Introduction au hacking éthique
Le hacking éthique (pentesting) consiste à tester la sécurité d’un système avec l’autorisation du propriétaire pour identifier et corriger les vulnérabilités avant qu’un attaquant malveillant ne les exploite.
Hacker éthique vs Hacker malveillant
| White Hat (éthique) | Teste avec autorisation, documente, corrige |
| Black Hat (malveillant) | Exploite sans autorisation, vole, détruit |
| Grey Hat | Teste sans autorisation explicite, mais prévient le propriétaire |
Les 5 phases d’un pentest
| Phase | Objectif | Outils |
|---|---|---|
| 1. Reconnaissance | Collecter des informations sur la cible | OSINT, Shodan, Google Dorks, whois |
| 2. Scanning | Identifier les ports et services ouverts | Nmap, Masscan, Nikto |
| 3. Exploitation | Exploiter les vulnérabilités trouvées | Metasploit, Burp Suite, sqlmap |
| 4. Post-exploitation | Escalade de privilèges, pivot | Meterpreter, LinPEAS, WinPEAS |
| 5. Rapport | Documenter les vulnérabilités et remèdes | Rapport structuré avec CVSS |
Outils essentiels du pentester
Distribution Linux : Kali Linux
Kali Linux contient 600+ outils de sécurité pré-installés. Installez-le en VM (VirtualBox gratuit).
Outils par phase
# Reconnaissance
whois votresite.sn
nslookup votresite.sn
theHarvester -d votresite.sn -b google
# Scanning
nmap -sV -sC -oN scan.txt votresite.sn
nikto -h http://votresite.sn
# Web – test d’injection SQL
sqlmap -u « http://site.sn/page?id=1 » –dbs
Cadre légal
Règles à respecter absolument
- Autorisation écrite obligatoire avant tout test
- Définir le périmètre exact (quels systèmes, quels tests)
- Définir les limites (pas de déni de service, pas d’accès aux données réelles)
- Au Sénégal : loi n°2008-11 sur la cybercriminalité
- Sanctions : jusqu’à 5 ans d’emprisonnement pour accès non autorisé
Certifications recommandées
- CompTIA Security+ — fondamentaux, niveau débutant
- CEH (Certified Ethical Hacker) — certification de référence
- OSCP (Offensive Security) — la plus pratique et reconnue
- eJPT (INE Security) — accessible et pratique pour débuter
Parcours d’apprentissage gratuit
Devenez pentester en 6 mois
- Mois 1-2 : Bases réseau et Linux (TryHackMe – Pre Security)
- Mois 3-4 : Outils de pentesting (TryHackMe – Jr Penetration Tester)
- Mois 5 : Pratique sur HackTheBox (machines easy/medium)
- Mois 6 : Premier CTF (Capture The Flag) + préparation certification
