PenTest: Collecte et analyse d’informations

L’importance de la collecte d’informations

Pour démarrer un pentest, il est important de collecter des informations sur la cible en premier lieu, cela inclut également de définir les buts et les objectifs du test. La collecte d’informations consiste en la recherche d’informations publiques disponibles liées au système et cherche quelle est la meilleure façon d’exploiter ces informations.

Le but de la collecte d’autant d’informations que possible est de comprendre le fonctionnement de l’application ou du système afin de découvrir les lacunes de sécurité qui peuvent être résolues. Pour ce processus, nous avons deux approches:

Collecte passive d’informations – cette méthode peut être utilisée avant la collecte active d’informations, car elle est moins évasive. Seules les informations publiées publiquement sur les informations cibles sont utilisées, et elles recueillent autant d’informations que possible sans établir de contact entre le pentester et la cible. Pour cela, nous pouvons utiliser des outils open source, par exemple: domaine whois, réseaux sociaux, serveurs de messagerie, liste des applications hébergées sur la même adresse IP et autres informations ouvertes.

Collecte active d’informations – sur ce type d’approche, une plus grande préparation du pentester est nécessaire car elle laisse des traces, ce qui peut entraîner le déclenchement d’alertes vers la cible. En utilisant cette méthode, l’organisation ciblée peut prendre conscience du processus en cours puisqu’il y a un engagement actif avec la cible. À ce stade, nous obtenons des informations sur les ports ouverts, les services, les versions des applications, la version du système d’exploitation, etc.

Ensemble d’outils du pentester pour la numérisation

Maintenant que nous savons quelles informations nous voulons récupérer, il existe de nombreuses façons de les collecter. Le tout premier outil que tout le monde devrait utiliser est Google. La quantité de données affichée par Google est énorme et vous pouvez trouver des choses intéressantes concernant votre cible. La base de données Google Hack vous montre une grande liste d’astuces utiles pour rechercher des informations avec le moteur de recherche Google. Maltego est également un autre outil qui aide à relier les données aux adresses professionnelles et électroniques. La recherche d’informations de cette manière est appelée indirecte mais il ne suffit pas de récupérer tout ce que nous voulons.

Il a été mentionné dans l’article précédent que l’outil principal d’un pentester est un système d’exploitation axé sur la sécurité. Il y en a trois principaux: Kali, ParrotSec et BlackArch. Ils fournissent tous les outils nécessaires pour exécuter rapidement un test de pénétration dans un environnement. Parmi tous, il y en a qui sont principalement utilisés pour la numérisation et la collecte d’informations:

  • nmap – est un scanner de réseau open source utilisé pour découvrir des hôtes et des services sur un réseau informatique en envoyant des paquets et en analysant les réponses, il peut également être utilisé pour analyser les vulnérabilités.
  • OWASP ZAP – est un scanner de sécurité d’applications web open source. Il est destiné à être utilisé à la fois par ceux qui sont nouveaux dans la sécurité des applications et par les testeurs de pénétration professionnels.
  • nslookup – il s’agit d’un outil de ligne de commande disponible sur chaque ordinateur pour interroger le système de noms de domaine afin d’obtenir des noms de domaine ou des adresses IP ou même d’autres enregistrements DNS.

De nombreux autres outils existent mais sont plus spécifiques en fonction des résultats de ceux mentionnés ci-dessus. Par exemple, si vous trouvez un serveur de base de données en écoute sur un port qui peut être contacté via un logiciel client, vous pouvez l’utiliser pour essayer de vous connecter au service. Cela a conduit à d’autres recherches par la suite et plus vous allez en profondeur, meilleur est le résultat.

Scannez l’hôte et le réseau avec Nmap

Pour effectuer une découverte sur le réseau de la cible, nous pouvons utiliser l’outil Nmap. Il aide à identifier les hôtes et les services sur un réseau. Dans ce cas, si nous voulons analyser un hôte, nous pouvons obtenir des informations sur les ports ouverts, les services en cours d’exécution, la version du système d’exploitation, etc.

Il y a beaucoup de commandes que nous pouvons faire dans Nmap, mais nous allons vous montrer deux cas:

Figure 1: Commande « nmap 8.8.8.8 »
Figure 2: Commande « nmap cloudflare.com »

Dans ces deux images, nous pouvons voir des exemples de la sortie que le Nmap récupère. Nous pouvons voir les ports ouverts et fermés, les services qui s’exécutent derrière les ports et si le réseau a d’autres adresses.

Scannez le site Web avec OWASP ZAP

OWASP, qui signifie Open Web Application Security Project, est une communauté en ligne qui produit de nombreuses ressources dans le domaine de la sécurité des applications Web. Plus que le célèbre projet OWASP Top Ten, ils fournissent un outil appelé ZAP, Proxy d’attaque Zed. Il aide à trouver des vulnérabilités de sécurité au sein d’une application Web à l’aide d’outils tels que Scanner, Spider, Fuzzer, etc.

Après le lancement de ZAP, le logiciel vous montre une fenêtre de démarrage rapide où vous pouvez placer l’URL cible et effectuer une analyse rapide et une analyse de vulnérabilité sur l’application Web. C’est la première étape facile avec le logiciel.

Figure 3: OWASP ZAP

Vous pouvez également configurer ZAP en tant que proxy pour votre navigateur, de sorte que chaque demande effectuée passera par ZAP et sera analysée.

Cependant, la méthode la plus efficace consiste à utiliser manuellement chaque outil qui vous est fourni:

  • Avec l’Araignée, vous pourrez parcourir un site Web. Le logiciel essaiera de récupérer tous les liens et pages qu’il pourrait trouver dans la portée que vous avez spécifiée.
  • Avec le Fuzzer, si vous souhaitez effectuer un grand nombre de requêtes en changeant un ou plusieurs paramètres à chaque fois, cela vous aidera à définir des règles à ce sujet
  • Avec le Scanner actif, vous effectuerez diverses attaques et cela vous montrera à quel point l’application est vulnérable.

ZAP a beaucoup plus de fonctionnalités, et pourtant c’est l’un des logiciels les plus puissants pour l’analyse des vulnérabilités Web.

Qu’est-ce qui est intéressant ?

Nous pouvons collecter beaucoup d’informations sur la cible, et maintenant il est important de filtrer ce qui est utile pour le pentest. Par défaut, tout doit être conservé et aucune information n’est inutile, mais certaines sont plus intéressantes pour un pentester. Par exemple : les services exécutés sur l’hôte, les versions du logiciel, le nom et l’adresse e-mail des employés de l’entreprise, les adresses IP, le nom d’hôte et l’architecture. Tout ce qui pourrait être un point d’entrée pour un attaquant est une information critique.

Maintenant que nous avons suffisamment d’informations sur la cible, le pentester peut dessiner une carte des menaces du réseau ou de l’application. Il se concentre sur le vecteur qu’il considère facile à utiliser et commence l’exploitation en fonction de cela. Dans la prochaine partie de cette série, nous parlerons de l’exploitation et de la façon dont nous pouvons utiliser ce que nous trouvons pendant la phase de numérisation. Andreia Francisco de l’équipe de sécurité a également contribué à cet article.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.