Bonjour, j'avais déjà posté une question sur le forum : Comment devenir un hacker, mais c'était un peu vague. J'ai cherché et j'ai trouvé ce que je veux faire : Pentester. Essayer de m'introduire légalement dans une entreprise pour trouver des vulnérabilité, le rêve.
Et j'aimerais savoir si certaines personnes dans le domaine ( pourquoi pas carrément des hackers éthiques ) si connaissent et pourrais me conseiller sur ce que je dois apprendre.
Quels langages apprendre ?
Quels logiciels apprendre à utiliser ?
Quels livres lire ?
etc… tous ce qu'il faut faire pour devenir un pentester/hacker éthique
PS : Je suis sur linux
# Suject tres vaste
Posté par Panhwein . Évalué à 3.
Salut Hax0r à nagoire jaune! (Hommage à zippy pour les plus vieux).
Ton PS me rassure!
Non honnetenement, des bonnes connaissances réseaux(comment fonctionne un routeur cisco par exemple, un serveur ftp et apache, puis tout le reste).
Niveau language, c'est du pentest, python me semble très bien si les script restent sur ton ordi.
Des bases de C obligatoire quand même.
Perso je recode certain outils en Rust.
Ça peut me permettre de faire tourner des trucs déjà compilé sur le client sans installer 15 dépendances python.
Pour les livres le "kali handbook" qui va t'expliquer les principaux outils de la distrib. Ces scripts on les trouve sur git/hub/lab, pas besoin de kali
Avec arch ou un dérivé comme manjaro, tu as la même distrib aux petits oignons.
Mais ya des vrais pro ici, je leur laisse la parole. Tout ca pour te dire que c'est un long parcour!
Bonne chance à toi
[^] # Re: Suject tres vaste
Posté par wolf_sentinel . Évalué à 2.
Aïe, je savais que je devais apprendre le c , mais il parait que c'est assez compliqué. Après j'ai déjà installer kali linux, mais si je ne dis pas de bêtise , on peut utiliser les outils de kali sur d'autres distributions non ?
[^] # Re: Suject tres vaste
Posté par BAud (site web personnel) . Évalué à 4.
oui bien sûr. Mais bon, tout est dispo dans kali. D'autant que si tu es amené à intervenir en mission, tu n'auras pas accès à Internet, tu seras dans un VLAN dédié (s'ils font bien leur boulot) et tu auras fait signer un papier comme quoi si tu mets en rade tout un service, ce n'est pas de ta responsabilité ;-)
le social hacking va avec l'ethical hacking :-) et ça demande quelques compétences. Bon, ça m'a toujours épaté de récupérer le mot de passe root en moins de 15 minutes sur le plateau de prod'…
[^] # Re: Suject tres vaste
Posté par Michaël (site web personnel) . Évalué à 3.
Ce n'est pas facile c'est vrai mais c'est plus simple d'apprendre C que de devenir très fort en pentesting. :-`)
Si tu as déjà une expérience de programmeur tu n'auras pas trop de difficulté à apprendre le C, mais ce qui est plus important est de savoir comment un PC exécute un programme – plutôt au niveau de la machine: avoir des rudiments d'assembleur et de programmation système semblent beaucoup plus importants (souvent la programmation système se fait en C, soit :-) )
Voilà un texte (en anglais) qui explique comment exploiter un dépassement de pile: c'est assez vieux mais le lire te permettra de savoir à quel point ce sujet t'intéresse. Finalement il s'agit de connaissances très pratiques – que parfois on apprend dans certains cursus sous forme de “pensum” indigeste et inexploité.
https://inst.eecs.berkeley.edu/~cs161/fa08/papers/stack_smashing.pdf
Pour s'initier à la programmation assembleur ma ressource préférée est
https://docs.freebsd.org/en/books/developers-handbook/x86/
C'est pour FreeBSD – que tu peux installer dans VirtualBox si besoin.
(D'ailleurs il te serait aussi certainement très utile de te préparer un petit zoo de machines virtuelles pour tes expérimentations.)
[^] # Re: Suject tres vaste
Posté par wolf_sentinel . Évalué à 1.
Merci beaucoup pour toutes t'es réponses, j'aurais juste une dernière question. Connais-tu une distribution Linux qui puissent me familiariser avec le hacking , mais tout en restant utilisable au quotidien ? ( kali linux n'est pas vraiment ce qu'il y'a de mieux pour le quotidien XD ). Peu import que ce ne soit pas user-frendly vu que j'utilise le combo xcfe + theme mac os
J'ai entendu que Debian était pas mal car c'est sur lui qu'est basé kali linux, donc le transit sera facile
PS: Je suis sous Zorin OS lite, une distrib basé sur ubuntu
[^] # Re: Suject tres vaste
Posté par Michaël (site web personnel) . Évalué à 3.
Toutes vont faire l'affaire pour te fournir un environnement de programmation adéquat. Ce qui me semble important de faire est de travailler avec VMs pour créer des cibles dans différent scénarios.
Bon après les exploits de dépassement de tampon et les trucs du genre il y a plein d'autres sujets:
et sûrement tout un tas d'autres.
Je ne sais pas du tout quel est ton parcours jusqu'à présent ni ce que tu sais déjà mais il semble qu'il y ait pas mal de trucs à défricher et que tu nourrisses un peu l'idée de te former tout seul avec les moyens du bord et de convaincre un employeur de ton expertise toute fraîche… à mon avis ce n'est pas une très bonne méthode parceque tu confronterais le résultat de tes efforts aux attentes d'un employeur potentiel seulement après de longs et couteux efforts. C'est plus raisonnable d'avoir cette “réconciliation au réel” beaucoup plus tôt parcequ'il n'y a presqu'aucune chance que tu développes les bonnes compétences qui intéressent ton recruteur sans lui en avoir parlé avant.
Je viens de lire ailleurs que tu as 17 ans… donc tu as encore beaucoup de temps pour apprendre tout ça.
Il vaut beaucoup mieux je pense que tu te concentres sur ton bac dans l'immédiat :-) Ensuite il faut que tu décides quels efforts tu est prêt à faire pour atteindre ton but (envie? possibilité? disponibilité? toutes les vies sont différentes!):
Ensuite que tu te trouves quelqu'un qui fait le métier que tu veux faire et que tu lui demandes son cursus et comment il ou elle a fait pour en arriver là. Ceux qui écrivent des blogs ou font des vidéos YT sont des personnes susceptibles de te répondre: demande conseil à plusieurs personnes (au moins 3 je dirais) pour avoir un peu de diversité de point de vues et d'histoires. Pour poser des questions soit précis et bref, un petit “Salut je viens de lire ton article, ça m'a beaucoup intéressé. Je vais bientôt commencer mes études et j'aimerais savoir vers quoi me tourner pour développer des compétences comme les tiennes et travailler dans ce domaine. Merci!”
Bon courage en tout cas! :-)
[^] # Re: Suject tres vaste
Posté par wolf_sentinel . Évalué à 1.
Je ne suis pas du tout un expert, mais disons que si on prend une personne lambda ( non informatique ) j'ai plus de connaissance qu'elle. Je connais un peu le bootloader ( suite à une longue aventure afin de mettre en place un dualboot sur un pc UEFI et bridé ) je sais programmer en python ( dison niveau 4.5/10 ) et suite à mon passage récent sous linux j'apprends à utiliser la console
Oui effectivement ( sacré compte google 😂 )
Alors ça probablement l'une de mes plus gandes qualité , quand je veux quelque chose, peut importe le temps que ça va me prendre j'y arrive. J'ai galéré pour mon UEFI ( bridé en plus ) mais j'ai réussi à installer kali linux en dual boot ( que j'ai retiré car j'ai vite vu que si je galéré à l'installer ça sera pareil pour l'utiliser )
J'ai pris une licence en informatique et à côté j'essaye de récupérer des sites, des livres… ( via ce forum par exemple ) pour continuer à progresser de mon côté
Merci beaucoup pour tes réponses
[^] # Re: Suject tres vaste
Posté par Michaël (site web personnel) . Évalué à 3.
C'est certainement un atout mais, juste pour clarifier, mon propos n'est pas de dire qu'il faut absolument renoncer à tout le reste pour atteindre ses objectifs. Mon propos est que lorsqu'on recherche les moyens d'atteindre ses objectifs il faut savoir ce qu'on est prêt à faire.
Par exemple si on a un enfant, si on est dans une relation, si on a un parent qu'on doit soigner, etc. on peut se dire “Rien ne me fera partir” – “Je préfère ne pas partir mais s'il le faut pour quelques semaines j'essaierai de l'organiser” – “Je suis prêt à tout plaquer.” C'est à chacun de voir ce qui pour soi-même est juste, souhaitable, faisable, etc. À un moment ou l'autre les questions de ce type vont se poser d'elles-mêmes et ce n'est pas le genre de questions auxquelles on répond en 5 minutes et tout seul. On a donc intérêt à préparer un peu le terrain: cela évite d'une part de perdre son temps ou celui des autres en explorant des pistes irréalistes et éventuellement celas permet aux autres personnes touchées par la décision de se préparer elles aussi.
[^] # Re: Suject tres vaste
Posté par Panhwein . Évalué à 1.
Bon forcement:
-Tu apprends à coder. Python très bien. J'ai un script qui prend un robots.txt, ou plusieurs en pipe et me fait u rapport. Ca casse pas trois pates à canard, mais au moins tu t'emmerdes pas te faire les url à la main! Recodé en Rust.
-Php obligatoire, sinon tu fais comment face à l'app ?
-Je reviens sur le C. Comprendre la gestion de la mémoire. Buffer overflow, race condition tout ça quoi. Hé, faut bien l'écrire et l'envoyer le shellcode!
-J'avais ton age quand je mis suis intéressé, redhat 5.1 et slackware 1.0. La galère pour les dépendances et faire du son avec une soundblaster 16 !!!
-Suis un parcours universitaire ou tu auras de l'avance. Commence maintenant à coder
Va à la fac, autodidacte j'en ai subit les conséquences….
[^] # Re: Suject tres vaste
Posté par wolf_sentinel . Évalué à 1.
Ok, donc ducoup il y'a python ( que j'utlise déjà ) , php et c à apprendre
À vrai dire ça fait déjà quelque temps, j'ai commencé avec scratch, puis avec python, mais je sens bien que je commence à stagner et que mes programmes ne vont pas très loin
J'ai aussi subi les frais des dépendances en essayant d'installer darling sur linux :), chaque ligne de commande généré une erreur > je rechercher comment la résoudre ( merci stackoverflow ), puis une nouvelle erreur… etc
Je n'ai pas décidé de tout faire moi même à 100%, j'ai choisi une licence en informatique, mais en parallèle je vais continuer de progresser de mon côté :)
# Un peu de lecture
Posté par MicP . Évalué à 3.
Bonjour
Tu pourrais aller voir ce qui se passe au niveau des alertes, quelles méthodes ont été utilisées, quelles failles ont été exploitées et comment.
https://www.cert.ssi.gouv.fr/
https://fr.wikipedia.org/wiki/Computer_emergency_response_team
[^] # Re: Un peu de lecture
Posté par wolf_sentinel . Évalué à 2.
Effectivement, mais je ne pense pas avoir les compétence pour pouvoir tirer des utilisations de ces informations
[^] # Re: Un peu de lecture
Posté par BAud (site web personnel) . Évalué à 5.
bin t'es un peu mal barre :/ car ce n'est que le début…
bon courage :p je pense que tu auras des soucis à comprendre nos amis et néanmoins collègues de l'ANSSI :D (moi j'aime bien bosser avec eux, mais surtout pour voir la tête de mes collègues qui n'y sont pas habitué :p)
[^] # Re: Un peu de lecture
Posté par BAud (site web personnel) . Évalué à 5.
en tant qu'architecte technique, j'ai assisté quelques tests d'intrusion et ramassé des chefs de projet en dessous de leurs 22. Je les avais pourtant prévenu que le résultat était connu d'avance : l'intrusion va réussir. L'important c'est de gérer le plan d'action ensuite, selon les priorités et ce sur quoi on a la main. Même la MOA bien souvent était plus réaliste que la MOE sur le résultat o_O
# Apprendre l'informatique
Posté par aiolos . Évalué à 5.
La sécurité c'est un domaine vaste, parfois très technique. Le mieux, à mon avis, pour devenir pentester, c'est avant tout d'apprendre comment fonctionne un ordinateur.
Pour cela, pas de secret : il faut apprendre à programmer, comment marche un système d'exploitation, un serveur web, etc. ; de bonnes notions de bas niveau sont un (gros) plus. Le C et le modèle de mémoire sont des indispensables ; installer ton propre serveur avec quelques services et le maintenir en état opérationnel t'apprendra beaucoup… Bref, étudie l'informatique en général, garde toujours en tête la sécurité, cherche où pourraient se trouver les problèmes. Si tu en as la possibilité, entamer ou reprendre des études d'informatique te permettra de te spécialiser en sécurité par la suite (Master ou école d'ingénieur).
Après, attaquer un système, c'est avant tout le cartographier puis trouver le serveur qui n'est pas mis à jour ou mettre à l'épreuve le bon service. Il existe des outils à apprendre à maîtriser, à commencer par nmap et les fuzzers. C'est vrai que la distribution Kali Linux permet d'en découvrir beaucoup. Mais ces outils, encore une fois, te seront surtout utile si tu comprends ce qu'ils font et ce qu'ils mettent en évidence…
Ceci dit, tu trouvera sur le web plein de ressources pour apprendre les bases : vidéos de démos de hacking, jeux de recherche de failles, livres/tutoriels d'informatique et d'infosec… N'hésite pas non plus à lire des récits de "social hacking", c'est très instructif !
Bon courage, apprendre tout ça prend du temps !
P.S. Je ne suis pas pentester, mais je travaille dans la R&D en sécurité, j'ai fait des études en sécurité (école d'ingé + fac) et plusieurs de mes camarades de promo ont exercé ce métier un temps.
[^] # Re: Apprendre l'informatique
Posté par BAud (site web personnel) . Évalué à 2. Dernière modification le 17 juin 2021 à 00:05.
oui, c'est surtout cela
Bon, nos amis de la sécurité et néanmoins collègues ne raisonnent pas de la même manière que ceux qui veulent faire fonctionner les applis…
bah ISO 27000 et autres standards, genre
https://en.wikipedia.org/wiki/Standard_of_Good_Practice_for_Information_Security
ça permet de se former à la lecture en diagonale :-) (aussi appelée lecture rapide)
[^] # Re: Apprendre l'informatique
Posté par wolf_sentinel . Évalué à 2.
Quand tu dis qu'il faut apprendre à programmer et savoir comment marche un ordinateur, c'est à dire avoir le niveau de créer ses propres drivers ou même un os ?
[^] # Re: Apprendre l'informatique
Posté par aiolos . Évalué à 3.
Plus ou moins, oui, pas forcemment un OS complet pour PC. Mais avoir écrit un ou deux drivers, par exemmle dans un systeme embarqué, pourquoi pas.
J'ai vu ci-dessous que tu étais inscrit en L1 informatique, c'est une bonne façon de commencer à apprendre comment marche un ordinateur ;)
Sache que toutes les facs ne proposent pas exactement les mêmes enseignements, en fonction des spécialités des enseignants-chercheurs qui y interviennent. Par exemple, j'ai travaillé dans une équipe de crypto d'un labo d'informatique. On proposait des cours de sécurité web dès la L2, des cours d'algorithmique pour la crypto et des compléments de maths discrètes en L3.
Ça vaudra surtout le coup de s'interesser à ces spécialités en master pour choisir une filière orientée sécurité, si c'est toujours ce qui t'intéresse. N'hésite pas non plus à te renseigner sur les admissions sur titres dans les écoles d'ingénieur spécialisées en sécurité.
# Challs
Posté par Pnchbllz . Évalué à 2. Dernière modification le 17 juin 2021 à 07:34.
Hello,
J'ai appris la sécurité en passant mes journées et certaines nuits sur les sites de challenges de sécurité, il apprennent la sécurité de manière ludique avec des épreuves dans lesquelles ont doit trouver un mot de passe (CTF) et la difficulté augmente au fur et a mesure, et une fois le challenge résolu, différentes solutions pour le résoudre sont présentées afin de comparer :
RootMe allant de facile voir très facile a difficile
W3Challs allant de moyen a difficile
Il en existe pleins d'autres, mais ce sont les deux premiers qui me viennent en tête.
Une autre ressource étant les comptes rendus des CTF que tu peux trouver sur CTFTime mais pour certains challenges cela demande de bonnes bases solides en informatique et en sécurité.
Pour ce qui est des langages, tout dépend dans quoi tu veux t'orienter, pour certains domaines, 1 ou 2 langages de scripting suffisent (Python, Bash), pour du web c'est bien de connaitre le SQL, PHP et JS, et pour d'autres, C voir ASM sont nécessaires…
La sécurité est un domaine qui demande des connaissances dans beaucoup de domaines, la phase d'apprentissage est longue, mais vaut la peine !
[^] # Re: Challs
Posté par wolf_sentinel . Évalué à 3.
Merci beaucoup, je vais essayer ces sites
D'ailleurs j'ai aussi choisi de faire une licence en informatique et je pense que le programme est compatible avec le métier de pentester :
Méthodologie de développement logiciel/Génie logiciel
Vérification, analyse de complexité, sécurité
Structures de données, types abstraits
Conception orientée-objet, validation, tests
Architecture des machines
Réseaux informatiques
Systèmes d'exploitation
Python, C, Java, CamL, SQL
Algorithmique, logique, théorie de l'information, théorie des langages, théorie et algorithmique des graphes, probabilités/statistiques, arithmétique, algèbre linéaire, méthodes numériques
# métier
Posté par octane . Évalué à 3.
C'est pas l'inverse? Tu utilises des vulnérabilités pour t'introduire dans une entreprise.
La question qui suit, c'est: comment on apprend les vulns? Bah, apprend l'informatique (au sens large). Et après, fait des challenges, y'a masse d'informations sur internet. On dit souvent que la première du pentester, c'est de savoir chercher :) donc cherches, lis, cherche encore, lis encore, et ça viendra.
Après, est-ce que les pentesters ont pas une image un peu fausse? Genre trouver des XSS et envoyer des .doc avec macro en phishing, c'est pas forcément du Mr Robot avec des écrans qui clignotent :D
[^] # Re: métier
Posté par wolf_sentinel . Évalué à 2.
Ah oui, effectivement je me suis trompé c'est bien l'inverse.
Non rassure toi je suis au courant, je ne vois pas ça comme le stéréotype du hacker en capuche avec plein de ligne de commande vert, rouge partout… Pour moi un hacker c'est un passionnée qui a un très grand niveau en informatique
[^] # Re: métier
Posté par octane . Évalué à 2.
du coup, tu as la réponse à tes questions :)
passionné -> lit tout ce que tu peux sur l'informatique, teste, bidouille, soude, installe, formatte, compile, déglingue tout.
grand niveau en informatique -> fait des études d'info
L'association des deux devrait du coup te permettre d'avancer vers le métier de pentester
# Encore de la lecture
Posté par Pnchbllz . Évalué à 3.
Salut,
En plus des recommandations de lecture dans les commentaire, je te conseil également le magazine MISC des éditions Diamond https://connect.ed-diamond.com/MISC, ils sortent un numéro tous les 2 mois ainsi que des hors séries qui traitent tous les domaines de la sécurité.
[^] # Re: Encore de la lecture
Posté par wolf_sentinel . Évalué à 1.
Je cherchais justement un magazine sur la cybersécurité :) décidément on trouve tout sur ce forum
# Uni
Posté par Panhwein . Évalué à -1.
Bon il y a quand mème des cursus universitaire.
Tu es trop jeune, alors apprend le python, le php car la plupart des sites tournent avec.
Alors, tu mets ton prof a l'amende sur les tp :)
Mais c'est un long parcours.
Ke me rappelle avec nostalgie de ma première redhat 5.1 et la slackware 1.0.
Une galère pour avoir du son…
Après si tu es très bon, tu peux trouver du taf sans diplômes!
En attendant, code, cherche pas à t'introduire dans un serveur, mais on l'a tous fait.
Si tu le fait deface rien, prend le r00t, informe.
Peut-etre ton premier job!
Bonne chance à toi en tout cas
[^] # Re: Uni
Posté par aiolos . Évalué à 5.
C'est à mon avis un très mauvais conseil que de dire à un jeune homme de 17 ans de tenter de s'introduire dans un serveur qui n'est pas à lui ! Je rappelle que le risque, c'est une peine de prison !
Le premier truc que tu apprend dans le métier de pentester c'est que tu ne t'attaques qu'à ce qu'on t'a autorisé à attaquer. Tu ne sors JAMAIS du périmètre défini à l'avance ! Si tu détecte quelque chose hors de ce cadre, ça fera éventuellement l'objet d'un second contrat…
[^] # Re: Uni
Posté par wolf_sentinel . Évalué à 1.
Ainsi qu'une amende de 300.000 € si je ne dis pas de bêtise. Et étant donné que je débute je ne saurais pas comment effacer mes traces, je serais facilement repérable et je pourrais dire adieu à ma carrière de white hat.
[^] # Re: Uni
Posté par octane . Évalué à 2.
En vrai, c'est quasi faux. De manière exceptionnelle, tu trouves du taf sans diplome. Fais un diplôme, et fais toi embaucher.
NON. Il existe suffisamment de sites de challenges dans lesquels il est légal de jouer avec (sans parler des bug bounty). Ne fais pas joujou avec l'infra du voisin sans son accord.
Clairement non. Le hacker qui a défoncé une boite et qui se fait engager par la suite, c'est de la légende urbaine. Si tu défonces une boite, tu risques surtout d'avoir des ennuis.
# Etude et plateforme
Posté par NG3 . Évalué à 2.
Bonjour, faire des études informatique me semble essentiel. Il est indispensable de bien comprendre les bases du réseau, des systèmes, de la programmation, des technologies du web, etc. avant de se lancer dans le hacking. Si tu le peux, essaye de poursuivre tes études en alternance pour associer de la pratique dans le monde réel en plus de ta formation.
Je ne peux que te recommander la plateforme https://tryhackme.com/ qui va partir des bases et qui s'adresse principalement bien au débutant (au passage tu vas améliorer ton niveau en Anglais si tu en as besoin).
[^] # Re: Etude et plateforme
Posté par wolf_sentinel . Évalué à 1.
Oui évidement , j'ai même pris une licence informatique pour la rentrée, mais en parallèle ( et même bien avant, j'ai perdu du temps, j'aurais pu acquérir plein de base plus jeune ) progresser de mon côté
# Pfff
Posté par Panhwein . Évalué à -2.
Il y ici un pentester qui n'a jamais jouer avec le ripe/robtex ?
Histoire de balancer des nmap/script sur une plage ip…
Ne me faite pas rire svp :)
# HS
Posté par Panhwein . Évalué à -2.
Je vais regardr alien, c'est fout pour l'époque les effects spéciaux.
Oui, cursus universitaire.Mes toi à coder, prend de l'avance.
Et un nmap le matin c'est comme un café
# dans l'épisode précédent
Posté par Krunch (site web personnel) . Évalué à 3.
Tout ce qu'on t'a dit la dernière fois tient toujours je pense : https://linuxfr.org/forums/linux-debutant/posts/devenir-un-hacker
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: dans l'épisode précédent
Posté par wolf_sentinel . Évalué à 1.
Oui je sais, et je vous en remercie mais on m'avait reprocher d'avoir poser une question un peu trop large , donc j'ai décidé de préciser un peu ma question
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.