cyber / pentest-red-team

Mouvement latéral en réseau interne

Leçon 111 exercice

Explication

Ce que vous allez apprendre

Comprendre le principe du pivoting pour atteindre un réseau interne normalement inaccessible
Distinguer le pivoting SSH et l'usage de Chisel quand SSH n'est pas disponible
Expliquer le principe du pass-the-hash sans confondre hash et mot de passe en clair
Identifier les signaux réseau qu'un défenseur doit surveiller pour détecter un mouvement latéral
Situer l'outil BloodHound dans une démarche de cartographie des chemins d'attaque en environnement AD de lab

Dans quel contexte ?

Une fois un premier poste compromis dans un exercice de pentest interne autorisé, ce poste devient rarement la cible finale : il sert de point de rebond (pivot) vers d'autres machines du réseau, potentiellement plus sensibles, qui n'étaient pas directement accessibles depuis l'extérieur. Comprendre comment un attaquant progresse ainsi d'une machine à l'autre est essentiel autant pour reproduire ce scénario en lab que pour concevoir une segmentation réseau qui le rendrait beaucoup plus difficile en production.

D'abord, cartographier ce qui est visible depuis la machine compromise

Avant tout mouvement, l'attaquant observe son environnement immédiat : un scan ARP local (arp-scan --localnet) révèle les machines voisines sans générer de trafic suspect, car ce type de requête est un bruit réseau normal sur un LAN.

Prérequis

Cette leçon suppose une bonne compréhension des bases réseau (adressage IP, ARP) et des notions d'authentification vues dans les leçons précédentes de ce parcours.

Une fois la cartographie faite, il faut établir un canal vers le réseau autrement inaccessible

Le pivoting SSH (ssh -D 9050) transforme la machine compromise en proxy SOCKS dynamique : tout outil compatible avec proxychains peut alors router son trafic à travers ce tunnel vers le réseau interne. Quand SSH n'est pas disponible sur la cible, Chisel offre une alternative fonctionnant par-dessus HTTP, souvent moins filtré par les pare-feux périmétriques.

Technique	Prérequis côté cible	Cas d'usage
Pivoting SSH	Service SSH actif et accessible	Scanner un sous-réseau interne via `proxychains`
Chisel	Aucun (juste réseau HTTP sortant)	Contourner un pare-feu qui bloque SSH
Pass-the-hash	Hash NTLM récupéré au préalable	S'authentifier sans connaître le mot de passe en clair
BloodHound	Accès à un domaine AD de lab	Visualiser les chemins courts vers Domain Admin

Il reste un mécanisme d'authentification à comprendre : le pass-the-hash

Sous Windows, le protocole NTLM permet à un attaquant de s'authentifier en présentant directement un hash du mot de passe, sans jamais avoir besoin de le déchiffrer. C'est une illustration concrète et importante : protéger uniquement le mot de passe en clair ne suffit pas, car le hash lui-même est une donnée d'authentification à part entière et à protéger tout autant.

Piège courant

Confondre "hash volé" et "mot de passe faible" est une erreur fréquente. Le pass-the-hash fonctionne même avec un mot de passe complexe : c'est précisément pour cette raison que la rotation régulière des identifiants locaux (via LAPS, Local Administrator Password Solution) est une mitigation efficace, indépendamment de la robustesse du mot de passe.

Enfin, un dernier point essentiel côté défense

Bonne pratique

Surveille activement les connexions SMB/RDP inhabituelles entre postes qui ne communiquent normalement pas entre eux, et les authentifications NTLM répétées avec un même hash sur des comptes différents : ce sont deux des signaux les plus fiables pour détecter un mouvement latéral en cours, souvent bien avant qu'un attaquant n'atteigne sa cible finale.

Une fois une machine compromise et le réseau interne cartographié, un attaquant cherche généralement à conserver son accès dans la durée. C'est exactement le sujet de la prochaine leçon, abordée ici sous l'angle défensif : comment détecter et éliminer les mécanismes de persistance.

Commandes & code

Mouvement latéral en réseau interne

Une fois un premier hôte compromis en lab, l'objectif est de comprendre comment un attaquant progresse vers d'autres machines du réseau interne.

# Cartographier le réseau interne depuis la machine compromise (pivot)
# ARP scan local, souvent le seul bruit "normal" toléré sur un LAN
arp-scan --localnet
ip neigh show

# Pivoting SSH : rediriger du trafic vers un réseau autrement inaccessible depuis l'extérieur
ssh -D 9050 user@pivot-host.lab                 # SOCKS proxy dynamique via le pivot
proxychains nmap -sT -Pn 10.10.10.0/24          # scan du réseau interne via le tunnel SOCKS

# Chisel : tunneling TCP à travers un pivot HTTP quand SSH n'est pas disponible
# Sur la machine pivot (serveur) :
./chisel server -p 8000 --reverse
# Depuis la machine attaquante (client) :
./chisel client pivot-host.lab:8000 R:socks

# Pass-the-hash : réutiliser un hash NTLM capturé sans avoir besoin du mot de passe en clair
crackmapexec smb 10.10.10.0/24 -u administrateur -H <hash_ntlm> --local-auth
# Illustre pourquoi la rotation régulière des credentials locaux (LAPS) est essentielle en défense

# Signes que les défenseurs surveillent pour détecter un mouvement latéral
- Connexions SMB/RDP inhabituelles entre postes qui ne communiquent normalement pas entre eux
- Authentifications NTLM répétées avec le même hash sur des comptes différents
- Utilisation d'outils d'administration (PsExec, WMI) hors des plages horaires habituelles
- Trafic sortant SOCKS/proxy vers un hôte interne inhabituel

# BloodHound : cartographie visuelle des chemins d'attaque possibles dans un environnement AD de lab
# Collecte (SharpHound) exécutée uniquement sur un domaine de test dédié
.\SharpHound.exe -c All
# Le graphe résultant révèle souvent des chemins courts vers Domain Admin invisibles à l'oeil nu

Résumé

Le mouvement latéral s'appuie sur des identifiants, des sessions ou des relations de confiance.
Pivoting SSH/Chisel permet d'atteindre des réseaux internes normalement inaccessibles.
Pass-the-hash illustre pourquoi le mot de passe en clair n'est pas la seule chose à protéger.
Côté défense : segmentation réseau et rotation des credentials locaux limitent fortement l'impact.

Exercices pratiques

1 disponible

Mission : pivoter depuis le poste compromis NordShield vers le réseau interne

Objectif : Établir un pivot réseau vers un sous-réseau interne normalement inaccessible et évaluer les signaux détectables pour le défenseur.

Contexte

Un premier poste NordShield a été compromis (missions précédentes). Le réseau interne 10.10.10.0/24, contenant des serveurs sensibles, n'est accessible que depuis ce poste pivot.

Résoudre l’exercice →