Aller au contenu principal

Introduction et Kali — Notions

Avant de lancer le moindre outil, il faut poser deux choses : la tête de l'attaquant et le décor. Sans le décor (un laboratoire isolé), la tête ne sert à rien : on finit devant un juge. Sans la tête, le décor ne sert à rien non plus : on lance des commandes au hasard et rien ne tombe.

Cadre légal — à lire une fois, à respecter toujours

Tout ce qui est enseigné ici s'applique exclusivement à des machines que vous possédez, ou pour lesquelles vous avez une autorisation écrite (RoE, contrat, bug bounty). Scanner un site que vous n'avez pas la permission de toucher, c'est déjà une infraction dans la plupart des juridictions. Le cours vous apprend à attaquer. La loi vous apprend où.

Ce que vous saurez faire après cette leçon​

  • Expliquer avec vos mots ce qu'est un test d'intrusion, et pourquoi ce n'est pas un audit.
  • Distinguer vulnérabilité, exploit et impact — les trois mots que tout le monde mélange.
  • Poser un état d'esprit d'attaquant : partir de la cible, pas de l'outil.
  • Nommer les grandes phases d'une attaque (la fameuse kill chain), pour savoir où vous êtes à tout moment.
  • Comprendre pourquoi Kali Linux existe, et ce qu'il vous apporte concrètement.

1. Pourquoi ce métier existe​

Une entreprise a bâti une application, un réseau, une infrastructure cloud. Elle croit que c'est sécurisé parce que personne n'a essayé de le casser. C'est exactement pour ça qu'on vous paye : essayer de le casser avant qu'un vrai méchant le fasse.

Le testeur d'intrusion, c'est le cambrioleur légal. Le client vous remet la clé, vous demande d'essayer d'entrer par la fenêtre, la cheminée, la boîte aux lettres, le fils du voisin, la femme de ménage — et de tout raconter ensuite, avec les preuves, pour qu'il puisse boucher les trous.

Un pentest ne vaut rien pour son nombre de failles trouvées. Il vaut pour :

  1. Les preuves que vous ramenez (captures, logs, fichiers extraits).
  2. La reproductibilité : le client doit pouvoir refaire le pas après remédiation.
  3. Les recommandations : ce qui se fait lundi matin pour boucher le trou.

Un rapport sans preuve, c'est un ragot. Un ragot ne clôture pas un ticket.

2. Les trois cousins qu'on confond tout le temps​

MétierCe qu'on faitLa question à laquelle on répond
AuditOn lit la doc, on interviewe, on regarde les configs.Est-ce conforme à la politique / à la norme ?
PentestOn attaque, dans un périmètre limité, sur un temps limité.Peut-on entrer, et jusqu'où ?
Red teamOn simule un attaquant réel, discret, avec des objectifs métier.Combien de temps avant qu'on se fasse détecter, et l'aurions-nous été ?

L'audit passe par la case entretien. Le pentest passe par la case exploit. La red team passe par la case évasion des défenses — et souvent la case ingénierie sociale.

Dans ce cours

Vous apprenez le pentest, avec des ouvertures régulières vers la red team dans les modules avancés (8 à 11).

3. Vulnérabilité, exploit, impact — arrêtez de les mélanger​

Trois mots. Trois choses différentes. Confondre les trois, c'est écrire un rapport que le client jettera.

Vulnérabilité : une faiblesse. Un bout de code, une config, un mot de passe par défaut. En soi, ça ne fait rien.

Exploit : le geste concret qui transforme la faiblesse en accès. Le code, la commande, le clic qui prouve la chose.

Impact : la conséquence métier de l'exploit. Ce n'est jamais un score CVSS. C'est « avec ça, j'ai lu la base clients complète » ou « avec ça, je bloque la production trois jours ».

Un exemple pour graver la distinction :

  • Vulnérabilité : le serveur web tourne avec une version vulnérable à CVE-2021-41773 (Apache path traversal).
  • Exploit : je lance curl avec un chemin traversant, je récupère /etc/passwd.
  • Impact : les identifiants d'un compte de service tournaient dans un fichier .env du même dossier, j'ai obtenu la connexion à la base de données de production.

Le client se moque de la CVE. Il retient la base de données. C'est ça qu'on met en tête de rapport.

4. Le mental de l'attaquant​

L'ingénieur système part de la machine et se demande « qu'est-ce que je fais tourner ? ». L'attaquant part du même point et se demande « qu'est-ce qui dépasse ? ».

Les cinq réflexes qui font la différence :

  1. Toujours regarder ce qui écoute. Un port ouvert, c'est une porte. Une porte, c'est un service. Un service, c'est une version. Une version, c'est une histoire de bugs connus.
  2. Toujours regarder ce qui parle. Les bannières, les en-têtes HTTP, les messages d'erreur — ils racontent tout.
  3. Toujours regarder ce qui a été oublié. Un fichier .git, un backup.sql, un robots.txt, une capture d'écran laissée dans un dossier public. La négligence est plus fréquente que la vulnérabilité zero-day.
  4. Toujours enchaîner. Une faille seule est rarement critique. Deux failles moyennes chaînées, c'est un désastre. Cherchez la chaîne, pas la faille.
  5. Toujours douter du succès. Si ça marche du premier coup, c'est peut-être un piège (honeypot). Vérifiez que la machine que vous tenez est vraiment celle que vous croyez.
L'état d'esprit en une phrase

« Ce que le développeur a oublié de vérifier, c'est exactement là où j'entre. »

5. La kill chain — la carte pour ne jamais se perdre​

Une attaque n'est pas un coup de génie unique. C'est une suite d'étapes. La séquence classique, en sept temps :

  1. Reconnaissance — apprendre sur la cible sans la toucher (OSINT). Module 3.
  2. Reconnaissance active — scan de ports, énumération de services. Module 4.
  3. Recherche de vulnérabilités — corréler les versions vues avec les CVE connues. Module 5.
  4. Exploitation initiale — obtenir le premier shell. Modules 7 et 8.
  5. Élévation de privilèges — passer d'un compte quelconque à root ou SYSTEM. Module 9.
  6. Mouvement latéral — sauter de machine en machine, exfiltrer des données. Module 10.
  7. Rapport — remettre les preuves, les recommandations, la timeline. Module 12.

Chaque module de ce cours répond à une étape. Quand vous serez perdu(e) en mission, revenez à cette liste : elle vous dit où vous en êtes, et ce qui manque.

6. Pourquoi Kali, et pas Ubuntu​

Kali Linux est une distribution Debian bourrée d'outils offensifs. On aurait pu tous les installer à la main sur une Ubuntu. On ne le fait pas, pour trois raisons :

  • Tout est là, tout de suite. Nmap, Metasploit, Burp Suite, John the Ripper, Hashcat, Wireshark, Bloodhound, Impacket — plus de 600 outils préinstallés et à jour.
  • Les mises à jour vont dans le bon sens. Le canal kali-rolling pousse les versions offensives récentes. Sur une Ubuntu LTS, Nmap peut avoir un an de retard sur les scripts NSE.
  • La communauté sait ce que vous faites. Un souci ? Vous cherchez « kali nmap segfault », vous trouvez la réponse en trente secondes. Sur une distribution générique, personne ne comprendra votre problème.

Kali n'est pas « un OS pour hackers ». C'est une caisse à outils avec un système d'exploitation autour. Vous n'y stockez rien, vous ne l'ouvrez pas au réseau public, et vous le recréez d'un snapshot dès qu'il devient bizarre.

7. Les confusions qui coûtent du temps​

Corrigez-les maintenant, avant qu'elles ne vous mordent en semaine 5.

On dit souvent…La bonne notion
« J'ai trouvé une CVE »Une CVE, c'est un identifiant. On trouve une vulnérabilité, qui correspond peut-être à une CVE.
« Je l'ai hacké »Non, vous avez exploité une vulnérabilité. Le mot hack ne dit rien de précis.
« C'est du code malveillant »Un exploit n'est pas un malware. Un exploit déclenche une faille. Un malware fait quelque chose de mauvais une fois en place.
« Nmap m'a trouvé une faille »Non, Nmap voit des ports et des versions. Vous faites le lien avec la vulnérabilité.
« Le port est fermé »Un port peut être closed (le service dit non), filtered (un pare-feu intercepte), ou open (quelqu'un écoute). Trois états, trois histoires.
« Metasploit a hacké la machine »Metasploit livre un exploit et gère la session. Il ne pense pas à votre place.

8. Ce qu'il faut retenir​

  • Un pentest est cadré, autorisé, mesuré. Sans ce cadre, ce n'est plus un pentest, c'est un délit.
  • La valeur d'un pentest est dans les preuves et les recommandations, pas dans le nombre de trouvailles.
  • Vulnérabilité, exploit, impact : trois mots, trois choses. Ne les mélangez plus.
  • L'attaquant regarde ce qui dépasse, ce qui parle, ce qui a été oublié, et il enchaîne.
  • La kill chain vous dit toujours où vous en êtes.
  • Kali est votre caisse à outils. Pas votre bureau, pas votre coffre-fort.

Prochaine leçon : on installe Kali, on lance le premier scan, et on regarde une machine tomber — dans un laboratoire fermé à double tour.