de l'annuaire, utilisateurs, groupes, sans authentification |
Découverte de contenu webFuzzing de répertoires et de fichiers (ffuf, gobuster), de sous-domaines virtuels (en-tête Host) et de paramètres. Une bonne liste de mots change tout : SecLists est la référence.
Relier à des vulnérabilités
- Pour chaque version trouvée : chercher les CVE connues (searchsploit, NVD) et les exploits publics.
- Chercher les identifiants par défaut du produit.
- Noter tout : service, version, URL, identifiant trouvé — la preuve servira au rapport.
Côté défense
- Un scan de ports se repère dans les journaux du pare-feu : beaucoup de SYN, surtout des RST, en quelques secondes.
- Réduire la surface exposée, masquer les bannières de version, surveiller les transferts de zone DNS.
- Détection : voir Network Traffic Analysis.