[BadGuy04]

Bonjour à tous !

Je voudrais débuter dans la sécurité des sites webs. Trouver les failles, les erreurs, et savoir comment les éliminer. J'ai lu sur plusieurs forums qu'il fallait apprendre le PHP. Donc, j'ai appris les bases du PHP sur SoloLearn. Je connais aussi les bases du HTML et du CSS ainsi que du Python (sur France-IOI).

Mais, je suis bloqué, je ne comprends pas ce qui est dit sur les forums mais je voudrais continuer. Que faire ? Continuer à apprendre le PHP ? ... Quelle est la prochaine étape pour atteindre mon but ?

Pouvez-vous, si vous répondez à cette question, ne pas utiliser de mots trop compliqué car je ne connais pas grand-chose, juste les noms, comme par exemple XSS ou SQLP. De plus, si vous avez un tutoriel qui explique facilement comment faire et quelles étapes suivre, je suis preneur !

Merci d'avance pour vos réponses !


PS : Ça ne serait pas pour débuter dans toute la sécurité informatique, mais juste sur la sécurité des sites webs.

[#Z@tox#]

Bonjour ,

as tu consulté la rubrique tutoriaux du site ?

https://www.newbiecontest.org/forums/index.php?board=29.0

tu peux aussi essayer de réaliser les challenges en commençant par les plus simples, les résoudre te demandera de te documenter un minimum et par conséquent, à apprendre. Les indices des épreuves permettent bien souvent de savoir par ou commencer à chercher.

[BadGuy04]

Oui, je sais qu'il faut me documenter, mais par quoi commencer, où commencer ... J'ai cherché mais je n'ai trouvé aucun tutoriels simples à comprendre.

Et même l'exo 1 de hack, je n'y arrive pas ...

[pixis]

Salut, moi je te proposerais de commencer par les logiques, les stéganographies, les cryptographies, puis pourquoi pas les client-side, les programmations, et ensuite la catégorie Hacking.

Cette démarche te permettra de trouver et valider tes premières épreuves, de comprendre la démarche attendue, de former un peu ta réflexion aux challenges. Une fois que tu auras avancé dans ces différentes catégories, je pense que les premières hacking seront plus simples à aborder.

Si tu n'as pas le temps ou la motivation d'essayer toutes les catégories que j'ai énumérées, alors au moins attaque les logiques et les client-side. Ensuite attaque la catégorie hacking.

Bon courage !

[ferbos]

Salut,

fais ce qu'il te fait envie avant tout. Ce sera difficile mais ça te sera bénéfique.  Il ne faudra pas oublier de varier les plaisirs et de RTFM. Et le cracking - que pixis a oublié - ce n'est pas pour les chiens.

Je fais un peu de déterrage; mais j'en avais gros sur la patate. ^^

ferbos

[c0nciliant_m00n]

Mais, je suis bloqué, je ne comprends pas ce qui est dit sur les forums mais je voudrais continuer. Que faire ? Continuer à apprendre le PHP ? ... Quelle est la prochaine étape pour atteindre mon but ?

Personnellement, à ce stade, je vous conseillerais de vous renseigner concernant les différents systèmes d'exploitation existants et les plus pertinents d'entre-eux pour travailler dans la sécurité info. Personnellement je tourne sous Linux Parrot (une alternative à Kali Linux). Vous l'aurez compris, changer de système d'exploitation pour un système Unix et en comprendre l'intérêt pourrait déjà être une bonne première démarche pour la suite...
Si vous ne connaissez rien aux systèmes Unix, téléchargez un iso de la distribution Ubuntu qui est actuellement la distribution Linux la plus "User Friendly" afin d'apprendre les bases du shell (dont vous aurez constamment besoin) et vous familiariser avec la logique des systèmes Unix.

-> https://www.ubuntu.com/download/desktop?

Non pas que Windows ou Mac ne vous permettent pas de réussir les challenges présents ici, mais simplement que votre vie sera plus belle et surtout plus confortable avec un système plus adapté à ce genre d'exercices  
Du coup pour vous, je dirais que dans un premier temps vous gagneriez à Linuxer ! Si vous cherchez des tutoriels à ce propos, il existe la communauté "openclassroom" (anciennement "LeSiteDuZéro") qui propose des tonnes d'excellents tutoriels francophones concernant les systèmes d'exploitations et la programmation en divers langages (gratuitement).

En fait, nous ne connaissons pas votre véritable objectif, difficile de vous aiguiller. La sécurité en informatique c'est vaste, plus vous allez vous intéresser à des domaines différents plus vous allez développer, entretenir, travailler, une logique concrète pour la sécurité informatique, le hacking.
Autant vous dire que la curiosité est votre meilleure alliée.

Sinon, dans les challenges sur newbiecontest, tous sont susceptibles de vous aider à progresser (ils existent, entre-autres, pour ça), je vais vous lister leurs intérêts, selon moi:

- ClientSide: Les challenges les plus adaptés aux débutants (du moins pour la grosse moitié d'entre-eux) puisque vous avez des bases HTML, PHP, vous ne devriez pas avoir trop de mal à faire au moins la première moitié des challenges.
Renseignez-vous sur les différents types de failles propres au langage de script "Java" et tentez de voir si vous pouvez les repérer sur les différents challenges ClientSide.
Le simple fait de chercher après devrait vous apprendre des choses. Il s'agira beaucoup d'enregistrer les sources pour travailler sur elles en local (forcer le script à afficher le contenu de certaines variables et tout ça).

- Il y a les challenges programmation qui me semblent adéquats mais je n'ai moi-même pas encore commencé cette catégorie, j'y ai juste déjà vu du PHP. Il est évident qu'entretenir des compétences en programmation dans divers langages (j'ai lu que vous codiez également en Python, j'adore ce langage) est essentiel.

- Le Cracking ("CrackMe") est une discipline également très méthodique qui pourrait vous apprendre beaucoup de choses mais c'est très indigeste si vous commencez par là. Le cracking c'est presque de la poésie mais faut pas avoir peur de l'hexadécimal ou de coder un minimum en Assembleur (ASM). Encore une fois les commandes Terminales liées au noyaux Unix vous permettraient de gagner du temps.

- La cryptographie. Certains challenges (les premiers surtout) ne sont pas indisociables de l'informatique, autrement dit n'importe qui munit d'un moteur de recherches pourrait résoudre les premiers challenges. Mais très vite on bascule dans la crypto plus orientée "informatique". Faut s'accrocher mais ça en vaut la peine. Savoir crypter et décrypter en toutes circonstances, de 1 c'est la classe, de 2 c'est toujours utile.

- Les suites logiques sont un genre d'exercice mental sympathique pour apprendre à définir la logique d'une personne qu'on ne connait pas. C'est assez infime niveau "enseignement" mais ça permet de ne pas laisser retomber la hype entre deux challenges informatiques. Comprendre la logique de quelqu'un plutôt que de résoudre une suite mathématique est une activité qui ne peut que vous conditionner à aller dans le sens de vos objectifs.

- La Stéganographie est l'art de planquer des messages dans des supports numériques qui ne sont pas sensé emplir cette fonction. Il ne s'agit principalement pas d'informatique pure et dure, ces challenges sont à la portée de n'importe quel curieux un tant soit peu observateur. Ils pourront toute fois vous apprendre à vous familiariser avec certains logiciels propres au cracking ou aux traitements numériques en tous genres.

- Je ne connais le terme "Forensics" que depuis peu, donc je préfère vous envoyer vers la documentation Wiki: https://fr.wikipedia.org/wiki/Informatique_l%C3%A9gale Je n'ai personnellement pas encore commencé de challenge dans cette catégorie.

- Hacking est probablement la catégorie qui vous intéresse le plus. Mais toutes les catégories présentes ici sont liées de près ou de loin à la catégorie "Hacking". Sur newbiecontest vous ne trouverez que ça, des choses en rapport de près ou de loin avec le hacking. La catégorie Hacking n'est plus 'hacking' que la catégorie 'ClientSide' par exemple, du moins dans les fondamentales.
La catégorie Hacking met à l'épreuve vos connaissances dans toutes les autres catégories présentes ici en plus de vous demander de faire preuve de la rigueur nécessaire à la compréhension de l'exploitation de certaines failles. Vous devrez vous-même trouver les failles ou les créer. Cette catégorie propose des challenges assez diversifiés, certains présentent des failles simples à reconnaître et à exploiter, d'autres vous feront fondre le cerveau si vous n'avez pas le bagage nécessaire dans toutes les autres catégories.

- Wargame, pour l'instant la catégorie qui m'amuse le plus, même si j'en n'ai pas torché un seul, hahaha. De ce que j'ai compris, il s'agira la plupart du temps (si pas tout le temps ?) de faire ce qu'on appelle de "l'élévation de privilèges" (vous approprier les droits en lecture / écriture sur un fichier / dossier normalement inaccessible en vous servant de failles type SetuID.
Il vous faudra un Terminal pour vous connecter à un serveur SSH (Secure Shell), sous Windows il me semble que Putty fait très bien le café mais j'estime qu'il serait plus raisonnable d'aborder cette catégorie sous Linux en ayant un certain bagage concernant les commandes Shell liées au système.


Voilà voilà...

Pour chaque challenge vous trouverez une aide sur le forum (l'icône avec la petite bouée de sauvetage très appropriée, sur la page du challenge en cours).

PS : Ça ne serait pas pour débuter dans toute la sécurité informatique, mais juste sur la sécurité des sites webs.

Tout est lié, la sécurité Web ce n'est pas juste de la compréhension réseau, c'est un ensemble, un ensemble de connaissances assez bien représentés par les catégories présentes ici, sur newbiecontest =]
Soyez curieux au maximum, pensez à utiliser Google (ou autre) à chaque terme qui ne vous revient pas, faites des tests de parcelles de codes en local, créez des machines virtuelles pour faire d'autres tests, lisez un maximum de documentation (y en a ici, catégorie "Tutoriaux" ou simplement sur le forum mais il existe une flopée d'autres sites pour ça, bien entendu ... Google is your friend).

J'attire votre attention sur le fait que vous vous trouvez sur un site de challenges informatiques et non sur un site qui propose des "formations en sécurité Web".
Vous n'aurez que rarement des réponses "claires" à vos questions, ici. Vous n'aurez que des indices et encore, parfois vous n'en aurez pas, vous devrez compter sur l'étendue de votre curiosité et vos facultés de raisonnement pour progresser.
Rien ne vous empêche en parallèle de chercher des cours orientés sécurité informatique sur le net (MySQL, Java, html ...) encore une fois je vous envoie vers https://openclassrooms.com/ pour consulter des tutoriels de ce genre.

Bon courage à vous, le hack c'est jamais terminé, l'apprentissage n'en finit pas mais c'est ça qu'on veut !  

[Zmx]

9086/46049
TL;DR

[c0nciliant_m00n]

9086/46049
TL;DR

Bah il pose une question je réponds. S'il ne s'intéresse pas à ma réponse sous prétexte que mon texte est trop long, je lui souhaite bon courage pour la suite  
Mais ne partons pas de ce sinistre postula, je suis sur que BadGuy04 a trouvé ma réponse très constructive   Promis, la prochaine fois, je ferai plus concis !

[the lsd]

Nan mais tu connais pas assez Zmx je pense x)

Sinon, pour ton post, gg, tu as fait un truc propre. Je suis pas d'accord avec tout, mais c'est toujours intéressant d'avoir des points de vues

Enjoy

The lsd

[c0nciliant_m00n]

Je suis pas d'accord avec tout, mais c'est toujours intéressant d'avoir des points de vues

Je partage le point de vue qu'il est intéressant d'avoir des points de vues... Du coup, dans mon propre intérêt je pense, j'aimerais savoir à quel sujet tu n'es pas d'accord avec moi, si ça t'ennuie pas d'y répondre =]

Je précise au passage (vu que tu me dis que "je ne connais pas Zmx", ce qui est ma foi vrai, lol):
Je n'ai rien contre toi Zmx, je remarque à l'instant que ma formulation de phrase peut préter à confusion niveau sémantique, on pourrait croire que je me suis sentie agacée en répondant mais... En fait pas du tout xD
Je répondais juste, sans la moindre véhémence, à ta métaphore "TL;DR" que j'ai trouvé appropriée, justement ^^

[S0410N3]

Nan mais tu n'as pas à te justifier non plus.
Il a un peu répondu comme un gros con aigri ^^'

Me concernant je ne suis pas d'accord sur tout ce que tu as dit non plus mais ça s'explique et je plébiscite vraiment ce genre d'initiative. Merci à toi pour le partage et le temps passé à rédiger ça.

Cela dit je vais laisser le soin à the lsd de te répondre et éventuellement ajouter ma pierre à l'édifice au besoin.

[the lsd]

Mes remarques :

- ClientSide: Les challenges les plus adaptés aux débutants (du moins pour la grosse moitié d'entre-eux) puisque vous avez des bases HTML, PHP, vous ne devriez pas avoir trop de mal à faire au moins la première moitié des challenges.
Renseignez-vous sur les différents types de failles propres au langage de script "Java" et tentez de voir si vous pouvez les repérer sur les différents challenges ClientSide.
Le simple fait de chercher après devrait vous apprendre des choses. Il s'agira beaucoup d'enregistrer les sources pour travailler sur elles en local (forcer le script à afficher le contenu de certaines variables et tout ça).

Attention à la différence Java/javascript

- Le Cracking ("CrackMe") est une discipline également très méthodique qui pourrait vous apprendre beaucoup de choses mais c'est très indigeste si vous commencez par là. Le cracking c'est presque de la poésie mais faut pas avoir peur de l'hexadécimal ou de coder un minimum en Assembleur (ASM). Encore une fois les commandes Terminales liées au noyaux Unix vous permettraient de gagner du temps.

Jamais pondu une ligne d'ASM pour du crack ^^ De plus, même si c'est une bonne chose de faire du linux, les crackmes sur NC sont à 99% sur du windows.

- La cryptographie. Certains challenges (les premiers surtout) ne sont pas indisociables de l'informatique, autrement dit n'importe qui munit d'un moteur de recherches pourrait résoudre les premiers challenges. Mais très vite on bascule dans la crypto plus orientée "informatique". Faut s'accrocher mais ça en vaut la peine. Savoir crypter et décrypter en toutes circonstances, de 1 c'est la classe, de 2 c'est toujours utile.

Pour le coup, des challs crypto "informatiques", il y en a très peu (du moins dans celles que je connais). C'est d'ailleurs un des points qu'on me remonte le plus souvent, ça manque de crypto moderne, on tape souvent sur des chiffrements old school.

- Hacking est probablement la catégorie qui vous intéresse le plus. Mais toutes les catégories présentes ici sont liées de près ou de loin à la catégorie "Hacking". Sur newbiecontest vous ne trouverez que ça, des choses en rapport de près ou de loin avec le hacking. La catégorie Hacking n'est plus 'hacking' que la catégorie 'ClientSide' par exemple, du moins dans les fondamentales.
La catégorie Hacking met à l'épreuve vos connaissances dans toutes les autres catégories présentes ici en plus de vous demander de faire preuve de la rigueur nécessaire à la compréhension de l'exploitation de certaines failles. Vous devrez vous-même trouver les failles ou les créer. Cette catégorie propose des challenges assez diversifiés, certains présentent des failles simples à reconnaître et à exploiter, d'autres vous feront fondre le cerveau si vous n'avez pas le bagage nécessaire dans toutes les autres catégories.

Alors là, tu touches à quelque chose de dangereux ^^' Et encore, ma réponse ne conviendra pas à tout le monde (coucou soso )
Dire que cette catégorie est liée à toute les autres est à la foi vrai et faux à mon avis. Vrai parce qu'effectivement, si tu n'as pas une culture globale, tu vas galérer (certains challs demandent de comprendre du JS par exemple). Faux parce qu'on a pas du tout fait en sorte que les challs hack soient le pilier central du site, et que les autres catégories soient là pour "soutenir" les hacks.
De plus, quand tu regardes toutes les catégories, il n'y a que les clientside et prog qui peuvent être éventuellement liées au hack.

PS : Ça ne serait pas pour débuter dans toute la sécurité informatique, mais juste sur la sécurité des sites webs.

Tout est lié, la sécurité Web ce n'est pas juste de la compréhension réseau, c'est un ensemble, un ensemble de connaissances assez bien représentés par les catégories présentes ici, sur newbiecontest =]
Soyez curieux au maximum, pensez à utiliser Google (ou autre) à chaque terme qui ne vous revient pas, faites des tests de parcelles de codes en local, créez des machines virtuelles pour faire d'autres tests, lisez un maximum de documentation (y en a ici, catégorie "Tutoriaux" ou simplement sur le forum mais il existe une flopée d'autres sites pour ça, bien entendu ... Google is your friend).

Pour le coup, c'est un peu mon boulot la sécurité, donc j'ai un poil d'expérience
Je suis d'accord avec le fait que la sécu, c'est un tout. Faut savoir toucher à tout un SI (réseau, physique, web, chiffrement, etc), et être transverse (re-coucou soso ). NC permet légèrement d'apprendre la sécurité, mais c'est loin de représenter convenablement le domaine de l'infosec. Ce que je fais dans mon taf n'a au final pas tant de rapport que ça avec les challs NC. Je vois personnellement (juste sur la partie sécu) NC comme un tremplin, qui te permet d'aller plus loin par toi même après, ce que tu résume bien avec "Google is your friend".

J'attire votre attention sur le fait que vous vous trouvez sur un site de challenges informatiques et non sur un site qui propose des "formations en sécurité Web".
Vous n'aurez que rarement des réponses "claires" à vos questions, ici. Vous n'aurez que des indices et encore, parfois vous n'en aurez pas, vous devrez compter sur l'étendue de votre curiosité et vos facultés de raisonnement pour progresser.

Et bah ! Enfin quelqu'un qui comprend le principe du try hard
<private joke>On est pas sur une plateforme de script kiddies qui demandent de l'aide au bout de 2mn</private joke>
T'as tout à fait compris l'esprit de NC à ce niveau !


Maintenant, concernant Zmx, effectivement, on peut le dire, il a agit comme un "gros con aigri" (c'estpasmoiquil'aiditc'estsoso), mais il a des cotés sympas des fois (bon, pas souvent, mais c'est déjà arrivé).


Enjoy

The lsd

[c0nciliant_m00n]

En gros je m'attendais aux réponses que tu m'as donné, en me relisant j'ai vu où étaient mes propres biais (j'ai fait une sorte de constat général sans même avoir moi-même fait suffisamment de challenges pour pouvoir bien définir les catégories)... Cela dit... (je développerai plus bas) ^_^

Merci pour ta réponse en tout cas, ça fait plaisir =]

... Celà dit, je ne me suis pas apperçue que les challenges ClientSide n'étaient pas essentiellement orienté Javascript, jusqu'ici j'ai résolu presque tous les challenges que j'ai fait en éditant la source en local puis "tu vois ce que je veux dire" ... Peut-être que le challenge sur lequel je bute dans la catégorie ClientSide n'est justement pas orienté Javascript et que du coup, je cherche juste pas dans la bonne direction xD

En effet, les challenges CrackMe sont très Windows, j'ai d'ailleurs eux un soucis avec le 4ème il me semble car il manquait in DLL inchoppable sous Linux, j'ai dû bricoler tout un tas de trucs débiles pour finir par valider l'épreuve alors que sous Windows ça se serait passé beaucoup plus vite. Donc je m'excuse d'avoir parlé trop vite, effectivement Linux est pas forcément plus "pratique".
(ps: Y a tout de même un minimum de choses à savoir sur l'ASM et l'hexadécimal pour réusir ces challenges, j'estime, on n'est pas obligé de les utiliser mais faut au moins savoir comment ça fonctionne, quoi).

Tout à fait d'accord pour les challenges hacking. Là encore j'ai parlé sans avoir parcouru tous les challenges, je me suis fiée à la courbe de progression de difficulté des premières énigmes.

Oui je me doute que ce n'est pas finement représentatif du métier de sécurité ^^ Mais comme tu dis, ça reste une chouette façon d'apprendre des trucs, en gros.

Et bah ! Enfin quelqu'un qui comprend le principe du try hard

Vu l'effet de surprise, j'en déduis que ça n'arrive pas souvent (on doit bien s'en douter, en même temps) xD

Merci d'avoir pris le temps de répondre en tout cas =]

[BadGuy04]

Je sais, c'est un peu tard, mais merci ENORMEMENT pour toutes ces informations !

Merci d'avoir pris le temps !

[neibb]

Salut a tous, le sujet date un peu je sais, mais je viens de tomber dessus et je ne peux m'empecher d'intervenir.

A mon humble avis il est primordial aujourd'hui de proteger au mieux son identite avec toutes ces collectes de donnees presentes sur internet en veux tu en voila a toutes les sauces.
Pouvoir rester anonyme aujourd'hui est devenu vraiment complique (ou peut etre qu'avant je me rendais moins compte), la moindre recherche, le moindre site visite, sera note quelque part et analyse.

On peut meme voir pire encore en disant que la moindre activite informatique sera enregistre. (windows, android, OSX... les exemples ne manquent pas concernant de nombreux scandales lies a des traqueurs en tout genre.(l'utilisateur mal informe ou peu soucieu sera le premier facteur de contamination mais je suis persouade que bien des choses sont deja en place pour nous espionner))
Se proteger de tout ceci me semble vraiment important.
Il semble effectivement que linux soit le plus epure de tout ca bien que la tendance s'inverse. (merci android! )

C'est pourquoi, on va peut etre me traiter de troll, mais a je me permets de dire, (et ca n'engage que moi) que Google is NOT your friend, this is your ennemy. (et il n'est pas le seul...)
Il me semble vraiment important de limiter au maximum son utilisation, voir de la proscrire completement. De tres bon moteurs de recherches existent en parallele.

Je voudrais ajouter egalement qu'il faudrait utiliser le maximum de logiciels open-sources. La pluparts des besoins ont des solutions open-sources.

J'espere ne pas avoir ete trop lourd ou moralisateur, desole si ca a ete le cas, je me suis contenu au mieux (parceque j'en ai des choses a dire!).

See ya!