Chapitre 9

Sécurité

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 1 / 49
Introduction

La sécurité doit être prise en considération lors de l’installation et

l’utilisation d’un ordinateur.
Les attaques touchent généralement les trois composantes suivantes :

La couche d’application
Le système d’exploitation
La couche réseau

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 2 / 49
Introduction

Cependant on distingue différentes attaques au sein d’un réseau dû à la

faiblesse des composants :

faiblesses d’authentification ;
mauvaises configurations.
faiblesses d’implémentation ou de bogues ;
faiblesses liées aux protocoles.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 3 / 49
Authentification

La gestion des utilisateurs est fondamentale dans la sécurité d’un système

informatique. De mauvaises privilèges ou un mauvais mot de passe
peuvent compromettre la sécurité d’un ordinateur.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 4 / 49
Profil des utilisateurs
Commande adduser

Lors de la création d’un nouveau utilisateur avec la commande

adduser (par exemple adduser smi), le répertoire personnel de
l’utilisateur smi est créé avec les droits
drwxr-xr-x.

Il faut enlever les droits de lecture pour les autres :

sudo chmod 750 /home/smi

Pour mettre cette valeur par défaut lors de la création d’un nouveau
utilisateur, il faut modifier la valeur de la variable DIR_MODE dans le
fichier
/etc/adduser.conf
de la façon suivante :
DIR_MODE=0750
. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 5 / 49
Profil des utilisateurs
Commande useradd

Lors de la création d’un nouveau utilisateur avec la commande

useradd (par exemple adduser -m smi), le répertoire personnel de
l’utilisateur smi est créé avec les droits
drwxr-xr-x.

Pour mettre cette valeur par défaut lors de la création d’un nouveau
utilisateur, il faut modifier la valeur de la variable UMASK dans le fichier
/etc/login.defs
de la façon suivante :
UMASK 027

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 6 / 49
Mots de passe

Pour éviter les attaques qui utilisent un dictionnaire, le mot de passe doit
être fort. Il doit :

comporter des lettres minuscules et majuscules, des nombres et

d’autres caractères ;
comporter au moins 8 caractères ;

Il ne doit pas comporter :

le nom ou le prénom de l’utilisateur ;

la date de naissance de l’utilisateur ;
un mot du dictionnaire.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 7 / 49
Sécuriser un réseau

Pour sécuriser un réseau, il faut :

segmenter le réseau en sous-réseaux ;

utiliser des filtres ;
utiliser un pare-feu.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 8 / 49
segmenter le réseau en sous-réseaux

Dans le but de séparer les machines sensibles des autres machines, on peut
découper un réseau en plusieurs sous-réseaux, alors que l’ensemble
continue à se comporter comme un seul réseau vis-à-vis de l’extérieur.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 9 / 49
Filtrage

Les règles d’accès et de trafic appliquées aux réseaux consistent à établir

quels sont les type de paquets (en termes de protocole et de numéro de
port) autorisés en entrée ou en sortie depuis ou vers tel réseau ou telle
adresse particulière.

−→ un serveur web pourra recevoir et émettre du trafic HTTP (port 80)

mais n’aura aucune raison de recevoir un autre trafic sur le port 22
(protocole SSH). Appliquer ce genre de règles, c’est faire du filtrage par
port.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 10 / 49
Filtrage

Le sous-réseau public (souvent appelé « zone démilitarisée » ou DMZ)

devra faire l’objet de mesures de sécurité particulièrement strictes.
−→ Il est exposé à toutes les attaques en provenance de l’Internet.

Le principe de base est : tout ce qui n’est pas autorisé est interdit.

Il est prudent que les serveurs en zone publique contiennent aussi peu
de données que possible.
−→ Idéalement, ils ne doivent pas contenir de données pour éviter
qu’ils soient la cible d’attaques

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 11 / 49
Filtrage

Tiré du Livre : Sécurite Informatique - Principes Et Méthodes 2ème

Edition (Eyrolles). .
.
.
.
.
. . . . .
. . . .
. . . .
. . . .
. . . .
. . . . .
.
.
.
.
.
.
.
.
.

(FSO) Admin Réseaux 2023/2024 12 / 49

Les Firewall (Pare Feu)

Un pare-feu est un ensemble matériel ou logiciel qui trie les paquets qui
circulent par son intermédiaire en provenance ou vers le réseau local, et ne
laisse passer que ceux qui vérifient certaines conditions.
C’est un système de protection dédié à la sécurité d’un réseau.
Les noyaux Linux contiennent le système Netfilter pour manipuler le trafic
réseau. Pour accepter, manipuler ou rejeter un paquet, on utilise iptables.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 13 / 49
iptables

iptables est très utilisé pour mettre en place un pare-feu. Elle utilise 4 ou
5 tables (le nombre dépend du système). Une table permet de définir un
comportement précis de Netfilter. En fait, c’est un ensemble de chaînes,
elles-mêmes composées de règles.
Les tables sont :

Filter
NAT
Mangle
Raw
security

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 14 / 49
Table Filter

C’est la table par défaut. Elle s’utilise sans l’option -t et contient les
chaînes :

INPUT : pour les paquets destinés aux sockets local ;

FORWARD : pour les paquets routés ;
OUTPUT : pour les paquets générés localement.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 15 / 49
Table NAT

Elle est consultée quand un paquet qui crée une nouvelle connexion est
rencontré. Elle consiste en trois chaînes :

PREROUTING : pour les paquets qui entrent ;

OUTPUT : pour les paquets générés localement avant le routage ;
POSTROUTING : pour les paquets qui sortent.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 16 / 49
Table Mangle

sert a modifier d’autres paramètres des paquets IP (notamment le champ

ToS — Type Of Service — et les options). Elle consiste en cinq chaînes :

PREROUTING : paquets entrant avant le routage ;

OUTPUT : pour les paquets générés localement avant le routage ;
INPUT : paquets arrivant au système lui même ;
FORWARD : paquets routés via le système ;
POSTROUTING : pour les paquets qui sortent

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 17 / 49
Tables Raw et security

La table Raw contient les chaînes :

PREROUTING : pour les paquets arrivant de n’importe quelle

interface réseau
OUTPUT : pour les paquets générés par les processus locales

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 18 / 49
Tables Raw et security

La table Raw contient les chaînes :

PREROUTING : pour les paquets arrivant de n’importe quelle

interface réseau
OUTPUT : pour les paquets générés par les processus locales

Dans les machines virtuelles netkit, cette table n’est pas disponible.
Dans ce qui suit nous allons utiliser la table par défaut.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 18 / 49
Initialisation des tables

On vide les chaînes au niveau de la table Filter :

pc1: # iptables -F
On supprime les éventuelles chaînes personnelles :
pc1: # iptables -X

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 19 / 49
Blocage des tables

Maintenant faisons pointer par défaut les chaînes de la table Filter sur
DROP (Rejet) :
pc1: # iptables -P INPUT DROP
pc1: # iptables -P OUTPUT DROP
pc1: # iptables -P FORWARD DROP
Les entrées et les sorties sont bloquées.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 20 / 49
Test de sortie

Un ping de pc1 vers pc2 donne :

pc1: # ping -c 1 192.168.100.2

PING 192.168.100.2 (192.168.100.2) 56(84) bytes of data.
ping: sendmsg: Operation not permitted

--- 192.168.100.2 ping statistics ---

1 packets transmitted, 0 received, 100% packet loss, time 0ms

Les paquets ne sortent pas de pc1.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 21 / 49
Test d’entrée

Un ping de pc2 vers pc1 donne :

pc2: # ping -c 1 192.168.100.1

PING 192.168.100.1 (192.168.100.1) 56(84) bytes of data.

--- 192.168.100.1 ping statistics ---

1 packets transmitted, 0 received, 100% packet loss, time 0ms

Les paquets arrivent sur pc1 et sont rejetés. Il suffit de le vérifier avec
tcpdump.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 22 / 49
Test vers la boucle locale

Même un ping vers localhost est rejeté :

pc1: # ping -c 1 localhost

PING localhost (127.0.0.1) 56(84) bytes of data.
ping: sendmsg: Operation not permitted

--- localhost ping statistics ---

1 packets transmitted, 0 received, 100% packet loss, time 0ms

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 23 / 49
Examen de la table Filter

Examinons l’état de la table Filter :

pc1: # iptables -L
Chain INPUT (policy DROP)
target prot opt source destination

Chain FORWARD (policy DROP)

target prot opt source destination

Chain OUTPUT (policy DROP)

target prot opt source destination

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 24 / 49
Autorisation de la boucle locale

On autorise des entrées locales :

pc1: # iptables -A INPUT -i lo -j ACCEPT
On autorise des sorties locales :
pc1: # iptables -A OUTPUT -o lo -j ACCEPT
Alors si on fait un ping sur la machine elle-même on voit que sa marche :

pc2:~# ping -c 1 localhost

PING localhost (127.0.0.1) 56(84) bytes of data.
64 bytes from localhost (127.0.0.1): icmp_seq=1 ttl=64 time=0.

--- localhost ping statistics ---

1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 0.093/0.093/0.093/0.000 ms
. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 25 / 49
Examinons l’état de la table Filter :

pc1: # iptables -L -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
14 1176 ACCEPT all -- lo any anywhere anywhere

Chain FORWARD (policy DROP 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

Chain OUTPUT (policy DROP 4 packets, 336 bytes)

pkts bytes target prot opt in out source destination
14 1176 ACCEPT all -- any lo anywhere anywhere

L’option -v veut dire verbose (bavard), donne plus de détails.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 26 / 49
Autoriser le trafic d’une connexion déjà établie

Pour autoriser une connexion déjà ouverte d’envoyer et de recevoir du

trafic :
pc1: # iptables -A INPUT -m conntrack --ctstate ESTABLISHED
-j ACCEPT
pc1: # iptables -A OUTPUT -m conntrack --ctstate
ESTABLISHED -j ACCEPT

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 27 / 49
Ouverture de quelques ports/services

Pour autoriser les connexion au serveur SSH, il faut :

autoriser les entrées des requêtes au port ssh

pc1: # iptables -A INPUT -p tcp --dport ssh -i eth0 -j
ACCEPT
autoriser les sorties des requêtes utilisant ssh
pc1: # iptables -A OUTPUT -p tcp --dport ssh -o eth0 -j
ACCEPT

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 28 / 49
Pour autoriser l’envoi et la réception de messages ICMP, il faut :

autoriser les entrées des requêtes utilisant le protocole icmp

pc1: # iptables -A INPUT -p icmp -i eth0 -j ACCEPT
autoriser les sorties des requêtes utilisant le protocole icmp
pc1: # iptables -A OUTPUT -p icmp -o eth0 -j ACCEPT

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 29 / 49
 IDS/IPS
Systèmes de Détection/Prévention d’Intrusions

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 30 / 49
Définition

Un système de détection d’intrusion (ou IDS : Intrusion Detection System)

est un mécanisme destiné à repérer des activités anormales ou suspectes
sur la cible analysée (un réseau ou un hôte). Il permet ainsi d’avoir une
action de prévention sur les risques d’intrusion. (source : wikipédia).

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 31 / 49
IDS

Un IDS (Système de Détection d’intrusions) permet de :

Surveiller
Contrôler
Détecter

Le système de détection d’intrusion est un composant critique d’une

architecture de sécurité informatique

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 32 / 49
 Audit de sécurité

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 33 / 49
Audit informatique

Définition
L’audit informatique (en anglais Information Technology Audit ou IT
Audit) a pour objectif d’identifier et d’évaluer les risques (opérationnels,
financiers, de réputation notamment) associés aux activités informatiques
d’une entreprise ou d’une administration.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 34 / 49
Les tests d’intrusion

Définition
Un test d’intrusion (« penetration test » ou « pentest » en anglais) est une
méthode d’évaluation de la sécurité d’un système ou d’un réseau
informatique.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 35 / 49
Les tests d’intrusion

Définition
Un test d’intrusion (« penetration test » ou « pentest » en anglais) est une
méthode d’évaluation de la sécurité d’un système ou d’un réseau
informatique.

Article 607-3 du code pénal

le fait d’accéder, frauduleusement, dans tout ou partie d’un système de
traitement automatisé des données est puni d’un mois à trois mois
d’emprisonnement et de 2 000 à 10 000 dirhams ou de l’une de ces
deux peines seulement.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 35 / 49
Les tests d’intrusion : méthode

La méthode consiste généralement à simuler une attaque d’un utilisateur

mal intentionné, voire d’un logiciel malveillant. On analyse alors :

les risques potentiels dus à une mauvaise configuration d’un système

d’un défaut de programmation

d’une vulnérabilité liée à la solution testée.

Le principal but de cette manœuvre est de trouver des vulnérabilités

exploitables en vue de proposer un plan d’actions permettant d’améliorer
la sécurité d’un système.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 36 / 49
Test d’intrusion vs Audit de sécurité

La différence avec un simple audit de sécurité est la motivation pour

la personne à aller jusqu’à exploiter les failles, montrant ainsi la
vulnérabilité.

L’exploitation n’a bien sûr pas pour but de détruire ou endommager le

système, mais elle permettra de situer le degré du risque lui étant
associé.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 37 / 49
Test d’intrusion : Analyse

L’analyse peut se réaliser selon trois cas :

1 Le testeur se met dans la peau d’un attaquant potentiel, et ne
possède aucune information ;
2 Le testeur possède un nombre limité d’informations (exemple : un
compte) ;
3 Le testeur possède les informations dont il a besoin.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 38 / 49
Le testeur n’a aucune information (ou black box)

Fondement :

Il s’agit dans un premier temps de rechercher des informations sur

l’entreprise, la personne, ou toute autre donnée pour s’assurer que la
cible est bien celle que l’on tente d’infiltrer.

Connaître la situation géographique, les informations générales d’une

société, ou son fournisseur d’accès à Internet.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 39 / 49
Le testeur n’a aucune information (ou black box)

Pour cela le testeur dispose de plusieurs outils :

Le web : pour connaître l’adresses email, les adresses postales,

numéros de téléphone, ... sur une cible donnée (entité physique ou
morale).

Le service DNS via les outils nslookup et dig afin d’interroger les
serveurs DNS pour obtenir soit l’adresse IP en fonction d’un nom de
domaine, soit l’inverse.

Le service whois qui permet de récupérer des informations diverses

sur une adresse IP ou un nom de domaine.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 40 / 49
Ensuite pouvoir schématiser l’emplacement et l’étendue du système à
tester, c’est-à-dire réaliser une cartographie (ou map en anglais).
Le fait d’effectuer une telle analyse permet de comprendre le mode de
fonctionnement et le raisonnement de son propriétaire. De plus, un
système en réseau étendu nécessite une sécurité plus importante :
=⇒ la pénétration d’un seul ordinateur d’un réseau peut permettre la
pénétration de tous les autres beaucoup plus facilement.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 41 / 49
Le testeur n’a aucune information :
cartographie du réseau
Il s’agit principalement de :

Prise d’empreinte de la pile TCP/IP afin d’étudier les différentes

réponses dues aux implémentations des piles TCP/IP et de
déterminer le système d’exploitation installé, ainsi que sa version.

Balayage des ports afin de détecter des ports ouverts et les règles de
filtrage des machines.

Identifier les services qui tournent derrière ces ports et leur versions en
vue d’une exploitation ultérieure.

L’outil Nmap permet de réaliser ces opérations.

Ces techniques peuvent être aisément détectées à l’aide d’un système de
détection d’intrusion (IDS).
. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 42 / 49
Le testeur n’a aucune information :
Applicatif

Après avoir trouvé les programmes actifs qui communiquent avec un autre
réseau, trouver une faille dans ces applications peut amener à corrompre
tout un système en peu de temps.
Le but recherché ici va être de corrompre une application pour lui faire
exécuter son propre code, (généralement donné en langage d’assemblage).
La plus grande faille connue à ce jour est le dépassement de tampon.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 43 / 49
Le testeur possède un nombre limité d’informations (ou
grey box)

En général, lors de tests d’intrusion en mode boîte grise, le testeur dispose

uniquement d’un couple (identifiant - mot de passe). Ceci lui permet
notamment de passer l’étape d’authentification.
L’objectif de ce type de test est d’évaluer le niveau de sécurité vis-à-vis
d’un ”utilisateur normal”.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 44 / 49
 Le testeur se trouve en possession des informations
nécessaires (ou white box)
Le testeur peut être en possession de nombreuses informations. Parmi
elles, les plus courantes sont :

Schémas d’architecture ;

Compte utilisateur permettant de s’authentifier ;

Code source de l’application ;

...

Dans ce cas, il n’aura plus qu’une chose à faire : rechercher la ou les

failles, et trouver le moyen de les exploiter.
De même, un testeur se trouvant à l’intérieur du réseau à tester aura plus
de facilité à trouver ces failles car il connaît non seulement le système,
mais il peut avoir accès directement aux ressources dont il a besoin.
. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 45 / 49
Outils de tests de pénétration (Pen
Test)

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 46 / 49
Nmap

C’est un scanner de ports. Il est conçu pour détecter les ports ouverts,
identifier les services hébergés et obtenir des informations sur le système
d’exploitation d’un ordinateur distant. Ce logiciel est devenu une référence
pour les administrateurs réseaux car l’audit des résultats de Nmap fournit
des indications sur la sécurité d’un réseau. Il est disponible sous Windows,
Mac OS X ET Linux.
Exemple : détecter le système d’exploitation et les ports ouverts
nmap -O 192.168.56.118

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 47 / 49
Nikto/Wikto

Nikto (Linux)/Wikto(Windows) est un scanner de serveurs web.

Exemple
nikto -h http://localhost t

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 48 / 49
sqlmap (http://sqlmap.org/)

Sqlmap est un outil de sql injection. On lui fournit une url avec un
paramètre, il va se charger de tester les injections SQL que l’on peut faire
dessus.
Définition : injection SQL
permet d’injecter dans la requête SQL un morceau de requête pouvant en
compromettre la sécurité.

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 49 / 49
sqlmap (http://sqlmap.org/)

Sqlmap est un outil de sql injection. On lui fournit une url avec un
paramètre, il va se charger de tester les injections SQL que l’on peut faire
dessus.
Définition : injection SQL
permet d’injecter dans la requête SQL un morceau de requête pouvant en
compromettre la sécurité.

Exemple
p y t h o n 3 sqlmap . py −u h t t p :// l o c a l h o s t / c o n n e x i o n . php −−
d a t a ”nom=1&mdp=2” −−dump

. . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . .
(FSO) Admin Réseaux 2023/2024 49 / 49