Web hacking: apprenez à tester la sécurité des applications web comme un hacker pro avec kali linux

Écrit par : B. Anass

Copyright 2021, HackinGeeK LTD

www.HackinGeeK.com

WEB Hacking. Copyright © 2021 par HackinGeek LTD.

Tous les droits sont réservés. Aucune partie de ce travail ne peut être reproduite ou transmise sous quelque forme ou par quelque moyen que ce soit, électronique ou mécanique, y compris la photocopie, l'enregistrement, ou par tout système de stockage ou de récupération d'informations, sans l'autorisation écrite préalable du propriétaire des droits d'auteur.

Auteur : B.Anass

Design de la couverture : Jugo

Correcteur : Pierre Castagnero

Les informations contenues dans ce manuel sont distribuées «en l'état», sans garantie. Bien que toutes les précautions aient été prises dans la préparation de ce travail, ni l'auteur ni le correcteur ne seront tenus responsables envers toute personne ou entité à l'égard de toute perte ou dommage causé ou présumé être causé directement ou indirectement par le informations qu'il contient.

Pour plus d’informations, contacter l’auteur du livre sur : anass@hackingeek.com

Tables des matiéres

Préface

Introduction

À qui s'adresse ce livre

Pré-requis

Matériel requis

Chapitre 1

Configuration du Lab

Installation et exécution de OWASP Mantra

Configuration de Firefox

Création d'une machine virtuelle vulnérable

Création d'une machine virtuelle sous windows

Configuration des machines virtuelles

Un tour sur les applications vulnérables

Chapitre 2

Phase 1 : Reconnaissance

Identification d'un pare-feu d'application Web

affichage de code source

Utilisation de Firebug pour analyser et modifier les composants de base

Obtention et modification des cookies

N’oubliez pas le fichier robots.txt !

Recherche de fichiers et de dossiers avec Dirb

Profilage de mot de passe avec CeWL

Utilisation de John the Ripper pour générer un dictionnaire

Recherche de fichiers et de dossiers avec ZAP

Chapitre 2

Faciliter la reconnaissance avec les robots d'indexation

Téléchargement d'une page pour une analyse hors ligne avec Wget

Téléchargement de pages pour une analyse hors ligne avec HTTrack

Utiliser le robot d’indexation de Zap

Utilisation de Burp Suite pour explorer une application Web

Répéter des requêtes avec Burp

Utilisation de WebScarab

Identification des fichiers et répertoires pertinents à partir des résultats de l'analyse

Chapitre 3

Piocher et trouver des vulnérabilités

Utilisation de Hackbar pour faciliter la vérification des paramètres

Utilisation de Tamper Data pour intercepter et modifier les requêtes.

Utiliser ZAP pour afficher et modifier les requêtes

Utiliser Burp Suite pour afficher et modifier les requêtes

Identification des vulnérabilités (XSS)

Identification de l'injection SQL basée sur les erreurs

Identification d'une injection SQL aveugle

Identifier les vulnérabilités des cookies

Obtention d'informations SSL et TLS avec SSLScan

Recherche de failles d'inclusion

Identifier la vulnérabilité POODLE

Chapitre 4

Accélérer le pentest avec les Scanners automatisés

Nikto

Utilisation d'OWASP ZAP pour le scan

Scanner avec arachni

Utilisation du scanner «Vega»

Trouver des vulnérabilités avec Metasploit

Chapitre 5

La phase d’exploitation

Exploiter les failles d’inclusion et d’upload.

Exploiter les injections de commandes

Exploiter une injection d'entité externe XML

Brute forcer des mots de passe avec THC-Hydra

Attaques par dictionnaire avec Burp Suite

Obtention de cookies de session via XSS

Injection SQL de base étape par étape

Recherche et exploitation des injections SQL avec SQLMap

Attaquer les mots de passe de Tomcat avec Metasploit

Utilisation de Tomcat Manager pour exécuter du code

Chapitre 6

Pousser le jeu : exploitation avancée

Exploiter la vulnérabilité Heartbleed à l'aide de metasploit

Exploiter XSS avec BeEF

Exploiter un SQLi aveugle

Utilisation de SQLMap pour obtenir des informations sur la base de données

Exécution de commandes avec Shellshock

Cracking de mot de passe avec John the Ripper à l'aide d'un dictionnaire

Chapitre 7

Attaque de l'homme au milieu

Configuration d'une attaque d'usurpation d'identité avec Ettercap

Être le MITM et capturer du trafic avec Wireshark

Modification des données entre le serveur et le client

Configuration d'une attaque SSL MITM

Effectuer une usurpation DNS et rediriger le trafic

Attaques côté client et ingénierie sociale

Création d'un récupérateur de mots de passe avec SET

Créer un shell inversé avec Metasploit

Comment arriver à manipuler votre cible à faire ce que vous voulez

Chapitre 8

Travailler sur vos points faibles

1 - Prévenir les attaques par injection

2 - Construire une authentification et une gestion de session appropriées

3 - Empêcher XSS

4 - Prévention des références d'objets directs non sécurisées

5 - Sécurité des configurations

6 - Protection des données sensibles

8 - Prévention de CSRF

9 - rechercher les vulnérabilités sur les composants tiers

10 - Validation de la redirection

––––––––

Disclaimer

Toute action ou activité liée au contenu de ce livre relève de votre entière responsabilité. L'usage abusif des informations contenues dans ce livre peut donner lieu à des poursuites pénales contre les personnes en question, donc veillez à créer  un environnement propice afin de tester les différentes attaques que je vais vous présenter dans ce livre. Et surtout, n’hésite pas : Virtualbox est à votre disposition.

Une autre chose importante : les connaissances fournies dans ce livre ne sont pas garanties et ce domaine est en évolution continue. Donc si vous trouvez que certaines informations ne sont plus valables, n’hésitez pas à me le signaler en me contactant. Je serais ravi de corriger ce qui est nécessaire et de vous remercier par la même occasion.

Mon site web : https://hackingeek.com/

Ma chaine YouTube : youtube.com/HackinGeeK

Mon adresse e-mail : anass@hackingeek.com

Notre page Facebook : hackingeek0x/

Préface

Vous avez entre les mains le dernier livre d’Anass. Cette-fois ci il a frappé très fort : ‘’WEB Hacking’’ est une bombe. Anass à mis tout son savoir faire et l’a retranscrit ici pour vous permettre de tester directement une quantité impressionnante d’attaques sur internet.

Comme il l’explique honnêtement au début du livre, l’auteur a eu le souci d’aplanir toutes les difficultés pour que même le débutant puisse appréhender les cyberattaques. Vous pouvez bien sûr utiliser ce livre pour tester certaines attaques, mais je vous conseille de l’utiliser comme un livre de cours qui vous guidera dans les divers travaux pratiques. Cela vous permettra de progresser jusqu’à prétendre être un véritable pentester. En effet la trame du livre est dirigée de façon à donner une véritable feuille de route a tous ceux qui ambitionnent de travailler dans la sécurité informatique. Ce livre vous donnera la consistance nécessaire pour vous imposer dans l’entreprise que vous aurez décider d’intégrer.

Ne vous méprenez pas sur le niveau d’avancement de ce livre : il est au sommet de ce qui se fait en 2020. C’est assez logique, Anass est doctorant. C'est à dire que même à l’issue de longues et coûteuses études, vous n’aurez pas le niveau de connaissance nécessaire pour faire mieux. Je suis prêt à faire le pari que ‘’WEB Hacking’’ deviendra une référence pour un certain nombre d’années.

Pierre Castagnero

Introduction

De nos jours, la cybersécurité est un sujet brûlant partout dans l'actualité et sur Internet ; nous entendons presque tous les jours parler d’effacement de pages Web, de fuites de données de millions de comptes d'utilisateurs et de mots de passe ou de numéros de cartes de crédit, de vol d'identité sur les réseaux sociaux ; des termes tels que cyberattaque, cybercriminalité, piratage informatique et même cyberguerre font désormais partie du lexique quotidien des médias.

Toutes ces expositions sur les sujets de la sécurité de l'information et le besoin réel de protéger les données sensibles et leur réputation ont rendu les organisations plus conscientes de la nécessité de savoir où leurs systèmes sont vulnérables ; en particulier, pour ceux qui sont accessibles via Internet, comment pourraient-ils être attaqués, et quelles seront les conséquences, en termes de perte d'informations ou de compromission du système si une attaque réussissait. Et plus important encore, comment corriger ces vulnérabilités et minimiser les risques.

Cette tâche de détection des vulnérabilités et de découverte de leur impact sur les organisations est celle qui est traitée par le biais de tests de pénétration. Un test de pénétration est une attaque ou des attaques effectuées par un professionnel de la sécurité qui utilise les mêmes techniques et outils que les vrais pirates informatiques afin de découvrir tous les points faibles possibles des systèmes de l'organisation.

Ces points faibles sont exploités et leur impact est mesuré. Une fois le test terminé, le testeur de pénétration informe toutes de ses constatations et indique comment les réparer pour éviter de futurs dommages.

Dans ce livre, nous suivrons tout le chemin d'un test de pénétration d'applications Web et, sous forme de travaux pratiques faciles à suivre, étape par étape, je vous montrerai comment les vulnérabilités des applications Web et des serveurs Web peuvent être découvertes, exploitées, et corrigées.

À qui s'adresse ce livre

J’ai essayé d’écrire ce livre en pensant à de nombreux types de lecteurs. Tout d'abord, les étudiants en informatique, les développeurs et les administrateurs de systèmes qui souhaitent aller plus loin dans leurs connaissances sur la sécurité de l'information ou qui souhaitent poursuivre une carrière dans le domaine. Ils trouveront ici des exercices très faciles à suivre qui leur permettront de réaliser leur premier test de pénétration dans leur propre laboratoire, et leur donnera également les bases et les outils pour continuer à pratiquer et à apprendre.

Les développeurs d'applications et les administrateurs de systèmes apprendront également comment les attaquants se comportent dans le monde réel, quelles étapes peuvent être suivies pour créer des applications et des systèmes plus sécurisés et comment détecter les comportements malveillants.

Enfin, les professionnels chevronnés de la sécurité trouveront des techniques d'exploitation intermédiaires et avancées et des idées sur la façon de combiner deux vulnérabilités ou plus afin de mener une attaque plus sophistiquée.

Pré-requis

Afin de suivre avec moi tout au long de ce livre, le lecteur doit avoir une compréhension de base des sujets suivants :

●  Installation du système d'exploitation Linux

●  Utilisation de la ligne de commande Unix/Linux

●  Des compétences de bases en HTML

●  Le langage de programmation PHP

Matériel requis

Le seul matériel nécessaire est un ordinateur personnel, avec un processeur qui supporte la technologie de virtualisation (idéalement i5 ou i7) ainsi qu’un minimum de 8Go de RAM.

Chapitre 1

Configuration du Lab

Dans ce premier chapitre, nous verrons comment préparer notre installation Kali Linux pour pouvoir suivre tous les chapitres du livre et mettre en place un laboratoire avec des applications web vulnérables en utilisant des machines virtuelles.

Avant de commencer à tester la sécurité des applications Web, nous devons nous assurer que nous avons tous les outils nécessaires. Cette partie du livre couvre la tâche de base qui consiste à garder Kali Linux et ses outils dans leurs versions les plus récentes.

Nous commençons par avoir Kali Linux installé comme système d'exploitation virtuel sur un ordinateur avec accès à Internet ; la version que nous utiliserons à travers ce livre est la version 2020.1b. Vous pouvez télécharger l’image d'installation à partir du site officiel https://www.kali.org/downloads/.

Une fois votre Kali Linux opérationnelle, procédez comme suit :

1. Connectez-vous en tant que root sur Kali Linux.

2. Ouvrez un terminal et exécutez cette ligne de commande pour ajouter le dépôt officiel de Kali Linux :

root@kali:~# echo deb http://http.kali.org/kali kali-rolling main non-free contrib > /etc/apt/sources.list

3. Exécutez la commande apt-get update. Cela téléchargera la liste des mises à jour des paquets (applications et outils) disponibles pour l'installation.

root@kali:~# apt-get update

Atteint:1 http://kali.download/kali kali-rolling InRelease Lecture des listes de paquets... Fait

Construction de l'arbre des dépendances Lecture des informations d'état... Fait

864 paquets peuvent être mis à jour. Exécutez à« apt list—upgradable » pour les voir.

4. Une fois la mise à jour terminée, exécutez la commande suivante pour installer les mises à jour que vous venez de télécharger :

root@kali:~# apt-get upgrade

Lecture des listes de paquets... Fait

Construction de l'arbre des dépendances Lecture des informations d'état... Fait Calcul de la mise à jour... Fait

Les paquets suivants ont été installés automatiquement et ne sont plus nécessaires :

—pass—

Les NOUVEAUX paquets suivants seront installés: alsa-topology-conf alsa-ucm-conf crackmapexec enchant-2 gcc-10-base gdal-data gparted-common kali-tools-top10 kismet-capture-nrf-51822 kismet-capture-nxp-kw41z kismet-capture-ti-cc-2531 xfdesktop4-data xkb-data xserver-common xserver-xorg-core xserver-xorg-legacy xterm xvfb xxd zlib1g zlib1g-dev zsh zsh-common 858 mis à jour, 108 nouvellement installés, 0 à enlever et 6 non mis à jour. Il est nécessaire de prendre 569 Mo dans les archives. Aprés cette opération, 789 Mo d'espace disque supplémentaires seront utilisés. Souhaitez-vous continuer ? [O/n]

—pass—

5. Lorsqu'on vous demande de continuer, appuyez sur O puis sur Entrée.

6. Ensuite, mettons à niveau notre système. Tapez la commande suivante et appuyez sur Entrée :

root@kali:~# apt-get dist-upgrade

Lecture des listes de paquets... Fait

Construction de l'arbre des dépendances Lecture des informations d'état... Fait

Calcul de la mise à jour... Fait

Les paquets suivants ont été installés automatiquement et ne sont plus nécessaires:

—pass—

Les NOUVEAUX paquets suivants seront installés :

—pass—

864 mis à jour, 116 nouvellement installés, 0 enlever et 0 non mis à jour. Il est nécessaire de prendre 630 Mo dans les archives.

Aprés cette opération, 1099 Mo d'espace disque supplémentaires seront utilisés. Souhaitez-vous continuer ? [O/n]

7. Maintenant, nous avons notre Kali Linux à jour et prêt à commencer le hacking !

Nous venons de voir comment mettre à jour les paquets dans les systèmes basés sur Debian (tels que Kali Linux). Le premier appel à apt-get avec le paramètre update a téléchargé la liste la plus récente des paquets disponibles pour notre système spécifique dans le dépôt précédemment configuré.

Après avoir téléchargé et installé tous les paquets qui ont les versions les plus récentes dans le dépôt avec apt-get upgrade, le paramètre dist-upgrade télécharge et installe les paquets système (tels que le noyau et les modules du noyau) non installés avec les mises à niveau.

Note : Il existe des outils, tels que Metasploit et wpscan, qui ont leurs propres commandes de mise à jour ; msfupdate pour Metasploit et wpscan—update pour wpscan.

Installation et exécution de OWASP Mantra

Les membres de OWASP (Open Web Application Security Project) ont mis au point un navigateur