Null Session

Définition

Une Null Session est une connexion SMB établie vers le partage administratif IPC$ d'une machine Windows sans fournir aucun nom d'utilisateur ni mot de passe, permettant historiquement d'interroger certains services système sans la moindre authentification préalable. Massivement exploitée dans les années 2000, cette faiblesse structurelle des premières implémentations SMB et RPC de Windows reste présente dans certains environnements legacy n'ayant pas appliqué les restrictions introduites depuis Windows XP SP2 et généralisées dans les versions ultérieures. Via une Null Session non restreinte, un attaquant peut, selon la configuration exacte de la machine ciblée, énumérer la liste des utilisateurs et groupes locaux via le protocole SAMR, lister les partages réseau disponibles, obtenir la politique de mots de passe et de verrouillage de compte configurée, voire dans certains cas historiques accéder à des informations de registre distant. Cette reconnaissance sans authentification constitue une phase précieuse pour un attaquant en amont de toute tentative de force brute ou de password spraying, car elle permet de constituer une liste de comptes valides sans générer d'échec d'authentification. Les restrictions de sécurité RestrictAnonymous et RestrictAnonymousSAM, configurables via GPO, permettent de bloquer efficacement ce type d'énumération anonyme. Sa présence résiduelle sur un système moderne constitue un signal fort de configuration héritée obsolète, systématiquement recherché lors des audits de sécurité réseau internes.