Apprendre

Le hacking éthique, aussi appelé test d'intrusion ou white-hat hacking, consiste à tester des systèmes, réseaux et applications à la recherche de vulnérabilités avec l'autorisation explicite du propriétaire. Contrairement aux criminels, les hackers éthiques sont engagés pour trouver et aider à corriger les failles avant que quelqu'un d'autre ne les exploite. De solides compétences techniques comptent, mais ce qui distingue un professionnel d'une nuisance, c'est la discipline : autorisation écrite, respect du périmètre, protection des découvertes sensibles et divulgation responsable.

Avant tout test, comprenez le cadre juridique. Le Computer Fraud and Abuse Act aux États-Unis, et des lois similaires dans le monde, criminalisent l'accès non autorisé aux systèmes informatiques. L'autorisation est essentielle. Sources valides : contrats de travail autorisant des tests internes, lettres de mission signées pour des tests d'intrusion, règles de programme de bug bounty accordant une autorisation sur des actifs spécifiques, ou consentement écrit des propriétaires d'appareils pour la recherche matérielle. Même avec une autorisation, respectez le périmètre : quels systèmes sont inclus, lesquels sont exclus, et quelles actions (par ex. destruction de données, DoS) sont interdites. Les testeurs professionnels utilisent des contrats détaillés et des documents de règles d'engagement pour rendre les attentes explicites.

La surface d'attaque est la somme de tous les points par lesquels un utilisateur non autorisé pourrait tenter d'entrer dans un système ou d'en extraire des données. Les surfaces réseau incluent les ports exposés, le sans-fil, le VPN et les équipements d'infrastructure. Les surfaces applicatives couvrent les applications web, les API, les applications mobiles et l'authentification. Les surfaces humaines incluent les cibles d'ingénierie sociale et les menaces internes. Les surfaces physiques incluent l'accès aux bâtiments, les possibilités de manipulation matérielle et les postes de travail non verrouillés. Les évaluations complètes examinent tout cela : les attaquants exploitent le maillon le plus faible, quoi que l'on défende par ailleurs.

Les vulnérabilités de sécurité se répartissent en catégories courantes. L'injection (SQLi, injection de commandes) survient lorsque des données non fiables circulent vers des interpréteurs. Les failles d'authentification incluent les mots de passe faibles, l'absence de MFA, le détournement de session et le credential stuffing. Les failles d'autorisation permettent aux utilisateurs d'effectuer des actions qu'ils ne devraient pas. Le cross-site scripting (XSS) permet aux attaquants d'exécuter des scripts dans les navigateurs d'autres utilisateurs. Les défaillances cryptographiques : algorithmes faibles, stockage non sécurisé, mauvaise validation des certificats. Les mauvaises configurations de sécurité, comme les paramètres par défaut non sécurisés et les erreurs trop verbeuses, comptent parmi les bugs les plus courants et les plus faciles à corriger en production.

' OR '1'='1' -- 

L'Open Source Intelligence (OSINT) est le renseignement collecté à partir de sources publiquement disponibles : registres publics, réseaux sociaux, actualités, publications académiques, jeux de données gouvernementaux, métadonnées de sites web, enregistrements DNS et pages archivées. L'OSINT est précieux pour les évaluations, le renseignement sur les menaces et les enquêtes. La compétence réside dans la recherche, la corrélation et l'analyse efficaces, pas dans l'accès à des informations secrètes. C'est légal lorsque cela porte sur des données publiques, même si des questions éthiques de vie privée s'appliquent toujours.

Les moteurs de recherche indexent des milliards de pages, mais la plupart des gens n'utilisent que les bases. Les opérateurs avancés transforment Google en outil de reconnaissance, et leur combinaison crée des requêtes puissantes. Les filtres temporels, les pages en cache et la logique booléenne étendent encore votre portée.

site:edu filetype:pdf "internal use only"

intitle:"admin login" -inurl:example.com

Les plateformes de réseaux sociaux contiennent d'énormes quantités d'informations personnelles et organisationnelles librement partagées. Un SOCMINT efficace exige de comprendre chaque plateforme : LinkedIn révèle l'emploi et la structure organisationnelle ; Twitter/X offre des signaux en temps réel et des géolocalisations ; GitHub montre les compétences des développeurs et parfois des identifiants divulgués ; Reddit et les forums contiennent des discussions techniques de niche. Des outils spécialisés aident : Maltego visualise des graphes de relations, theHarvester agrège des e-mails et sous-domaines, Social-Searcher suit les mentions. Les praticiens OSINT éthiques respectent les limites de la vie privée, utilisent des données réellement publiques, évitent les faux profils et n'exploitent pas les mauvaises configurations de confidentialité.

Avant de toucher un réseau cible, rassemblez les données d'infrastructure publiques. WHOIS révèle les détails d'enregistrement. L'énumération DNS trouve des sous-domaines via les journaux de transparence des certificats (crt.sh), le brute-forcing et les archives DNS passives (SecurityTrails). Shodan et Censys sont des moteurs de recherche pour les appareils exposés sur internet, révélant des services et des versions vulnérables dans le monde entier. La recherche IP inversée trouve des domaines co-hébergés. ARIN et RIPE montrent les allocations IP. Tout ceci est légal et invisible pour la cible : vous ne faites qu'interroger des bases de données publiques.

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Les tests professionnels commencent par une planification, bien avant tout travail technique. La définition du périmètre précise les systèmes inclus (plages IP, domaines, applications), les systèmes exclus, les types de tests (boîte noire, grise ou blanche), les méthodes autorisées, les fenêtres temporelles, les critères de réussite, les protocoles de communication et les protections juridiques. Un document de règles d'engagement formalise tout cela dans un contrat signé. Un périmètre mal défini entraîne des malentendus, des problèmes juridiques et des évaluations inadéquates.

La reconnaissance passive utilise des informations publiquement disponibles sans toucher les cibles : OSINT, moteurs de recherche, offres d'emploi révélant les piles technologiques, enregistrements DNS, versions archivées. La reconnaissance active interagit directement : scans de ports Nmap, énumération de services, exploration d'applications web, cartographie réseau, récupération de bannières, analyse de vulnérabilités. L'objectif : comprendre la surface d'attaque, les technologies, les vulnérabilités potentielles et les contrôles de sécurité de la cible avant l'exploitation.

nmap -sV -sC -oA recon/target 10.0.0.0/24

Après la reconnaissance, l'évaluation des vulnérabilités identifie des faiblesses spécifiques. Les outils automatisés (Nessus, OpenVAS, Qualys) vérifient rapidement des milliers de CVE connus, mais produisent des faux positifs et manquent les failles de logique métier. Les tests manuels couvrent la revue de configuration, l'authentification, l'autorisation et l'élévation de privilèges, le traitement des entrées, les fuites de messages d'erreur et l'implémentation cryptographique. Le CVSS standardise la gravité. La priorisation basée sur le risque pondère le contexte métier : une découverte moyenne sur un processeur de paiement l'emporte sur une critique sur une machine de développement isolée.

L'exploitation prouve que les vulnérabilités sont réelles. Cela peut signifier une injection SQL pour extraire des données, un RCE pour obtenir un shell, une élévation de privilèges, un contournement d'authentification, ou du XSS pour démontrer une compromission de compte. La post-exploitation démontre l'impact complet : mouvement latéral, élévation de privilèges administrateur, exfiltration de données (simulée), mécanismes de persistance, pivotement. Les testeurs professionnels s'arrêtent une fois l'impact prouvé, minimisent l'accès aux données réelles, documentent tout et notifient immédiatement le client des découvertes critiques.

Le rapport traduit les découvertes techniques en intelligence métier. Il doit inclure un résumé exécutif sans jargon, des découvertes techniques avec étapes de reproduction et preuves, des évaluations CVSS ou de risque, des recommandations de remédiation et des suggestions stratégiques pour la posture de sécurité globale. Priorisez selon le risque métier, pas seulement la gravité technique. La vérification de remédiation consiste à retester après les corrections, pour confirmer qu'elles fonctionnent et que rien n'a régressé. La valeur d'un test réside dans les améliorations qu'il apporte, pas dans les shells.

La divulgation responsable (coordonnée) consiste à signaler les problèmes en privé à l'éditeur et à lui laisser un délai raisonnable pour corriger avant que les détails ne deviennent publics. Cela protège les utilisateurs, donne aux éditeurs une marge pour corriger, et maintient la confiance. Les alternatives échouent : la divulgation complète aide d'abord les attaquants, la non-divulgation indéfinie laisse les utilisateurs silencieusement exposés, et la vente à des acheteurs criminels ou étatiques permet de nuire. La plupart des chercheurs et des grands éditeurs considèrent la divulgation coordonnée comme la norme éthique.

Commencez par vérifier l'existence d'une politique de divulgation publiée ou de /.well-known/security.txt. De nombreuses entreprises gèrent des programmes de bounty sur HackerOne, Bugcrowd ou Intigriti. Si ni l'un ni l'autre n'existe, contactez security@<domain>. Votre rapport doit inclure une description claire, des étapes de reproduction, une évaluation d'impact, une preuve de concept, vos coordonnées et une demande d'accusé de réception. Utilisez PGP pour le code d'exploitation. Soyez patient, et relancez poliment après une à deux semaines de silence. Conservez des enregistrements détaillés de toutes les communications.

Contact: mailto:security@example.com
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: en
Canonical: https://example.com/.well-known/security.txt

90 jours entre le signalement et la divulgation publique est la base commune, ajustée selon les circonstances : plus rapide si le bug est critique et activement exploité, plus long pour les problèmes architecturaux lorsque l'éditeur coopère. La divulgation publique doit avertir les utilisateurs, fournir des mesures d'atténuation si aucun correctif n'est disponible, créditer chacun équitablement, et éviter plus de détails d'exploitation que ce dont les défenseurs ont besoin. L'objectif est de protéger les utilisateurs, pas de punir les éditeurs ou de courir après les gros titres.

Les programmes de bug bounty offrent une divulgation structurée avec des récompenses. Les grandes plateformes hébergent des programmes pour des milliers d'entreprises. Chaque programme définit son périmètre, les problèmes exclus (par ex. self-XSS, DoS), les fourchettes de récompenses et les règles d'engagement. Pour les chercheurs, cela signifie de l'argent, une clarté juridique, des cibles réelles et de la réputation. Pour les entreprises : une couverture continue, des perspectives diverses et de bonnes relations avec la communauté. Participer avec succès signifie lire attentivement les règles, respecter le périmètre, rédiger des rapports de haute qualité, et accepter que toutes les découvertes ne soient pas qualifiantes.