cyber / pentest-red-team
Énumération de services : SMB, FTP, HTTP, SSH
Explication
Ce que vous allez apprendre
- Énumérer les partages et sessions SMB, y compris en accès anonyme
- Détecter un accès FTP anonyme laissé actif par erreur
- Cartographier une application web avec whatweb, gobuster et nikto
- Comprendre le risque d'un transfert de zone DNS mal configuré
- Prioriser les services à énumérer selon leur fréquence d'exploitation réelle
Dans quel contexte ?
Le scan Nmap (leçon précédente) a révélé plusieurs ports ouverts sur une machine de lab : 21 (FTP), 22 (SSH), 80 (HTTP) et 445 (SMB). Savoir qu'un port est ouvert ne dit encore rien de précis sur ce qu'il expose réellement : il faut désormais explorer chaque service en détail pour comprendre la véritable surface d'attaque.
D'abord, il faut comprendre pourquoi SMB mérite une attention particulière
SMB (Server Message Block), le protocole de partage de fichiers Windows, reste l'un des services les plus mal configurés en entreprise : des sessions anonymes ou des partages sans authentification restent étonnamment fréquents, même sur des réseaux censés être sécurisés. smbclient -N (session nulle) et enum4linux -a révèlent souvent, sans le moindre identifiant, la liste complète des utilisateurs du domaine et des partages accessibles.
Une fois SMB exploré, un réflexe similaire s'applique au FTP
L'accès FTP anonyme (identifiant anonymous, mot de passe vide ou email bidon) était une pratique courante dans les années 1990 pour le partage de fichiers publics, mais reste aujourd'hui une négligence de configuration fréquente sur des serveurs qui n'avaient jamais vocation à être publics.
| Service | Erreur de configuration classique | Impact potentiel |
|---|---|---|
| FTP (21) | Accès anonyme laissé actif | Lecture/écriture de fichiers sensibles |
| SMB (139/445) | Sessions/partages sans authentification | Énumération complète des utilisateurs |
| DNS | Transfert de zone (AXFR) ouvert à tous | Fuite de toute la topologie interne |
| HTTP/HTTPS (80/443) | Panneaux d'administration exposés | Surface applicative la plus large du réseau |
Prérequis
Cette leçon suppose qu'un scan Nmap a déjà identifié les ports ouverts sur la cible de lab (voir la leçon précédente) : l'énumération de service ne fait sens qu'une fois qu'on sait précisément quoi explorer.
Maintenant, la surface la plus riche à explorer : HTTP/HTTPS
whatweb identifie rapidement les technologies utilisées (serveur, CMS, framework), pendant que gobuster teste systématiquement une liste de chemins probables pour découvrir des pages ou fichiers non liés publiquement. nikto, plus généraliste, complète cette exploration en vérifiant des dizaines de configurations connues comme risquées.
Bonne pratique
Commence toujours par les headers HTTP bruts (curl -sI) avant de lancer des outils plus lourds : ils révèlent souvent immédiatement la version exacte du serveur ou du framework, une information qui orientera directement la recherche de vulnérabilités connues dans la leçon suivante.
Il reste un dernier piège classique, souvent sous-estimé : le transfert de zone DNS
Piège fréquent
Un transfert de zone DNS (AXFR) mal restreint permet à N'IMPORTE QUI d'obtenir en une seule requête l'intégralité des enregistrements DNS d'un domaine — révélant potentiellement des serveurs internes jamais censés être publics (vpn-interne.example.lab, backup-db.example.lab). C'est une erreur de configuration rare aujourd'hui, mais dévastatrice quand elle survient, car elle offre une cartographie complète en une seule commande.
Chaque service maintenant énuméré en détail, la prochaine leçon aborde la suite logique : comment relier ces versions de service précises à des vulnérabilités documentées et exploitables.
Commandes & code
Énumération de services : SMB, FTP, HTTP, SSH
Après le scan, chaque service ouvert doit être exploré en détail pour comprendre la surface d'attaque réelle.
# SMB (Windows/Samba) : lister les partages et sessions anonymes
smbclient -L //192.168.56.10 -N
enum4linux -a 192.168.56.10
crackmapexec smb 192.168.56.10 -u '' -p '' --shares# FTP : accès anonyme trop souvent laissé actif
ftp 192.168.56.10
# login: anonymous / password: (vide ou email bidon)
nmap --script ftp-anon -p 21 192.168.56.10# HTTP/HTTPS : cartographier le contenu et les technologies
whatweb http://192.168.56.10
gobuster dir -u http://192.168.56.10 -w /usr/share/wordlists/dirb/common.txt -x php,txt,bak
nikto -h http://192.168.56.10
# Récupérer les headers pour identifier serveur, framework, protections manquantes
curl -sI http://192.168.56.10# SSH : version et algorithmes supportés (parfois révélateurs d'une config faible)
nc -nv 192.168.56.10 22
ssh -Q cipher 192.168.56.10 2>/dev/null # côté client, à titre de référence
nmap --script ssh2-enum-algos -p 22 192.168.56.10# DNS : transfert de zone (souvent mal configuré = fuite complète de la topologie interne)
dig axfr @ns1.example.lab example.lab# Table : ports/services fréquemment ciblés en priorité lors d'une énumération
21 FTP -> accès anonyme, credentials en clair
22 SSH -> bruteforce, clés faibles
80/443 HTTP -> surface applicative la plus large
139/445 SMB -> partages, énumération d'utilisateurs, EternalBlue (legacy)
389 LDAP -> annuaire Active Directory
3389 RDP -> bruteforce, CVE BlueKeep (legacy)Résumé
- Chaque port ouvert doit être énuméré manuellement, pas seulement scanné.
- SMB et FTP anonymes restent parmi les erreurs de configuration les plus fréquentes en entreprise.
- gobuster/nikto/whatweb donnent une vue rapide de la surface applicative HTTP.
- Un transfert de zone DNS mal protégé peut révéler toute la topologie interne d'un réseau.
Exercices pratiques
Mission : énumérer les services exposés par le serveur de fichiers NordShield
Objectif : Explorer en détail chaque service ouvert (SMB, FTP, HTTP) pour évaluer la surface d'attaque réelle, au-delà du simple « port ouvert ».
Contexte
Le scan Nmap précédent a révélé les ports 21, 22, 80 et 445 ouverts sur 192.168.56.10, le serveur de fichiers de lab NordShield. Il faut maintenant explorer chaque service en détail pour comprendre la surface d'attaque réelle.