Référence des ports
Port 1433 (TCP) – Microsoft SQL Server
Écouteur par défaut des connexions à la base de données Microsoft SQL Server.
État par défaut
Écoute sur le port 1433 dès que le protocole TCP/IP de SQL Server est activé. Souvent lié à toutes les interfaces et accessible depuis le LAN ; parfois exposé à Internet sur des hôtes mal configurés.
Attaques courantes
- Force brute et pulvérisation de mots de passe contre le compte sa
- Exécution de commandes via xp_cmdshell après connexion
- Injection SQL pivotant vers le moteur de base de données
- Déplacement latéral à l'aide d'identifiants de service SQL capturés
Durcissement
- Lier à localhost ou à une interface privée ; ne jamais exposer 1433 à Internet
- Désactiver ou renommer le compte sa et imposer des mots de passe forts et uniques
- Garder xp_cmdshell désactivé et appliquer le moindre privilège
- Exiger des connexions TLS/chiffrées et segmenter avec des pare-feu hôtes
- Appliquer les correctifs rapidement et auditer les échecs de connexion
Commande nmap
nmap -p1433 --script ms-sql-info,ms-sql-empty-password <target>Remplacez <target> par l’hôte ou la plage que vous êtes autorisé à scanner.
Que tourne sur le port 1433 ?
Le port 1433 est l'écouteur TCP par défaut de Microsoft SQL Server, le moteur de base de données relationnelle de Microsoft. Les clients, serveurs d'application et outils d'administration comme SQL Server Management Studio se connectent via 1433 pour exécuter des requêtes, des procédures stockées et des commandes d'administration. Les instances nommées peuvent utiliser des ports dynamiques fournis par le SQL Server Browser sur UDP 1434.
Pourquoi c'est important pour la sécurité
Une instance SQL Server contient généralement les données les plus sensibles
d'une organisation, et 1433 y donne un accès direct. Les scanners mondiaux
recensent chaque port 1433 ouvert, et des identifiants faibles ou réutilisés sur
le puissant compte sa rendent la force brute très efficace. Une fois
authentifié en utilisateur privilégié, un attaquant peut lire et exfiltrer
chaque base, voire escalader vers le système d'exploitation.
Comment c'est attaqué
Les attaquants scannent massivement les ports 1433 ouverts, puis lancent une
force brute ou une pulvérisation de mots de passe contre sa et d'autres
identifiants. Après avoir obtenu des droits sysadmin, ils activent souvent
xp_cmdshell pour exécuter des commandes du système d'exploitation,
transformant une connexion à la base en compromission totale de l'hôte.
L'injection SQL dans les applications web peut aussi pivoter directement vers le
moteur sur ce port.
Liste de durcissement
Liez SQL Server à localhost ou à une interface privée et gardez 1433 hors d'Internet, derrière un pare-feu ou un VPN. Désactivez ou renommez sa, imposez des mots de passe forts et uniques, et appliquez le moindre privilège. Gardez xp_cmdshell désactivé, exigez TLS pour les connexions, et activez l'audit des échecs de connexion. Utilisez l'extrait nmap ci-dessus pour détecter les mots de passe vides et collecter des informations sur les hôtes que vous êtes autorisé à tester.
Ports liés
Questions fréquentes
- Est-il sûr d'exposer le port 1433 à Internet ?
- Non. SQL Server exposé est massivement scanné et soumis à la force brute. Gardez 1433 sur un réseau privé derrière un pare-feu ou un VPN, avec authentification forte et TLS.
- Qu'est-ce que xp_cmdshell et pourquoi est-ce risqué ?
- C'est une procédure stockée qui exécute des commandes système depuis SQL Server. Si un attaquant obtient un accès sysadmin, elle devient une voie directe vers la compromission de l'hôte ; elle doit donc rester désactivée.