# 80,443 - Méthodologie de Pentesting Web
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥 * Travaillez-vous dans une **entreprise de cybersécurité** ? Voulez-vous voir votre **entreprise annoncée dans HackTricks** ? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF** ? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) ! * Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family) * Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com) * **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.** * **Partagez vos astuces de piratage en soumettant des PR au** [**repo hacktricks**](https://github.com/carlospolop/hacktricks) **et au** [**repo hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
**Astuce de prime de bug** : **inscrivez-vous** à **Intigriti**, une plateforme de prime de bug premium créée par des pirates, pour les pirates ! Rejoignez-nous sur [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) aujourd'hui et commencez à gagner des primes allant jusqu'à **100 000 $** ! {% embed url="https://go.intigriti.com/hacktricks" %} ## Informations de base Le service web est le service le plus **commun et le plus étendu** et il existe de **différents types de vulnérabilités**. **Port par défaut :** 80 (HTTP), 443 (HTTPS) ```bash PORT STATE SERVICE 80/tcp open http 443/tcp open ssl/https ``` ```bash nc -v domain.com 80 # GET / HTTP/1.0 openssl s_client -connect domain.com:443 # GET / HTTP/1.0 ``` ### Conseils pour les API Web {% content-ref url="web-api-pentesting.md" %} [web-api-pentesting.md](web-api-pentesting.md) {% endcontent-ref %} ## Résumé de la méthodologie > Dans cette méthodologie, nous supposons que vous allez attaquer un domaine (ou sous-domaine) et uniquement celui-ci. Vous devez donc appliquer cette méthodologie à chaque domaine, sous-domaine ou adresse IP découvert avec un serveur web indéterminé dans le périmètre. * [ ] Commencez par **identifier** les **technologies** utilisées par le serveur web. Recherchez des **astuces** à garder à l'esprit pendant le reste du test si vous pouvez identifier avec succès la technologie. * [ ] Toute **vulnérabilité connue** de la version de la technologie ? * [ ] Utilisation d'une **technologie bien connue** ? Une **astuce utile** pour extraire plus d'informations ? * [ ] Tout **scanner spécialisé** à exécuter (comme wpscan) ? * [ ] Lancez des **scanners à usage général**. Vous ne savez jamais s'ils vont trouver quelque chose ou s'ils vont trouver des informations intéressantes. * [ ] Commencez par les **vérifications initiales** : **robots**, **sitemap**, erreur **404** et analyse **SSL/TLS** (si HTTPS). * [ ] Commencez à **spider** la page web : Il est temps de **trouver** tous les **fichiers, dossiers** et **paramètres possibles utilisés**. Vérifiez également les **découvertes spéciales**. * [ ] _Notez qu'à chaque fois qu'un nouveau répertoire est découvert lors du brute-forcing ou du spidering, il doit être spideré._ * [ ] **Brute-Forcing de répertoires** : Essayez de forcer le passage de tous les dossiers découverts à la recherche de nouveaux **fichiers** et **répertoires**. * [ ] _Notez qu'à chaque fois qu'un nouveau répertoire est découvert lors du brute-forcing ou du spidering, il doit être forcé._ * [ ] **Vérification des sauvegardes** : Testez si vous pouvez trouver des **sauvegardes** des **fichiers découverts** en ajoutant des extensions de sauvegarde courantes. * [ ] **Brute-Force des paramètres** : Essayez de **trouver des paramètres cachés**. * [ ] Une fois que vous avez **identifié** tous les **points d'extrémité** possibles acceptant des **entrées utilisateur**, vérifiez toutes sortes de **vulnérabilités** qui y sont liées. * [ ] [Suivez cette liste de contrôle](../../pentesting-web/web-vulnerabilities-methodology/) ## Version du serveur (Vulnérable ?) ### Identifier Vérifiez s'il existe des **vulnérabilités connues** pour la **version du serveur** qui est en cours d'exécution.\ Les **en-têtes HTTP et les cookies de la réponse** peuvent être très utiles pour **identifier** les **technologies** et/ou la **version** utilisées. L'analyse **Nmap** peut identifier la version du serveur, mais les outils [**whatweb**](https://github.com/urbanadventurer/WhatWeb)**,** [**webtech** ](https://github.com/ShielderSec/webtech)ou [**https://builtwith.com/**](https://builtwith.com)**:** peuvent également être utiles. ```bash whatweb -a 1 #Stealthy whatweb -a 3 #Aggresive webtech -u webanalyze -host https://google.com -crawl 2 ``` Recherchez les vulnérabilités de la version de l'application Web. ### Vérifiez s'il y a un pare-feu d'application Web (WAF) * [**https://github.com/EnableSecurity/wafw00f**](https://github.com/EnableSecurity/wafw00f) * [**https://github.com/Ekultek/WhatWaf.git**](https://github.com/Ekultek/WhatWaf.git) * [**https://nmap.org/nsedoc/scripts/http-waf-detect.html**](https://nmap.org/nsedoc/scripts/http-waf-detect.html) ### Astuces techniques Web Quelques astuces pour trouver des vulnérabilités dans différentes technologies bien connues utilisées : * [**AEM - Adobe Experience Cloud**](aem-adobe-experience-cloud.md) * [**Apache**](apache.md) * [**Artifactory**](artifactory-hacking-guide.md) * [**Buckets**](buckets/) * [**CGI**](cgi.md) * [**Drupal**](drupal.md) * [**Flask**](flask.md) * [**Git**](git.md) * [**Golang**](golang.md) * [**GraphQL**](graphql.md) * [**H2 - Base de données SQL Java**](h2-java-sql-database.md) * [**Astuces IIS**](iis-internet-information-services.md) * [**JBOSS**](jboss.md) * [**Jenkins**](broken-reference/) * [**Jira**](jira.md) * [**Joomla**](joomla.md) * [**JSP**](jsp.md) * [**Laravel**](laravel.md) * [**Moodle**](moodle.md) * [**Nginx**](nginx.md) * [**PHP (php a beaucoup de trucs intéressants qui pourraient être exploités)**](php-tricks-esp/) * [**Python**](python.md) * [**Spring Actuators**](spring-actuators.md) * [**Symphony**](symphony.md) * [**Tomcat**](tomcat.md) * [**VMWare**](vmware-esx-vcenter....md) * [**Test de pénétration de l'API Web**](web-api-pentesting.md) * [**WebDav**](put-method-webdav.md) * [**Werkzeug**](werkzeug.md) * [**Wordpress**](wordpress.md) * [**Electron Desktop (XSS to RCE)**](xss-to-rce-electron-desktop-apps/) Notez que le même domaine peut utiliser différentes technologies sur différents ports, dossiers et sous-domaines. Si l'application Web utilise une technologie / plateforme bien connue répertoriée ci-dessus ou toute autre, n'oubliez pas de rechercher sur Internet de nouvelles astuces (et faites-le moi savoir !). ### Examen du code source Si le code source de l'application est disponible sur Github, en plus de réaliser votre propre test de boîte blanche de l'application, il existe des informations qui pourraient être utiles pour le test de boîte noire actuel : * Y a-t-il un fichier de journal des modifications, de lecture ou de version ou toute autre information de version accessible via le Web ? * Comment et où sont enregistrées les informations d'identification ? Y a-t-il un fichier (accessible ?) avec des informations d'identification (noms d'utilisateur ou mots de passe) ? * Les mots de passe sont-ils en texte clair, chiffrés ou quel algorithme de hachage est utilisé ? * Utilise-t-il une clé principale pour crypter quelque chose ? Quel algorithme est utilisé ? * Pouvez-vous accéder à l'un de ces fichiers en exploitant une vulnérabilité ? * Y a-t-il des informations intéressantes dans les problèmes Github (résolus et non résolus) ? Ou dans l'historique des commits (peut-être un mot de passe introduit dans un ancien commit) ? {% content-ref url="code-review-tools.md" %} [code-review-tools.md](code-review-tools.md) {% endcontent-ref %} ### Scanners automatiques #### Scanners automatiques à usage général ```bash nikto -h whatweb -a 4 wapiti -u W3af zaproxy #You can use an API nuclei -ut && nuclei -target ``` #### Scanners de CMS Si un CMS est utilisé, n'oubliez pas de **lancer un scanner**, peut-être que quelque chose de juteux sera trouvé : [**Clusterd**](https://github.com/hatRiot/clusterd)**:** [**JBoss**](jboss.md)**, ColdFusion, WebLogic,** [**Tomcat**](tomcat.md)**, Railo, Axis2, Glassfish**\ [**CMSScan**](https://github.com/ajinabraham/CMSScan): [**WordPress**](wordpress.md), [**Drupal**](drupal.md), **Joomla**, sites web **vBulletin** pour des problèmes de sécurité. (GUI)\ [**VulnX**](https://github.com/anouarbensaad/vulnx)**:** [**Joomla**](joomla.md)**,** [**Wordpress**](wordpress.md)**,** [**Drupal**](drupal.md)**, PrestaShop, Opencart**\ **CMSMap**: [**(W)ordpress**](wordpress.md)**,** [**(J)oomla**](joomla.md)**,** [**(D)rupal**](drupal.md) **ou** [**(M)oodle**](moodle.md)\ [**droopscan**](https://github.com/droope/droopescan)**:** [**Drupal**](drupal.md)**,** [**Joomla**](joomla.md)**,** [**Moodle**](moodle.md)**, Silverstripe,** [**Wordpress**](wordpress.md) ```bash cmsmap [-f W] -F -d wpscan --force update -e --url joomscan --ec -u joomlavs.rb #https://github.com/rastating/joomlavs ``` > À ce stade, vous devriez déjà avoir des informations sur le serveur web utilisé par le client (si des données sont fournies) et quelques astuces à garder à l'esprit pendant le test. Si vous avez de la chance, vous avez même trouvé un CMS et exécuté un scanner. ## Découverte de l'application Web étape par étape > À partir de ce point, nous allons commencer à interagir avec l'application Web. ### Vérifications initiales **Pages par défaut avec des informations intéressantes :** * /robots.txt * /sitemap.xml * /crossdomain.xml * /clientaccesspolicy.xml * /.well-known/ * Vérifiez également les commentaires dans les pages principales et secondaires. **Forcer des erreurs** Les serveurs Web peuvent **avoir un comportement inattendu** lorsqu'on leur envoie des données étranges. Cela peut ouvrir des **vulnérabilités** ou **divulguer des informations sensibles**. * Accédez à des **pages fictives** comme /whatever\_fake.php (.aspx,.html,.etc) * Ajoutez "\[]", "]]", et "\[\[" dans les **valeurs de cookie** et les **valeurs de paramètre** pour créer des erreurs * Générez une erreur en donnant une entrée comme **`/~randomthing/%s`** à la **fin** de l'**URL** * Essayez **différents verbes HTTP** comme PATCH, DEBUG ou faux comme FAKE #### **Vérifiez si vous pouvez télécharger des fichiers (**[**verbe PUT, WebDav**](put-method-webdav.md)**)** Si vous découvrez que **WebDav** est **activé** mais que vous n'avez pas suffisamment de permissions pour **télécharger des fichiers** dans le dossier racine, essayez de : * **Forcer** les identifiants * **Télécharger des fichiers** via WebDav dans le **reste** des **dossiers trouvés** à l'intérieur de la page Web. Vous pouvez avoir des autorisations pour télécharger des fichiers dans d'autres dossiers. ### **Vulnérabilités SSL/TLS** * Si l'application **n'oblige pas l'utilisateur à utiliser HTTPS** à un moment donné, elle est **vulnérable aux attaques de type MitM** * Si l'application **envoie des données sensibles (mots de passe) en utilisant HTTP**. Alors c'est une vulnérabilité élevée. Utilisez [**testssl.sh**](https://github.com/drwetter/testssl.sh) pour vérifier les **vulnérabilités** (dans les programmes de Bug Bounty, ces types de vulnérabilités ne seront probablement pas acceptées) et utilisez [**a2sv** ](https://github.com/hahwul/a2sv) pour revérifier les vulnérabilités : ```bash ./testssl.sh [--htmlfile] 10.10.10.10:443 #Use the --htmlfile to save the output inside an htmlfile also # You can also use other tools, by testssl.sh at this momment is the best one (I think) sslscan sslyze --regular ``` Informations sur les vulnérabilités SSL/TLS: * [https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/](https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/) * [https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/](https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/) ### Spidering Lancez une sorte d'**araignée** à l'intérieur du web. Le but de l'araignée est de **trouver autant de chemins que possible** à partir de l'application testée. Par conséquent, le crawling web et les sources externes doivent être utilisés pour trouver autant de chemins valides que possible. * [**gospider**](https://github.com/jaeles-project/gospider) (go): araignée HTML, LinkFinder dans les fichiers JS et les sources externes (Archive.org, CommonCrawl.org, VirusTotal.com, AlienVault.com). * [**hakrawler**](https://github.com/hakluke/hakrawler) (go): araignée HML, avec LinkFider pour les fichiers JS et Archive.org comme source externe. * [**dirhunt**](https://github.com/Nekmo/dirhunt) (python): araignée HTML, indique également les "fichiers juteux". * [**evine** ](https://github.com/saeeddhqan/evine)(go): araignée HTML interactive CLI. Il recherche également dans Archive.org * [**meg**](https://github.com/tomnomnom/meg) (go): Cet outil n'est pas une araignée mais peut être utile. Vous pouvez simplement indiquer un fichier avec des hôtes et un fichier avec des chemins et meg récupérera chaque chemin sur chaque hôte et enregistrera la réponse. * [**urlgrab**](https://github.com/IAmStoxe/urlgrab) (go): araignée HTML avec des capacités de rendu JS. Cependant, il semble qu'il ne soit pas maintenu, la version précompilée est ancienne et le code actuel ne compile pas. * [**gau**](https://github.com/lc/gau) (go): araignée HTML qui utilise des fournisseurs externes (wayback, otx, commoncrawl) * [**ParamSpider**](https://github.com/devanshbatham/ParamSpider): Ce script trouvera des URL avec des paramètres et les listera. * [**galer**](https://github.com/dwisiswant0/galer) (go): araignée HTML avec des capacités de rendu JS. * [**LinkFinder**](https://github.com/GerbenJavado/LinkFinder) (python): araignée HTML, avec des capacités de beauté JS capable de rechercher de nouveaux chemins dans les fichiers JS. Il pourrait également être intéressant de jeter un coup d'œil à [JSScanner](https://github.com/dark-warlord14/JSScanner), qui est un wrapper de LinkFinder. * [**goLinkFinder**](https://github.com/0xsha/GoLinkFinder) (go): Pour extraire des points de terminaison dans à la fois la source HTML et les fichiers javascript intégrés. Utile pour les chasseurs de bogues, les équipes rouges, les ninjas de la sécurité de l'information. * [**JSParser**](https://github.com/nahamsec/JSParser) (python2.7): Un script python 2.7 utilisant Tornado et JSBeautifier pour analyser les URL relatives à partir de fichiers JavaScript. Utile pour découvrir facilement les demandes AJAX. Semble ne plus être maintenu. * [**relative-url-extractor**](https://github.com/jobertabma/relative-url-extractor) (ruby): Étant donné un fichier (HTML), il extraira les URL à partir de celui-ci en utilisant une expression régulière astucieuse pour trouver et extraire les URL relatives des fichiers laids (minify). * [**JSFScan**](https://github.com/KathanP19/JSFScan.sh) (bash, plusieurs outils): Rassemble des informations intéressantes à partir de fichiers JS en utilisant plusieurs outils. * [**subjs**](https://github.com/lc/subjs) (go): Trouver des fichiers JS. * [**page-fetch**](https://github.com/detectify/page-fetch) (go): Chargez une page dans un navigateur headless et imprimez toutes les URL chargées pour charger la page. * [**Feroxbuster**](https://github.com/epi052/feroxbuster) (rust): Outil de découverte de contenu mélangeant plusieurs options des outils précédents * [**Javascript Parsing**](https://github.com/xnl-h4ck3r/burp-extensions): Une extension Burp pour trouver des chemins et des paramètres dans les fichiers JS. * [**Sourcemapper**](https://github.com/denandz/sourcemapper): Un outil qui, étant donné l'URL .js.map, vous donnera le code JS beatifié * [**xnLinkFinder**](https://github.com/xnl-h4ck3r/xnLinkFinder): C'est un outil utilisé pour découvrir des points de terminaison pour une cible donnée. * [**waymore**](https://github.com/xnl-h4ck3r/waymore)**:** Découvrez des liens à partir de la machine wayback (en téléchargeant également les réponses dans wayback et en recherchant plus de liens * [**HTTPLoot**](https://github.com/redhuntlabs/HTTPLoot) (go): Crawl (même en remplissant des formulaires) et trouver également des informations sensibles en utilisant des regex spécifiques. * [**SpiderSuite**](https://github.com/3nock/SpiderSuite): Spider Suite est une araignée / spider de sécurité web GUI multi-fonctionnelle avancée conçue pour les professionnels de la cybersécurité. ### Brute Force directories and files Commencez le **brute-forcing** à partir du dossier racine et assurez-vous de brute-forcer **tous les répertoires trouvés** en utilisant **cette méthode** et tous les répertoires **découverts** par le **Spidering** (vous pouvez faire ce brute-forcing **récursivement** et ajouter au début de la liste de mots utilisée les noms des répertoires trouvés).\ Outils: * **Dirb** / **Dirbuster** - Inclus dans Kali, **ancien** (et **lent**) mais fonctionnel. Autorise les certificats auto-signés et la recherche récursive. Trop lent par rapport aux autres options. * [**Dirsearch**](https://github.com/maurosoria/dirsearch) (python)**: Il n'autorise pas les certificats auto-signés mais** permet une recherche récursive. * [**Gobuster**](https://github.com/OJ/gobuster) (go): Il autorise les certificats auto-signés, il n'a **pas** de recherche **récursive**. * [**Feroxbuster**](https://github.com/epi052/feroxbuster) **- Rapide, prend en charge la recherche récursive.** * [**wfuzz**](https://github.com/xmendez/wfuzz) `wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ` * [**ffuf** ](https://github.com/ffuf/ffuf)- Rapide: `ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ` * [**uro**](https://github.com/s0md3v/uro) (python): Ce n'est pas une araignée mais un outil qui, étant donné la liste des URL trouvées, supprimera les URL "dupliquées". * [**Scavenger**](https://github.com/0xDexter0us/Scavenger): Extension Burp pour créer une liste de répertoires à partir de l'historique burp de différentes pages * [**TrashCompactor**](https://github.com/michael1026/trashcompactor): Supprime les URL avec des fonctionnalités dupliquées (basé sur les import _Remarque que chaque fois qu'un nouveau répertoire est découvert lors du brute-forcing ou du spidering, il doit être brute-forcé._ ### Que vérifier sur chaque fichier trouvé * [**Vérificateur de liens cassés**](https://github.com/stevenvachon/broken-link-checker) : Trouvez les liens cassés à l'intérieur des HTML qui peuvent être sujets à des prises de contrôle. * **Sauvegardes de fichiers** : Une fois que vous avez trouvé tous les fichiers, recherchez des sauvegardes de tous les fichiers exécutables ("_.php_", "_.aspx_"...). Les variations courantes pour nommer une sauvegarde sont : _file.ext\~, #file.ext#, \~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp et file.old._ Vous pouvez également utiliser l'outil [**bfac**](https://github.com/mazen160/bfac). * **Découvrir de nouveaux paramètres** : Vous pouvez utiliser des outils comme [**Arjun**](https://github.com/s0md3v/Arjun)**,** [**parameth**](https://github.com/maK-/parameth)**,** [**x8**](https://github.com/sh1yo/x8) **et** [**Param Miner**](https://github.com/PortSwigger/param-miner) **pour découvrir des paramètres cachés. Si possible, vous pourriez essayer de rechercher** des paramètres cachés sur chaque fichier web exécutable. * _Tous les wordlists par défaut d'Arjun :_ [https://github.com/s0md3v/Arjun/tree/master/arjun/db](https://github.com/s0md3v/Arjun/tree/master/arjun/db) * _Param-miner "params" :_ [https://github.com/PortSwigger/param-miner/blob/master/resources/params](https://github.com/PortSwigger/param-miner/blob/master/resources/params) * _Assetnote "parameters_top_1m" :_ [https://wordlists.assetnote.io/](https://wordlists.assetnote.io) * _nullenc0de "params.txt" :_ [https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773](https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773) * **Commentaires** : Vérifiez les commentaires de tous les fichiers, vous pouvez trouver des **informations d'identification** ou des **fonctionnalités cachées**. * Si vous jouez à **CTF**, une astuce "commune" consiste à **cacher** des **informations** à l'intérieur des commentaires à droite de la **page** (en utilisant des **centaines** d'**espaces** pour que vous ne voyiez pas les données si vous ouvrez le code source avec le navigateur). Une autre possibilité est d'utiliser **plusieurs nouvelles lignes** et de **cacher des informations** dans un commentaire en bas de la page web. * **Clés API** : Si vous **trouvez une clé API**, il y a un guide qui indique comment utiliser les clés API de différentes plateformes : [**keyhacks**](https://github.com/streaak/keyhacks)**,** [**zile**](https://github.com/xyele/zile.git)**,** [**truffleHog**](https://github.com/trufflesecurity/truffleHog)**,** [**SecretFinder**](https://github.com/m4ll0k/SecretFinder)**,** [**RegHex**](https://github.com/l4yton/RegHex\)/)**,** [**DumpsterDive**](https://github.com/securing/DumpsterDiver)**,** [**EarlyBird**](https://github.com/americanexpress/earlybird) * Clés API Google : Si vous trouvez une clé API ressemblant à **AIza**SyA-qLheq6xjDiEIRisP\_ujUseYLQCHUjik, vous pouvez utiliser le projet [**gmapapiscanner**](https://github.com/ozguralp/gmapsapiscanner) pour vérifier à quelles API la clé peut accéder. * **Buckets S3** : Pendant le spidering, regardez si un **sous-domaine** ou un **lien** est lié à un **bucket S3**. Dans ce cas, [**vérifiez** les **permissions** du bucket](buckets/). ### Découvertes spéciales **Pendant** le **spidering** et le **brute-forcing**, vous pourriez trouver des **choses intéressantes** que vous devez **remarquer**. **Fichiers intéressants** * Recherchez des **liens** vers d'autres fichiers à l'intérieur des fichiers **CSS**. * [Si vous trouvez un fichier _**.git**_, des informations peuvent être extraites](git.md) * Si vous trouvez un fichier _**.env**_, des informations telles que des clés API, des mots de passe de bases de données et d'autres informations peuvent être trouvées. * Si vous trouvez des **points de terminaison API**, vous [devriez également les tester](web-api-pentesting.md). Ce ne sont pas des fichiers, mais ils ressembleront probablement à des fichiers. * **Fichiers JS** : Dans la section spidering, plusieurs outils qui peuvent extraire le chemin à partir de fichiers JS ont été mentionnés. Il serait également intéressant de **surveiller chaque fichier JS trouvé**, car dans certaines occasions, un changement peut indiquer qu'une vulnérabilité potentielle a été introduite dans le code. Vous pouvez utiliser par exemple [**JSMon**](https://github.com/robre/jsmon)**.** * Vous devriez également vérifier les fichiers JS découverts avec [**RetireJS**](https://github.com/retirejs/retire.js/) ou [**JSHole**](https://github.com/callforpapers-source/jshole) pour savoir s'ils sont vulnérables. * **Désobfuscateur et décompresseur Javascript** : [https://lelinhtinh.github.io/de4js/](https://lelinhtinh.github.io/de4js/), [https://www.dcode.fr/javascript-unobfuscator](https://www.dcode.fr/javascript-unobfuscator) * **Embellisseur Javascript** : [http://jsbeautifier.org/](https://beautifier.io), [http://jsnice.org/](http://jsnice.org) * **Déobfuscation JsFuck** (javascript avec les caractères : "\[]!+" [https://ooze.ninja/javascript/poisonjs/](https://ooze.ninja/javascript/poisonjs/)) * [**TrainFuck**](https://github.com/taco-c/trainfuck)**:** `+72.+29.+7..+3.-67.-12.+55.+24.+3.-6.-8.-67.-23.` * Dans plusieurs occasions, vous devrez **comprendre les expressions régulières** utilisées, cela sera utile : [https://regex101.com/](https://regex101.com) * Vous pouvez également **surveiller les fichiers où des formulaires ont été détectés**, car un changement dans le paramètre ou l'apparition d'un nouveau formulaire peut indiquer une nouvelle fonctionnalité potentiellement vulnérable. **403 Forbidden/Basic Authentication/401 Unauthorized (bypass)** {% content-ref url="403-and-401-bypasses.md" %} [403-and-401-bypasses.md](403-and-401-bypasses.md) {% endcontent-ref %} **502 Proxy Error** Si une page **répond** avec ce **code**, c'est probablement un **proxy mal configuré**. **Si vous envoyez une requête HTTP comme : `GET https://google.com HTTP/1.1`** (avec l'en-tête host et d'autres en-têtes courants), le **proxy** essaiera d'accéder à _**google.com**_ **et vous aurez trouvé un** SSRF. **Authentification NTLM - Divulgation d'informations** Si le serveur en cours d'exécution demandant une authentification est **Windows** ou si vous trouvez une connexion demandant vos **informations d'identification** (et demandant le **nom de domaine**), vous pouvez provo ### Surveiller les pages pour les changements Vous pouvez utiliser des outils tels que [https://github.com/dgtlmoon/changedetection.io](https://github.com/dgtlmoon/changedetection.io) pour surveiller les pages pour les modifications qui pourraient insérer des vulnérabilités. ### Commandes automatiques HackTricks ``` Protocol_Name: Web #Protocol Abbreviation if there is one. Port_Number: 80,443 #Comma separated if there is more than one. Protocol_Description: Web #Protocol Abbreviation Spelled out Entry_1: Name: Notes Description: Notes for Web Note: | https://book.hacktricks.xyz/pentesting/pentesting-web Entry_2: Name: Quick Web Scan Description: Nikto and GoBuster Command: nikto -host {Web_Proto}://{IP}:{Web_Port} &&&& gobuster dir -w {Small_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} && gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} Entry_3: Name: Nikto Description: Basic Site Info via Nikto Command: nikto -host {Web_Proto}://{IP}:{Web_Port} Entry_4: Name: WhatWeb Description: General purpose auto scanner Command: whatweb -a 4 {IP} Entry_5: Name: Directory Brute Force Non-Recursive Description: Non-Recursive Directory Brute Force Command: gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} Entry_6: Name: Directory Brute Force Recursive Description: Recursive Directory Brute Force Command: python3 {Tool_Dir}dirsearch/dirsearch.py -w {Small_Dirlist} -e php,exe,sh,py,html,pl -f -t 20 -u {Web_Proto}://{IP}:{Web_Port} -r 10 Entry_7: Name: Directory Brute Force CGI Description: Common Gateway Interface Brute Force Command: gobuster dir -u {Web_Proto}://{IP}:{Web_Port}/ -w /usr/share/seclists/Discovery/Web-Content/CGIs.txt -s 200 Entry_8: Name: Nmap Web Vuln Scan Description: Tailored Nmap Scan for web Vulnerabilities Command: nmap -vv --reason -Pn -sV -p {Web_Port} --script=`banner,(http* or ssl*) and not (brute or broadcast or dos or external or http-slowloris* or fuzzer)` {IP} Entry_9: Name: Drupal Description: Drupal Enumeration Notes Note: | git clone https://github.com/immunIT/drupwn.git for low hanging fruit and git clone https://github.com/droope/droopescan.git for deeper enumeration Entry_10: Name: WordPress Description: WordPress Enumeration with WPScan Command: | ?What is the location of the wp-login.php? Example: /Yeet/cannon/wp-login.php wpscan --url {Web_Proto}://{IP}{1} --enumerate ap,at,cb,dbe && wpscan --url {Web_Proto}://{IP}{1} --enumerate u,tt,t,vp --passwords {Big_Passwordlist} -e Entry_11: Name: WordPress Hydra Brute Force Description: Need User (admin is default) Command: hydra -l admin -P {Big_Passwordlist} {IP} -V http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location' Entry_12: Name: Ffuf Vhost Description: Simple Scan with Ffuf for discovering additional vhosts Command: ffuf -w {Subdomain_List}:FUZZ -u {Web_Proto}://{Domain_Name} -H "Host:FUZZ.{Domain_Name}" -c -mc all {Ffuf_Filters} ``` \ **Astuce de prime de bug**: **inscrivez-vous** à **Intigriti**, une plateforme de prime de bug premium créée par des hackers, pour les hackers! Rejoignez-nous sur [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) aujourd'hui, et commencez à gagner des primes allant jusqu'à **100 000 $**! {% embed url="https://go.intigriti.com/hacktricks" %}
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥 * Travaillez-vous dans une **entreprise de cybersécurité**? Voulez-vous voir votre **entreprise annoncée dans HackTricks**? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF**? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop)! * Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family) * Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com) * **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.** * **Partagez vos astuces de piratage en soumettant des PR au** [**repo hacktricks**](https://github.com/carlospolop/hacktricks) **et au** [**repo hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).