La phase de Scan en pentesting : les bases de l’analyse

La phase de reconnaissance terminée, vous connaissez maintenant l’adresse d’un serveur. Mais que propose-t-il réellement : un site web, un accès à distance, une base de données ? La phase de scan en pentesting sert à répondre à ces questions.

Dans ce chapitre sur la cybersécurité, vous apprendrez à repérer les machines accessibles, rechercher leurs ports ouverts et identifier les services disponibles. Vous verrez ensuite comment transformer ces résultats en pistes d’analyse, sans confondre découverte et preuve de vulnérabilité.

Comprendre le rôle du scan

Un pentest, ou test d’intrusion, consiste à évaluer la sécurité d’un système avec l’autorisation de son propriétaire. Après la reconnaissance, qui rassemble les premières informations sur la cible, le scan permet d’interroger les machines pour comprendre ce qu’elles rendent accessible.

La progression est simple :

Contrairement à une recherche dans des documents publics, un scan échange directement des données avec la cible. Il peut donc déclencher des alertes ou solliciter ses ressources.

L’objectif de cette phase d’analyse n’est pas encore de prendre le contrôle d’un serveur. Vous cherchez d’abord à dresser une carte fiable de ce qui répond.

La phase de scan permet de passer des informations recueillies pendant la reconnaissance à une vision concrète du système. La reconnaissance aide à repérer les cibles et à comprendre leur environnement. Le scan consiste ensuite à interroger les machines autorisées pour découvrir lesquelles répondent, quels services elles proposent et comment ces services sont accessibles. C’est un peu comme avoir le plan d’un bâtiment, puis aller observer ses accès : le plan vous guide, mais il ne vous dit pas quelles portes sont réellement utilisables.

Cette phase sert aussi à analyser les points faibles possibles. Un service inutilement accessible, un logiciel ancien ou une mauvaise configuration peuvent mériter une vérification. Cependant, découvrir un port ouvert ne signifie pas avoir trouvé une faille : ce port peut simplement permettre au serveur de faire son travail. Vous rassemblez donc des indices, vous vérifiez leur fiabilité et vous choisissez les pistes qui méritent d’être approfondies.

Le scan arrive avant l’exploitation, car il faut comprendre ce que l’on teste avant de tenter d’utiliser une faiblesse. L’exploitation cherchera à démontrer qu’une vulnérabilité permet réellement une action non prévue, comme accéder à une information protégée. Le scan prépare cette étape : il évite les essais au hasard et aide à sélectionner des tests adaptés, dans les limites de l’autorisation donnée. Ces phases restent liées : une nouvelle découverte peut vous amener à revenir au scan pour compléter votre analyse.

Adresse IP, port et service : trois notions essentielles

• Une adresse IP identifie une interface réseau, par exemple 192.168.56.10.
• Un port réseau est un numéro permettant d’orienter les communications vers le bon logiciel. Ce n’est pas une prise physique sur l’ordinateur !
• Un service est un programme qui répond à des demandes : afficher un site, transférer des fichiers ou permettre une connexion à distance.

Imaginez un immeuble : l’adresse IP indique le bâtiment, le port désigne un guichet et le service correspond à l’activité proposée.

Enfin, TCP et UDP sont deux façons de transporter les données. TCP organise une connexion et la livraison des informations. UDP envoie des messages sans garantir leur arrivée. Un même numéro de port peut donc exister séparément en TCP et en UDP.

TCP et UDP sont deux méthodes utilisées pour envoyer des données sur Internet, avec des priorités différentes :

• TCP (La sécurité avant tout) : Il vérifie que chaque morceau de données arrive correctement et dans le bon ordre. C’est comme un colis recommandé : si un paquet manque, il est immédiatement redemandé.Il est idéal pour le web, les e-mails ou les fichiers, où la moindre erreur pose problème.
• UDP (La vitesse avant tout) : Il envoie les données le plus vite possible sans se soucier si elles arrivent ou non. C’est comme une conversation en direct ou un flux vidéo : si une image ou un mot saute, on continue sans s’arrêter. Il est idéal pour le streaming, la VoIP ou les jeux en ligne.

Préparer un environnement pour pratiquer

Pour suivre les exemples, utilisez une machine Nmap et une seconde machine de test placée dans un réseau virtuel isolé. Utilisé par exemple Metasploitable.

Une machine virtuelle est un ordinateur simulé par un logiciel. Pour une cible volontairement vulnérable, choisissez un réseau interne ou privé, sans exposition à Internet.

Dans la suite, 192.168.56.10 représente votre cible. Remplacez cette adresse par celle de votre laboratoire.

Limitez toujours les scans aux équipements explicitement autorisés, avec un périmètre et des horaires définis.

# Vérifie que Nmap est disponible.
nmap --version

👉 Consultez notre guide complet sur Nmap.

Étape 1 : repérer les machines accessibles

On va commencer avec ping. La commande ping envoie un petit message pour demander, en quelque sorte : « Êtes-vous là ? »

# Envoie quatre demandes à la machine du laboratoire.
ping -c 4 192.168.56.10

Une réponse confirme que la machine est joignable par cette méthode.

En revanche, aucune réponse ne signifie pas forcément que la machine est éteinte. Un pare-feu, c’est-à-dire un filtre des communications réseau, peut bloquer ces messages.

Découvrir les machines avec Nmap

Nmap peut rechercher les machines qui répondent sans effectuer ensuite un scan de ports :

# Recherche les machines accessibles dans le réseau autorisé.
nmap -sn 192.168.56.0/24

-sn demande une découverte des machines uniquement. La notation /24 désigne ici le bloc d’adresses allant de 192.168.56.0 à 192.168.56.255.

Cette découverte ne repose pas uniquement sur le ping classique. Sur un réseau local, Nmap utilise notamment ARP, un mécanisme permettant de retrouver les équipements voisins.

• L’ARP (Address Resolution Protocol) sert de traducteur sur un réseau local.

Chaque appareil possède deux identifiants : une adresse IP (logique, comme une adresse postale) et une adresse MAC (physique, gravée dans la carte réseau, comme un numéro de passeport).

Quand un ordinateur veut parler à un autre sur le même réseau Wi-Fi ou Ethernet, il connaît son adresse IP mais ignore son adresse MAC. Il crie alors à tous les appareils du réseau : « Qui a l’adresse IP 192.168.1.5 ? »

La machine qui possède cette IP répond directement : « C’est moi, voici mon adresse MAC. » L’émetteur peut ainsi enregistrer l’information dans sa table ARP pour envoyer ses messages directement.

Conservez les adresses détectées. Elles constituent votre premier inventaire.

Étape 2 : rechercher les ports ouverts

Commencez par quelques ports pour comprendre le fonctionnement du scan :

# Teste trois ports TCP sur la cible.
nmap -sT -p 22,80,443 192.168.56.10

-sT demande à Nmap de tenter une connexion TCP classique. L’option -p précise les ports à examiner.

Exemple fictif :

PORT    STATE     SERVICE
22/tcp  open      ssh
80/tcp  closed    http
443/tcp filtered  https

Comprendre les résultats

État	Signification simple
open : ouvert	Un programme accepte les communications sur ce port.
closed : fermé	La cible répond, mais aucun service n’écoute sur ce port.
filtered : filtré	Nmap ne peut pas déterminer si le port est ouvert, généralement à cause d’un filtrage (pare-feu).

Ces résultats décrivent ce que Nmap observe depuis votre emplacement. Un service accessible depuis le réseau interne peut être filtré depuis Internet.

Surtout, un port ouvert n’est pas automatiquement une vulnérabilité. Un serveur web doit bien recevoir ses visiteurs quelque part !

Élargir progressivement la recherche

Sans sélection particulière, Nmap examine habituellement les 1 000 ports TCP les plus courants.

Pour rechercher aussi des services placés sur des ports moins habituels :

# Examine les ports TCP de 1 à 65535.
# Enregistre également le résultat dans un fichier texte.
nmap -sT -p- -oN scan-tcp.txt 192.168.56.10

-p- étend la recherche à tous ces ports. -oN conserve une sortie lisible dans le fichier indiqué. Un scan plus large peut prendre davantage de temps.

Si une cible connue comme active n’est pas détectée, ajoutez -Pn à une commande ciblée. Cette option saute la découverte initiale ; elle ne contourne pas le pare-feu.

Les ports courants à connaître

Voici un tableau actualisé des usages courants. Il sert de repère, pas de preuve : un administrateur peut choisir un autre port pour son service.

Port	Transport courant	Service et utilité
20 / 21	TCP	FTP : données en mode actif / commandes de transfert de fichiers
22	TCP	SSH : administration à distance chiffrée
23	TCP	Telnet : terminal distant sans chiffrement
25	TCP	SMTP : transport des courriels entre serveurs
53	TCP et UDP	DNS : correspondance entre noms et adresses IP
80	TCP	HTTP : accès web sans chiffrement
123	UDP	NTP : synchronisation de l’heure
137 / 138 / 139	UDP / UDP / TCP	NetBIOS : noms, messages et sessions réseau historiques
161	UDP	SNMP : surveillance des équipements
389 / 636	TCP, UDP pour certains usages du 389 / TCP	LDAP / LDAPS : consultation d’annuaires, avec chiffrement pour LDAPS
443	TCP et UDP	HTTPS ; HTTP/3 utilise UDP via QUIC
445	TCP	SMB : partage de fichiers et d’imprimantes
465 / 587	TCP	Envoi de courriels : TLS implicite / soumission, généralement avec STARTTLS
993 / 995	TCP	IMAP / POP avec chiffrement : consultation des courriels
1433	TCP	Microsoft SQL Server : base de données
3306 / 5432	TCP	MySQL / PostgreSQL : bases de données
3389	TCP et UDP	RDP : bureau à distance
5800 / 5900	TCP	Accès web de certaines anciennes solutions VNC / VNC
8080 / 8443	TCP	Ports souvent employés pour des interfaces web alternatives

TLS désigne le mécanisme de protection utilisé pour chiffrer une communication. STARTTLS permet d’activer cette protection après le début de l’échange.

Attention : le port 20 ne couvre pas tous les transferts FTP. En mode passif, les données utilisent d’autres ports négociés.

Le registre IANA confirme notamment les affectations de HTTPS et de RDP en TCP et UDP, mais un numéro enregistré ne garantit jamais l’identité du programme réellement présent.

L’IANA est l’organisme officiel qui attribue les numéros de ports standard (comme le 443 pour HTTPS ou le 3389 pour RDP).

Cela signifie simplement que même si un numéro officiel est réservé pour un service précis, n’importe qui peut configurer un programme malveillant ou différent pour écouter sur ce même port. Le registre indique à quoi le port est censé servir, mais il ne garantit pas du tout que le logiciel qui l’utilise est bien celui d’origine.

Étape 3 : identifier les services

Le numéro du port donne une piste. Pour examiner le programme qui répond, utilisez -sV :

# Recherche les logiciels et leurs versions sur les ports ouverts.
nmap -sT -sV -p 22,443 192.168.56.10

Nmap envoie des demandes adaptées aux services et analyse leurs réponses pour tenter d’identifier leur nom et leur version.

Par exemple, « serveur web Apache » est plus utile que « port 443 ouvert ».

Gardez toutefois un esprit critique : une version peut être masquée ou mal identifiée. Elle constitue un indice à vérifier, pas une condamnation immédiate.

Ne pas oublier UDP

Un scan TCP ne teste pas UDP. Pour examiner quelques services UDP courants :

# Teste DNS et NTP en UDP.
nmap -sU -sV -p 53,123 192.168.56.10

-sU sélectionne le scan UDP. Celui-ci peut être lent, car certains services répondent peu.

L’état open|filtered signifie que Nmap hésite entre « ouvert » et « filtré ». Notez cette incertitude au lieu de transformer une supposition en certitude.

Étape 4 : approfondir avec les scripts Nmap

Nmap possède un moteur de scripts nommé NSE. Un script est une petite suite d’instructions qui automatise une vérification.

Pour récupérer le titre d’une page web :

# Interroge le service HTTP et affiche le titre de sa page.
nmap -sT -sV -p 80 --script http-title 192.168.56.10

Le script http-title peut ainsi révéler une page d’accueil ou une interface d’administration. Il récupère le titre de la page servie ; cela ne démontre aucune faille.

Lisez la description d’un script avant de l’utiliser. Certains réalisent des tests intrusifs : lancer tous les scripts disponibles serait une drôle de façon de faire connaissance avec un serveur.

Étape 5 : rechercher puis vérifier les vulnérabilités

Un scanner de vulnérabilités, comme Nessus, cherche des faiblesses connues : logiciel dépassé, configuration risquée ou protection manquante.

La démarche consiste à sélectionner la cible autorisée, définir les vérifications adaptées, lancer l’analyse puis examiner chaque alerte.

Une CVE est un identifiant public associé à une vulnérabilité connue. Sa présence dans un rapport ne prouve pas que votre cible est exploitable.

Vérifiez le logiciel concerné, ses correctifs et les conditions nécessaires. Un faux positif désigne justement une alerte qui ne correspond pas à une faiblesse réelle.

À l’inverse, un rapport sans alerte ne garantit pas une sécurité parfaite.

Transformer le scan en analyse utile

Consignez la date, la cible, votre emplacement réseau, les commandes et les résultats.

Pour chaque découverte, séparez le fait de l’hypothèse :

Fait : le port 3389 répond depuis le poste de test.
Hypothèse : cet accès distant est peut-être trop largement accessible.
Vérification : comparer cette exposition aux besoins et aux règles prévues.

Penser aussi au pivot, qui consiste à utiliser une machine intermédiaire pour atteindre un autre réseau. Retenez surtout qu’une nouvelle position peut changer les services visibles : l’analyse doit alors être renouvelée dans le périmètre autorisé.

En pentesting (test d’intrusion), le pivot (ou pivoting) consiste à utiliser une première machine compromise — généralement la seule accessible depuis l’extérieur — comme un tremplin pour attaquer d’autres machines situées plus profondément dans le réseau interne, qui étaient initialement invisibles ou inaccessibles.

L’analogie de la forteresse : Imagine une entreprise protégée par un mur d’enceinte et un unique poste de garde. Si vous réussissez à pirater ce poste de garde, vous êtes physiquement à l’intérieur. vous pouvez alors utiliser cette position pour ouvrir des portes intérieures et explorer le reste des salles (les ordinateurs des employés, les serveurs de données) qui étaient totalement bloquées depuis l’extérieur.

Les réseaux d’entreprises séparent généralement leur vitrine publique (comme leur site web) de leur réseau interne sensible grâce à des pare-feux (firewalls). Le pivot permet de contourner ces barrières en transformant un serveur compromis en « passerelle » pour rediriger le trafic des attaques vers l’intérieur du réseau.

Et après : apprendre à poser les bonnes questions

Votre prochain exercice peut tenir dans un petit laboratoire : effectuez un scan, fermez un service inutile, puis comparez les résultats.

Vous observerez directement comment une décision de configuration change l’exposition d’une machine.

C’est là que commence le vrai travail d’analyse : passer de « ce port est ouvert » à « ce service doit-il être accessible, depuis cet endroit, à ces utilisateurs ? » Une question simple, mais souvent bien plus utile qu’une longue collection de commandes.

Maîtriser Nmap