MISC HS 1

On le sait maintenant, nous vivons dans la société de l'information. Pas plus tard qu'en ce mois d'août 2007, une campagne massive de spams incitait à acheter des actions d'une entreprise quelconque aux États Unis. Cette campagne a porté ses fruits : des achats massifs ont provoqué une hausse de l'action... et quelques petits malins ont vendu leurs actions au bon moment [1]. Alors, l'information comme nouveau nerf de la guerre ?

Cet article présente la collecte d'information (et non son analyse) uniquement axée sur une source ouverte, Internet. Il ne faut pas négliger d'autres sources ouvertes, humaines en particulier.

Depuis ses débuts en 2003, le framework Metasploit [MSF] s'est peu à peu imposé comme un outil de référence pour l'auditeur de la sécurité des systèmes d'information. La version 3.0 de Metasploit, sortie fin mars 2007, a introduit des évolutions majeures. Tout d'abord, la réécriture de l'ensemble du projet en Ruby (à la place de Perl précédemment) a été une opportunité pour améliorer la réutilisabilité des différentes briques et pour simplifier la possibilité de créer des extensions qui reposent sur la plate-forme. De plus, des fonctionnalités ont été ajoutées à certains composants, à commencer par le Meterpreter, qui sera décrit dans la suite de cet article.

Cet article a pour objectif de vous présenter rapidement le déroulement complet d'un test d'intrusion (ou pentest) au cours duquel une vulnérabilité de type Blind SQL Injection est découverte et exploitée.