Effectuer un scan TCP Xmas avec Nmap

Introduction

Dans ce laboratoire, vous allez apprendre à effectuer un balayage Xmas TCP à l'aide de Nmap. Le laboratoire couvre divers aspects du balayage Xmas, notamment l'exécution d'un balayage de base sur une adresse IP cible, le balayage de ports spécifiques, l'ajout de verbeux au balayage, l'enregistrement des résultats du balayage, la comparaison des balayages Xmas avec les balayages FIN et l'analyse des résultats dans le terminal Xfce. Vous allez comprendre comment fonctionnent les balayages Xmas en configurant les drapeaux FIN, PSH et URG dans l'en-tête TCP pour identifier les ports ouverts ou filtrés sur un système cible.

Skills Graph

Exécuter un balayage Xmas avec nmap -sX 192.168.1.1

Dans cette étape, nous allons effectuer un balayage Xmas à l'aide de Nmap. Un balayage Xmas est un type de balayage de ports qui configure les drapeaux FIN, PSH et URG dans l'en-tête TCP. Ce type de balayage est nommé "Xmas" car les drapeaux configurés ressemblent à un sapin de Noël. Il est utile pour identifier les ports ouverts ou filtrés sur un système cible.

Avant de commencer, comprenons ce que signifient ces drapeaux :

• FIN (Fin) : Indique la fin d'une connexion.
• PSH (Pousser) : Dit au système récepteur de pousser les données tamponnées vers l'application.
• URG (Urgente) : Indique que le champ pointeur urgent est significatif et pointe vers les données qui doivent être traitées d'urgence.

Lorsqu'un hôte reçoit un paquet de balayage Xmas, il devrait répondre avec un paquet RST (réinitialisation) si le port est fermé. Si le port est ouvert, l'hôte devrait abandonner le paquet et ne pas répondre. Cependant, certains systèmes peuvent ne pas répondre correctement, ce qui peut aider à identifier le système d'exploitation ou les règles de pare-feu.

Maintenant, exécutons le balayage Xmas sur l'adresse IP cible 192.168.1.1. Ouvrez votre terminal Xfce et exécutez la commande suivante :

sudo nmap -sX 192.168.1.1

Cette commande indique à Nmap d'effectuer un balayage Xmas (-sX) sur l'adresse IP cible 192.168.1.1. Vous devrez avoir les privilèges sudo pour exécuter cette commande.

Une fois le balayage terminé, Nmap affichera les résultats. La sortie montrera quels ports sont considérés ouverts, fermés ou filtrés en fonction des réponses (ou de leur absence) du système cible.

Exemple de sortie (la sortie réelle variera selon le système cible) :

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for 192.168.1.1
Host is up (0.0012s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

Dans cet exemple, tous les 1000 ports balayés sont signalés comme filtrés. Cela signifie que Nmap n'a pas pu déterminer si les ports sont ouverts ou fermés car le système cible semble bloquer ou filtrer les paquets de balayage.

Balayer des ports spécifiques avec nmap -sX -p 22,80 127.0.0.1

Dans cette étape, nous allons concentrer notre balayage Xmas sur des ports spécifiques. Cela est utile lorsque vous voulez rapidement vérifier l'état de services particuliers exécutés sur une machine cible, plutôt que de balayer tous les ports. Nous allons balayer les ports 22 (SSH) et 80 (HTTP) sur l'hôte local (127.0.0.1).

L'option -p dans Nmap vous permet de spécifier les ports à balayer. Vous pouvez fournir un seul port, une plage de ports (par exemple, 1-100), ou une liste séparée par des virgules de ports (par exemple, 22,80,443).

Pour balayer les ports 22 et 80 en utilisant un balayage Xmas, ouvrez votre terminal Xfce et exécutez la commande suivante :

sudo nmap -sX -p 22,80 127.0.0.1

Cette commande indique à Nmap d'effectuer un balayage Xmas (-sX) sur les ports 22 et 80 (-p 22,80) de l'adresse IP cible 127.0.0.1 (hôte local). Vous devrez avoir les privilèges sudo pour exécuter cette commande.

Une fois le balayage terminé, Nmap affichera les résultats pour les ports spécifiés. La sortie indiquera si les ports sont ouverts, fermés ou filtrés.

Exemple de sortie (la sortie réelle peut varier) :

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).

PORT   STATE    SERVICE
22/tcp filtered ssh
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Dans cet exemple, les deux ports 22 et 80 sont signalés comme filtrés. Cela signifie que Nmap n'a pas pu déterminer si ces ports sont ouverts ou fermés, probablement en raison de règles de pare-feu ou d'autres configurations réseau sur l'hôte local.

Ajouter la détaillement avec nmap -v -sX 192.168.1.1

Dans cette étape, nous allons ajouter un détaillement à notre balayage Xmas. Le détaillement dans Nmap signifie augmenter la quantité d'informations affichées pendant le balayage. Cela peut être utile pour comprendre ce que fait Nmap et pour résoudre tout problème qui pourrait survenir.

L'option -v dans Nmap augmente le niveau de détaillement. Vous pouvez utiliser -v pour un détaillement normal ou -vv pour une sortie encore plus détaillée.

Pour effectuer un balayage Xmas avec détaillement, ouvrez votre terminal Xfce et exécutez la commande suivante :

sudo nmap -v -sX 192.168.1.1

Cette commande indique à Nmap d'effectuer un balayage Xmas (-sX) sur l'adresse IP cible 192.168.1.1 avec le détaillement activé (-v). Vous devrez avoir les privilèges sudo pour exécuter cette commande.

La sortie inclura désormais plus d'informations sur le processus de balayage, telles que les ports qui sont balayés, les paquets qui sont envoyés et toute réponse reçue.

Exemple de sortie (la sortie réelle variera selon le système cible et la configuration réseau) :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
NSE: Loaded 0 scripts for scanning.
Initiating Xmas Scan at 10:00
Scanning 192.168.1.1 [1000 ports]
Completed Xmas Scan at 10:00, 0.00s elapsed (1000 total ports)
Nmap scan report for 192.168.1.1
Host is up (0.0012s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

La sortie détaillée fournit plus de détails sur la progression du balayage, y compris les heures de début et de fin, le nombre de ports balayés et tout message d'erreur ou d'avertissement rencontré.

Enregistrer les résultats d'un balayage Xmas avec nmap -sX -oN xmas.txt 127.0.0.1

Dans cette étape, nous allons apprendre à enregistrer les résultats d'un balayage Xmas dans un fichier. Cela est utile pour une analyse ultérieure ou pour documenter vos découvertes. Nmap propose plusieurs options pour enregistrer les résultats du balayage dans différents formats. L'option -oN enregistre les résultats au format "normal" lisible par l'homme.

Pour enregistrer les résultats d'un balayage Xmas dans un fichier nommé xmas.txt, ouvrez votre terminal Xfce et exécutez la commande suivante :

sudo nmap -sX -oN xmas.txt 127.0.0.1

Cette commande indique à Nmap d'effectuer un balayage Xmas (-sX) sur l'adresse IP cible 127.0.0.1 (hôte local) et d'enregistrer les résultats au format normal (-oN) dans le fichier xmas.txt. Le fichier sera créé dans votre répertoire actuel, qui est ~/projet. Vous devrez avoir les privilèges sudo pour exécuter cette commande.

Une fois le balayage terminé, vous pouvez afficher le contenu du fichier xmas.txt à l'aide de la commande cat ou d'un éditeur de texte tel que nano.

cat xmas.txt

Exemple de sortie (la sortie réelle peut varier) :

## Nmap 7.80 scan initiated Tue Oct 27 10:00:00 2023
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

## Nmap done at Tue Oct 27 10:00:00 2023 -- 1 IP address (1 host up) scanned in 0.12 seconds

Alternativement, vous pouvez utiliser nano pour ouvrir et afficher le fichier :

nano xmas.txt

Cela ouvrira le fichier xmas.txt dans l'éditeur de texte nano, vous permettant d'examiner les résultats du balayage. N'oubliez pas d'enregistrer et de quitter nano en appuyant sur Ctrl+X, puis Y pour confirmer l'enregistrement, et enfin Entrée.

Comparer un balayage Xmas et un balayage FIN dans un terminal Xfce

Dans cette étape, nous allons comparer les résultats d'un balayage Xmas et d'un balayage FIN. Les balayages Xmas et FIN sont deux types de balayages discrètes qui peuvent être utilisés pour identifier les ports ouverts sur un système cible. Ils fonctionnent en envoyant des paquets TCP spécifiquement élaborés au cible et en analysant les réponses.

Tout d'abord, effectuons un balayage FIN sur l'hôte local (127.0.0.1) :

sudo nmap -sF 127.0.0.1

Cette commande indique à Nmap d'effectuer un balayage FIN (-sF) sur l'adresse IP cible 127.0.0.1. Vous devrez avoir les privilèges sudo pour exécuter cette commande.

Exemple de sortie (la sortie réelle peut varier) :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Maintenant, comparons cette sortie avec la sortie du balayage Xmas que nous avons effectué précédemment. Vous pouvez soit remonter dans l'historique du terminal pour trouver la sortie précédente du balayage Xmas, soit exécuter à nouveau le balayage Xmas :

sudo nmap -sX 127.0.0.1

Exemple de sortie (la sortie réelle peut varier) :

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:01 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Observez les similitudes et les différences entre les deux résultats de balayage. Dans de nombreux cas, les résultats seront identiques, montrant tous les ports comme étant filtrés. Cela est dû au fait que de nombreux pare-feu modernes et systèmes d'exploitation sont configurés pour rejeter ou ignorer ce type de paquets.

Pour comparer plus en détail, vous pouvez enregistrer les résultats du balayage FIN dans un fichier, comme nous l'avons fait avec le balayage Xmas :

sudo nmap -sF -oN fin.txt 127.0.0.1

Ensuite, vous pouvez utiliser la commande diff pour comparer les deux fichiers :

diff xmas.txt fin.txt

Cette commande vous montrera toutes les différences entre les fichiers xmas.txt et fin.txt. Si les balayages ont produit des résultats identiques, la commande diff n'affichera rien.

Analyser les résultats dans un terminal Xfce

Dans cette étape, nous allons analyser les résultats des balayages Nmap que nous avons effectués. Comprendre la sortie des balayages Nmap est crucial pour identifier les vulnérabilités potentielles et les risques de sécurité.

Commençons par examiner le fichier xmas.txt, qui contient les résultats du balayage Xmas. Vous pouvez afficher le contenu de ce fichier à l'aide de la commande cat ou d'un éditeur de texte tel que nano :

cat xmas.txt

ou

nano xmas.txt

La sortie comprendra généralement les informations suivantes :

• Version de Nmap : La version de Nmap utilisée pour le balayage.
• Heure d'initiation du balayage : La date et l'heure à laquelle le balayage a été lancé.
• Informations sur la cible : L'adresse IP ou le nom d'hôte du système cible.
• Statut de l'hôte : Si l'hôte cible est actif ou non.
• Statut des ports : Le statut de chaque port balayé (par exemple, ouvert, fermé, filtré).
• Heure de fin du balayage : La date et l'heure à laquelle le balayage a été terminé.

Dans le cas des balayages Xmas et FIN, vous verrez souvent que tous les ports sont rapportés comme "filtrés". Cela signifie que Nmap n'a pas pu déterminer si les ports sont ouverts ou fermés car le système cible n'a pas répondu aux paquets de balayage d'une manière permettant à Nmap de prendre une décision définitive. C'est un résultat courant lors du balayage de systèmes protégés par des pare-feu ou des systèmes de détection d'intrusions (IDS).

Si vous voyez des ports rapportés comme "ouverts" ou "fermés", cela indique que le système cible a répondu aux paquets de balayage d'une manière prévisible. Cependant, il est important de noter que les balayages Xmas et FIN peuvent être peu fiables et que les résultats ne sont pas toujours exacts.

Pour avoir une image plus précise des ports ouverts du système cible, vous devrez peut-être utiliser d'autres types de balayages Nmap, tels qu'un balayage de connexion TCP (-sT) ou un balayage SYN (-sS). Ces balayages sont plus fiables mais peuvent également être plus facilement détectés par les pare-feu et les IDS.

En résumé, analyser les résultats des balayages Nmap consiste à examiner soigneusement la sortie pour identifier les vulnérabilités potentielles et les risques de sécurité. Il est important de comprendre les différents types de balayages Nmap et les limites de chaque type de balayage. En combinant différentes techniques de balayage et en analysant soigneusement les résultats, vous pouvez obtenir une compréhension plus complète de la posture de sécurité du système cible.

Sommaire

Dans ce laboratoire, les participants apprennent à effectuer un balayage TCP Xmas à l'aide de Nmap. Ils commencent par exécuter un balayage Xmas de base sur une adresse IP cible (192.168.1.1) avec la commande nmap -sX, en comprenant qu'elle définit les drapeaux FIN, PSH et URG dans l'en-tête TCP pour identifier les ports ouverts ou filtrés. Ils apprennent également à balayer des ports spécifiques, à ajouter de la verbeosité au balayage et à enregistrer les résultats dans un fichier. En outre, ils comparent les balayages Xmas et FIN et analysent les résultats dans un terminal Xfce.