5.8. V�rification de l'identit� des ports en attente de requ�tes
Une fois les services configur�s sur le r�seau, il est important de conna�tre les ports qui sont en attente de requ�tes sur les interfaces r�seau du syst�me. Tout port ouvert peut faire l'objet d'une intrusion.
Il existe deux approches de base pour �tablir la liste des ports en attente de requ�tes sur le r�seau. L'approche la moins fiable consiste � interroger la pile r�seau en saisissant des commandes telles que netstat -an ou lsof -i. Cette m�thode est moins fiable dans la mesure o� ces programmes ne connectent pas l'ordinateur au r�seau, mais v�rifient seulement ce qui est ex�cut� sur le syst�me. Pour cette raison, ces applications sont des cibles fr�quentes de remplacement par des agresseurs. De cette mani�re, des craqueurs tentent de dissimuler leurs traces en ouvrant des ports r�seau non-autoris�s.
Une mani�re plus s�re de v�rifier l'identit� des ports en attente de requ�tes sur le r�seau consiste � utiliser un scanneur de ports tel que nmap.
La commande suivante ex�cut�e � partir de la console d�termine les ports en attente de connexions TCP depuis le r�seau.
La sortie de cette commande ressemble � l'extrait suivant�:
Starting nmap 3.55 ( https://www.insecure.org/nmap/ ) at 2004-09-24 13:49 EDT
Interesting ports on localhost.localdomain (127.0.0.1):
(The 1653 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE
22/tcp open ssh
25/tcp open smtp
111/tcp open rpcbind
113/tcp open auth
631/tcp open ipp
834/tcp open unknown
2601/tcp open zebra
32774/tcp open sometimes-rpc11
Device type: general purpose
Running: Linux 2.4.X|2.5.X|2.6.X
OS details: Linux 2.5.25 - 2.6.3 or Gentoo 1.2 Linux 2.4.19 rc1-rc7)
Uptime 12.857 days (since Sat Sep 11 17:16:20 2004)
Nmap run completed -- 1 IP address (1 host up) scanned in 5.190 seconds |
Cette sortie montre que le syst�me ex�cute portmap en raison de la pr�sence du service sunrpc. Toutefois, un service myst�re existe �galement sur le port 834. Afin de v�rifier si ce port est associ� � la liste officielle des services connus, saisissez�:
cat /etc/services | grep 834 |
Cette commande ne renvoie aucune sortie. Ce qui signifie que, bien qu'�tant dans la plage r�serv�e (c'est-�-dire de 0 � 1023) et n�cessitant un acc�s super-utilisateur pour son ouverture, il n'est pas associ� � un service connu.
Vous pouvez ensuite rechercher des informations sur les ports � l'aide de netstat ou lsof. Pour v�rifier les informations sur le port 834 � l'aide de netstat, utilisez la commande suivante�:
La commande renvoie la sortie suivante�:
tcp 0 0 0.0.0.0:834 0.0.0.0:* LISTEN 653/ypbind |
La pr�sence du port ouvert dans netstat est rassurante car un craqueur ouvrant soudainement un port sur un syst�me sous son contr�le ne permettrait certainement pas au port d'�tre expos� par cette commande. De plus, l'option [p] r�v�le l'id du processus (PID) du service qui a ouvert le port. Dans le cas pr�sent, le port ouvert appartient � ypbind (NIS) qui est un service RPC trait� de concert avec le service portmap.
La commande lsof r�v�le des informations semblables puisqu'elle est capable de lier des ports ouverts aux services�:
Ci-dessous figure la partie pertinente de la sortie de cette commande�:
ypbind 653 0 7u IPv4 1319 TCP *:834 (LISTEN)
ypbind 655 0 7u IPv4 1319 TCP *:834 (LISTEN)
ypbind 656 0 7u IPv4 1319 TCP *:834 (LISTEN)
ypbind 657 0 7u IPv4 1319 TCP *:834 (LISTEN) |
Ces outils r�v�lent de nombreuses informations sur le statut des services ex�cut�s sur un ordinateur. Ces outils sont flexibles et fournissent une quantit� d'informations importante sur les services r�seau et leur configuration. Il est par cons�quent fortement recommand� de consulter les pages de manuel relatives � lsof, netstat, nmap et services.
