Reconnaissance Active

• Principe : le testeur interagit directement avec le système ou le réseau cible pour collecter des données et identifier des vulnérabilités potentielles.
• Différence avec la recon passive : va au-delà de la simple collecte sans contact — inclut du scan, du sondage (probing) et une interaction directe avec les services réseau.
• Conséquence : génère du trafic détectable, contrairement à l'OSINT du chapitre précédent.

En-tête IPv4 — Champs Clés

• Version (4 bits) : version du protocole IP (4 pour IPv4).
• TTL (8 bits) : nombre maximal de sauts (routeurs) avant destruction du paquet, décrémenté à chaque saut.
• Protocol (8 bits) : identifie le protocole encapsulé — 6 pour TCP, 17 pour UDP, 1 pour ICMP.
• Source / Destination IP : adresses de l'émetteur et du destinataire du paquet.

Handshake TCP en 3 Temps

• 1. SYN : le client envoie un segment SYN avec un numéro de séquence initial choisi aléatoirement.
• 2. SYN-ACK : le serveur répond avec SYN + ACK et génère son propre numéro de séquence.
• 3. ACK : le client acquitte la réponse du serveur — la connexion est établie et les données peuvent circuler dans les deux sens.

Drapeaux & Plages de Ports

• SYN : initie une demande de connexion.
• ACK : acquitte la réception de données.
• FIN : initie la terminaison de la connexion.
• Well-known ports (0-1023) : réservés aux services standardisés par l'IANA.
• Registered ports (1024-49151) : assignés à des applications spécifiques.

# Lister les connexions TCP actives
netstat -antp

Objectifs de la Cartographie

• Découverte des hôtes actifs sur le réseau.
• Identification des ports ouverts et des services associés.
• Cartographie de la topologie réseau (routeurs, switchs, pare-feu).
• Fingerprinting de l'OS et détection des versions de service.
• Identification des mesures de filtrage (pare-feu, IPS) en place.

Ping & fping

# Ping simple d'une cible
ping @IP_cible

# Envoyer seulement 5 paquets
ping -c 5 @IP_cible

# Ping sweep sur tout un sous-réseau
fping -a -g @IP_reseau

# N'afficher que les hôtes actifs
fping -a -g @IP_reseau 2>/dev/null

Découverte d'Hôtes avec Nmap

# Ping sweep via Nmap (sans scan de ports)
nmap -sn @IP_cible

# Forcer l'envoi au niveau IP brut
nmap -sn @IP_reseau --send-ip

# Découverte à partir d'une liste d'IP
nmap -sn -iL fichier.txt

# TCP SYN ping sur le port 22 uniquement
nmap -sn -PS22 @IP_cible

Scan de Base

# Scan par défaut (SYN + host discovery)
nmap @IP_cible

# Ignorer la découverte d'hôtes
nmap -Pn @IP_cible

# Scan rapide (100 ports au lieu de 1000)
nmap -Pn -F @IP_cible

# Scanner un port précis / une plage
nmap -Pn -p80 @IP_cible
nmap -Pn -p1-100 @IP_cible

Modes de Scan TCP/UDP

# TCP SYN scan (furtif, privilèges root requis)
nmap -Pn -sS @IP_cible

# TCP Connect scan (sans privilèges root)
nmap -Pn -sT @IP_cible

# UDP scan
nmap -Pn -sU @IP_cible

Détection Version & OS

# Scan furtif de tous les ports
nmap -sS -p- @IP_cible

# + détection de version de service
nmap -sS -sV -p- @IP_cible

# + détection de l'OS
nmap -sS -sV -O -p- @IP_cible

# Détection OS en mode agressif
nmap -sS -sV -O --osscan-guess -p- @IP_cible

Nmap Scripting Engine (NSE)

# Lister tous les scripts NSE disponibles
ls -al /usr/share/nmap/scripts

# Chercher un script par mot-clé
ls -al /usr/share/nmap/scripts | grep -e "mot-cle"

# Scan avec les scripts par défaut
nmap -sS -sV -sC -p- @IP_cible

# Scan agressif complet (OS, version, scripts, traceroute)
nmap -sS -A @IP_cible

Techniques de Contournement

# Scan ACK (utile pour cartographier des règles de filtrage)
nmap -Pn -sA @IP_cible

# Fragmentation des paquets
nmap -Pn -sS -sV -f @IP_cible

# Fragmentation + taille de paquet forcée (MTU)
nmap -Pn -sS -sV -f --mtu 32 @IP_cible

# Longueur de données personnalisée + IP leurre (decoy)
nmap -Pn -sS -sV -f --data-length 200 -D @IP_decoy @IP_cible

# + changement du port source (ex: 53)
nmap -Pn -sS -sV -f --data-length 200 -D @IP_decoy -g 53 @IP_cible

Optimiser un Scan Nmap

# Timeout par hôte avant de passer au suivant
nmap -Pn -sS -F --host-timeout 1s;3m;5h @IP_cible

# Délai entre chaque sonde envoyée
nmap -sS -sV -F --scan-delay 5s @IP_cible

# Vitesse du scan (0 = très lent/furtif, 5 = agressif)
nmap -sS -sV -F -T 1 @IP_cible

Formats de Sortie & Import Metasploit

# Export au format texte normal
nmap -Pn -sS -F -T4 -oN resultat.txt @IP_cible

# Export au format XML
nmap -sS -sV -F -oX resultat.xml @IP_cible

# Importer le résultat dans Metasploit
msfconsole
workspace -a pentest_1
db_import resultat.xml

# Scanner directement depuis msfconsole
db_nmap -Pn -sS -O -sV @IP_cible