Reconnaissance : voir comme un attaquant

Prérequis : cours 1.3 (surface) ; outils réseau (Réseaux 9.2).

Pourquoi

L'attaquant commence par observer : ce qu'il trouve en 1 heure d'OSINT détermine la suite. Faire la même passe en défense, c'est découvrir ses propres expositions avant lui — légalement (sur son périmètre !).

Concepts

• OSINT passif (zéro contact) : crt.sh (sous-domaines via certificats), DNS historiques (SecurityTrails & co), GitHub (secrets commités, .env !), LinkedIn (stack, prestataires, mails pour phishing), Shodan (services exposés indexés).
• Énumération active (ton périmètre uniquement !) : nmap (ports), dig (zones, transferts AXFR mal configurés !), nikto/dirb (fichiers oubliés : /backup.zip, /.git/).
• Règle légale : passif = libre ; actif = uniquement ce qui t'appartient (ou mission signée). Scanner autrui sans accord = infraction pénale. Toujours.

Exemple : passe de 30 minutes (son périmètre)

# crt.sh → sous-domaines → nmap -Pn -F → curl -I (headers) → tester /.git/HEAD, /backup.sql
# GitHub : chercher "org + password/token" + gitleaks sur ses repos

Cas réel

Pentest interne : en 20 minutes d'OSINT, email du DG + prestataire + version exacte du CMS (header bavard) + backup hebdo nommé backup-sunday.zip… devinable. L'intrusion a pris 10 minutes de plus. Le rapport a surtout montré que la recon est sous-estimée.

Pièges

• Scanner hors périmètre « pour voir » : infraction. Périmètre écrit avant tout scan.
• Oublier les actifs non-prod (staging, vieux tests, buckets) : c'est là que ça fuit le plus souvent.
• Stocker les résultats n'importe où : un rapport de pentest contient les vulnérabilités — chiffré, accès restreint, destruction après correction.

À retenir

Passif libre, actif sur périmètre écrit uniquement ; crt.sh + nmap + GitHub = 80 % ; rapports chiffrés.