Idle Scan

Définition

L'Idle Scan (ou Zombie Scan) est la technique de scan de port la plus furtive implémentée dans Nmap, permettant à un attaquant de cartographier les ports d'une cible sans envoyer aucun paquet directement depuis son adresse IP — le scan est effectué indirectement via un hôte 'zombie' tierce, rendant l'attaquant quasi-invisible. Développée par Salvatore Sanfilippo (auteur de Hping) et présentée en 1998. L'Idle Scan exploite deux mécanismes TCP : 1) les paquets RST TCP provoqués par des paquets SYN/ACK inattendus, et 2) l'implémentation prédictible du champ IPID (IP Identification) par certains systèmes — certains OS incrémentent l'IPID de manière séquentielle et globale (pas aléatoire), permettant de compter le nombre de paquets envoyés par une machine tierce en observant les variations d'IPID. Le processus : 1) choisir un zombie (machine avec IPID incrémental prévisible), 2) mesurer l'IPID courant du zombie via un paquet SYN/ACK → RST, 3) envoyer un SYN vers la cible avec l'adresse IP source spoofée = adresse IP du zombie, 4) re-mesurer l'IPID du zombie. Si le port cible est ouvert, la cible a répondu SYN/ACK au zombie (croyant qu'il avait initié la connexion), le zombie a répondu RST (paquet inattendu), donc IPID+2. Si le port est fermé, la cible a envoyé RST+ACK au zombie qui l'ignore (RST sans connexion), donc IPID+1. L'attaquant n'envoie aucun paquet à la cible depuis sa propre IP — depuis la perspective de la cible, seul le zombie scanne. La difficulté pratique est de trouver un zombie avec un IPID incrémental — de moins en moins fréquent sur les OS modernes qui utilisent des IPID aléatoires.