Points clés
1. Établir une Base de Référence pour les Tests d’Intrusion
Pour cela, il est indispensable de disposer d’un système, d’outils et de processus standardisés.
Processus Répétable. Une approche cohérente est essentielle pour des tests d’intrusion efficaces. Cela implique la mise en place de systèmes d’attaque, d’outils et de méthodologies standardisés. Avoir à disposition une machine Windows et une machine Linux configurées avec les outils indispensables permet d’assurer une constance dans les tests, quel que soit l’environnement.
Instantanés de Machines Virtuelles. Prendre des instantanés de machines virtuelles propres et configurées est un véritable atout. Cela permet de revenir rapidement à un état stable, de patcher, de mettre à jour les outils et d’ajouter ceux nécessaires à des missions spécifiques. Ce procédé fait gagner du temps tout en garantissant la régularité des tests.
Matériel et Logiciels. Les exigences matérielles de base comprennent un ordinateur portable avec au moins 8 Go de RAM, 500 Go d’espace disque (de préférence SSD) et un processeur Intel i7 Quad Core. Côté logiciels, VMware Workstation/Fusion/Player ou VirtualBox, ainsi que Kali Linux, sont indispensables. Des outils commerciaux comme Nexpose/Nessus et Burp Suite sont vivement recommandés pour des tests professionnels.
2. Maîtriser la Collecte Passive d’Informations
Commencez par la découverte passive, qui consiste à rechercher des informations sur la cible, le réseau, les clients, sans jamais interagir directement avec l’hôte ciblé.
Reconnaissance Non Intrusive. La découverte passive consiste à recueillir des informations sur la cible sans interagir directement avec ses systèmes. Cette méthode est cruciale pour éviter toute détection et obtenir un premier aperçu de l’infrastructure, du personnel et de la présence en ligne de la cible.
Scripts de Découverte. Des outils comme Discover-scripts automatisent diverses recherches, notamment l’identification des personnes au sein de l’organisation, des domaines, des adresses e-mail et des fichiers. Ce type d’outil agrège des données provenant de multiples sources telles que LinkedIn, les requêtes Google spécifiques (Google dorks) et les enregistrements WHOIS, pour produire un rapport complet.
Listes de Comptes Compromis. Exploiter des bases de données de mots de passe divulgués peut s’avérer très efficace. En analysant des fuites comme celle d’Adobe, il est possible d’identifier des adresses e-mail et des mots de passe chiffrés liés au domaine ciblé. Ces informations peuvent ensuite servir à des attaques par craquage de mots de passe ou à des campagnes de spear phishing.
3. Utiliser des Techniques de Scan Actif
La découverte active consiste à tenter d’identifier les systèmes, services et vulnérabilités potentielles.
Identification des Systèmes et Services. La découverte active implique une interaction directe avec le réseau cible pour identifier les systèmes, services et vulnérabilités potentielles. Cela nécessite l’utilisation de scanners réseau comme Nmap et de scanners de vulnérabilités tels que Nexpose ou Nessus.
Processus de Scan. Un processus typique de scan comprend :
- Scan de vulnérabilités réseau (Nexpose/Nessus)
- Scan avec Nmap
- Scan avec des scripts Nmap personnalisés
- Capture d’écran avec PeepingTom
Récupération de Bannières avec Nmap. Lancer un scan Nmap personnalisé pour détecter le système d’exploitation et les services sur les ports courants (ou sur les 65 535 ports) est essentiel. L’utilisation d’un script de récupération de bannières comme banner-plus.nse permet d’identifier rapidement la page de bannière des ports ouverts, fournissant ainsi des informations précieuses sur les services actifs.
4. Exploiter les Vulnérabilités avec Précision
Dès qu’un scanner détecte une vulnérabilité, je cherche généralement un exploit fonctionnel.
Outils d’Exploitation. Metasploit est un outil courant pour exploiter les vulnérabilités. Il permet de sélectionner un exploit, de configurer les options, de paramétrer les payloads et de lancer l’attaque. Toutefois, il est essentiel de comprendre le fonctionnement des exploits et de savoir les modifier si nécessaire.
Exploitation Manuelle. Souvent, les exploits ne sont pas disponibles dans Metasploit et doivent être trouvés ailleurs. Ils peuvent être écrits dans divers langages de script comme Python, C++, Ruby, Perl ou Bash. En tant que testeur d’intrusion, il est indispensable de savoir éditer, modifier, exécuter et comprendre ces scripts.
Validation des Scripts. Avant d’exécuter un script, il est crucial de le tester. Certains scripts peuvent contenir du code malveillant susceptible de nuire au système cible. Il faut toujours valider le shellcode et comprendre l’impact potentiel de l’exploit.
5. Se Déplacer Latéralement dans les Réseaux
Cette étape consiste à naviguer dans le réseau, en passant d’un utilisateur limité à la prise de contrôle complète du réseau.
Collecte de Credentials. Une fois dans le réseau, l’objectif est de se déplacer latéralement et d’escalader les privilèges. Cela passe souvent par la collecte de credentials à l’aide d’outils comme Responder.py, WCE (Windows Credential Editor) et Mimikatz.
Responder.py. Responder.py écoute les requêtes LLMNR et NBT-NS et y répond, capturant ainsi les hashes de challenge/réponse NTLM. Ces hashes peuvent ensuite être craqués avec John the Ripper ou oclHashcat.
Group Policy Preferences (GPP). Les GPP sont des extensions d’Active Directory permettant aux administrateurs de configurer des paramètres sur les machines du domaine. Cependant, si les GPP sont utilisés pour déployer des comptes administrateurs locaux, les noms d’utilisateur et mots de passe peuvent être stockés en clair sur le contrôleur de domaine, ce qui permet à n’importe quel utilisateur du domaine de les récupérer.
6. Maîtriser les Tactiques de Social Engineering
Si les attaques contre les clients sont dans le périmètre de vos tests, le social engineering est votre arme de prédilection.
Domaines Doppelganger. Acheter des domaines doppelganger (par exemple uscompany.com au lieu de us.company.com) peut être très efficace pour capter des informations sensibles. En configurant un serveur SMTP avec une configuration catch-all, il est possible d’intercepter les e-mails envoyés au domaine mal orthographié.
Spear Phishing. Le spear phishing consiste à concevoir des e-mails ciblés à destination de personnes ou groupes spécifiques au sein d’une organisation. Cela nécessite de collecter des informations sur la cible, telles que ses centres d’intérêt, ses relations et ses habitudes de communication.
Social Engineering Toolkit (SET). SET est un cadre puissant pour créer et lancer des attaques de social engineering. Il comprend des modules pour cloner des sites web, créer des collecteurs d’identifiants et générer des payloads malveillants.
7. Éviter la Détection par les Anti-Virus
Mon avis sur les scanners anti-virus (AV) est qu’ils sont surtout là pour arrêter les script kiddies.
Détection Basée sur les Signatures. Les anti-virus reposent souvent sur la détection par signatures, c’est-à-dire l’identification de motifs de code malveillant connus. Pour contourner les AV, il est nécessaire de modifier ou d’obfusquer vos payloads afin d’éviter de déclencher ces signatures.
Outil Evade. Des outils comme Evade permettent d’identifier les chaînes ou motifs de code spécifiques qui déclenchent la détection AV. En scindant le fichier et en analysant chaque partie, on peut localiser précisément la signature problématique.
Payloads en Python. Python est un langage polyvalent pour créer des payloads malveillants capables d’échapper aux AV. Les scripts Python peuvent être facilement obfusqués et convertis en exécutables grâce à des outils comme py2exe ou pyinstaller.
8. Optimiser les Stratégies de Craquage de Mots de Passe
Cette section regroupe tout ce qui aide aux tests d’intrusion, mais qui n’avait pas sa place ailleurs.
Outils de Craquage de Mots de Passe. John the Ripper (JtR) et oclHashcat sont deux outils puissants pour craquer des hashes de mots de passe. JtR est polyvalent et supporte de nombreux algorithmes de hachage, tandis qu’oclHashcat exploite la puissance des GPU pour accélérer le craquage.
Listes de Mots, Règles et Algorithmes de Hachage. Pour optimiser le craquage, il est crucial de définir des listes de mots, des règles de transformation et les algorithmes de hachage ciblés. Les listes contiennent des mots de passe courants, les règles génèrent des variantes, et les algorithmes précisent le type de hash à craquer.
oclHashcat. oclHashcat est un outil performant pour craquer des hashes en utilisant les GPU. Il supporte une large gamme d’algorithmes et peut être utilisé pour craquer des hashes WPAv2 et NTLMv2.
Résumé des avis
The Hacker Playbook suscite des avis partagés, avec une note moyenne de 3,96 sur 5. Les lecteurs apprécient son cadre structuré pour les tests d’intrusion ainsi que son approche pragmatique, le jugeant utile pour les professionnels mais moins adapté aux débutants. Certains saluent sa couverture exhaustive et ses conseils précieux, tandis que d’autres reprochent un manque de profondeur et une dépendance excessive aux descriptions d’outils. Le livre est loué pour ses chapitres consacrés à la post-exploitation et aux mouvements latéraux, mais critiqué pour des informations parfois obsolètes et une mise en page défaillante. Nombreux sont ceux qui le recommandent comme guide de référence pour les pentesters expérimentés, même si certains regrettent l’absence d’explications détaillées sur les concepts fondamentaux.
FAQ
What’s "The Hacker Playbook: Practical Guide to Penetration Testing" by Peter Kim about?
- Comprehensive Penetration Testing Guide: The book is a hands-on, practical guide to penetration testing, structured like a football playbook with each chapter representing a different phase or tactic in a penetration test.
- Real-World Techniques: It covers real-world tools, techniques, and methodologies used by professional penetration testers, focusing on efficiency and effectiveness.
- Step-by-Step Playbook: The content is organized into ten sections, from setting up your environment to reporting, each with actionable steps and tool recommendations.
- Focus on Practicality: Rather than exhaustive theory, the book emphasizes practical, repeatable processes and encourages readers to adapt and experiment with their own methods.
Why should I read "The Hacker Playbook" by Peter Kim?
- Learn from Experience: The book distills years of the author’s penetration testing experience, offering lessons learned, best practices, and real-world scenarios.
- Up-to-Date Tools and Methods: It introduces current industry-standard tools (like Kali Linux, Metasploit, Burp Suite) and how to use them effectively.
- Practical, Not Just Theoretical: Readers gain actionable knowledge that can be immediately applied in lab or real-world environments.
- Encourages Critical Thinking: The book stresses creativity, adaptability, and understanding over rote tool usage, helping readers become better security professionals.
What are the key takeaways from "The Hacker Playbook" by Peter Kim?
- Establish a Repeatable Process: Building a consistent, baseline testing environment is crucial for effective penetration testing.
- Blend Passive and Active Recon: Use both passive information gathering and active scanning to maximize discovery while minimizing detection.
- Exploit and Move Laterally: After initial compromise, leverage post-exploitation techniques to escalate privileges and pivot within networks.
- Report Effectively: Clear, actionable reporting is as important as technical skill—clients value understandable, validated findings and remediation advice.
How is "The Hacker Playbook" by Peter Kim structured, and what is the football playbook analogy?
- Ten-Section Playbook: Each section is named after a football play (e.g., Pregame, The Drive, The Throw), representing a phase in a penetration test.
- Sequential Progression: The structure mirrors the flow of a real engagement, from setup and reconnaissance to exploitation, lateral movement, and reporting.
- Analogy for Strategy: The football theme emphasizes strategy, adaptability, and teamwork, paralleling the mindset needed for successful penetration testing.
- Memorable Framework: This analogy helps readers remember the stages and tactics, making the methodology more accessible and engaging.
What are the essential tools and setup steps recommended in "The Hacker Playbook" by Peter Kim?
- Dual-Platform Setup: The author recommends configuring both a Windows and a Linux (Kali) virtual machine for comprehensive testing.
- Key Tools List: Essential tools include Kali Linux, Metasploit, Burp Suite Pro, Nessus/Nexpose, SMBExec, Veil, Mimikatz, WCE, and various browser add-ons.
- Baseline and Snapshots: Take clean snapshots of your VMs after setup to quickly revert and maintain a consistent testing environment.
- Regular Updates: Keep all tools and systems patched and updated to ensure effectiveness and security during engagements.
How does "The Hacker Playbook" by Peter Kim approach network and web application scanning?
- Passive and Active Discovery: Start with passive reconnaissance (using tools like Discover Scripts and OSINT) to gather information without alerting targets.
- Vulnerability Scanning: Use tools like Nessus or Nexpose for broad vulnerability assessment, complemented by Nmap for detailed port and service discovery.
- Web Application Scanning: Employ Burp Suite Pro for spidering, content discovery, and active scanning of web applications, focusing on efficiency and depth.
- Organizing Results: Tools like Peeping Tom help visualize and prioritize web targets by capturing screenshots of discovered web services.
What exploitation techniques and tools are highlighted in "The Hacker Playbook" by Peter Kim?
- Metasploit Framework: Central to exploitation, with guidance on module selection, payload configuration, and running exploits (e.g., MS08-067).
- Custom Exploits: Encourages understanding and modifying exploits in various languages (Python, Perl, C++) for situations where Metasploit modules are unavailable.
- Script Safety: Stresses the importance of testing and validating scripts to avoid unintended damage to client systems.
- Post-Exploitation Focus: Emphasizes the need to understand why exploits work, not just how to run them, to adapt to different environments.
How does "The Hacker Playbook" by Peter Kim cover web application attacks like SQL injection and XSS?
- SQL Injection Tools: Detailed walkthroughs of using SQLmap and Sqlninja for both GET and POST parameter attacks, including shell access and database extraction.
- Cross-Site Scripting (XSS): Explains reflective and stored XSS, with exploitation using the BeEF framework for advanced client-side attacks.
- Bypassing Filters: Provides resources and scripts for XSS obfuscation and filter evasion, including crowd-sourced payloads and OWASP cheat sheets.
- Other Web Attacks: Covers CSRF, session token analysis, fuzzing, and business logic testing, with practical Burp Suite examples.
What methods for lateral movement and privilege escalation are described in "The Hacker Playbook" by Peter Kim?
- Credential Harvesting: Tools like Responder.py, WCE, and Mimikatz are used to capture or extract credentials from memory or network traffic.
- Group Policy Preferences (GPP): Exploiting GPP to retrieve cleartext local admin passwords from domain controllers.
- PSExec and SMBExec: Using these tools to execute code or extract hashes across multiple systems, leveraging obtained credentials.
- PowerShell Post-Exploitation: PowerSploit and Nishang frameworks enable in-memory attacks, persistence, and data exfiltration without dropping files.
How does "The Hacker Playbook" by Peter Kim address social engineering and physical attacks?
- Doppelganger Domains: Registering typo-squatted domains to intercept emails and credentials, and even set up malicious SSH servers.
- Phishing Campaigns: Using Metasploit Pro and the Social Engineering Toolkit (SET) to craft and track spear phishing and credential harvesting attacks.
- Physical Access Attacks: Techniques include wireless cracking, card cloning, and deploying drop boxes (e.g., Odroid U2) for persistent network access.
- Creative Payload Delivery: Advice on using Excel macros, USB/CD drops, and leveraging trust relationships for successful social engineering.
What strategies for evading antivirus and maintaining stealth are recommended in "The Hacker Playbook" by Peter Kim?
- Signature Evasion: Demonstrates how to identify and modify AV signatures in binaries (e.g., WCE) using tools like Evade and hex editors.
- Custom Payloads: Use Veil and SMBExec to generate obfuscated Meterpreter payloads that bypass AV detection.
- Python-Based Attacks: Leverage Python for custom shells and keyloggers, often whitelisted and less likely to be flagged by AV.
- In-Memory Execution: Employ PowerShell and post-exploitation frameworks to run attacks entirely in memory, reducing forensic artifacts.
What reporting and professional development advice does "The Hacker Playbook" by Peter Kim offer?
- Effective Reporting: Emphasizes clear, validated, and actionable reports over raw scanner output; includes rating vulnerabilities and providing remediation steps.
- Continuous Learning: Recommends attending conferences, taking specialized training, and reading both technical and non-technical books.
- Practice and Community: Encourages participation in Capture The Flag (CTF) events, using vulnerable frameworks, and engaging with the security community.
- Staying Current: Suggests following curated RSS feeds, email lists, and Twitter accounts to keep up with the rapidly evolving security landscape.
What are the best quotes from "The Hacker Playbook" by Peter Kim and what do they mean?
- "Practice makes perfect. The rule I’ve always heard is that it takes 10,000 hours to master something. However, I don’t believe that there is ever a time that anyone can completely master penetration testing..."
- Emphasizes the importance of continual learning and practice in the ever-changing field of security.
- "You really can’t just run tools, but you have to use your own creativity to give your customer the best and most real type of attack they might receive."
- Highlights the need for creativity and adaptability beyond automated tools.
- "To become a better security professional, some of the most important things to do are: Learn, study, and understand vulnerabilities and common security weaknesses; Practice exploiting and securing vulnerabilities in controlled environments; Perform testing in real world environments; Teach and present to the security community."
- Outlines a holistic approach to professional growth in security.
- "Do not test systems that you do not own or do not have permission to scan or attack."
- Stresses the ethical and legal responsibilities of penetration testers.
