// Article
Quels outils pour un test d'intrusion efficace ?
Un bon test d'intrusion n'est pas une liste d'outils qu'on enchaîne les uns après les autres : c'est un mélange de méthode, de jugement humain, et d'un noyau d'outils que je maîtrise vraiment. Voici ce que j'utilise à chaque étape, et pourquoi je les préfère aux alternatives.
Méfiance face aux prestations « 100 % automatisées ». À ce jour, aucun scanner ne distingue un vrai risque d'un faux positif, ni n'enchaîne deux failles mineures en un scénario d'attaque critique, aussi bien qu'un auditeur expérimenté. Les outils accélèrent le travail ; ils ne remplacent pas le jugement.
1. Reconnaissance
La première étape consiste à cartographier ce qui est réellement exposé : sous-domaines, services actifs, technologies utilisées. Plus je soigne cette phase, plus le reste de l'audit gagne en pertinence.
- Nmap : le scanner réseau de référence, qui cartographie hôtes actifs, ports ouverts et versions de services.
- Subfinder : découverte passive de sous-domaines, rapide et sans interaction directe avec la cible.
- Gau (GetAllUrls) : remonte les URLs archivées d'un domaine (Wayback Machine et autres), pour élargir le périmètre connu.
- Feroxbuster : force brute de répertoires et fichiers cachés sur un serveur web, rapide et léger.
- TheHarvester : collecte d'emails, de noms, de sous-domaines et d'IP depuis des sources publiques.
Mes premiers réflexes : Nmap pour confirmer ce qui est réellement actif, Feroxbuster pour trouver ce qui n'est lié nulle part, Gau pour récupérer des routes oubliées qu'un simple crawl ne trouverait jamais seul.
2. Recherche de vulnérabilités
Une fois la surface connue, il s'agit de repérer ce qui est réellement exploitable : erreurs de configuration, composants obsolètes, failles web classiques.
- Burp Suite : la suite d'interception et de test pour applications web, du proxy manuel au scanner automatisé en version payante.
- Nuclei : un scanner piloté par des modèles (templates) communautaires, rapide, pour détecter des schémas de vulnérabilités connues à grande échelle.
- OWASP ZAP : une alternative gratuite à Burp, avec un scanner actif meilleur que sa réputation ne le laisse penser.
- testssl.sh : audit en ligne de commande des configurations TLS/SSL.
Je suis plus réservé avec les scanners de vulnérabilités généralistes pensés pour les réseaux internes : sur un périmètre web externe, ils génèrent souvent beaucoup de bruit et surnotent des constats à faible impact, qu'il faut ensuite filtrer à la main avant de vous les livrer.
Mes premiers réflexes : Nuclei pour la vitesse et la profondeur gratuite, Burp Suite quand le budget le permet, ZAP en repli gratuit qui couvre l'essentiel.
3. Exploitation
Une faille suspectée n'est qu'une hypothèse tant qu'elle n'est pas confirmée. Cette phase sert à prouver qu'elle est réellement exploitable, strictement dans le périmètre convenu.
Ces outils peuvent interrompre un service ou endommager des données en cas de mauvaise manipulation. Je ne les utilise jamais hors du périmètre et des créneaux validés par écrit avec le client.
- Metasploit : framework d'exploitation modulaire, la boîte à outils historique du secteur.
- SQLMap : automatise la détection et l'exploitation des injections SQL.
- SearchSploit : recherche hors-ligne dans la base Exploit-DB, pour retrouver rapidement un exploit public.
Mes premiers réflexes : Metasploit comme pivot central pour l'essentiel de l'exploitation, SearchSploit en complément quand il faut aller vite sur un composant identifié.
4. Post-exploitation
Une fois un accès initial confirmé, la question devient : jusqu'où un attaquant pourrait-il vraiment aller ? Persistance, élévation de privilèges, mouvement latéral. Toujours avec l'accord explicite du client.
- Sliver : framework de commande et contrôle (C2) open source, complet et gratuit.
- Mythic : framework C2 flexible et multi-agents, piloté depuis une interface web.
- Weevely : web shell légère pour la post-exploitation d'applications PHP.
Je reste prudent avec Cobalt Strike : c'est le C2 commercial le plus connu du secteur, mais il est coûteux, sous licence stricte, et je ne le mobilise que dans le cadre d'une mission Red Team formellement contractée, jamais par défaut.
Mes premiers réflexes : Sliver et Mythic pour la plupart des missions, gratuits et suffisants dans la grande majorité des scénarios ; Weevely quand la cible est une application PHP et qu'il me faut simplement quelque chose de simple.
En pratique
Un arsenal large ne rend pas un audit plus exhaustif en soi. Je préfère une combinaison que je maîtrise vraiment (Nmap, Feroxbuster et Gau pour la reconnaissance, Nuclei et Burp pour le scan, Metasploit pour l'exploitation, Sliver pour la suite) plutôt que jongler avec vingt outils à moitié connus. Les tenir à jour compte autant que bien les choisir : un jeu de modèles ou un module d'exploit obsolète, et c'est justement la faille que vous m'avez missionné pour trouver qui passe entre les mailles.
Aucun de ces outils ne remplace une méthode claire, une autorisation écrite, et un rapport qui explique l'impact réel, pas seulement une liste d'identifiants CVE. Ce sont des accélérateurs, pas des raccourcis.
← Voir ma méthodologie complète d'évaluation