Salut,

Je suis en train de bosser sur un lab maison pour m'entrainer, j'ai monté une instance de SuiteCRM sur une VM et franchement j'avoue que je savais pas trop par ou commencer. Les applis CRM c'est souvent assez massives niveau codebase, y'a beaucoup de surface d'attaque potentielle mais du coup c'est compliqué de pas se perdre. J'ai commencé par regarder les endpoints qui gèrent l'upload de fichiers et j'ai trouvé quelques trucs intéressant côté validation mais rien d'exploitable pour l'instant. Perso j'utilise Burp pour intercepter les requêtes et sa marche pas mal, j'ai repéré des injections potentielles dans les filtres de recherche. Quelqu'un ici a déjà audité ce genre de soft ? Je cherche surtout des pistes sur les vecteurs classiques à checker en priorité sur un CRM, genre les modules tiers, les API REST, ce genre de trucs. Vos retours m'aideraient grave.

Salut,
Je viens de tomber sur un Crackme, rien ne me parle. J’ai installé les outils de base, Olly et IDA, tout part en vrille dès que je regarde le binaire. Les jumps et checks sont juste incompréhensibles, faut passer par les bases avant de toucher aux trucs plus lourds. Je bosse sur des tutos simples et des exos petits pour piger le flow et les protections classiques. J’ai même lu quelques articles sympas sur moustachemagazine.com pour rester à jour sur des techniques ou approches différentes, mais les binaires trop hardcore, je laisse de côté, je veux juste comprendre un peu ce que je fais…