Durée 

:1h Introduction à la sécurité 2020-2021

TD

Quelle commande serait utilisée dans NMAP pour effectuer la détection du système
d'exploitation?
Nmap -O <ip address cible>
L'analyse des ports peut être utilisée dans le cadre d'une évaluation technique pour déterminer
les vulnérabilités du réseau. L'analyse TCP XMAS est utilisée pour identifier les ports
d'écoute sur le système ciblé.
Si un port analysé est ouvert, que se passe-t-il?
Si un port est ouvert, il ne va pas répondre.
Si un port est fermé il va répondre avec RST
PS : cette technique ne fonctionne pas sur les cibles Windows. Elle fonctionne seulement sur
les machines qui implémente TCP/IP suivant RFC 793
Afin de procéder à la reconnaissance de votre réseau un attaquant a lancé la commande
suivante : NMAP -sS -O -p 123-153 192.168.100.3'. Veuilez specifier en detail que fait cette
commande ? (1,5 pts)
Elle effectue un stealth scan (TCP Semi ouvert), sur les ports 123 à 153 de la machine à l’adresse
192.168.100.3 avec l’option de detection d’OS

Comment serait-il possible d’empêcher l’attaquant d’aboutir à ses fins ?

Firewall, IPS…etc
…………………………………………………………………………………………………
………………………………………………………………………………………………….
Réponses à choix multiples
1. Quelle commande permet à un testeur d'énumérer les systèmes connectés d'un réseau
de classe C via ICMP à l'aide d'outils Windows natifs ?
a. Ping 192.168.2.44
b. Ping 192.168.2.255
c. For %V in (1 1 255) do PING 192.168.2.%V
d. For /L %V in (1 1 254) do PING –n & 192.168.2%V | FIND /l “Reply”
2. Laquelle des attaques réseau suivantes tire parti des faiblesses de la fonctionnalité de
réassemblage de fragments de la pile de protocoles TCP / IP?
a. Teardrop
b. Syn Flood : Soit send syn to target and keep a half connection, soit Use target
ip address to send a syn to everyone and he gets bombarded with replies.
c. Smurf attack : Broadcast ICMP with sourceIP = cibleIP, machines will reply to
cible and bombard with ICMP replies
Durée  :1h Introduction à la sécurité 2020-2021

d. Ping of death : Send oversized ICMP Packet fragmented (Above ICMP Packet
limit size) to cause crash when reassembled..etc
3. Un pirate nommé X86 tente de compromettre le système informatique d'une banque. Il
doit connaître le système d'exploitation de cet ordinateur pour lancer de nouvelles
attaques. Quel processus pourrait l’aider ?
a. Banner grabbing
b. IDLE/IPID Scanning
c. SSDP scanning
d. UDP Scanning
4. Vous utilisez NMAP pour résoudre les noms de domaine en adresses IP pour un
balayage ping plus tard. Laquelle des commandes suivantes recherche des adresses IP?
a. host -t a hackeddomain.com
b. host -t soa hackeddomain.com
c. host -t ns hackeddomain.com
d. host -t AXFR hackeddomain.com
5. Ce drapeau TCP demande au système émetteur de transmettre immédiatement toutes
les données mises en mémoire tampon.
a. SYN
b. RST
c. PSH
d. URG

6. Analysez l’output suivant. Que vient de faire l’attaquant ?

Durée  :1h Introduction à la sécurité 2020-2021

a. Il a utilisé whois pour récolter les enregistrements disponibles publiquement

pour le domaine
b. Il a utilisé l’outil « fierce » pour brute forcer la liste des domaines disponibles
c. Il a listé les enregistrements DNS de son propre domaine
d. Il a réussi à faire un transfert de zone DNS et à énumérer les hôtes
 Si vous recevez un paquet RST lors d’un scan ACK, ceci indiquera que le port est ouvert
 Faux ;
 Vrais;
 On ne peut rien déduire.
 Un programme de défense contre le port scanning tentera de :
 Renvoyer de fausses données au scanneur de port ;
 Inscrire une violation dans le journal de log et recommande l’utilisation d’outils
d’audit de sécurité ;
 Limiter l’accès via le système de scan uniquement au ports public disponibles ;
 Mettre à jour, à temps réel, les règles du parfeu pour empêcher la fin de l’analyse
du port.
Tous sont juste, mais number 4 is the most correct. Berbar considers it the only right. Sooo.
 Que pouvez-vous déduire des résultats de la commande nmap affichées ci-dessous :
Staring nmap V. 3.10ALPHA0 (www.insecure.org/map/)
(The 1592 ports scanned but not shown below are in state: closed)
Port State Service
21/tcp open ftp
25/tcp open smtp
80/tcp open http
443/tcp open https
Remote operating system guess: Too many signatures match the reliability guess the
OS. Nmap run completed – 1 IP address (1 host up) scanned in 91.66 seconds
 Le système est un contrôleur de domaine Windows ;
 Le système n’est pas protégé par un Firewall;
 Le système n’utilise ni Linux ni Solaris ;
 Le système n’est pas patché correctement.
 Un système de détection d’intrusion peut surveiller le trafic à temps réel dans un réseau.
Laquelle de ces techniques peut être très efficace pour évader une détection
 La fragmentation de paquets;
 L’utilisation de protocoles basés uniquement sur TCP ;
 L’utilisation de protocoles basés uniquement sur UDP ;
 L’utilisation exclusive de trafique ICMP fragmenté.