Null-session

This article needs to be translated

This article has been copied from the old wiki and is in french. It needs to be translated into english. If you wish to participate, please send a mail to (click to reveal email)

NULL Session

Description

Cette attaque consiste à tenter une connexion NULL (sans identifiant ni mot de passe) sur un poste Windows distant afin d'énumérer les partages.

Mise en oeuvre de l'attaque

A partir d'un poste Windows, l'énumération des partages s'effectue simplement :

C:\> net use \\172.16.130.128\ipc$ ""/u:""
The command completed successfully

Note

Notez que le partage IPC$ (Inter-Communication Process) est activé par défaut sur les systèmes Windows NT, 2000, XP et 2003. Notez par ailleurs que l'attaque n'est pas enregistrée dans les journaux de l'hôte distant.

Exploitation de l'attaque

Cette attaque peut permettre, par exemple, de lister les interfaces (NIC, Network Interface Card) ainsi que leurs adresses MAC :

C:> getmac \\172.16.130.128
Information for machine 172.16.130.128
Transport Address  Transport Name
-----------------  --------------
00-0C-29-**-**-**  \Device\Nbf_**************
...
...

Contre-mesure

Afin de se prémunir contre ce type d'attaque, il est nécessaire d'interdire les accès anonymes sur les ports 139/tcp et 445/tcp et affectant la valeur d'une clé de registre.

Windows NT

1. Ouvrir l'éditeur de registre (regedt32.exe)
2. Se rendre au répertoire suivant : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
3. Ajouter la clé suivante : Clé : RestrictAnonymous, Type : REG_DWORD, Valeur : 1

Windows XP et 2003

1. Ouvrir l'éditeur de registre (regedit.exe)
2. Se rendre au répertoire suivant : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
3. Ajouter la clé suivante : Clé : RestrictAnonymous, Type : REG_DWORD, Valeur : 1
4. Ajouter la clé suivante : Clé : RestrictAnonymousSam, Type : REG_DWORD, Valeur : 1
5. Ajouter la clé suivante : Clé : EveryoneIncludesAnonymous, Type : REG_DWORD, Valeur : 0

Windows 2000

1. Ouvrir l'éditeur de registre (regedit.exe)
2. Se rendre au répertoire suivant : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
3. Ajouter la clé suivante : Clé : RestrictAnonymous, Type : REG_DWORD, Valeur : 2