RDP (Remote Desktop Protocol) est le service d'administration à distance graphique de Windows, à l'écoute sur TCP 3389, et il figure parmi les services les plus lourdement attaqués sur internet : un RDP exposé est un vecteur d'accès initial primordial pour les rançongiciels. Sa surface couvre l'énumération (version, paramètres de chiffrement et de NLA, certificat TLS), l'authentification (force brute, spraying, credential stuffing, et le rôle de l'authentification au niveau du réseau), l'exposition (points d'accès exposés sur internet et TLS faible), les vulnérabilités de protocole en pré-authentification (la classe de RCE propageable comme un ver), et l'abus de sessions : prise de contrôle, shadowing, ou utilisation des canaux de redirection de périphériques des sessions RDP.
nmap -p3389 -sV --script rdp-ntlm-info,rdp-enum-encryption <target>
# NLA/security posture and NTLM-leaked host/domain info
Sous-thèmes#
- Énumération : version, paramètres de sécurité et certificat.
- Authentification : force brute, spraying, stuffing et NLA.
- Exposition : RDP exposé sur internet et TLS faible.
- Failles de pré-authentification : RCE de protocole propageable comme un ver.
- Abus de session : détournement, shadowing et redirection de périphériques.