FIN Scan

Définition

Le FIN Scan est un type de scan de port furtif qui envoie des paquets TCP avec uniquement le drapeau FIN activé (sans SYN, sans établissement de connexion préalable), exploitant une ambiguïté dans la RFC 793 (TCP) pour identifier les ports ouverts et fermés sans compléter de connexion TCP complète. Le FIN Scan est l'une des techniques de scan furtif de Nmap (-sF) utilisées pour contourner les pare-feux basiques et certains systèmes de détection. Selon la RFC 793, un hôte doit répondre à un paquet TCP avec des drapeaux invalides reçu sur un port fermé avec un RST+ACK. Selon la même RFC, les paquets FIN reçus sur des ports ouverts doivent être silencieusement abandonnés. C'est cette asymétrie de comportement qui permet au FIN Scan de déduire l'état d'un port : RST+ACK = port fermé, pas de réponse = port ouvert (ou filtré). Les variantes des scans furtifs TCP incluent : le Null Scan (-sN, aucun drapeau), le Xmas Scan (-sX, drapeaux FIN+URG+PSH activés — le paquet 'illuminé comme un arbre de Noël'), et le FIN Scan (-sF). Ces trois scans exploitent la même vulnérabilité RFC 793 et produisent les mêmes résultats sur les systèmes Unix/Linux. Ils ne fonctionnent pas sur Windows (qui répond RST+ACK sur tous les ports, ouverts ou fermés, pour les paquets FIN non sollicités). La furtivité de ces scans vient de l'absence d'établissement de connexion TCP complet (pas de SYN envoyé), ce qui fait que les logs d'applications et certains pare-feux stateless ne tracent pas ces connexions. Cependant, les pare-feux stateful (qui suivent l'état des connexions) et les IDS/IPS modernes détectent facilement les paquets FIN/NULL/Xmas non associés à une connexion établie.