Exécuter un scan UDP avec Nmap

Introduction

Dans ce laboratoire, vous allez apprendre à effectuer un balayage UDP avec Nmap. Vous commencerez par effectuer un balayage UDP de base sur une adresse IP cible en utilisant l'option -sU. Ensuite, vous balayerez des ports UDP spécifiques, combinerez des balayages UDP et TCP et ajouterez la détection de version. Enfin, vous afficherez les résultats du balayage UDP dans le terminal Xfce et comparerez les sorties dans l'éditeur de texte Xfce.

Exécuter un balayage UDP avec nmap -sU 192.168.1.1

Dans cette étape, nous allons effectuer un balayage UDP de base à l'aide de Nmap. UDP (User Datagram Protocol) est un protocole sans connexion, ce qui signifie que contrairement au TCP, il n'y a pas d'établissement de connexion par échange d'informations avant l'envoi des données. Cela rend les balayages UDP différents des balayages TCP. L'option -sU de Nmap est utilisée pour initier un balayage UDP.

Avant de commencer, il est important de comprendre que les balayages UDP peuvent être moins fiables que les balayages TCP. Étant donné que UDP est sans connexion, Nmap peut ne pas toujours recevoir de réponse d'un port, même s'il est ouvert. Les pare-feu et les conditions de réseau peuvent également affecter la précision des balayages UDP.

Commençons par scanner l'adresse IP cible 192.168.1.1 à l'aide de la commande suivante :

sudo nmap -sU 192.168.1.1

Cette commande indique à Nmap d'effectuer un balayage UDP (-sU) sur l'adresse IP 192.168.1.1. Vous devrez utiliser sudo car les balayages UDP nécessitent souvent des privilèges élevés pour envoyer des paquets bruts.

Après avoir exécuté la commande, vous verrez une sortie similaire à la suivante :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
Nmap scan report for 192.168.1.1
Host is up (0.0010s latency).
Not shown: 997 closed udp ports
PORT      STATE         SERVICE
137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf

Nmap done: 1 IP address (1 host up) scanned in 5.23 seconds

Explication de la sortie :

Starting Nmap... : Affiche la version de Nmap et l'heure de début du scan.
Nmap scan report for 192.168.1.1 : Indique l'adresse IP cible.
Host is up : Confirme que l'hôte cible est joignable.
Not shown: 997 closed udp ports : Indique que Nmap n'a pas affiché les 997 ports UDP fermés. Par défaut, Nmap ne montre que les ports ouverts, ouverts|filtrés ou filtrés.
PORT STATE SERVICE : Liste le numéro de port, son état et le service en cours d'exécution sur ce port (si connu).
- open : Indique que Nmap a reçu une réponse du port, ce qui suggère qu'un service est en écoute sur ce port.
- open|filtered : Indique que le port est soit ouvert soit filtré. Nmap n'a pas pu déterminer son état. Cela signifie souvent qu'un pare-feu bloque les sondes de Nmap.
- filtered : Indique qu'un pare-feu bloque les sondes de Nmap et que Nmap ne peut pas déterminer si le port est ouvert ou fermé.
Nmap done : Affiche l'heure de fin du scan et le nombre d'adresses IP scannées.

Points importants à considérer :

Remplacez 192.168.1.1 par l'adresse IP réelle de la cible que vous souhaitez scanner.
Les résultats d'un balayage UDP peuvent varier selon les conditions de réseau et les configurations des pare-feu.
Scanner un réseau sans autorisation est illégal et contraire à l'éthique. Ne scannez que les réseaux que vous possédez ou pour lesquels vous avez une autorisation expresse.

Balayer des ports UDP avec nmap -sU -p 53,123 127.0.0.1

Dans cette étape, nous allons concentrer notre balayage UDP sur des ports spécifiques. Cela est utile lorsque vous voulez vérifier si des services particuliers sont en cours d'exécution sur une machine cible sans balayer tous les ports UDP, ce qui peut prendre du temps. Nous allons balayer les ports 53 (DNS) et 123 (NTP) sur l'hôte local (127.0.0.1).

L'option -p dans Nmap vous permet de spécifier les ports que vous voulez balayer. Vous pouvez fournir un seul port, une plage de ports (par exemple, 1-100), ou une liste de ports séparés par des virgules (par exemple, 21,22,80).

Pour balayer les ports UDP 53 et 123 sur 127.0.0.1, utilisez la commande suivante :

sudo nmap -sU -p 53,123 127.0.0.1

Cette commande indique à Nmap d'effectuer un balayage UDP (-sU) sur les ports 53 et 123 (-p 53,123) de l'adresse IP 127.0.0.1 (hôte local). Encore une fois, sudo est souvent requis pour les balayages UDP.

Après avoir exécuté la commande, vous pouvez voir une sortie similaire à celle-ci :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:05 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000047s latency).

PORT    STATE         SERVICE
53/udp  open|filtered domain
123/udp closed        ntp

Nmap done: 1 IP address (1 host up) scanned in 0.15 seconds

Explication de la sortie :

Nmap scan report for localhost (127.0.0.1) : Indique que la cible est l'hôte local.
PORT STATE SERVICE : Liste le numéro de port, son état et le service en cours d'exécution sur ce port (si connu).
- 53/udp open|filtered domain : Le port 53 (DNS) est soit ouvert soit filtré. Cela signifie que Nmap n'a pas pu déterminer de manière définitive si le port est ouvert en raison de règles de pare-feu potentiellement en place ou de conditions de réseau.
- 123/udp closed ntp : Le port 123 (NTP) est fermé. Cela signifie qu'aucun service n'est en écoute sur ce port.

Idées clés :

L'option -p vous permet de cibler des ports spécifiques, rendant vos balayages plus efficaces.
La sortie fournit des informations sur l'état de chaque port balayé (ouvert, fermé, filtré, etc.).
Comprendre les services associés à des ports communs (comme 53 pour DNS et 123 pour NTP) vous aide à interpréter les résultats du balayage.

Combiner UDP et TCP avec nmap -sU -sT 192.168.1.1

Dans cette étape, nous allons combiner des balayages UDP et TCP dans une seule commande Nmap. Cela nous permet d'avoir une vision plus complète des services en cours d'exécution sur une machine cible, car certains services utilisent UDP tandis que d'autres utilisent TCP.

L'option -sT de Nmap effectue un balayage TCP de connexion. Il s'agit de la forme la plus basique de balayage TCP, où Nmap tente d'établir une connexion TCP complète avec le port cible. C'est généralement fiable mais peut être facilement détecté.

Pour effectuer à la fois un balayage UDP et un balayage TCP de connexion sur 192.168.1.1, utilisez la commande suivante :

sudo nmap -sU -sT 192.168.1.1

Cette commande indique à Nmap d'effectuer un balayage UDP (-sU) et un balayage TCP de connexion (-sT) sur l'adresse IP 192.168.1.1. sudo est souvent nécessaire, en particulier pour la partie UDP du balayage.

Après avoir exécuté la commande, vous verrez une sortie qui inclut les résultats des balayages UDP et TCP. L'affichage peut ressembler à ceci :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:10 UTC
Nmap scan report for 192.168.1.1
Host is up (0.0010s latency).
Not shown: 997 closed udp ports
PORT      STATE         SERVICE
137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf
PORT      STATE    SERVICE
22/tcp    open     ssh
80/tcp    open     http

Nmap done: 1 IP address (1 host up) scanned in 7.23 seconds

Explication de la sortie :

La sortie est similaire aux balayages précédents, mais inclut désormais les résultats pour les ports UDP et TCP.
La première section montre les résultats du balayage UDP, avec les ports et leurs états (ouverts, fermés, filtrés, etc.).
La deuxième section montre les résultats du balayage TCP, également avec les ports et leurs états.
Remarquez qu'une même adresse IP peut avoir différents services en cours d'exécution sur différents protocoles (UDP et TCP).

Avantages de la combinaison de balayages UDP et TCP :

Résultats plus complets : Vous obtenez une vision plus complète des services en cours d'exécution sur la cible.
Identification de différents types de services : Vous pouvez identifier les services qui utilisent UDP (par exemple, DNS, NTP) et les services qui utilisent TCP (par exemple, HTTP, SSH).

Note importante :

La combinaison de types de balayage peut augmenter le temps de balayage. Considérez cibler des ports spécifiques si vous avez besoin de résultats plus rapides.

Ajouter la détection de version avec nmap -sUV 192.168.1.1

Dans cette étape, nous allons ajouter la détection de version à notre balayage UDP. La détection de version permet à Nmap d'essayer de déterminer le nom de l'application et le numéro de version en cours d'exécution sur les ports ouverts. Cela peut fournir des informations précieuses sur les vulnérabilités potentielles.

L'option -sV dans Nmap active la détection de version. Lorsqu'elle est combinée avec -sU pour le balayage UDP, elle devient -sUV. Nmap enverra des sondes aux ports UDP ouverts pour essayer d'identifier le service et sa version.

Pour effectuer un balayage UDP avec détection de version sur 192.168.1.1, utilisez la commande suivante :

sudo nmap -sUV 192.168.1.1

Cette commande indique à Nmap d'effectuer un balayage UDP (-sU) et une détection de version (-sV) sur l'adresse IP 192.168.1.1. L'option combinée est -sUV. Comme auparavant, sudo est souvent nécessaire pour les balayages UDP.

Après avoir exécuté la commande, vous pouvez voir une sortie similaire à celle-ci :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:15 UTC
Nmap scan report for 192.168.1.1
Host is up (0.00088s latency).
Not shown: 997 closed udp ports
PORT      STATE         SERVICE VERSION
137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf  Apple Bonjour
Service Info: OS: Apple embedded

Nmap done: 1 IP address (1 host up) scanned in 12.54 seconds

Explication de la sortie :

La sortie inclut désormais une colonne VERSION, qui affiche la version du service détectée (le cas échéant).
5353/udp open|filtered zeroconf Apple Bonjour : Nmap a identifié le service en cours d'exécution sur le port 5353 comme étant Apple Bonjour.
Service Info: OS: Apple embedded : Nmap essaie également de déterminer le système d'exploitation sur la base des informations sur le service.

Idées clés :

L'option -sV (ou -sUV lorsqu'elle est combinée avec le balayage UDP) active la détection de version.
La détection de version peut aider à identifier les applications et les versions spécifiques en cours d'exécution sur les ports ouverts.
Ces informations peuvent être utilisées pour évaluer les vulnérabilités potentielles et planifier les actions suivantes.

Considérations importantes :

La détection de version peut prendre plus de temps qu'un simple balayage de ports, car Nmap doit envoyer des sondes supplémentaires à chaque port ouvert.
La précision de la détection de version dépend du service et des signatures Nmap disponibles. Parfois, Nmap peut ne pas être capable d'identifier précisément le service ou sa version.

Voir les résultats UDP dans le terminal Xfce

Dans cette étape, nous allons nous concentrer sur la visualisation et l'analyse des résultats de balayage UDP directement dans le terminal Xfce. Bien que Nmap fournisse une sortie directement dans le terminal, il est parfois utile de sauvegarder la sortie dans un fichier pour une revue et une analyse plus faciles. Nous utiliserons des commandes de terminal pour filtrer et afficher les parties spécifiques au UDP du balayage.

Tout d'abord, exécutons un balayage UDP et enregistrons la sortie dans un fichier. Cela nous permettra de travailler plus facilement avec les résultats. Nous utiliserons l'option -oN pour enregistrer la sortie au format "normal".

sudo nmap -sUV 192.168.1.1 -oN udp_scan_results.txt

Cette commande effectue un balayage UDP avec détection de version sur 192.168.1.1 et enregistre la sortie dans un fichier nommé udp_scan_results.txt dans votre répertoire actuel (~/projet).

Maintenant que nous avons les résultats enregistrés dans un fichier, nous pouvons utiliser des commandes de terminal pour afficher et filtrer les informations spécifiques au UDP.

Pour afficher le contenu complet du fichier, vous pouvez utiliser la commande cat :

cat udp_scan_results.txt

Cela affichera le rapport de balayage Nmap complet dans le terminal. Cependant, nous sommes principalement intéressés par les résultats UDP. Nous pouvons utiliser la commande grep pour filtrer la sortie et n'afficher que les lignes qui contiennent "udp".

grep "udp" udp_scan_results.txt

Cette commande recherchera le fichier udp_scan_results.txt pour les lignes contenant la chaîne "udp" et affichera ces lignes dans le terminal. La sortie vous montrera les ports UDP ouverts ou filtrés, ainsi que toute information de version que Nmap a été capable de détecter.

Sortie d'exemple :

137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf  Apple Bonjour

Vous pouvez également utiliser la commande less pour afficher le fichier page par page :

less udp_scan_results.txt

Dans less, vous pouvez rechercher "udp" en tapant /udp et en appuyant sur Entrée. Appuyez sur n pour passer au prochain résultat. Appuyez sur q pour quitter less.

En utilisant ces commandes de terminal simples, vous pouvez efficacement visualiser et analyser les résultats de balayage UDP générés par Nmap. Cela vous permet d'identifier rapidement les ports UDP ouverts et toute information de service associée.

Comparer les sorties dans l'éditeur de texte Xfce

Dans cette étape, nous allons utiliser l'éditeur de texte Xfce pour comparer les sorties de différents balayages Nmap. Cela est utile pour identifier les changements dans les ports ouverts, les services ou les versions au fil du temps, ou pour comparer les résultats de balayages avec différentes options.

Tout d'abord, supposons que vous avez déjà effectué deux balayages Nmap et enregistré les sorties dans des fichiers distincts. Par exemple, vous pourriez avoir effectué un balayage UDP de base et un balayage UDP avec détection de version, en enregistrant les résultats respectivement dans udp_scan_basic.txt et udp_scan_version.txt. Si vous n'avez pas ces fichiers, créez-les en utilisant les commandes suivantes :

sudo nmap -sU 192.168.1.1 -oN udp_scan_basic.txt
sudo nmap -sUV 192.168.1.1 -oN udp_scan_version.txt

Maintenant, nous allons utiliser la commande xfce4-terminal pour ouvrir l'éditeur de texte Xfce (mousepad) et charger les deux fichiers pour la comparaison.

mousepad udp_scan_basic.txt udp_scan_version.txt

Cette commande ouvrira deux instances de mousepad, chacune affichant l'un des fichiers de sortie Nmap.

Comparer les Sorties :

Examinez la Sortie du Balayage de Base (udp_scan_basic.txt) : Ce fichier contiendra les résultats du balayage UDP de base, montrant les ports UDP ouverts ou filtrés.
Examinez la Sortie du Balayage avec Détention de Version (udp_scan_version.txt) : Ce fichier contiendra les résultats du balayage UDP avec détection de version. En plus des ports UDP ouverts ou filtrés, il peut également montrer les versions de service détectées.
Comparez Côté à Côté : En ayant les deux fichiers ouverts dans des fenêtres distinctes, vous pouvez facilement comparer les résultats côte à côte. Recherchez les différences dans les ports ouverts, l'état des ports (ouverts, filtrés, fermés) et les informations sur le service.

Exemple de Comparaison :

udp_scan_basic.txt pourrait montrer :

137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf

udp_scan_version.txt pourrait montrer :

137/udp   open|filtered netbios-ns
138/udp   open|filtered netbios-dgm
5353/udp  open|filtered zeroconf  Apple Bonjour
Service Info: OS: Apple embedded

Dans cet exemple, le balayage avec détection de version a été capable d'identifier le service exécuté sur le port 5353 comme étant "Apple Bonjour" et de fournir des informations sur le système d'exploitation, qui n'étaient pas disponibles dans le balayage de base.

En comparant les sorties dans l'éditeur de texte Xfce, vous pouvez mieux comprendre les différences entre les balayages et les informations supplémentaires fournies par différentes options Nmap. Cela peut être précieux pour identifier les vulnérabilités potentielles et planifier les actions suivantes.

Résumé

Dans ce laboratoire, les participants ont appris à exécuter un balayage UDP avec Nmap. Ils ont commencé par un balayage UDP de base en utilisant l'option -sU sur l'adresse IP 192.168.1.1, en comprenant que le UDP est sans connexion et que les balayages peuvent être moins fiables que les balayages TCP. Ils ont également balayé des ports UDP spécifiques, combiné des balayages UDP et TCP, ajouté une détection de version, et ont consulté et comparé les résultats dans le terminal Xfce et l'éditeur de texte.