Dans l’article d’aujourd’hui, je vous propose de mettre le hacking en pratique, c’est-à-dire de préparer le terrain pour ensuite s’entraîner directement et bien sûr légalement.
Cette question m’est venue d’une personne qui avait déjà lu pas mal d’articles mais qui ne savait pas vraiment par où commencer concrètement.
Je vais donc tâcher de développer un peu comment pratiquer le hacking
dans cet article. Cela vous servira si vous avez déjà assimilé des
connaissances que vous voulez mettre en pratique, ou si vous souhaitez
simplement commencer et pratiquer en même temps.
Mettre la programmation en pratique
Pour commencer à programmer il est très préférable d’utiliser ce que l’on appelle un environnement de développement intégré. Il s’agit d’un logiciel qui vous aide à programmer.
Par exemple il permet de :
- Vous aider/corriger concernant la syntaxe
- Vous assister dans les méthodes de développement
- Compiler le code source sans démarches supplémentaires
- etc…
Il existe des environnements de développement intégrés plus
spécialisés dans tels ou tels langages, mais généralement ils permettent
de programmer dans plusieurs langages différents.
Si vous ne savez toujours pas par où commencer en programmation, je vous invite à lire l’article suivant avant de continuer :
Vous saurez ensuite par quel langage vous devrez commencer et pourrez
choisir l’environnement de développement intégré (que j’abrègerai
« EDI ») correspondant.
Voici des exemples d’EDI :
- Visual Studio pour les langages .NET (VB, C#, VC++,…)
- Code::Blocks pour les langages C, C++,…
- Eclipse pour les langages Java, HTML, PHP, C,…
- Geany pour les langages C, Java, Python,…
L’idéal est de vous rendre sur les sites officiels pour observer si
l’EDI prend en compte le langage que vous souhaitez étudier. Vous pouvez
également en tester plusieurs pour voir celui qui convient le mieux
pour vous.
Voici par exemple l’interface de Visual Studio :
Avant de commencer à programmer, il vous faudra bien entendu acquérir les bases du langage que vous avez choisi.
Bien que cela puisse aussi se faire par la pratique, je vous conseille de prendre un livre ou un tutoriel sur un site et d’apprendre.
C’est là qu’on me demande souvent quel livre choisir ou quel site visiter, je vous renvoie ici pour les sites :
Pour les livres, il y a trop de choix différents. Je vous conseille de regarder ceux qui ont les meilleurs avis sur Amazon par exemple.
J’avais commencé à l’époque avec les livres suivants :
- Visual Basic 2010 Étape par étape : Parfait pour un débutant complet, à la fin on a tellement envie de programmer et de continuer.
- Professional Visual Basic 2010 : Parfait pour maitriser à fond VB.NET
- Principes et pratiques avec C++ : De l’auteur même du langage C++, j’avais beaucoup aimé également.
- Sécurité PHP5 & MySQL : Beaucoup d’exemples dont je me sers tous les jours.
Une fois que vous commencez à comprendre les concepts du langage,
l’idéal est de prendre un code source qui vous intéresse sur le net, de
le télécharger/copier, de le comprendre et de le modifier.
Vous en trouverez beaucoup sur le site CodeProject.
Plus d’informations sur la programmation :
Mettre un site web (et un serveur) en pratique
Si vous souhaitez créer un site de test pour vous entraîner à le
pirater et à le sécuriser, il faut savoir que vous n’avez en fait pas besoin de payer quoi que ce soit.
Vous pouvez héberger un site web sur votre propre ordinateur, que vous ayez Windows, Mac ou Linux.
Pour cela je vous renvoie vers les sites suivants :
- WAMP (Windows Apache MySQL PHP) pour Windows
- MAMP (Mac Apache MySQL PHP) pour Mac
- LAMP (Linux Apache MySQL PHP) pour Linux
Pour les installer et les configurer, vous trouverez beaucoup de tutoriels sur le net, en voici certains :
- http://www.infowebmaster.fr/tutoriel/debuter-wamp
- http://openclassrooms.com/courses/concevez-votre-site-web-avec-php-et-mysql/preparer-son-ordinateur-2
- http://www.apprendre-php.com/tutoriels/tutoriel-24-installation-et-prise-en-main-de-mamp.html
PS: Ne créez pas de sites gratuits du type votrepseudo.wordpress.com…vous n’aurez presque aucune flexibilité en plus de ne pas détenir le système sous-jacent.
Bien entendu, rien ne vous empêche de payer un petit serveur dédié pour avoir de quoi faire des manipulations sur un serveur également.
Pour les offres de serveurs, voir : https://www.online.net/fr/serveur-dedie
Cela dit, la gestion d’un serveur demande des connaissances plus
approfondies et n’est donc pas conseillée pour un débutant complet.
Mais si vous voulez tenter votre chance, là encore vous trouverez
facilement des tutoriels vous montrant comment installer un serveur
dédié.
En voici un que j’avais utilisé même si il commence à se faire vieux :
N’hésitez pas à chercher encore et encore sur le net, prenez vous un
tutoriel qui semble intéressant et mettez-le en pratique. Après tout
pour mettre en pratique, il faut passer à l’action, implémenter ce qui
vous est dit et essayer même si vous n’êtes pas sûr(e) que ça va
fonctionner. Et rassurez vous ça finit toujours par fonctionner 
Pour ce qui est de l’entraînement, vous pouvez jeter un œil aux failles web populaires et essayer de les reproduire/sécuriser :
Vous pouvez également jeter un œil à la partie Mise En Situation du site pour bien comprendre le fonctionnement des failles et ainsi les sécuriser.
Et enfin, je peux également vous suggérer l’article suivant :
Mettre une machine de test en pratique
En hacking, on se doit de jouer un peu avec les failles systèmes et
autres programmes malveillants. Pour ne rien casser, on met
habituellement en place un « laboratoire de test ».
Ici votre petit laboratoire de test personnel peut être tout simplement une machine virtuelle.
Pour se faire, vous pouvez télécharger le fameux VirtualBox. J’en parle à la fin de l’article suivant si vous voulez des détails pour l’installer :
Vous apprendrez par la même occasion à vous familiariser avec Linux.
Une fois VirtualBox installé, on peut s’amuser à lancer plusieurs systèmes de façon sécurisée et ainsi tester différents scénarios/attaques.
À ce propos, il existe des systèmes spécialement vulnérables pour vous entrainer. Voici par exemple Metasploitable :
Vous pourrez notamment vous amuser avec MetaSploit, l’outil de test d’intrusions le plus populaire.
Dans le même genre il y a LAMP Security Training :
N’oublions pas Kali Linux (anciennement BackTrack) qui intègre beaucoup d’outils de pentesting afin de vous entrainer :
En attendant de vous faire les tutoriels, je vous donne une petite
astuce : Il y a beaucoup de tutoriels à propos de Kali/MetaSploit sur
YouTube (mais souvent en anglais).
Par exemple :
Autres sites et outils pour s’entraîner
Dans cette partie, je vais citer d’autres sites ou applications qui vous permettront de mettre en pratique le hacking :
- https://www.hackthissite.org/ : Challenges divers sur le hacking.
- https://code.google.com/p/owasp-hackademic-challenges/ : Tester et améliorer vos connaissances sur la sécurité des applications web.
- https://code.google.com/p/webgoat/ : Application Web J2EE volontairement vulnérable pour vous entrainer.
- http://sourceforge.net/projects/hackxor/ : Un jeu dans lequel vous devez trouver et exploiter des vulnérabilités (XSS, CSRF, SQLi…) pour avancer.
- http://sourceforge.net/projects/mutillidae/ : Autre application web vulnérable utilisable avec LAMP, WAMP…etc.
Mise en garde
Vous noterez que tous les conseils donnés ici concernent l’installation et la pratique sur vos propres systèmes.
Vous n’avez pas le droit de vous entrainer sur des machines qui ne vous appartiennent pas.
En fait, si, mais à condition que vous ayez eu l’autorisation avant.
À ce propos, il y a beaucoup de sites qui ont crée des programmes appelés Bug Bounty, il s’agit de rémunérer/récompenser les personnes qui trouvent des failles sur leurs sites.
Parmi eux on citera Facebook, Google, Avast, Adobe, 4chan, Microsoft, Mozilla, PayPal, Twitter…etc.
C’est une excellente occasion de tester légalement et en plus de gagner de l’argent si vous trouvez des vulnérabilités.
Voici des listes de tous les sites proposant des programmes Bug Bounty :
- https://bugcrowd.com/list-of-bug-bounty-programs
- http://www.bugsheet.com/bug-bounties
- http://www.vulnerability-lab.com/list-of-bug-bounty-programs.php
Désolé pour les anglophobe, mais je donne effectivement beaucoup de
liens vers des sites anglais. Il y a toujours plus de contenu en anglais
et la maitrise de cette langue entre dans les qualités d’un hacker.
Sur ce, je vous souhaite bon apprentissage, et si vous avez d’autres
informations à partager sur la mise en pratique, n’hésitez pas !
0 commentaires: