Mountaga Sall Memoire Master 2

Université Gaston Berger de UFR : SAT (Science
Saint Louis Appliqué et Technologi)

Section CFPP
Mémoire de fin d’étude de Master professionnelle en

réseaux et Télécommunication (MaRT2)
Sujet : Attaques réseaux
Présenté par Mountaga Sall Sous la directive de : Dr Cherif Diallo
Année académique : 2015-2016

1
Attaques réseaux : Présenté par Mountaga Sall

REMERCIMENTS
Je rends grâce à DIEU, le Tout Puissant qui m’a permis d’accomplir à

nouveau un mémoire de fin d’étude, prière sur son envoyé, notre guide
et sauveur le prophète Muhammad (SAWS) ainsi qu’à ses proches et
compagnons. Je voudrais remercier du plus profond de mon cœur mes
très chers parents.
Ma forte gratitude à M Cherif Diallo qui a accepté de m’encadrer à

nouveau après le succès de son encadrement en L3, je le remercie
également pour la qualité de son enseignement, ses conseils et
suggestions pour la bonne marche du projet.
Je remercie mes camarades de classe pour l’aide qu’ils m’ont apporté

notamment El hadji Ba et Idrissa Diallo
Je remercie Baba Mall pour sa douce musique qui m’accompagne
Je tiens à remercier également mon frère Ibrahima Dème, étudiant de

réseau à l’université de bambey qui m’a beaucoup aidé pour la bonne
marche de ce projet.
En fin je remercie tout le corps professoral de l’UFR SAT.

DEDICACES
Je dédie ce mémoire à :
Mon très chère papa Abdoulaye Mountaga Sall et Ma très chère maman
Nafi Sall, qui n’ont ménagé aucun effort pour ma réussite. Mes frères,
mes sœurs, mes cousins, mes cousines, ma tante Kouro, Coumba
Nialdou, et toute la famille Sall.
Mes amis Ousmane Diallo, Ousmane Gueye, Alassane Dieng,

Mouhamadou Diongue, Baba Dioum, Harouna Daff, Amadou
Faye,Mamadou Ndiande, Moustapha Dème , Fatimata Diagne,
Aissata Sall, Demba Sy, Rassoulou Niane, Fatim Diaw, Coumba Diop,
Ousmane Gaye, Abou Sy, Abou Gaye, Moussa Deh, Niakasso Dianka,
Dali , Daha Ka, Abdoul Dème, Alassane Dia, Ibou Dia, et Idrissa Lam
Ma très chère Aissata Sow
Toute la communauté matamoise
Mes camarades de classe
Les FUB
Tous mes camarades de promotion
Tous les Professeurs de CFPP
Tout le personnel de l’UFR SAT

Table des matières
Chapitre 1 Rappel sur le modèle tcp/ip et faille de quelque protocole .................................. 10
A. Introduction ........................................................................................................................ 10
B. Le modèle OSI :(Open System Interconnection) .............................................................. 10
C. Le Modèle TCP/IP et failles de quelque protocoles ........................................................ 12
D. Client-Serveur ................................................................................................................. 17
E. Enjeux et problématiques de la sécurité réseau ............................................................... 18
Conclusion .............................................................................................................................. 20
Chapitre 2 Les différentes type d’attaque .................................................................................. 21
A. Introduction ....................................................................................................................... 21
B. Et qu’es qui les motive ....................................................................................................... 21
C. ET quel est leurs profils ? ................................................................................................... 21
D. Les pirates ? ..................................................................................................................... 22
E. Les attaques DOS .............................................................................................................. 25
Les attaques basées sur la réflexion : .................................................................................... 26
On a aussi des attaques ciblant les applications ............................................................... 27
Attaques par amplification NTP ......................................................................................... 27
Epuisement des tables d’état................................................................................................ 27
Attaque utilisant la fragmentation ip ................................................................................. 27
Attaques par routage et DNS ............................................................................................... 28
F. Les prises d’information ................................................................................................... 32
Nmap....................................................................................................................................... 32
Tcpdump ................................................................................................................................ 33
Les whois ................................................................................................................................ 33
Social engeneering et trashing............................................................................................. 34
Le trashing .............................................................................................................................. 35
Le ping .................................................................................................................................... 35
Traceroute et tracert............................................................................................................... 36
Les messages d’erreur des serveurs ..................................................................................... 37
Le scanne des ports ............................................................................................................... 38
Prise d’information sur le système d’exploitation ............................................................ 39

G. Vulnérabilité .................................................................................................................. 39
La recherche de vulnérabilité sur une cible (scan de vulnérabilité) ............................... 40
Qu’est-ce qu’un scanneur de vulnérabilité ? ........................................................................ 40
Vulnérabilité poste-client....................................................................................................... 46
Vulnérabilité sur les navigateurs web ................................................................................ 48
H. Les Backdoors ................................................................................................................. 49
Vulnérabilité des applications web .................................................................................... 54
I. L’injection SQL .................................................................................................................. 54
Principe de l’injection sql ? .................................................................................................... 54
Les failles XSS ......................................................................................................................... 55
J. Vulnérabilités réseaux ...................................................................................................... 57
Le sniffing réseau ................................................................................................................... 57
Spoofing réseau ..................................................................................................................... 62
Le DNS spoofing .................................................................................................................... 62
Le DNS ID Spoofing............................................................................................................... 62
Le DNS Cache Poisoning ....................................................................................................... 63
Man in the middle ................................................................................................................. 64
Conclusion .............................................................................................................................. 68
Chapitre 3 Sécurité et parade des différentes attaques ............................................................... 69
Introduction ............................................................................................................................ 69
B. Le filtrage de paquet ......................................................................................................... 70
Pare-feu ? ................................................................................................................................ 70
Fonctionnement d’un système avec un pare-feu ? .............................................................. 71
C. Firewall avec iptable, netfilter ........................................................................................... 71
Qu’es qu’un filtre ip ? ............................................................................................................ 72
Fonctionnement d’Iptables ? ................................................................................................. 72
Configuration d’Iptables........................................................................................................ 72
D. Fail2ban........................................................................................................................... 77
E. RKHUNTER....................................................................................................................... 78
Principe de fonctionnement ? ................................................................................................ 79
Installation .............................................................................................................................. 79
F. Steganographie d’image avec Quick Stégo ...................................................................... 79
G. IDS SNORT ..................................................................................................................... 81
SNORT ................................................................................................................................... 82
Configuration de Snort .......................................................................................................... 82

Conclusion .............................................................................................................................. 87
Conclusion générale ............................................................................................................... 87
Bibliographie .......................................................................................................................... 89
Liste des acronymes ............................................................................................................... 90

Avant-propos
Conformément aux règles du système dit LMD (Licence, Master, Doctorat) et à celles
de l’UFR SAT/Section CFPP, il est soutenu, à la fin des 1 er et 2ème cycles un mémoire ou un
rapport de stage en vue d’obtenir son diplôme.
En effet, il s’agit pour moi, étudiant de Master 2 professionnel en Réseaux et

Télécommunication (MaRT2), de soutenir mon mémoire d’ingénierie en réseau et
télécommunications qui portant sur le thème Attaques réseaux.
Je vous présente un mémoire pratique et je ne suis en aucun cas responsable de vos actes et
faits dans le but de nuire.

Table des figures
Figure 0 : Modèle client serveur
Figure 1 : Attaque ddos par réflexion
Figure 2 : Vulnérabilité post-client
Figure 3 : Attaque XSS par réflexion
Figure 4 : Le dns id spoofing
Figure 5 : Man in the Middle
Figure 6 : Réseau protégé par un firewall
Figure 7 : Quick Stégo
Figure 8 : Sécurité avec Snort

I NTRODUCTION GENERALE
Aujourd’hui, les réseaux informatiques sont de plus en plus développés dans le monde
entier. L’expansion des réseaux informatiques notamment l’internet ces dernières années ont
rendu les réseaux indispensables dans quasiment toutes les entreprises. Si ces innovations
ont apporté un avantage au sein des entreprises, elles sont accompagnées par de nouveaux
risques pour les technologies nouvelles, le piratage informatique. En effet, ces attaques sont
de plus en plus nombreuses, efficaces et simples à mettre en œuvre. Raison pour laquelle
toutes les entreprises font tout pour avoir une bonne sécurité. La sécurité a toujours été une
grande préoccupation pour l’homme, comment se protéger des attaques extérieures émanant
de la nature (vent, pluie…) ou même des hommes. Face à cette situation d’insécurité,
l’homme met en place des mécanismes lui permettant de faire face à ces attaques. Ce
problème de sécurité n’épargne pas le domaine informatique. Ainsi, une entreprise équipée
de portes blindées, disposant de gardes lourdement armés faisant de la ronde est-elle bien
sécurisée ? Oui c’est bien le cas pour des ignorants de l’informatique mais pour un expert en
la matière, c’est loin d’être le cas si elle n’a pas mis en place des politiques de sécurité pour
contrer les attaques visant directement le système informatique de l’entreprise.
Ce problème ne s’est pas limité sur l’homme en tant que tel mais aussi de ses biens c’est-à-
dire comment gérer sa fortune, sa vie privée à travers les nouvelles techniques de
l’information et de la communication (téléphone, ordinateur) et c’est ce problème qui prive
les DG, PDG et les administrateurs du sommeil. Et même si elle est mise en place, les
politiques de sécurité ne seront jamais efficaces pour se mettre à l’abri des menaces puis que
certains hackeurs utilisent les connexions légitimes pour faire leurs attaques en exploitant les
failles de certains protocoles comme le tcp/ip. Dans ce mémoire nous allons montrer la
facilité de mettre en place des attaques réseau avec différentes méthodes comme le sniffant,
le spoofing, le Man in the Middle etc. Nous rappelons que ce mémoire sera divisé en trois
parties. Nous allons commencer par un rappel du modèle TCP/IP avec les protocoles utilisés
au niveau des différentes couches. Dans la deuxième partie on va montrer quelques attaques
réseaux avec de la pratique. En ce qui concerne la pratique, on utilisera Kali linux
anciennement appelé Backtrack (nous allons parler de kali, l’introduire et expliquer son
fonctionnement en détails). Et en troisième partie, nous allons essayer de mettre en place des
systèmes de sécurité pour détecter et contrer les attaques ; c’est à ce niveau que nous
parlerons des IDS.

Chapitre 1 Rappel sur le modèle tcp/ip et faille de quelque protocole
Introduction
TCP/IP désigne communément une architecture réseau, mais cette appellation désigne en
fait deux protocoles qui sont étroitement liés que sont TCP et IP. Le modèle tcp/ip est une
architecture réseau de quatre couches dans lesquelles les protocoles tcp et ip jouent un rôle
prépondérant, il est aussi une suite de protocoles qui sont tcp et ip.
Ainsi, force est de constater que le modèle tcp/ip s’est imposé comme modèle de référence
en lieu et place du modèle OSI. En effet, contrairement au modèle OSI, le modèle tcp/ip est
né d’une implémentation, la normalisation est venue ensuite. Le protocole tcp/ip est adopté
en 1974 par le réseau ARPANET qui est un réseau de télécommunication conçu par l’ARPA
(Advanced Research Projects Agency), l’agence de recherche du ministre américain de la
défense (le DOD : Departement of defence). Outre la possibilité de connecter des réseaux
hétérogènes, ce réseau devait résister à une éventuelle guerre nucléaire, contrairement au
réseau téléphonique habituellement utilisé pour les télécommunications mais considéré trop
vulnérable. Il a alors été convenu qu’ARPANET utilisait la commutation par paquet (mode
datagramme), une technologie émergente prometteuse. C’est dans cet objectif et ce choix
technique que les protocoles tcp et ip furent inventés. On parle souvent de tcp/ip mais le tcp
(Transmission Control Protocol) est le protocole qui permet de transporter des paquets avec
« accusé de réception » et contrôler des erreurs si un paquet est arrivé à sa destination
déformé ou corrompu ; il sera renvoyé automatiquement.
Comme nous allons voir le fonctionnement du modèle tcp/ip tout au long de ce chapitre, il
sera encore intéressant de revenir sur le modèle OSI qui est son modèle de référence.
B. Le modèle OSI :(Open System Interconnection)

Au cours des dernières décennies, la taille et la forme des réseaux ont subies une évolution
exponentielle. Cependant, un certain nombre de réseaux ont été mis sur pied à l’aide de
plateformes matérielles et logicielles différentes. Mais il y avait une incompatibilité entre de
nombreux réseaux et il était devenu difficile d’établir une communication entre réseaux
fondés sur des spécifications différentes. Pour pallier ce problème, ISO (International
Organization for Standization) a reconnu la nécessité de mettre en place un modèle réseau
qui permettrait au concepteur de mettre en œuvre des réseaux capables de communiquer et
10

de fonctionner dans des conditions idoines. Elle a donc publié un modèle de référence OSI
(Open system Interconnection) en 1984. Ainsi, ce modèle est composé de 7 couches qui
communiquent mutuellement.
On a la couche Application, Présentation, Session, Transport, Réseau, Liaison de données et

la couche physique. Il peut être subdivisé en deux grandes parties : les couches hautes et les
couches basses.
Modèle OSI
Application 7
Présentation 6
Session 5
Transport 4
Réseau 3
Liaison de 2
Données
Physique 1
Après Plusieurs Saisons Tout Respire La Paix : Pour mieux capter les couches.
Sur ce modèle, on va seulement donner le rôle de chaque couche, on ne va pas trop

s’appesantir là-dessus.
Application
Cette couche est celle que les programmes d’application perçoivent. Cette couche se
distingue des autres couches du modèle OSI en ce qu’elle ne fournit aucun service aux autres
couches du modèle OSI, mais seulement aux applications extérieures de celui-ci.
Présentation
11

Lorsque les ordinateurs IBM, Apple, bref des ordinateurs différentes veulent communiquer,
il faut bien évidement effectuer quelques conversions et réorganisions des octets. La couche
présentation assure que les informations envoyées par la couche application d’un système
sont lisibles par la couche application d’un autre système. Elle se charge également de la
compression et du cryptage des données à envoyer puis du décryptage et de la
décompression de celles-ci sur l’ordinateur destinataire.
Session
La fonction de cette couche est de permettre aux applications fonctionnant sur deux postes
de travail de coordonner leurs communications en une seule session. Elle est responsable de
la création de session de la gestion des paquets envoyés dans un sens et dans l’autre durant
celle-ci ainsi que sa clôture.
Transport
La couche transport segmente les données envoyées par le système de l’hôte émetteur et les
rassemble en flux de données sur le système de l’hôte récepteur.
Réseaux
Cette couche route les paquets à la bonne destination, elle est responsable de l’adressage et
de la livraison des paquets de messages.
Liaison de données
La couche liaison de données assure un transit fiable des données sur une liaison physique.
Couche physique
Cette partie du modèle OSI définit les caractéristiques physiques et électriques des
connections qui constituent le réseau. Elle peut être assimilé par une couche de niveau
matériel, elle convertie les bits en signaux ou l’inverse.
Ainsi, au fur et à mesure le modèle OSI était dans l’obligation de céder sa place de leader au
modèle TCP/IP qui s’est montré plus simple et efficace à manipuler.
C. Le Modèle TCP/IP et failles de quelque protocoles

Les protocoles existant ne suivent pas toujours le modèle OSI ou UDP/IP. TCP/IP peut être
utilisé pour communiquer au sein d’un ensemble quelconque de réseau interconnecté. Les
12

protocoles tels que TCP/IP définissent les règles utilisées pour échanger les unités de
données, les détails de leurs structure et indiquent comment gérer le cas d’erreur. Au niveau
de ce modèle plusieurs protocoles interagissent pour des fonctions différentes. Ainsi force est
de constater que le modèle tcp/ip est la forme réduite du modèle OSI. Elle est composée de
quatre couches qui sont : la couche Application, la couche Transport, la couche internet et la
couche réseau. Ce qui nous intéresse le plus est les différents protocoles utilisé au niveau des
différentes couches du modèle tcp/ip. Ci-dessous nous verrons l’architecture physique de ce
modèle.
Modèle TCP/IP
Application Telnet FTP SMTP DNS HTTP
Transport TCP UDP
Internet ARP IP ICMP
Accès Réseau Ethernet Token Frame ATM

Ring Relay
Apres Tout Internet A Raison : Pour mieux capter les couches.
Ainsi, on donnera un bref rôle des différentes couches avant de venir aux protocoles.
 Application
Elle regroupe les couches application, présentation et session du modèle OSI ; Cette couche
contient tous les protocoles de haut niveau. Le point important de cette couche est le choix
du protocole de transport à utiliser.
 Transport
Il a le même rôle que celui de la couche transport du modèle OSI : permettre des entités
paires de soutenir une conversation.
 Internet
13

Cette partie est la plus essentiel de l’architecture. Cette couche réalise l’interconnexion des
réseaux (hétérogènes) distants sans connexion. Son rôle est l’injection des paquets sur
n’importe quel réseau et aiguiller ses paquets jusqu’à la bonne destination. Puis qu’aucune
connexion n’est établie au prenable, les paquets peuvent arriver dans le désordre et c’est aux
couches supérieure d’assurer l’ordonnément.
 Accès Réseau
Cette couche un peu étrange semble regrouper la couche liaison de donnée et accès réseau
du modèle OSI. En effet, elle n’a pas été assez spécifiée ; la seule contrainte de cette couche
c’est de permettre à des hôtes d’envoyer des paquets sur le réseau.
Les protocoles visibles au sein du modèle tcp/ip sont un peu importants et sont d’une
importance capitale pour le bon fonctionnement des connexions y compris l’internet. Puise
que notre sujet porte sur les attaques réseaux, il est primordiale de connaitre le
fonctionnement des réseaux c’est-à-dire les protocoles utilisé puis qu’il n’est guère possible
de parler de réseau sans les protocoles. Nous allons détailler le fonctionnement de quelques
protocoles du modèle tcp/ip de chaque couche ainsi que leur limite de sécurité.
 Le FTP
Le protocole FTP est comme son nom l’indique un protocole de transfert de fichier (File
Transport Protocol). La mise en place du protocole FTP date de 1971, date à laquelle un
mécanisme de transfert de fichier entre les machine du MIT (Maassachussets Institute of
technologies) avait été mis au point. Le rôle du ftp est de définir la façon selon laquelle les
données doivent être transférer sur un réseau tcp/ip. Il a pour objectif de :
- Permettre le partage de fichiers entre machines distantes.

- Permettre une indépendance aux systèmes de fichier des machines cliente serveurs.
- Permettre un transfert de données efficaces.
Par conséquent, le protocole FTP souffre de quelques lacunes : il autorise la notion

d’ouverture de session anonyme ; le paramètre par défaut autorise l’utilisateur
« anonymous » avec n’importe quel mot de passe, les mots de passes circulent en claire dans
le réseau donc possibilité d’intercepter les mots de passe.
14

 Telnet
Le telnet est un service permettant aux administrateurs de se connecter à un hôte à partir

d’un emplacement distant et de contrôler l’hôte comme s’ils étaient connectés localement.
Une connexion telnet s’appuie sur une connexion TCP pour transmettre des données dans
lesquelles s’intercalent des séquences de contrôle TELNET. Il y a des hackeurs qui utilisent ce
protocole pour pénétrer un réseau.
 SMTP
Le but du protocole SMTP (Simple Mail Transfer Protocol) est de transférer du courrier
électronique selon un procédé efficace et fiable. L’émetteur SMTP établit une communication
bidirectionnelle vers un récepteur SMTP. Le canal de transmission SMTP standard est une
connexion TCP bidirectionnel sur le port de service 25. Ainsi, il a toujours été une source
quasi inépuisable de vulnérabilité, surtout pour ce qui concerne le serveur « sendmail ». Ce
programme serveur surtout complexe a donc été une cible privilège de nombreux attaquants
et même aujourd’hui puisse que c’est souvent un point d’accès économique pratique et
simple d’utilisation (Le protocole fonctionne en mode texte pur) au monde de l’internet.
Notons que le protocole SMTP n’implémente aucun mécanisme d’authentification.
 DNS
Le Domain Name Service (DNS) est quasiment à la base de toutes les applications sur
internet, il a pour but d’assurer la conversion des noms de domaine (par exemple
www.Mountag-sall.com) en son adresse ip (par exemple 192.168.0.1) et vice-versa, à savoir
convertir une adresse ip en un nom de domaine. Mais le DNS est vulnérable. Avec son
importance, cette vulnérabilité fait peser sur tout l’internet. Le DNS est vulnérable aux
attaques par déni de service (que nous verrons dans les prochains chapitres) mais surtout
des attaques par corruption des données, pour insérer des réponses trompeuses. En effet, il
est facile d’introduire une réponse mensongère dans le processus de résolution DNS. Cette
vulnérabilité était connue depuis longtemps mais a pris une actualité particulière avec la
publication des informations sur « la faille kaminsky » qui était une nouvelle méthode pour
exploiter facilement et efficacement cette vulnérabilité.
 Http
15

Le protocole http (Hyper Text Transport Protocol) est le protocole le plus utilisé sur internet
depuis 1990. Il a pour but de gérer le transfert de fichiers (essentiellement au format html)
qui est localisé grâce à une chaine de caractère appelée url entre un navigateur appelé client
et un serveur web. Cependant, il reste une grande star des menaces sur internet. Le protocole
http est le vecteur privilège des agresseurs, soit à travers des sites des serveurs vulnérables,
soit par utilisation par les clients d’une navigation non mise à jour ou mal paramétrée. De
nombreux problèmes de sécurité sont apparus avec ce protocole.
 Le protocole TCP
Pour une transmission des données garantie, les applications utilisent TCP. Le protocole TCP
fournit un service de transport de flux d’octets orienté connexion et fiable. Les données
transmises dans tcp sont encapsulées dans des paquets ip. Ainsi, le terme connexion signifie
qu’une des deux extrémités doit établir une connexion avant tout échange. Il faut noter que
ce protocole est vulnérable face à certaines attaques. Par exemple, une connexion TCP peut
être interceptée et manipulée par un attaquant situé sur le chemin de cette connexion.
 Le protocole UDP
Le protocole UDP (User Datagram Protocol) est un protocole de la couche transport du

modèle tcp/ip. Il permet aux applications d’accéder directement à un service de
transmission de datagramme tel que le service de transmission qu’offre ip. UDP possède un
mécanisme permettant de vérifier les processus d’application à l’aide du numéro de port
UDP qu’est le 111. Ainsi il faut noter qu’il est orienté datagramme c’est-à-dire sans
« connexion » et puis qu’il ne séquence pas les données qui doivent être transmises, la remise
conforme n’est pas garantie. Du point de vue de la sécurité UDP demeure problématique. En
effet puis que ce protocole fonctionne en mode non connecté, ce qui veut dire qu’il ne peut y
avoir de garantie de remise des données aux destinations.
 Le protocole ARP
ARP (Address Resolution Protocol) est un protocole de résolution d’adresse situé entre la
couche liaison de données et la couche réseau. Il propose une solution aux problèmes liés
aux résolutions d’adresse où un protocole de niveau réseau a besoin d’envoyer un message à
une destination mais ne connait que l’adresse de niveau réseau. L’ARP lui permet alors
d’obtenir (l’adresse mac) de cette destination. Rappelons un peu le fonctionnement de
l’ARP :
16

Chaque machine connectée à un réseau possède un numéro d’identification de 48 bits
comparez aux humains c’est l’empreinte biométrique, elle est fixée depuis la fabrication de la
carte en usine. Toutefois, la communication sur internet ne se fait pas à partir de ce numéro
mais plutôt avec l’adresse ip. Ainsi pour faire la correspondance entre les adresses physiques
et logiques, le protocole arp interroge les machines du réseau pour savoir leur adresse
physique, puis crée une table de correspondance entre les adresses physiques et les adresses
logiques dans sa mémoire cache. Et si une machine décide de communiquer avec une autre
celle-ci consulte la table de correspondance. Si jamais l’adresse demandé ne se trouve pas
dans la table de correspondance, le protocole arp émet une requête sur le réseau. L’ensemble
des machines du réseau comparent cette adresse logique à la leur. Si l’une d’entre elles
s’identifie à cette adresse, la machine va répondre à l’arp qui gère le couplage des adresses
dans la table de correspondance et la communication va alors pouvoir avoir lieu.
Ainsi le protocole arp est conçu sans souci particulier de la sécurité. Il est vulnérable à des
attaques locales sur le segment reposant principalement sur l’envoie des messages arp
erronés à un ou plusieurs ordinateur. Au niveau des chapitres suivants nous allons voir les
attaques liés à arp comme l’ARP poisoning (pollution du cache arp) et un scénario détailler
sera mis sur place. La vulnérabilité d’un ordinateur à la pollution de cache arp dépend de la
mise en œuvre du protocole arp par son système d’exploitation.
Le protocole IP
L’internet Protocole est un protocole de la couche internet du modèle tcp. Si tcp est une
voiture pour transporter des paquets on peut dire qu’IP est le chauffeur. Il définit l’adressage
logique des machines ainsi que le routage entre les nœuds. Il est non fiable car il ne garantit
pas la remise des paquets à la destination finale. Puis qu’il n’y pas un circuit établit au
préalable et que les paquets sont acheminé indépendamment les uns des autres on peut dire
que le protocole IP est sans connexion.
D. Client-Serveur
Un réseau client-serveur peut être défini par un réseau qui utilise un ordinateur central pour
délivrer des informations et des ressources auprès des autres ordinateurs. L’ordinateur
centrale est appelé serveur et les autre ordinateur qui sont aux périphériques est appelés
clients.
17

Client
Requête
Réponses
Serveur
Réponses
Requête
Client
Figure 0 : Modèle client serveur
Le fonctionnement du modèle client service est simple à comprendre :
Vous avez un client vous avez un serveur, le client va demander un service au serveur et le
serveur va répondre sur demande le service désiré. Au niveau du chapitre suivant nous
allons voire des attaques clientes les plus courantes qui sont :
Le sniffing
Le spoffing
Le poisoning
Nous allons détailler ces différentes attaques.
E. Enjeux et problématiques de la sécurité réseau
De nos jours les réseaux sans fils posent de nombreux problème de sécurité et leur
caractéristique ouvre à de nombreuses vulnérabilités. Le média se compose d’onde
radioélectrique : c’est donc par construction, un support sans protection vis-à-vis des signaux
externe, donc il est sensible au brouillage et au déni de service. Ainsi les caractéristiques de
propagation de l’onde sont complexe : l’onde peut être absorbé, diffracté, réfracté ou bien
18

réfléchie en fonction de l’humidité, du verre, du bêton, ou le démarrage d’un moteur, d’un
four à micro-onde, etc. il est donc très difficile voire impossible d’envisager une limite
absolue du réseau on ne peut pas observer sa frontière. Donc les écoutes et interceptions
deviennent possibles et aisées : il sera même possible d’insérer du trafic illégal et de
s’introduire malicieusement dans le réseau. Les attaques contre les réseaux sans fil sont
simple : un attaquant éventuellement placé à l’extérieure du périmètre physique de
l’entreprise se connecte au réseau. Il est alors possible de s’introduire dans le réseau, de
pirater les serveurs et ajouter même des serveurs d’où la petite phrase qu’on n’avait écrit au
niveau de l’introduction : ce n’est pas le fait d’avoir des gardes devant l’entreprise que fera
d’elle en sécurisé.
Ainsi pour ce qui des enjeux, on peut dire que la sécurité des réseaux présente des enjeux
d’ordre stratégique puise que dans le monde d’aujourd’hui les personnes physique doivent
pouvoir se communiquer, l’information doit être accessible sur le réseau peu importe notre
situation géographique : bureau, voyage ou à la maison. Parmi ces enjeux on peut citer :
- La maitrise du cycle de vie, le transport, le traitement ainsi que le stockage des

patrimoines numérique. Ce patrimoine peut être industriel, personnel, intellectuel et
culturel. Il s’agit d’un enjeu politique de souveraineté pour protéger des contenue
intangible dans le cadre de la mondialisation.
- La valorisation des continues (données, programmes, logiciels, programmes
multimédia) immatériel afin d’assurer la circulation des données en toute confiance,
de parsemer les œuvres et de promouvoir le savoir-faire ; il s’agit là d’un enjeu
économique.
- D’instaurer ou de restaurer la confiance dans l’univers numérique pour augmenter et
pérenniser le commerce électronique, les échanges immatériels, l’administration
électronique ainsi que la république numérique (vote électronique, carte d’identité
biométrique). Il s’agit d’un enjeu social pour faciliter l’usage des nouvelles
technologies et lutter contre la fracture numérique.
Ainsi pour les entreprises l’ouverture vers l’extérieur constitue les défis majeurs pour ces
derniers. La sécurité de leurs systèmes d’information est devenue un élément essentiel de
la protection des informations de l’entreprise. Et c’est à ce niveau que toute l’ingénierie
est interpellée. En effet des architectures de sécurités vont être mises en place afin de
protéger la confidentialité des informations sensible, de sécuriser l’intégrité des systèmes
d’information (SI) et d’assurer la disponibilité des informations au sein du réseau. Et
19

maintenant puis qu’il n’y a guère une sécurité à 100%, ou de construction à zéro défaut le
dernier en jeu est de gérer rapidement et efficacement les crises quand elle se présente,
comme on dit la chute n’est pas un échec, l’échec est de rester là où on est tombé. Ainsi
pour pallier à ce problème il faut user des techniques qui font appels aux modèles
dynamiques politiques, de responsabilités partagées par toute la chaine de confiance, la
formation à l’administration vigilante des systèmes et des applications ainsi la
sensibilisation volontariste de tous les utilisateurs et les critères qui sont primordiale de
la réussite de toute démarche sécurisé dans une structure. Et il ne faut pas sous-estimer
la sociologie de confiance, les aspects règlementaires, juridiques et ethniques.
Conclusion
Dans ce chapitre nous avons fait un petit rappel du modèle OSI, qui avait vu le jour dans le
but d’assurer la connexion entre des réseaux conçus par technologies différentes. Mais ce
dernier a laissé sa place de leadeur à tcp/ip qui est plus simple et efficace. Ce qui nous
intéressait le plus est les différents protocoles qui agissent au niveau du modèle tcp/ip et
leurs limites de sécurité. Les protocoles du modèle tcp/ip sont vulnérables et c’est ce que les
personnes mal intentionné utilisent pour nuire. Dans le prochain chapitre nous allons voir
les méthodes que ces derniers emploient pour nuire les entreprises.
20

Chapitre 2 Les différentes type d’attaque
Introduction
Depuis l’avènement de l’internet les entreprisses sont soumises à des dangers venant des
personnes mal vaillantes. Suite à l’ouverture d’internet au monde, les entreprises sont dans
l’obligation de se connecter afin de profiter à cette vitrine mondiale. Malheureusement si
internet a fait des progrès positif comme la révolution de l’informatique et la circulation
mondiale de l’information, il a mis en place des personnes mal intentionné, de nouveau
moyen d’accéder illégalement à des informations classé top secret, qu’elle soit au niveau des
entreprises ou chez les utilisateurs et sans risque puise que tout ce passe sans la moindre
présence physique. En effet puise que les entreprises sont contraints de se connecter à
l’internet pour avoir cette mine d’or, il est encore possible pour une personne quelconque
d’accéder aux ressources de l’entreprise à moins que cette dernière met en place les
politiques de sécurité nécessaire. D’ailleurs d’autre technologie ont vu jour comme le réseau
sans fil « Wireless ». Avant cela semble une grande avancée pour les utilisateurs qui se
débrasent de la connexion filaire, mais si on se focalise au niveau de la sécurité on peut
considérer cela comme une régression, si elle n’est pas utilisé intelligemment, c’est à dire si
elle n’est pas accompagné par des politiques de sécurité car il devient possible d’accéder à un
réseau privé sans lui être connecté physiquement.
B. Et qu’es qui les motive

Les motifs de l’agresseur sont nombreux et variés. Ils évoluent dans le temps. Il n’est pas
possible de faire une liste exhaustive des motivations des « criminels » mais quelques
exemples permettront d’avoir un aperçu général de la personnalité de quelque uns d’entre
eux. Parmi elle on peut citer : l’espionnage l’appât de gain, la fraude, le vol, le piratage, le
défi intellectuel, la vengeance, le chantage, l’extorsion de fond. On fermera la liste avec des
actes non intentionnel mais constituent qu’amène une menace pour les Systèmes
d’Information (SI) : la curiosité, l’ennuie, la paresse, l’ignorance, l’incompétence,
l’inattention …
C. ET quel est leurs profils ?

Leurs profils, ce n’est pas une chose facile à décrire, puisqu’il n’existe pas un portrait rebot
des attaquants. Mais quelques enquête et documentaire ont montrait que la plus part du
temps les criminel de l’informatique sont majoritairement des hommes qui ont un travail peu
21

satisfaisant mais avec d’importante connaissance en informatique et qui ont accès à des
informations sensible.
D. Les pirates ?
Il est impossible d’aborder le chapitre sur les attaques réseaux sans parler des différentes
formes d’attaque car beaucoup ne font pas la différence entre un hackeur et un crackeur.
Nous proposons les deux profils de pirate les plus souvent identifié :
Hacker : Un Hacker peut être comme un individu curieux, qui cherche à se faire plaisir.
Pirate par jeu ou par défi lui il ne nuit pas intentionnellement et possède souvent un code
d’honneur et de conduite. Il est plutôt jeune avec des connaissances non négligeable, il aussi
tenace et patient.
Cracker : il est plus dangereux que le hacker dans la mesure où il cherche à nuire et
montrer qu’il est le plus fort. Il a souvent mal dans sa peau et de son environnement, il peut
causer de nombreux dégât en cherchant à se venger d’une société ou d’une personne qui l’a
rejeté ou qu’il déteste. Il veut montrer sa suprématie et souvent fait partie des clubs ou il
pourra échanger avec ces semblables on les appels aussi les criminels de l’informatique. Les
pirates possèdent rarement de moyens souvent un ordinateur associé à un modem ou à un
minitel. Leur population s’accroit d’une manière exponentiel car les connaissances en
information ne sèche d’augmenter et les SI de plus en plus nombreux.
Ainsi sur ce chapitre nous allons smiller quelque attaque. Mais avant tout j’ai jugé nécessaire
d’introduire le logiciel avec lequel on travaillera : Kali linux.
Kali linux est une distribution GNU/LINUX sortie le 13 mars 2013, basé sur Debian.
L’objectif de Kali linux est de fournir une distribution regroupant l’ensemble des outils
nécessaires aux tests de sécurité d’un système d’information, notamment les tests
d’intrusion. Kali linux est disponible en DVD, il est aussi possible de l’installer sur disc dure
ou bien de le virtualiser grâce à des images virtuelles qu’on peut télécharger. Kali linux
propose plus de 300 programme d’analyse de sécurité préinstaller. Je vous signale que
l’installation de kali linux est trop complexe le mien n’avais pas marché avec virtuel box et
finalement j’ai utilisé VMware station et même cela on avait un problème d’authentification.
Je vous montre quelques captures pour le démarrage de kali.
22

23

Et voici notre environnement de travail
24

E. Les attaques DOS
Une attaques par déni de service en anglais Denial Of Service (DOS) vise à rendre
indisponible un ou plusieurs service. Cette attaque n’est pas destinée à voler des
informations comme des mots de passe ou des documents classés top secret mais seulement
à rendre par exemple un site indisponible c’est une attaque selon moi utilisée par les
méchants. Un déni de service peut permettre d’exploiter par exemple une vulnérabilité
logicielle ou matérielle. L’interruption de service peut également s’effectuer en empêchant
l’accès à un service, en saturant la bande passante du réseau : on parle alors d’attaque
volumique. Ainsi, une attaque peut solliciter, jusqu’à l’épuisement d’une ou plusieurs
ressources d’un service. Il peut par exemple constituer à l’ouverture d’un grand nombre de
nouvelles sessions tcp dans un intervalle de temps trop réduite. On parle de Déni de service
distribué en anglais (Distibuted Denial of Services). Ainsi toute entité dont le fonctionnement
et l’activité dépendent d’une infrastructure réseau connecté sur internet est sous la menace
d’une attaque DDOS. Et force est de constater que les motivations et objectifs des attaquant
sont divers et variés. Parmi elles, on peut citer :
25

Des revendications idéologiques à la vengeance en passant par des extorsions de fonds.
Mais, il y’a des attaques faites pour détourner l’attention afin de couvrir d’autres actions
illégales, comme des transactions bancaires. D’autres activités sont concernées par ce type
d’attaque. Parmi ceux-ci on peut citer le e-commerce, les institutions financières, les
gouvernements, ou encore des structures d’hébergement informatique. Ainsi les attaques
DDOS sont un peu différentes et on peut en citez quelques-unes.
Les attaques basées sur la réflexion :

Cette attaque consiste à envoyer beaucoup de requête à des serveurs diffèrent avec une ip
source falsifiée, c’est ce qu’on appelle l’usurpation d’identité et ces serveurs sont appelés
réflecteurs. Les réponses de ces réflecteurs à la victime entrainent la génération d’un trafic
non demandée à cette dernière. Ce trafic peut être suffisamment important pour saturer les
liens réseau de la victime, entrainant un déni de service.
Figure 1 : attaque ddos par réflexion
Voilà un aperçu d’une attaque par réflexion ; l’attaquant fait une requête au serveur en
usurpant l’adresse ip de la victime 192.168.5.2. Par conséquent, les serveurs envoient les
réponses aux requêtes générées par l’attaquant vers la cible. On parle de dénis de service
lorsque le volume de trafic induit par ces réponses dépasse la bande passante du réseau dont
la victime dispose. Ainsi, c’est attaques utilisent souvent des méthodes reposant sur le
protocole de transport UDP donc elle exploite les faiblesses d’UDP.
26

On a aussi des attaques ciblant les applications
Cette attaque consiste à épuiser les capacités de traitement d’une cible. Par exemple, un
attaquant peut chercher à atteindre le nombre de connexions convergentes qu’un serveur
web peut gérer. Dans ce cas l’attaquant envoie un nombre important de requête http GET ou
POST au serveur ciblé d’une manière permanente. Il est possible également d’envoyer des
requêtes partielles, puis de transmettre le reste à des intervalles de temps réguliers dans le
but de maintenir les connexions ouvertes le plus longtemps possible et d’empêcher la
fermeture des connexions au-delà d’un délai fixé.
D’autres types d’attaque applicative cherchent à épuiser les ressources de calcul d’un serveur
en initiant un grand nombre de sessions TLS, ou encore exploiter les faiblesses dans la
conception d’une application web.
Attaques par amplification NTP
NTP (Network Time Protocole) est un protocole permettant la synchronisation temporelle de

machine sur un réseau IP. Certaines implémentations de NTP, peuvent également être
exploitées afin de mener des attaques par amplification. L’amplification peut provenir de
l’envoi d’un message de contrôle (par exemple read var) qui permet de récupérer les
informations sur l’état d’un serveur et aussi de modifier cet état. Ainsi, un attaquant peut
générer un trafic à destination de sa cible dont le volume est beaucoup plus important que
celui nécessaire à l’intégration d’un serveur vulnérable.
On a encore d’autres types d’attaque DDOS comme les épuisements des tables d’état, les
attaques utilisant la fragmentation ip, etc.
Epuisement des tables d’état

Les équipements comme le pare-feu, les répartiteurs de charge ou encore les systèmes de
détection d’intrusion que nous verrons au niveau du dernier chapitre recourent le plus
souvent au suivie de connexion. Ainsi, dans le cas du pare-feu, le suivi de connexion permet
le rejet des paquets ne provenant pas d’un hôte autorisé ; une nouvelle connexion est alors
ajoutée en mémoire. Ce mode de fonctionnement est parfois nécessaire mais rend les
équipements vulnérables à des attaques visant à saturer la table d’état.
Attaque utilisant la fragmentation ip

Un paquet ip peut traverser un réseau dont la taille maximale des paquets qui transitent
varie. Lorsqu’un paquet arrive dans un réseau dont la MTU (Maximum transmission Unit)
est plus haute, il est donc nécessaire de fréquenter les paquets pour qu’ils puissent arriver à
27

destination. Le paquet initial est donc fragmenté en plusieurs paquets dont la taille ne
dépasse pas celle du MTU. Les paquets sont rassemblés une fois à la destination.
Certaines attaques exploitent le mécanisme de fragmentation afin d’augmenter une charge

supplémentaire à l’équipement chargé de faire le réassemblage des paquets de destination.
Attaques par routage et DNS

Pour procéder à une attaque par routage, les pirates doivent manipuler les entrées et sorties
de la table de routage dans le but d’empêcher les systèmes ou réseaux légitimes d’accéder
aux services. Les protocoles de routage tels que RIP (Routing Information Protocole) version
1 et BGP v4 (Border Gateway Protocol) disposent d’une faible authentification pour ne pas
dire aucune. De plus, cette authentification est rarement utilisée. Les malheureuses victimes
de cette attaque verront leur trafic acheminé vers le réseau des pirates ou vers un trou noir,
c’est-à-dire un réseau qui n’existe même pas.
Les attaques de déni de service sur des serveurs de nom de domaine (DNS) démolissent le
plus que les attaques sur le routage. Pour les mettre en œuvre, les pirates doivent convaincre
le serveur victime à enregistrer des adresses fictives. Ainsi, lorsqu’un serveur fait une
résolution de nom, les pirates peuvent alors router les données vers le site de leur choix ou
encore vers un trou noir. Plusieurs attaques DOS ont rendu inaccessibles des sites importants
pour une durée assez longue.
Nous allons simuler une attaque DDOS en utilisant Kali-linux.
Scénario
Pour faire cette attaque comme on a dit, il y’a diverses manières de le faire avec notre fenêtre
DOS ou des logicielles de ddos qui sont disponibles sur les sites de téléchargement. Pour ce
qui nous concerne, nous allons utiliser kali linux. Et pour ce qui est du DDOS on aurait
besoin de slowloris.pl pour envoyer les paquets, bien évidement l’installation de slowloris
est très complexe sur kali-linux, il nous a fallu faire un tour sur Google et taper slowloris.pl,
ouvrir le fichier, tout copier et de coller sur un fichier test qu’on avait créé sur notre bureau
et qu’on a renommé par slowloris.pl
Voilà à quoi ressemble le contenu de slowloris
28

Pour faire l’attaque, il va falloir qu’on se déplace vers notre bureau avec la commande : cd
Bureau
29

En listant le contenu de notre bureau avec la commande ls on doit voire notre fichier
slowloris.pl
On tape perle slowloris.pl
Et ici on aura le test de bienvenu et la commande qu’il faut taper pour l’attaque
Une fois ici on choisit notre cible. A titre d’exemple j’ai choisi un site web par hasard qui est
www.hayo.sn pour simuler l’attaque et pour ne pas faire beaucoup de dégâts, j’ai choisi
l’heure où presque le site n’est pas trop visité à savoir vers 4h du matin. La commande à
utiliser est
perl slowloris.pl –dns www.hayo.sn -num 5000 –times
Avant de lancer la commande, on visite le site pour montrer que le site existe et est accessible
car après l’attaque le site ne sera plus accessible. Cependant, cette inaccessibilité ne sera
remarquée que pendant la durée de l’attaque.
30

Si on clique sur entré, les paquets seront envoyé vers notre cible
31

Et après quelque minute si on fait un tour vers www.hayo.sn on aura comme résultat
Ainsi y’a divers manières de faire des attaques ddos avec d’autres applications. Pour ce qui
concerne notre attaque à savoir slowloris, cette méthode n’est pas très fiable car on pourra
remonter jusqu’à nous avec notre adresse ip. Et pour cela il plus prudent de masquer notre
adresse ip avant de faire un DDOS.
F. Les prises d’information

La recherche d’information est l’étape la plus importante du cycle de vie d’une attaque en ce
sens qu’elle constitue le point de départ du scénario. Ainsi il y’a divers manières de recevoir
de l’information sur la cible. Et parmi lesquelles on peut citez :
Nmap
C’est un outil spécifique à l’intrusion. IL est un « scanneur de port » c’est-à-dire qu’il va
tester un ensemble de port sur la machine cible et détermine les quels des ports sont ouverts
ou fermés. Son exécution est très rapide et de plus il peut tester automatiquement tout un
intervalle d’adresse ip. Force est de constater que nmap a une deuxième fonctionnalité très
intéressante à savoir l’identification par empreinte. C’est-à-dire avec le peu d’informations
échangés avec la cible, l’attaquant pourra savoir quel système d’exploitation utilise notre
cible. Ainsi par défaut nmap ne test que les ports tcp ; et pour tester le port UDP il va falloir
ajouter l’option –sU.
En tapant la commande, on aura ceci :
32

Tcpdump
Tcpdump est un sniffeur de trame réseau qui permet de mettre en écoute une interface
réseau. Autrement dit il peut récupérer toutes les trames qui passent devant une carte
réseau. La capture d’écran suivante montre une trame qui passe sur notre interface réseau.
Les whois
Les whois sont des services gratuites sur le net qui permettent d’avoir des informations sur
un domaine particulier, sur une adresse de messagerie grâce à ses bases de donnée comme :
Whois.ripe.net qui attribue des adresses ip pour l’Europe
33

Whois.nic.mil: qui s’occupe de l’attribution des adresses ip pour les services militaires
américaines
Whois.nic.gouv: qui gère l’attribution des adresses ip des systèmes du gouvernement

américaine.
Et la liste n’est pas exhaustive. Mais on peut trouver d’autres informations en sollicitant
l’aide de Google.
Social engeneering et trashing

Le social engeneering est une méthode efficace pour avoir des informations sur notre cible,
mais ce n’est pas une méthode de piratage. Elle consiste à se faire passer pour un autre grâce
à la parole. Cette technique est très souvent utilisée par les pirates dans le but d’avoir des
identifiants, des mots de passes, des numéros de carte bancaire ou que la personne à qui ils
parlent puisse exécuter ou fournir ce qu’ils cherchent. Ainsi, le social engeneering nécessite
un entrainement il va falloir se préparer des semaines voire même des jours pour bien faire
cela. En voici quelques conseils :
Se préparer à l’avance, en marquant sur une feuille les questions que tu dois poser ainsi que
ta fausse identité ;
S’entrainer à changer sa voix ;
Ne jamais raccrocher au nez votre interlocuteur même s’il ne veut pas te donner les
informations que tu veux ;
Toujours faire des recherches sur l’entreprise pour ne pas être coincé au téléphone ;
Ne pas tourner autour du pot ; toujours aller droit au but ;
Ne pas durer au téléphone pour qu’il puisse te donner les informations voulues ;
Eviter les onomatopées par exemple : heu..., hein !..., je ne sais pas car vous ne paraissez pas
sur de vous ;
Faire des menaces pas au sens propre du terme seulement du genre comme la peur en faisant
savoir à la personne qu’elle va s’attirer les colères du patron et elle pourrait risquer son
poste ;
Garder son contrôle jusqu’à la fin ;
Ne pas insulter, etc.
34

Le trashing consiste à faire les poubelles de l’entreprise afin de tomber sur des discs dur
endommagés, des disquettes et imaginez que le pirate arrive à réparer ces discs il pourra
avoir pas mal d’informations sur l’entreprise.
Comme le social engeneering, cette technique n’est pas spécifique au pirate mais peut
grandement aider.
Le ping
Le ping est un élément très important pour la recherche d’informations en ce qu’il permet de
vérifier la connectivité de deux machines. Elle permet de savoir si une adresse ip est
distribuée, la localisation de la personne à qui appartient l’IP et aussi de savoir le fournisseur
d’accès de la cible grâce à l’option de résolution d’adresse en nom d’hôte. On peut
« pinguer » des machines grâce à des outils comme nmap, Pinger de Rhino9 ProPack de
ipswitch etc …
Les interpréteurs de commande intègrent aussi une commande avec quelques options. En
voici peu d’exemples.
-t permet d’envoyer des requêtes ping sur l’hôte jusqu’à ce que la personne ne l’arrête avec
les touches CTRL + C
-a qui permet de résoudre une adresse ip en nom d’hôte
-i x : qui permet de déterminer le TTL des paquets ping et x doit être compris entre 1 et 255
-n x : qui permet d’envoyer un nombre déterminé de paquets ICMP_ECHO_REQUEST.
Il faut noter que ce sont les options les plus importantes de la commande ping sous MS-DOS
Nous allons donner un exemple sous Windows. Et pour ouvrir MS-DOS on tape Windows +
R ensuite on écrit cmd ou bien sur le menu de démarrage on tape cmd on peut l’ouvrir en
tant que admin ou pas.
Le ping se fait vers ma machine virtuelle.
35

Traceroute et tracert
Traceroute pour linux et tracert pour Windows est un moyen à ne pas négliger pour la
recherche d’informations car il permet de tracer et de suivre le chemin qu’à emprunter un
paquet quelconque jusqu’au système cible. Il est également possible de déterminer la
topologie d’un réseau. Normalement la dernière adresse ip marquée doit être celle du
destinataire. Ainsi, Traceroute utilise par défaut le protocole UDP pour l’envoie des paquets
il peut aussi utiliser le protocole ICMP.
Tracert lui fonctionne de manière inverse par rapport à Traceroute car il utilise par défaut le
protocole ICMP mais peut également utiliser le protocole UDP.
Pour nos captures on travaille en locale.
Pour linux on obtient ceci :
36

Pour Windows on obtient cela :
Les messages d’erreur des serveurs

Parfois on obtient des messages du genre « Error » ou « forbidden » lorsqu’on se connecte
sur internet. Et bien ces messages peuvent être très utiles pour les pirates car il permet dans
certaine circonstance de savoir le type et la version du serveur cible. Pour l’obtention des
informations on peut forcer le serveur à nous les donner en mettant par exemple une adresse
pointant vers un fichier qui n’existe pas. Et en ce moment-là il nous donne une page qui
ressemble à cela :
37

Le scanne des ports
Le « port scanning » est une méthode très efficace pour le recensement des informations et
surtout les services réseau accessibles sur une machine. Ainsi, dans le protocole tcp un
service écoute un ou plusieurs ports TCP, identifiant le type de service disponible. Par
rappelle, le protocole http utilise le port tcp 80, le protocole SMTP, le port 25, etc.
Il existe diverses méthodes de « ports scanning » toutes utilisant les particularités des
protocoles réseaux pour déterminer la présence ou l’absence d’un service. Pour ce qui est de
notre cas, on va utiliser zenmap pour avoir des informations sur l’ensemble des ports qui
sont ouverts au niveau de notre cible. On pouvait également utiliser d’autres outils de
scanne de port comme nmap, netdiscover, dmitry, etc.
Remarque pour avoir l’adresse ip d’un site on fait un ping du site
Exemple :
Zenmap est intégré dans kali-linux
Pour lancer le scan, il nous suffira que de mettre l’adresse de la victime au niveau du champ
cible et cliquer sur scan. Ainsi, zenmap nous montrera l’ensemble des ports ouverts au
38

niveau de notre victime ainsi que le moment de l’ouverture et ces informations peuvent être
bénéfique pour le hacker. Cependant l’scan nous donne ceux-ci :
Prise d’information sur le système d’exploitation

Il est très intéressant de passer sur cette étape pour mieux dominer notre cible. Cependant
cette méthode est orientée vers le balayage de port. Ce mécanisme consiste à trouver un
système d’exploitation qui est derrière une adresse ip. Normalement le seul moyen de savoir
le système d’exploitation qui tourne derrière un équipement branché sur un réseau est de
récupérer les bannières des services qu’il offre. Ainsi cette méthode n’est pas crédible car elle
est détectable au niveau de notre cible et qui pourrait remonter jusqu’à la source. Mais, il
existe un nouveau moyen plus sûr et qui n’a pas besoin d’application particulière et qui
donne une réponse plus précise que l’ancienne méthode, il s’agit du TCP fingerprinting.
G. Vulnérabilité
Par définition une vulnérabilité réseau est une faiblesse ou un ensemble de faiblesses au sein
d’un actif ou un groupe d’actifs dont l’exploitation potentielle peut porter préjudice à
l’organisation : fuite d’information confidentielle, perte de confiance des clients, images
détériorées, baisse des revenus, etc.
En effet, nous allons détailler les types de vulnérabilité avec si possible de la pratique pour
mieux illustrer notre travail.
39

La recherche de vulnérabilité sur une cible (scan de vulnérabilité)
Cette phase n’est pas à minimiser pour un attaquant, il est bien sûr plus facile d’abattre une
cible qu’on connaît ses failles qu’une cible qu’on ignore son point faible. Plusieurs outils
permettent de rechercher les vulnérabilités d’une cible, pour cela on va faire en pratique un
scénario de scan de vulnérabilité avec kali-linux.
Qu’est-ce qu’un scanneur de vulnérabilité ?

Un scanneur de vulnérabilités est un outil automatisé qui permet de retrouver des failles au
sein d’une machine, d’un serveur, bref une cible. On n’a qu’à faire un scan et lui, nous
renverra les vulnérabilités. Il est possible encore d’utiliser avec nmap un scripte qui va
détecter des vulnérabilités associées aux ports qu’il a scannés. Ici on ne va pas utiliser nmap
pour la recherche de vulnérabilités mais plutôt un autre outil qui s’appelle OpenVas. Bien
sûr que nmap se base sur la même logique pour utiliser son scripte où il va juste récolter des
informations et par rapport à ces informations de regarder s’il y’a une vulnérabilité ou non.
Les pentester utilisent rarement les scans de vulnérabilité car il faut trop de bruits et les
pentester veulent rester discret. Il préfère utiliser par exemple nmap et par rapport aux
informations récoltées ils disent que tel port est vulnérable parce qu’il utilise ce service avec
une ancienne version par exemple. Pour la suite de notre scan avec OpenVas on rencontrera
quelques mots clés qu’il est nécessaire d’expliquer car c’est en fonction de ces mots qu’on
pourra bien analyser les informations récoltées après scan.
Les mots clés
CVE : Common Vulnerabilities and Exposures. Il faut juste voir ça comme un identifiant
unique à une vulnérabilité comportant l’année où cette vulnérabilité a été détectée.
CPE : Common Product Enumeration. Ça aussi il faut le voir comme un identifiant de

vulnérabilité lié cette fois si à un produit.
CVSS : Common Vulnerability Scoring System. CVSS est en quelque sorte un intervalle de 0
à 10 qui va noter la sévérité d’une vulnérabilité. Si une vulnérabilité atteint la valeur de 10, ça
veut dire que la personne qui est derrière peut prendre le contrôle total de votre ordinateur.
C’est à ce niveau qu’on parle de vulnérabilité critique.
Cela dit, parlons un peu de notre outil de travail qui est OpenVas. Avant toute chose
OpenVas est outil de scan de vulnérabilité gratuit sur internet et open source. Il est
40

multiplateforme c’est-à-dire qu’on peut l’utiliser sur n’importe quel système d’exploitation. Il
est client-serveur, et enfin l’un de ces points forts est le fait qu’il est bien documenté. Et
maintenant on passe à notre recherche de vulnérabilité. OpenVas est intégré au niveau de
Kali-Linux. La capture suivante montre son emplacement.
Ensuite on clique sur openvas start ou ouvre le terminale et on tape la commande suivante :
Cette commande démarre en même temps openvas-scanner, openvas-manager et greenbone

Security en même et ensuite on vérifie les services qui sont démarrés avec la commande
Et on aura la capture suivante
41

Cette capture nous montre que les trois services sont bien démarrés. Maintenant il ne reste
qu’à aller sur notre navigateur web et on entre l’url suivant : https://localhost:9392. On aura
la capture suivante où on va mettre un login et un mot de passe d’utilisateur pour ceux qui
vont lire ce mémoire et qui auront envie de refaire les pratiques. Je vais montrer comment on
crée un utilisateur sinon on ne pourra pas accéder à greenbone.
Ainsi pour créer un utilisateur on tape la commande suivante
Votre user sera automatiquement créer avec un mot de passe par défaut ainsi pour modifier
le mot de passe à son tour on tape la commande :
42

Tout ça étant fait maintenant on se connecte avec notre user et notre mot de passe.
Et voici l’interface graphique de greenbone security, c’est à ce niveau que se fera le

maximum du travail. Nous n’allons pas voir tout ce qu’on peut faire avec greenbone mais
seulement ce qui nous intéresse le plus. Cependant, ce qu’on peut faire avec Greenbone est
vaste mais ce que nous allons voir est :
Comment créer un utilisateur
Création de Targuet c’est-à-dire création d’une cible ça peut être une adresse ip ou une liste
d’adresse ip c’est important parce que pour lancer un scan on aura besoin de la cible
Création de stratégie de scan : la façon dont on va procéder pour lancer un scan
Création d’alerte
Création de Targuets :
La création d’une cible plutôt facile les captures suivantes nous montre les étapes :
Après avoir cliqué sur Targuets on aura la capture (toutes ces captures ont pour but de
montrer le travail qu’on a fait)
43

Et maintenant on doit juste cliquer sur la petite étoile que j’ai encadrée avec la couleur rouge
Apres, il nous renvoi sur une autre navigation où on va modifier le nom de notre cible. Pour
notre cas c’est Mart2 et l’adresse ip p est celle de ma machine virtuelle 192.168.25.254
Après on valide la création en cliquant sur create Targuets.
Maintenant on passe au scan configuration autrement dit les différentes catégories de scan.
Comme on a fait la création d’une cible, la méthode est la même. Il suffit tout simplement de
cliquer sur configuration et descendre jusqu’à scan config ensuite on clique, on sera rédirigé
encore on clique sur la petite étoile, le nom de la méthode et on laisse tout ce qui reste par
défaut et on valide en cliquant sur create Scan Config.
44

Maintenant on passe au scan proprement dit. On fait une configuration rapide de notre scan.
On voit bien que notre tâche est bien créée
Le scan va prendre du temps pour nous afficher les vulnérabilités. Et on aura quelque chose
comme ça :
On voit bien les applications qui sont vulnérables et si on sélectionne une vulnérabilité,
greenbone nous propose des solutions pour pallier ce problème.
45

Vulnérabilité poste-client
Les postes de travail des utilisateurs font partie des composants critiques des systèmes
d’information et doivent être protégés en conséquence. La croissance exponentielle des
vulnérabilités des applications cliente en particulier les navigateurs web, en font d’eux des
cibles potentiels pour les attaquants qui veulent avoir un accès au réseau interne d’une
entreprise. Quelques exemples nous montrerons que l’efficacité des protections couramment
mis en œuvre pour la sécurisation des applications (anti-virus, proxy web pare-feu) est
surestimée. On a tendance à poser une question : Pourquoi s’intéresser à la sécurité des post-
clients ?
Dans la plus part des organisations l’essentiel de la sécurité porte sur les serveurs : la
configuration est renforcée, physiquement ils sont protégés dans des salles à accès restreint.
Tout ça concoure à ce qu’il conserve les informations les plus sensibles et la plus part des
traitements critiques se font à ce niveau. Mais est-il intéressant de sécuriser les serveurs et
minimiser la sécurité des utilisateurs qui y accèdent à travers leur poste de travail qui est
vulnérable aux attaques. Un attaquant peut ne pas avoir un accès direct aux serveurs de
l’entreprise mais décider de passer par les utilisateurs qui ont un accès légitime à ces
derniers.
Par exemple un attaquant qui ne peut pas se connecter directement à la victime car sa
connexion est bloquée par un pare-feu ou un antivirus. Maintenant ce dernier dépose au
niveau du serveur internet un contenu offensif contrôlé par l’attaquant. Ainsi si la victime
initie une connexion vers le serveur, la réponse du serveur va être autorisée par les règles du
filtrage (mécanisme stateful). Cette réponse contient le contenu offensif qui permettra à
l’attaquant de contrôler le poste de travail de l’utilisateur et d’accéder ainsi au réseau interne
en exploitant une faille sur l’application cliente. La capture suivante illustre l’exemple.
46

Figure2 : vulnérabilité poste-client
Il existe une autre méthode qui consiste à déposer un mail au niveau du serveur SMTP via la
passerelle SMTP de l’entreprise qui stocke dans la boite mail de l’utilisateur. Lorsque ce
dernier récupère le mail, une faille de l’application de messagerie est exploitée pour prendre
le contrôle du poste client. La liste n’est pas exhaustive, l’attaquant peut encore envoyer un
contenu offensif sous forme de lien et convaincre l’utilisateur de l’ouvrier en jouant sur sa
curiosité. Cette attaque est souvent utilisée pour récupérer tout ce que la victime tape au
clavier.
Ainsi, peut-on dire que la compromission d’un poste client donne à l’attaquant un accès au
réseau interne ?
Les serveurs proxy, les firewalls ne peuvent plus protéger le réseau interne de l’entreprise
lorsqu’un poste de client est compromis. Avec l’aide de plusieurs moyens il est facile de créer
un canal bidirectionnel entre le réseau interne de l’entreprise et internet. Le canal
bidirectionnel ainsi créé permettra à l’attaquant d’exécuter des commandes sur le poste de
client compromis ou encore créer un tunneling VPN vers le réseau interne de l’entreprise qui
se trouve ainsi exposé à l’attaquant, c’est comme un plat à table devant un affamé. La
probabilité d’une détection de ces canaux est faible car il existe des moyens qui permettent
47

de légitimer des trafics non légitimes. On peut dire d’une façon que c’est l’attaquant qui est
assis derrière le poste de client compromis pour lancer des attaques. Imaginez que c’est un
membre de votre entourage qui vous connait tellement bien qui vous attaque, il sait là où il
faut attaquer et le moment de l’attaque pour faire plus de dégâts. Ou encore pire, le vol
d’informations sensibles. La plupart des utilisateurs enregistrent leurs données au niveau de
leur poste de travail et avec l’avènement des téléphones portables, ils enregistrent même des
mots de passe au niveau de leurs ordinateurs même si c’est d’une manière temporelle. Voilà
on connaît maintenant pourquoi donner autant d’importance à la sécurité des serveurs
qu’aux postes-client car les serveurs ne peuvent pas être en sécurité tant que il y’a des post-
clients vulnérables.
Vulnérabilité sur les navigateurs web

Un navigateur est une application cliente qui permet d’envoyer des requêtes http au serveur
web et d’en interpréter les réponses. Du fait de sa forte diffusion dans le monde le navigateur
devient une cible privilège des attaquants qui veulent nuire les internautes. Ainsi, il y’a un
nombre important d’attaques possibles des internautes via son navigateur web. Pour ce qui
est de la pratique nous le ferons dans la partie suivante mais néanmoins nous allons citer
quelques types d’attaques. Les utilisateurs peuvent être victime de :
Profilage et analyse comportementale à des fins de revente marketing
Vol de données personnelles par accès à ses fichiers.
Escroquerie par hameçonnage
Crache de son ordi par bug du navigateur
Etc
Les modules et logiciels pouvant être visés par l’attaquant :
Un navigateur est un logiciel constitué de modules différents qui réalise des fonctions bien
différentes et possédant leur propre vulnérabilité. Parmi les vecteurs d’attaque on peut y
citer :
Un interpréteur d’url vulnérable aux attaques par hameçonnage
Un interpréteur de code HTML qui peut faire une mauvaise interprétation des instructions
de description
48

Un interpréteur de langage script comme le javaScript ou le vbScript vulnérable aux boucles
infinies, etc.
H. Les Backdoors
Définition : Un Backdoor est une petite tache chargée de maintenir un port ouvert afin de
permettre dans un second temps d’attaquer une machine. Ainsi, l’attaquant va s’arranger
pour qu’il puisse s’exécuter à chaque démarrage de la machine infectée et il est diffusé par
les mêmes voies que les virus afin d’infecter un maximum de machines. L’attaque se fera en
deux phases :
D’abord, l’attaquant va faire un scan de port et d’adresse ip pour chercher une adresse ip
parmi un intervalle d’adresse ip dont un port est maintenu ouvert par son backdoor
Ensuite et enfin, il effectuera une tentative d’attaque préparée par le backdoor.
Donc par conclusion on peut dire que le backdoor n’est pas une malveillance mais il la
précède.
Méthodes de diffusion des parasites
Il existe plusieurs méthodes de propager des parasites à la victime mais on peut en citer :
 Accès physique à l’ordinateur : Cette méthode est moins sûre puisqu’elle consiste à
accéder physiquement via un copain, une copine, un employé, un parent, un défectif
privé, le service de gardiennage et d’y installer un parasite. Ces méthodes consistent à
faire des keyloggers, les backdoor, les Remote Admin Tools, etc.
 Un abus de faiblesse :
 Un bon discours, une démonstration trompeuse, un excès de curiosité. C’est ainsi
qu’un bon nombre de parasites est installé alors que vous croyez l’installer vous-
même.
L’usage des Trojan
L’usage de Trojan ou de cheval de troie est sans doute la méthode la plus rependue. Le plus
intéressant c’est la victime même qui part à la rencontre des parasites via internet en
téléchargeant gratuite, freeware, shareware ou de l’infection et procédé à son rapatriement.
Un peu de pratique :
49

On utilise toujours Kali-linux pour la création de backdoor via Métasploit
Et on aura ceux-ci
On choisit l’option Social-Engineering Attack
Et on aura la capture suivante
On a plusieurs méthodes d’attaquer et chacune spécifique à elle-même et pour notre cas on

choisit l’option 9. On aura cet affichage :
On choisit l’option 1
50

On doit insérer notre adresse ip qui nous servira d’écoute et pour avoir notre adresse ip il
nous faudra ouvrir une fenêtre et taper ifconfig, ici notre adresse ip est le
. Et il nous demandera de choisir un port et dans notre

exemple le port d’écoute sera le 443. Et on verra des étoiles vertes pour montrer la réussite de
la création des services et on aura une requête qu’on devra répondre par un « yes »
Voilà que notre powershelle est créé au niveau de notre bureau pour le voir on ouvre un
autre terminal et on se déplace vers ce répertoire avec la commande
On peut le voir au niveau de notre bureau et on doit encore modifier l’extension en .bat
Maintenant il suffit juste d’insérer une clé usb et d’envoyer le

powershell et dès que notre victime l’ouvre on aura un accès à la machine.
Si la victime à un anti-virus puissant, elle va empêcher l’ouverture de ce fichier sinon on aura

la capture suivante
51

Voilà que nous somme maintenat dans la machine de notre victime on peut voir les sessions
ouverts avec la commande sessions –i 3
Et pour avoir les informations concernant notre cible, on utilise la commande sysinfo
C’est ma machine
physique.
On peut même faire un ipconfig puisqu’on est sur le windows 8 donc ifconfig ne va pas
marcher
52

Vous voyez comme c’est magique. Imaginez si votre ennemie accède à votre machine à
distance avec tous ces privilèges. Et maintenant espionnons son clavier afin de récupérer tout
ce qu’il tape au clavier avec la commande :
Voici ce que la victime a saisi au clavier
On voit que notre victime avait saisi : Mountaga étudiant de Cherif Diallo et Maissa Mbaye
C’est incroyable il nous signale même qu’on a appuyé sur contrôle ou activer la touche
majuscule et pour arrêter l’espionnage on tape :
On peut également voir son fond d’écran ou même activer son webcam bref tout ce qu’on
peut faire avec sa machine. Pour télécharger le fond d’écran on tape la commande
Voilà, on a un peu vu ce qu’un backdoor est capable de faire.
53

Vulnérabilité des applications web
Les applications web nous établissent une liste non exhaustive de menaces qui pèsent sur
leurs sécurités. Elles peuvent être regroupées en six catégories.
La catégorie authentification qui regroupe les attaques de sites web dont la cible est le
système de validation de l’identité d’un utilisateur, d’un service ou d’une application.
La catégorie autorisation qui ressemble des attaques de sites web dont la cible est le système
de vérification des droits d’un utilisateur, d’un service ou d’une application dans le but
d’effectuer une action dans l’application.
La catégorie attaque coté client couvre l’ensemble des attaques visant l’utilisateur pendant
qu’il utilise une application.
La catégorie exécution de commande définit l’ensemble des attaques qui permettent

d’exécuter des commandes sur un des composants de l’architecture du site web.
La catégorie révélation d’information englobe l’ensemble des attaques permettant de

découvrir des informations ou des fonctionnalités cachées.
La catégorie logique caractérise les attaques qui utilisent les processus applicatif (système de
changement de mot de passe, système de création de compte, …) à des fins néfastes.
I. L’injection SQL
Les injections SQL font parties des failles web les plus redoutables, puisqu’elles s’exploitent
coté serveur. Elles embrassent les sites web qui interagissent de manière non sécurisée avec
une base de données qui permettra ainsi à un attaquant de détourner les requêtes comme il
le souhaite. Cette faille qui est l’injection SQL consistant à contourner une authentification
de session n’est possible que sur les serveurs ne filtrant pas les caractères spéciaux comme les
guillemets, les apostrophes, les slashs « / » les antis slash « \ » et les caractères ASCII. Ainsi
pour qu’une requête réussisse il faut qu’elle soit déclarée vraie par le serveur et c’est là son
point faible car si on utilise des égalités toujours considérer comme vraie à la place du
contenue des variables que peut bien faire le serveur qui ne filtre pas les caractères spéciaux
à part accepté cette requête qui est vraie.
Principe de l’injection sql ?

L’attaque par injection est pesée comme étant la plus risquée car la faille est assez répandue.
Ainsi cela va de la récupération des données jusqu’à la prise totale du contrôle du serveur, et
la victime de l’attaque peut être un des composants technique de l’application web. Pour
54

réaliser une attaque de ce type il va falloir injecter un code malicieux dans la zone de saisie
classique présentée à l’utilisateur. Mais il aurait pu avoir un problème car les champs de
formulaire sont protégés par JavaScript pour vérifier que les données saisies correspondent à
ce qui est attendu. Heureusement pour les pirates, des gens ont démontré qu’il est possible
de contourner ces vérifications en faisant appel à un serveur proxy personnel, par exemple,
qui permettra d’intercepter la requête, la modifier et l’envoyer le code malicieux. Cependant
la difficulté de l’attaque repose sur la détection des technologies utilisées pour formuler le
code adéquat. Mais la plupart des applications web de gestion de contenu présentes sur le
web sont basées sur des projets Open Source. Et des études ont montré qu’il est facile de
détecter les technologies en parcourant le code source mis à disposition. De plus il y a même
des outils d’injection automatique disponibles sur Google ou qui sont intégrés sur kali-linux.
L’exploitation de la faille devient automatisable. Il existe ainsi des attaques d’injection
similaires à l’attaque par injection SQL et parmi elles, on peut en citer deux :
L’attaque par injection xpath suit le même principe que le sql injection. XPath est un langage
de requête pour générer les données stockées au format XML, comme le cas de sql pour les
bases de données relationnelles.
L’attaque par injection LDAP vise à récupérer des informations sensibles qui sont
enregistrées au niveau de l’annuaire de l’entreprise. Ainsi, il est possible de récupérer une
liste des adresses de courrier électronique d’une entreprise pour en faire d’autres attaques
juste en modifiant le comportement du filtrage dans la requête LDAP qui sera générée.
Les failles XSS

Les vulnérabilités XSS sont considérées comme les failles critiques car elles sont très
rependues et faciles à détecter. Elles s’appuient principalement sur les formulaires des
applications web et les victimes sont les utilisateurs des applications web vulnérables. Ainsi,
les scripts frauduleux peuvent endommager la base de registre de la cible et afficher les
formulaires dans le but de récupérer ce que la victime a saisi et aussi les cookies présents sur
la machine de la victime, exécuter des commandes système et même construire des liens
déguisés vers des sites malveillants.
Cependant, des études ont montré que les attaques XSS sont aussi des attaques par injection
car le principe reste à soumettre un code frauduleux à l’application. On a deux types
d’attaque par injection qu’on va essayer d’expliquer.
55

L’attaque XSS par réflexion : cette attaque est basée sur le fait que l’application web affiche
ce que l’utilisateur a saisi au niveau du formulaire dans une page de résultat. Ainsi
l’application de la victime exécute alors le code frauduleux qui est généré dans la page de
résultat. Donc, on peut dire que tous les champs de formulaire sont une vulnérabilité
potentielle que l’attaquant pourrait exploiter par XSS. L’attaque se fait comme suite :
l’attaquant crée un lien déguisé qui pointe vers l’application web dont un des paramètres
contient du code javascript frauduleux. Et c’est en utilisant ce lien que l’attaquant va exécuter
le code javascript via son navigateur.
L’attaque XSS stockée (stored xss) : cette attaque se base sur le fait que l’attaquant réussisse
à enregistrer un code frauduleux dans la base de données qui sera exécutée par la cible
lorsqu’elle tentera d’afficher les données malveillantes. On peut dire que cette attaque est
plus dangereuse que la première car le code malveillant fait partie intégrante des données de
l’application web et peut bien sûr atteindre plusieurs victimes.
Voici la représentation d’une attaque par XSS
Figure3 : attaque xss par réflexion
56

J. Vulnérabilités réseaux
On avait défini une vulnérabilité comme une faille de sécurité, donc on peut définir une
vulnérabilité réseau comme une faille liée au protocole réseau. Les attaques coté client sont
bien différentes des attaques de serveur. En effet, pour ce qui est des attaques coté serveur
nous utilisions des vulnérabilités liés aux services accessibles afin de prendre le contrôle,
mais dans le cas de client, il n’y a pas des services accessibles ou bien peu. Les attaques sont
alors orientées vers le social engeneering, le phishing, le sniffing, le poisoning et le spoofing
qui sont des techniques dites passives puisqu’elles requièrent une action de la part de la
cible et ce sont des attaques fonctionnant localement. Ainsi, pour attaquer une machine
cliente, il va falloir faire étape par étape
D’abord connaitre parfaitement vos besoins
Déterminer le périmètre de l’attaque
Identifier le contexte
Crée et évaluer des scénarios qui sont adaptés à la situation
Attaquer la cible
Effacer ces traces
Un peu en haut nous avions parlé des vulnérabilités des protocoles liés aux couches réseaux.
Donc dans cette partie nous allons seulement parler des attaques réseaux autrement dit les
attaques clientes. Nous allons commencer par le sniffing
Le sniffing réseau
La technique sniffing, permet d’intercepter les communications qui ne nous sont pas été
destinées sur un réseau. Cette technique très simple à mettre en œuvre est largement utilisée
par les pirates pour voler des informations très confidentielles comme les numéros de carte
bancaire, des mots de passes, contenu de mail, des discutions instantanées, etc …
Voici les étapes détaillées de l’attaque
57

D’abord on ouvre Kali linux puis un terminale et on tape la commande ufw disable. Cette
commande permet de désactiver dans un terminal notre pare-feu afin d’autoriser les
connections entrantes. Apres avoir activé le mode routeur de votre carte réseau afin
d’intercepter tout le trafic même celui ne vous étant pas destiné. Pour cela on tape la
commande echo > 1 /proc/sys/net/ipv4/ip_forward
En troisième étape nous allons activer la redirection du trafic en provenance du port de notre
victime donc du port web, le port 80 vers le port de notre proxy qui sera en écoute et qui va
se charger d’intercepter le trafic de la victime dont les informations confidentielles que nous
allons placer sur le port 8080. Tout ça avec la commande
iptables –t nat –A prerouting –p tcp –destination-port 80 –j redirect –to-port 8080
Maintenant on va réaliser un scan arp du réseau afin de découvrir les adresses ip qui y sont
présentes et celles qui vont nous intéresser c’est l’adresse de notre victime, ainsi que sa
passerelle afin de nous placer entre ces deux et d’intercepter les paquets qui y transitent.
Et voici l’adresse ip de notre victime ainsi que la passerelle
Ceux-ci étant fait on utilise l’outil arpspoof afin d’usurper l’identité de notre victime en
empoisonnant les paquets arp sur le réseau et ainsi recevoir les paquets destiné à la victime.
Avec la commande arpspoof –i « notre interface » -t « ip_victime » « ip_passerelle » donc
nous ce qu’on va faire c’est d’attribuer notre adresse ip à l’adresse mac de la victime afin que
tout le trafic nous soit rediriger.
En fin nous allons placer en écoute notre proxy, notre proxy qui va intercepter les
communications et qui va les sauvegarder sur notre disque dur afin d’avoir les afin d’avoir
les identifiants, tout l’histoire de la navigation de l’utilisateur soit sauvegarder dans un
fichier tout ça grâce à la suite ssltrip via la commande sslstrip –l 8080 –f (un paramètre très
important qui permet de falsifier une communication chiffré en faisant apparaitre un petit
58

canarde dans l’url du navigateur de tel sorte à qu’il pense que sa connexion est sécurisé alors
que non) –w (afin d’indiquer un fichier de sauvegarde ) /root/Bureau/log.txt via la
commande ssltrip –l 8080 –f –w /root/Bureau/log.txt. La commande est : sslstrip –l 8080 –f –
w /root/Bureau log.txt
On vérifie si on a bien un fichier log.txt sur notre bureau avec la commande ls
On a bien le fichier. Maintenant tout ce que la victime

écrit avec son clavier sera enregistré dans notre fichier log.txt. Ou bien on pourra utiliser un
outil intégré dans kali-linux qui se nomme ettercap qui est un bel outil créé par Alberto
Ornaghi et Marco Valleri de Milan basé sur une belle librairie libnet de Mik qui nous
permettra de récupérer des identifiants ou des numéros de carte bancaire. On va l’ouvrir en
mode graphique avec la commande ettercap –G
Et on verra la fenêtre d’ettercap s’ouvrir
On clique sur Snif ensuite on sélectionne unified sniffing ou on utilise les touches control + U
59

Ensuite on choisit notre interface dans notre cas
c’est eth0
puis on clique sur valider
Si on clique sur valider une autre fenêtre s’affiche, on cliquera sur host après sur scan for
host pour qu’on puisse voir toutes les adresses de notre réseau auquel on est connecté. Une
fois le scan terminé on clique sur host list.
Si on clique sur Host list nous verrons

l’ensemble des adresses qu’on va ensuite choisir l’adresse de notre victime ainsi que sa
passerelle par défaut qu’on mettra en Target 1 et 2 respectivement.
60

Voilà maintenant on commence le sniffing. On clique sur start en haut vers la gauche puis
start sniffing. Ou verra vers le bas que le sniffing a démarré il attend à ce que la victime tape
son identifiant afin de le récupérer . Et maintenat

on va au niveau de notre machine virtuelle Ubuntu_desktop et on se connecte sur
www.facebook.com puis on met notre login et notre passe, mais je vais y mettre mon login et
un faux mot de passe qui sera récupéré au niveau de ettercap.
Voilà on voit bien que l’identifiant a été récupéré par l’attaquant. Enfin on arrête le sniffing.
61

Spoofing réseau
La technique d’IP spoofing est une attaque informatique qui commence à dater. L’usurpation
d’adresse ip également appelée mystification ou en anglais IP spoofing est une technique
constituant à remplacer l’adresse de l’expéditeur d’un paquet ip par l’adresse ip d’une autre
machine. Ce type d’attaque peut être utilisé de deux manières différentes.
La première utilisation de l’ip spoofing est la falsification de la source d’une attaque. A titre
d’exemple, lors d’une attaque de type déni de service l’adresse ip source sera falsifiée afin
d’éviter une localisation, donc cette falsification nous permettra d’être anonyme. Et la
seconde utilisation de l’ip spoofing permet d’intercepter une communication entre deux
machines de confiance. Voici un bref résumé du fonctionnement de cette technique : une
machine se fait passer pour une autre en envoyant des paquets dont l’adresse ip est autorisée
par le serveur ou la station visée. La source ip envoyée dupe donc la cible qui autorise l’accès
en pensant avoir affaire à une machine de confiance. Dans cette partie nous allons voir une
méthode d’IP spoofing : le DNS spoofing.
Le DNS spoofing
L’objectif de cette attaque est de faire rediriger les internautes vers des sites pirates à leur
insu. Cette attaque utilise les faiblesses du protocole DNS et/ou de son implémentation au
travers des serveurs de nom de domaine. En rappels le protocole dns met en œuvre les
mécanismes permettant de faire la correspondance entre un nom de machine et une adresse
ip. Concrètement l’objectif du pirate est de faire correspondre l’adresse ip d’une machine
qu’il contrôle à un nom réel et valide d’une machine publique. Il existe deux types
d’attaques par dns spoofing : le DNS ID Spoofing, et le DNS cache poisoning.
Le DNS ID Spoofing
Le principe est simple à comprendre si une machine A veut communiquer avec une machine
B, Bien sûr elle a obligatoirement besoin de savoir l’adresse ip de la machine B. Mais
imaginez si la machine A ne connait que l’adresse Mac de la machine B. Dans ce cas A va
utiliser le protocole DNS pour avoir l’adresse ip de B à partir de son nom. Une requête DNS
est alors envoyée à un serveur dns demandant la résolution de nom de B par son adresse IP.
Pour identifier la raquette un numéro d’identification lui est assigné. Et c’est ce numéro que
l’attaquant va récupérer en sniffant afin de répondre plus vite que le serveur. Ainsi la
machine A va l’utiliser sans le savoir l’adresse ip du pirate non celle de B initialement prévu.
Le schéma ci-dessous illustre simplement le principe DNS ID Spoofing
62

Figure4 : le dns id spoofing
Le DNS Cache Poisoning

Il est vrai que le serveur dns n’a les correspondances que pour les machines du domaine sur
lequel il a autorité. Et maintenant pour les autres machines, il contacte un autre qui a autorité
sur le domaine auquel appartiennent ces machines. Les serveurs dns possèdent une poche
permettant de garder pendant un certain temps la correspondance entre un nom de domaine
et son adresse ip cette poche porte le nom de cache dns. Et pour éviter de demander sans
cesse les mêmes correspondances aux autres serveurs dns. Le dns garde dans son cache les
informations qu’il a reçues. L’attaque qui est le DNS cache consiste à corrompre ce cache
avec de fausses informations. Pour cela le pirate doit avoir sous son contrôle un nom de
domaine par exemple (ndouloum.com) et le serveur dns ayant autorité sur celui-ci
mounta@ndouloum.com . L’attaque va se dérouler en plusieurs étapes.
L’attaquant envoie une requête vers le DNS cible demandant la résolution du nom d’une
machine de domaine
Le DNS cible transfert cette requête à mounta@ndouloum.com puisque c’est lui qui a
autorité à ndouloum.com
Le dns du pirate (modifié par l’occasion) enverra en plus de la réponse des informations
supplémentaires (dans lequel se trouve des informations falsifiées à savoir un nom de
machine publique associé à une adresse ip du pirate)
63

Les enregistrements additionnels sont alors mis dans le cache du serveur dns cible
Une machine faisant une requête sur le serveur dns cible demandant la résolution d’un des
noms corrompus aura pour réponse une adresse ip autre que l’adresse ip associée.
Man in the middle

The Man in the middle traduit en français, l’homme du milieu, est une attaque réseau qui
permet de se placer entre deux machines de confiance afin de récupérer les informations
transmises entre les deux postes. La figure ci-dessous nous donne idées de Main in the
middle
Figure5 : Man in the Middle
Le but de l’attaque est que le pc de l’attaquant puisse récupérer les informations transitant
entre le client A et le serveur. Mais ceux-ci est plus difficile dans un réseau switché comparé
à un hub où toutes les informations sont envoyées à tous les ordinateurs connectés sur celui-
ci. Mais le switch lui envoie seulement à la bonne personne. Bien sûr devant tout problème, il
y a une solution, la solution est la méthode agressive : l’arp poisoning qui consiste à
empoisonner tout le réseau arp des requêtes arp afin de se faire passer pour une machine et
de récupérer les informations.
L’attaque se fait comme suite :
64

D’abord on donne la valeur 1 au fichier ip_forward pour le transformer en routeur avec la
commande
et pour vérifier qu’on a bien changé la valeur qui est par défaut 0. On utilise la commande
cat /proc/sys/net/ipv4/ip_forward
Ensuite nous allons faire un scan du réseau pour voir les machines qui sont connectées avec
la commande nmap –sP @du réseau pour notre cas, ça sera le 192.168.25.0 et le masque
255.255.255.0
Plusieurs machines sont détectées, mais celle qui nous intéresse est me 192.168.25.133 qui est
celle de notre victime. On va ensuite modifier le firewall afin que les paquets nous soient
transmis avec la commande iptables –t nat –A PREROUTING –p TCP –destination-port 80
–jREDIRECT –to-port 8080
65

Voilà maintenant il nous reste à empoisonner les requêtes avec la commande arpspoof i eth0
–t @victime–r @passerelle
On ouvre un nouveau terminale où nous allons taper la commande arpspoof –i eth0 –t

@passerelle –r @victime. Ceux-ci étant faits on lance le sslstrip avec la commande
On voit bien que le fichier est créé au niveau de notre bureau
Tout ce que l’utilisateur saisis avec son clavier sera

enregistrer dans le fichier baboy.log et on pourra récupérer les login et mes mots de passes
de notre victime.
Pour récupérer les identifiants on aura à faire un tri avec la touche ctrl + f et on tape pass ou
mail pour faciliter la recherche.
Le login et le mot de passe sont bien récupérer en claire.
66

On peut même utiliser urlsnarf pour récupérer tous les sites que la victime a saisis. Avec la
commande urlsnarf
Nous voyons que la victime a visité www.hayo.sn avec son navigateur qui est le Mozilla
version 5.0. Pour récupérer les images des sites web que notre victime a visité on peut utiliser
un outil intégré dans kali-linux : Driftnet.
Driftnet est un programme qui écoute le trafic, et affiche les images dans une fenêtre X. On
démarre Driftnet via la commande driftnet –i eth0
67

Conclusion
Dans cette partie nous avons vu les différentes attaques et les vulnérabilités des réseaux,
applications et services. Nous avons remarqué la facilité de mettre en place une attaque d’où
l’utilité de donner de l’importance à la sécurité du réseau informatique aussi bien les
serveurs que les postes utilisateurs car un poste client vulnérable implique que tout le réseau
soit vulnérable. Le chapitre suivant nous montre comment sécuriser les serveurs ainsi que les
postes clients.
68

Chapitre 3 Sécurité et parade des différentes attaques
Introduction
Face aux innombrables dégâts que les pirates causent aux réseaux informatiques, les
administrateurs et utilisateurs ne peuvent pas rester les bras croisés et regarder leurs
systèmes détruits. C’est la raison pour laquelle que la sécurité des systèmes d’information
est devenue la discipline de première importance car le système d’information est pour toute
entreprise un élément absolument vital.
Qu’est-ce que la sécurité informatique ?

La sécurité informatique est un système qui protège l’intégrité et la confidentialité des
informations stockées dans un système informatique.
L’objectif de la sécurité informatique ?

Le système informatique représente un patrimoine essentiel de l’organisation, qu’il est
nécessaire de protéger. La sécurité informatique vise à garantir que les ressources matérielles
et logicielles ne soient utilisées que par ceux qui sont autorisés. Elle vise les objectifs
suivants :
La disponibilité : Le système garanti l’accès aux services et ressources installés avec le temps
de réponse attendu
L’intégrité : les données doivent être celles que l’on attend et ne doivent pas être modifiées
de manière imprévue. En somme les données attendues doivent être exactes et au complet.
La confidentialité : seules les personnes autorisées ont accès aux informations qui leur sont
destinées. Tout accès non autorisé doit être empêché.
La traçabilité : Autrement dit preuve garantie que les accès ou tentatives d’accès aux
éléments sont tracées et que les traces sont conservées et exploitées.
L’authentification : l’identification des utilisateurs est impérative pour la gestion de l’accès

aux espaces de travail et le maintien de la confiance dans les relations d’échange.
La non répudiation et l’imputation : Aucun utilisateur ne doit nier les actions qu’il a réalisé
dans le cadre de ces actions autorisées et aucun ne doit pouvoir s’attribuer les actions d’un
autre utilisateur.
69

Force est de constater que la sécurité à 100% garantie n’existe nulle part. Dans cette partie
nous allons voir les moyens pour sécuriser un serveur avec le firewall intégré au niveau de
linux qui est l’iptable, nous allons aussi voir faill2ban et en fin un peu de Steganographie
avec l’outil qui permet de dissimiler un message à travers des images ou sons.
B. Le filtrage de paquet
Par définition le filtrage est un ensemble de composants appliquant une politique de
contrôle d’accès entre deux réseaux. Le filtrage se fait grâce à un pare-feu appelé en anglais
firewall. Cependant l’une des premières choses à considérer lors de la configuration d’un
pare-feu est son emplacement. Et le meilleur emplacement est sans doute la passerelle entre
le réseau local et l’internet. C’est un endroit qui doit être bien sécurisé.
Pare-feu ?
Un pare-feu est un système permettant de protéger un ordinateur ou un groupe d’ordinateur
contre les intrusions provenant du réseau extérieur notamment l’internet. Le pare-feu est
aussi un système permettant de filtrer les paquets de données échangés avec le réseau, il
s’agit alors de passerelle filtrante qui comporte au moins deux interfaces réseaux suivants :
Une interface pour le réseau à protéger
Une interface pour le réseau externe
Le système firewall est un système logiciel, qui repose parfois sur un matériel réseau et joue
un rôle d’intermédiaire entre le réseau local et ou plusieurs réseaux externes. Ainsi il est
possible de mettre en place un système pare-feu sur n’importe quelle machine avec
n’importe quel système si : la machine est puissante pour traiter le trafic, le système est
sécurisé, et aucun autre système que le système de filtrage de paquet ne fonctionne sur le
serveur. Voici une représentation d’un firewall au sein d’un réseau.
70

Figure6 : réseau protégé par un firewall
Fonctionnement d’un système avec un pare-feu ?

Il y a 15ans de cela les entreprises ne mettaient pas de firewall, les hackers se faisaient plaisir.
Un système pare-feu contient un ensemble de règles prédéfinies permettant :
- D’autoriser la connexion
- De bloquer la connexion
- De rejeter la demande de connexion sans avertir l’émetteur.
L’ensemble de ces règles permet de mettre en œuvre une méthode de filtrage dépendante de
la politique de sécurité mise en place par l’entreprise. On distingue couramment deux types
de sécurité permettant soit de laisser passer seulement des trafics qui sont explicitement
autorisés. Cette méthode est la plus sûre et la plus utilisée. Soit d’empêcher les échanges qui
ont été explicitement interdits.
C. Firewall avec iptable, netfilter

Les noyaux 2.4 et plus de linux contiennent un logiciel puissant de filtrage de paquet ip du
nom de Netfilter et qui utilise iptables. Iptables remplace ipchaines utilisé sur les noyaux 2.2.
Iptables est sans doute l’un des meilleurs firewalls pour linux, et certainement le plus
rependu. On note trois chaines au niveau de iptables : INPUT (en entrée), FORWARD (dans
le cas d’un routage) et OUTPUT (en sorti). Les actions à entreprendre sont : ACCEPT
(accepter le paquet) et DROP (rejeter le paquet).
71

Qu’es qu’un filtre ip ?
Iptables est un filtre ip. Un filtre ip agit principalement au niveau de la couche internet du
modèle tcp/ip, il peut également travailler au niveau de la couche 3. Mais par définition un
filtre ip travail sur la couche2.
Fonctionnement d’Iptables ?
Iptables est un outil de ligne de commande qui, depuis les arguments qu’il reçoit crée ses
règles. Ainsi iptables possède 3 tables pour classer nos règles selon les besoins, contenant
elles-mêmes plusieurs chaines. Les tables sont NAT, FILTER, MANGLE.
 FILTER : C’est la table par défaut classée en 3 chaines : INPUT (entrant) OUTPUT
(sortant), et FORWARD (redirection).
 NAT : C’est la table utilisée pour rediriger le trafic vers une autre machine. Elle
possède trois chaines : PREROUTING (routage entrant), POSTROUTING (routage
sortant), et OUTPUT (sortant).
 MANGLE : C’est la table qui contient toutes les autres règles
Configuration d’Iptables
Ici ce qu’on va faire est de bloquer tous les ports du serveur au départ, en faire la liste des
ports qu’on autorise et les débloquer petit à petit selon nos besoins. De ce fait, on sera sûr
qu’il n’y aura pas de problèmes ; principe de liste de blanche : on bloque tout et on autorise
seulement ceux qu’on connait.
La commande pour lister toutes les règles qu’on a créées est Iptables -L
Là on voit qu’on a 3 liges qui apparaissent mais on n’a aucune règle. On remarque
également que la politique c’est d’accepter tout, donc tous les trafics entrants et sortants sont
acceptés. Et ça ce n’est pas bien car n’importe qui peut entrer avec la porte qu’il veut et sortir
comme il veut ; ça multiplie la possibilité d’attaque. Maintenant, interdisons tout le trafic
72

entrant et sortant. Pour cela nous allons modifier le fichier firewall avec la commande gedit
firewall et ajouter les lignes suivantes :
Si on fait ls on voit clairement qu’on a notre fichier, mais il faut lui donner des droits
d’exécution.
.
Pour lui donner des droits d’exécution il suffit de faire un chmod +x firewall. En exécutant
le fichier avec ./firewall on aura la capture suivante
En ce moment rien ne peut entrer ni sortir

de notre serveur. Bien évidement il n’est pas intéressant de laisser entrer tout le monde
n’importe comment et de sortir n’importe où, mais il est insensé d’interdire à tout le monde
de sortir et d’entrer. Donc c’est au fur et à mesure qu’on autorisera la sortie et l’entrée en
fonction de nos besoins. Essayons de faire un petit test avec la fonction ping pour voir. On
ping notre propre serveur qui a l’adresse 192.168.1.1 et ça ne devrait pas passer puisque rien
n’est autorisé pour le moment ni par accès à distance ni depuis l’intérieur puisque le
loopback n’est pas autorisé non plus.
73

Voilà le ping ne
passe pas et on n’est sûr que personne ne peut nous faire un DDOS. Iptables est la solution
idéale pour éviter le ddos. Maintenant autorisons le loopback et icmp.
Normalement si on exécute à nouveau le

fichier firewall on pourra faire le ping.
.
Maintenant nous allons autoriser les autres services comme le dns, le telnet, le http. Les
commandes sont :
Maintenant essayons de nous connecter en ssh sur notre serveur pour voir ce qui va se
passer. Nous allons utiliser putty pour les connections à distance.
74

La connexion a été rejetée.
Faisons un telnet sur le port 25
. SMTP et SSH ne marche pas c’est-à-dire

que les fonctions ne sont pas autorisées, maintenant faisons quelques manipulations dans le
but d’autoriser les services.
Maintenant si on refait le test avec le telnet on se connectera sur notre serveur.
75

Mais on va également limiter le nombre de requêtes pour éviter qu’un attaquant submerge
notre serveur avec l’envoie de masse de demandes. La commande est : iptables –A INPUT –
m limit –-limit 3/seconde
On peut également se protéger contre les scans de ports avec la commande suivante :
Iptables –A FORWARD –p tcp --tcp-flags SYN, ACK, FIN, RST RST –m limit --limit
1/second –j ACCEPT
Maintenant on a un petit souci puisque à chaque démarrage du serveur on doit taper la

commande ./firewall pour lancer le pare-feu. Heureusement y’a une commande qui allège la
charge de l’administrateur en lançant le pare-feu à chaque démarrage. La commande est :
Update-rc.d firewall defaults.
Nous
avons un message d’erreur. J’ai récupéré quelques lignes sur internet et pour être honnête je
ne sais pas à quoi ça correspond.
76

et
maintenant si on tape la commande à nouveau ça va marcher.
D. Fail2ban
Fail2ban est une protection supplémentaire pour un serveur contre les pirates. Il permet de
contrer les attaques comme bruteforce et/ou par dictionnaire qui consiste à associer des mots
pour trouver des mots de passe. Fail2ban est un script surveillant les accès réseaux grâce aux
logs des serveurs. Lorsqu’il détecte des erreurs des mauvaises authentifications répétitives, il
prend en ce moment des contremesures en bannissant automatiquement l’adresse ip grâce à
iptables.
Installation
L’installation de fail2ban se fait comme l’installation des autres services sous Ubuntu
Apt-get install fail2ban
77

Une fois l’installation terminée nous allons configurer le fichier de configuration qui se
trouve dans : gedit /etc/fail2ban/jail.conf. Si on ouvre le fichier nous trouverons quelques
paramètres qui ressemblent à ceux-ci :
On ajoute les adresses à ignorer, le temps de bannissement et le nombre maximum de

tentatives avant bannissement. Ainsi pour l’activation d’un filtre on change le champ
« enabled » à « true » ou à « false » pour le désactiver. On peut également changer le nombre
maximum de tentatives de connexion par un utilisateur (maxretry), l’emplacement du fichier
log, le numéro de port, et le temps d’interdiction de connexion « bantime ». En voici un
exemple de configuration par défaut de ssh, mais il nous est possible d’ajouter d’autres
paramètres.
E. RKHUNTER
Nous avions vu au niveau des attaques réseau ce qu’on appelle le backdoor (porte dérobée)
qui consiste à entrer dans un réseau sans une autorisation et d’installer des Trojan, Rkhunter
est une des solutions pour contrer cette attaque. Rkhunter ou anti-routkit est un programme
78

qui permet de détecter la présence de Rootkits, portes dérobées et exploit au sein du système
sur quel il est exécuté.
Principe de fonctionnement ?
Son fonctionnement est le suivant :
Il réalise des comparaisons sur les empreintes SHA-256, SHA-512, SHA1 et MD5 de fichier
considérer comme critiques pour le système d’exploitation sur lequel il est exécuté. Ces
comparaisons sont ainsi réalisées avec des tableaux de hachage qui sont accessible à partir
d’une base de données en ligne.
Installation
Apt-get install rkhunter
On modifier le fichier gedit /etc/default/rkhunter pour ajouter notre adresse mail.
F. Steganographie d’image avec Quick Stégo

Par définition la stéganographie est l’art de dissimiler un message dans un autre.
Contrairement à la cryptographie (l’art du secret), qui chiffre des messages de manière à les
rendre incompréhensibles à qui de droit, la steganoraphie en grec « l’écriture couverte »
cache le message dans un autre support, par exemple des images, un texte qui semble être
anodin. Ainsi la stéganographie existe depuis le Ve siècle avant Jésus-Christ chez Hérodote.
La stéganographie d’aujourd’hui n’est plus la même qu’avant du fait qu’on n’écrit pas un
message dans un œuf dur ou faire raser le crane d’un esclave, d’y écrire un message et
attendre que les chevaux repoussent pour ensuite envoyer l’esclave à la destination etc …
Maintenant la stéganographie utilise des images ou des sons, pour dissimuler son message.
Beaucoup la préfère à la place de cryptographie qui a première vue attire l’attention des
autres et fera tout ce qui est en son pouvoir pour rendre le message lisible, mais imaginons
un pirate qui écoute notre réseau et qui intercepte une simple photo, il ne va rien faire car il
ne pensera pas qu’un message important puisse y être caché. C’est comme un jardinier qui
cache son coffre-fort dans son jardin. Pour notre cas nous allons utiliser Quick Stégo qui est
un logiciel gratuit et disponible sur internet. Nous allons utiliser pour dissimiler un message
dans une image.
Voici Quick Stégo
79

Figure7: Quick Stégo
On clique sur open image, on sélectionne notre image et on écrie notre message puis on
clique sur hide text
Ensuite on
enregistre le message en cliquant sur save image. Maintenant on envoi la photo, et imaginons
que quelqu’un intercepte la photo il aura que ceux-ci
80

Alors si la photo arrive à destination on aura qu’à ouvrir Quick Stégo et faire ceci
En 1 on importe la photo qu’on a reçue et en 2 on affiche le Text. C’est un moyen efficace

pour envoyer des messages au sein de l’entreprise sans que quelqu’un d’autre ne
l’intercepte et ne lise le contenue.
G. IDS SNORT
Un IDS est un système de détection d’intrusion, c’est un élément essentiel dans une
architecture de sécurité informatique pour surveiller et connaitre les attaques réseaux. Un
IDS n’est rien d’autre qu’un sniffeur réseau couplé avec un moteur qui analyse le trafic selon
les règles et ces dernières définissent un évènement à signaler. C’est au niveau des couches
suivantes que l’analyse peut se faire : réseau (IP, ICMP), transport (TCP, UDP), à la couche
81

application (http, telnet, ftp). Il écoute le réseau de manière furtive afin de repérer des
activités anormales ou suspectes ainsi d’avoir une action de prévention sur les risques
d’intrusion. Nous avons principalement deux types d’IDS :
- Les N-IDS (Network Based Intrusion Detection System) : qui surveille l’état de la
sécurité au niveau réseau.
- Les H-IDS (Host Based Intrusion Detection System) : qui surveille l’état de sécurité au
niveau des hôtes. Les HIDS sont particulièrement efficaces pour s’il y’a une
contamination d’hôte la maladie ne va rependre sur tout le réseau. Les NIDS permettent
de surveiller l’ensemble d’un réseau contrairement à un HIDS qui se limite à un Hôte.
Cependant on parle d’IDS hybride quand on associe les NIDS et HIDS pour avoir des
alertes pertinentes. Ainsi nous avons une liste d’IDS connus qui sont :
- SNORT
- BRO
- ENTERASYS
- CHEICK POINT
- TIPPING POINT
- ETC
Pour notre cas nous allons utiliser SNORT.
SNORT
Snort est un système de détection d’intrusion basé sur l’analyse du trafic en temps réel. Pour
ce faire il fait des analyses de protocole et peut être utilisé pour détecter une grande variété
d’attaques et de sondes. Quand Snort détecte une intrusion il peut soit avertir
l’administrateur système par un message sms/mail/vocal soit interdire tout trafic provenant
de l’attaquant soit interdire tout trafic d’une classe d’adresse. Pour maintenir Snort efficace il
est nécessaire de le mettre à jour régulièrement.
Configuration de Snort
On peut installer snort sous windows en téléchargeant le logiciel libre snort et le fichier
compressé rule directement sur Google. Une fois le fichier téléchargé on l’ouvre et on suit
l’installation.
82

Par vérification
on ouvre disc locale c et on y trouve le dossier snort, à, l’intérieur duquel se trouvent
d’autres fichiers.
Maintenant nous allons nous placer dans etc et ouvrir le fichier snort.conf pour ajouter notre
adresse réseau. Avant tout on copie le contenu du fichier rule qu’on a téléchargé et le coller
au niveau du fichier Rule qui est au niveau du disc local c au niveau du capture 3 de la figure
en dessus.
83

Nous allons encore modifier le même fichier en ajoutant quelques lignes au niveau de l’étape
6
On ajoute cette
ligne
84

Ainsi on crée un fichier alerts.ids dans c : /snort/log, c’est ce fichier qui recevra tous les
messages d’alerte dans le réseau
La configuration est terminée maintenant on passe au test on ouvre cmd en tant que admin
et on se déplace vers le chemin c:\snort\bin
La commande snort tapé précédemment nous permet de faire des captures de trames dans le
réseau
85

Maintenant on configure les alertes pour cela on tape la commande :
La capture précédente montre que la configuration des alertes est bien configurée.
Créons maintenant des règles snort qui permettent de surveiller notre réseau 192.168.1.X/24
contre les connexions employant la commande ping (protocole ICMP) par conséquent les
attaques DDOS et celle employant le web (protocole http) de port 80. Nous allons utiliser la
topologie suivante :
Figure 8 : Sécurité avec snort
86

Conclusion
Dans cette partie nous avons vu l’essentiel de la sécurité, avec iptables qui est un firewall
intégré au niveau d’Ubuntu. Grace à Rkhunter on pourra détecter les backdoor qui sont une
attaque très dangereuse. Iptable quant à lui nous permet d’éviter un ddos. En fin nous avons
installé et configuré snort dans le but de détecter des intrusions et de nous alerter par
message/mail ou sons. Nonobstant toutes ces mesures nous pouvons affirmer avec quelques
réserves bien sur l’acquisition d’une certaine sécurité du système.
Conclusion générale
De nos jours il existe des quantités innombrables de faiblesses pouvant être exploitées par
une personne mal intentionnée dans le but d’accéder sans autorisation à des informations
privées ou bien même d’empêcher le fonctionnement d’un réseau informatique. Cependant
toutes ces possibilités d’attaque ne sont pas toujours basées sur le principe de l’intrusion
d’un équipement réseau mais seulement sur les faiblesses du protocole TCP/IP et des
87

services réseaux qui assurent son bon fonctionnement. Nous avons vu la facilité de mettre un
site hors-jeu en quelques minutes. On pense que la grande réussite des pirates est due à la
négligence de la sécurité au sein des entreprises. Celle-ci doit être appliquée du poste de
travail le plus faible jusqu’à la hiérarchie la plus grande de l’entreprise. Si vraiment il y avait
une conscience de la sécurité, les équipements réseaux, les systèmes s’appuyant sur des
réseaux ainsi que les services réseaux seraient correctement configurés, sécurisés et mis à
jours de temps en temps. Dans le premier chapitre, nous avons vu le protocole tcp/ip et la
limite de ces protocoles et dans le deuxième chapitre comment on exploite la faille de ces
protocoles sous kali-linux, kali qui très efficace pour les intrusions et le piratage via kali
spécialement par slowloris ; nous avions mis hors-jeu un site web pendant un moment juste
pour montrer la gravité de laisser son site sans sécurité et réussis à introduire un cheval de
Troie au sein d’un système d’exploitation et espionné par le truchement de backdoor dans le
but de montrer la gravité de laisser des portes de sa maison ouvertes.
Nous avons vu en dernière lieu la sécurité des systèmes d’information. On a remarqué

qu’Ubuntu est le meilleur système pour la sécurité informatique. Dans un premier temps
nous avons sécurisé notre serveur avec iptables pour éviter le ddos et savoir ce qui entre au
sein de notre réseau. Dans un deuxième temps nous avons configuré le pare-feu pour éviter
le backdoor et éventuellement l’accès à distance sans autorisation. Pour bien configurer notre
firewall on a tout bloqué au départ et autorisé étape par étape suivant nos besoins.
En fin comme on a dit depuis le début que la sécurité à 100% garantie n’existe pas.
Faudra bien mettre tout ce qui est à notre disposition concernant la sécurité et c’est pourquoi
nous avons installé et configuré snort qui est un système de détection d’intrusion. Snort est
un logiciel gratuit téléchargeable sur Google. Ainsi snort a des limites puisque il n’est
efficace que quand il y a intrusion au sein de notre système. On devrait penser à utiliser
quelque chose qui nous alertera s’il y a une tentative d’intrusion d’où l’importance d’un IPS
(Système de prévention d’intrusion).
88

Bibliographie
 Les ouvrages
Hack auteur NZEKA GILBERT alias KHAALEL
Hacking, sécurité et test d’intrusion avec Métasploit auteurs : David Kennedy, jim
O’gorman, Devon kears, Mati Aharoni
 Webographie
www.wikipedia.com
 https://fr.wikipedia.org/wiki/Attaque_par_d%C3%A9ni_de_service
 https://fr.wikipedia.org/wiki/Spoofing
 https://fr.wikipedia.org/wiki/Attaque_de_l%27homme_du_milieu
 https://fr.wikipedia.org/wiki/Iptables
 https://fr.wikipedia.org/wiki/Snort
www.youtube.com
https://www.youtube.com/watch?v=I3r_3Q2s3rs
https://www.youtube.com/watch?v=ymxaJvp76LE
https://www.youtube.com/watch?v=_slOMoe_YaE
https://www.youtube.com/watch?v=_snieZtj8fQ
https://www.youtube.com/watch?v=O4TZV8p6kIA
https://www.youtube.com/watch?v=V1debsgNnTo
89

Liste des acronymes
TCP : Transport Control Protocol
IP : Internet Protocol
UDP : User datagramme Protocol
FTP : File Transport Protocol
DNS : Domain Name Service
Http : Hyper Text Transport Protocol
SMTP : Simple Mail Transport Protocole
ARP : Address Resolution Protocol
MAC : Media Access Control
ICMP : Internet Control Message Protocol
NTP : Network Time Protocol
DOS : Denial Of Service
DDOS : Distributed Denial Of Service
CVE : Common Vulnerabilities and Exposures
CPE : Common Product Enumeration
CVSS : Common Vulnerability Scoring System
LDAP : Lightweither Directory Access Protocol
XSS : Cross-site Scripting
SQL : Structured Query Langage
N-IDS : Network Based Intrusion Detection System
H-IDS : Host Based Intrusion Detection System
SSH : Secure Shell
ARPA : Advanced Research Projects Agency
OSI : Open System Interconnection
ISO : International Organization for Standization
90

Mountaga Sall Memoire Master 2

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Mountaga Sall Memoire Master 2

Transféré par

Droits d'auteur :

Formats disponibles

Université Gaston Berger de UFR : SAT (Science

Saint Louis Appliqué et Technologi)

Mémoire de fin d’étude de Master professionnelle en

Sujet : Attaques réseaux

Présenté par Mountaga Sall Sous la directive de : Dr Cherif Diallo

Année académique : 2015-2016

Attaques réseaux : Présenté par Mountaga Sall

Je rends grâce à DIEU, le Tout Puissant qui m’a permis d’accomplir à

Ma forte gratitude à M Cherif Diallo qui a accepté de m’encadrer à

Je remercie mes camarades de classe pour l’aide qu’ils m’ont apporté

Je remercie Baba Mall pour sa douce musique qui m’accompagne

Je tiens à remercier également mon frère Ibrahima Dème, étudiant de

En fin je remercie tout le corps professoral de l’UFR SAT.

Attaques réseaux : Présenté par Mountaga Sall

Mes amis Ousmane Diallo, Ousmane Gueye, Alassane Dieng,

Ma très chère Aissata Sow

Toute la communauté matamoise

Mes camarades de classe

Tous mes camarades de promotion

Tous les Professeurs de CFPP

Tout le personnel de l’UFR SAT

Attaques réseaux : Présenté par Mountaga Sall

Attaques réseaux : Présenté par Mountaga Sall

Attaques réseaux : Présenté par Mountaga Sall

Attaques réseaux : Présenté par Mountaga Sall

En effet, il s’agit pour moi, étudiant de Master 2 professionnel en Réseaux et

Attaques réseaux : Présenté par Mountaga Sall

Figure 0 : Modèle client serveur

Figure 1 : Attaque ddos par réflexion

Figure 2 : Vulnérabilité post-client

Figure 3 : Attaque XSS par réflexion

Figure 4 : Le dns id spoofing

Figure 5 : Man in the Middle

Figure 6 : Réseau protégé par un firewall

Figure 7 : Quick Stégo

Figure 8 : Sécurité avec Snort

Attaques réseaux : Présenté par Mountaga Sall

Attaques réseaux : Présenté par Mountaga Sall

B. Le modèle OSI :(Open System Interconnection)

Attaques réseaux : Présenté par Mountaga Sall

On a la couche Application, Présentation, Session, Transport, Réseau, Liaison de données et

Sur ce modèle, on va seulement donner le rôle de chaque couche, on ne va pas trop

Attaques réseaux : Présenté par Mountaga Sall

C. Le Modèle TCP/IP et failles de quelque protocoles

Attaques réseaux : Présenté par Mountaga Sall

Application Telnet FTP SMTP DNS HTTP

Transport TCP UDP

Internet ARP IP ICMP

Accès Réseau Ethernet Token Frame ATM

Attaques réseaux : Présenté par Mountaga Sall

- Permettre le partage de fichiers entre machines distantes.

Par conséquent, le protocole FTP souffre de quelques lacunes : il autorise la notion

Attaques réseaux : Présenté par Mountaga Sall

Le telnet est un service permettant aux administrateurs de se connecter à un hôte à partir

Attaques réseaux : Présenté par Mountaga Sall

Le protocole UDP (User Datagram Protocol) est un protocole de la couche transport du

Attaques réseaux : Présenté par Mountaga Sall

Attaques réseaux : Présenté par Mountaga Sall

Figure 0 : Modèle client serveur

Le fonctionnement du modèle client service est simple à comprendre :

Nous allons détailler ces différentes attaques.

E. Enjeux et problématiques de la sécurité réseau

Attaques réseaux : Présenté par Mountaga Sall

- La maitrise du cycle de vie, le transport, le traitement ainsi que le stockage des