Ce mardi 4 juin 2024 sera une journée à oublier pour OpenAI puisque son chatbot ChatGPT a été indisponible pendant plusieurs heures. OpenAI parle d'une panne majeure. Voici ce que l'on sait.
Si vous utilisez ChatGPT au quotidien, vous l'avez surement constaté : ChatGPT était inaccessible une bonne partie de la journée du 4 juin 2024. En France, nous avons pu constater ce problème dans le courant de la matinée et jusqu'en fin d'après-midi, le service étant partiellement de retour en milieu de journée. Il s'agissait bien d'une panne mondiale.
Les nombreux signalements effectués sur le site DownDetector montre bien ce phénomène avec deux vagues de signalements :
Du côté d'OpenAI, on estime que cette panne majeure a perturbé l'accès à ChatGPT pendant 5 heures et 29 minutes. C'est en tout cas ce qui est précisé sur la page où l'on peut obtenir l'état des différents services de l'entreprise américaine. Voici un aperçu :
Que s'est-il passé ?
"Nous avons connu une panne majeure qui a eu un impact sur tous les utilisateurs de tous les plans de ChatGPT. L'impact incluait tous les services liés à ChatGPT. L'impact n'incluait pas platform.openai.com ou l'API.", peut-on lire sur le site d'OpenAI. Cela signifie que cette panne a eu un impact sur tous les utilisateurs de ChatGPT : ceux qui l'utilisent gratuitement, et ceux qui paient un abonnement à ChatGPT Plus.
Les utilisateurs ont pu constater différents messages d'erreurs : "Bad gateway", "ChatGPT is at capacity right now" ou encore une page blanche.
Néanmoins, difficile de répondre à la question "Que s'est-il passé ?" car OpenAI n'a pas donné la moindre précision sur l'origine de cette panne... Dommage.
Désormais, ChatGPT fonctionne de nouveau ! Si vous ne parvenez pas à y accéder, rafraichissez le cache de votre navigateur. Utilisez le raccourci clavier "CTRL + F5" sur votre PC, au sein de la fenêtre du navigateur.
Des chansons contenant des messages haineux, antisémites et sexistes ont été produites depuis des générateurs de musique par intelligence artificielle.
i ça vous saoule de devoir répéter inlassablement votre mot de passe wifi à tous vos invités, il existe une solution simple et sécurisée pour partager votre clé wifi sans prise de tête : Wificard.io
Fini les post-its gribouillés collés sur le frigo ou les SMS interminables pour redonner le code wifi à chaque nouvel arrivant. Avec Wificard.io, vous allez pouvoir partager vos accès réseau en un clin d’oeil. Il vous suffit d’entrer le nom de votre SSID et le mot de passe associé, de choisir la langue et hop, le tour est joué !
L’outil génèrera alors automatiquement un joli QR code personnalisé.
Vos invités ou collaborateurs n’ont plus qu’à scanner ce QR code avec leur smartphone pour se connecter illico au réseau, sans même avoir à entrer le mot de passe. Pratique, non ?
Cerise sur le gâteau, l’outil fonctionne entièrement en local. Aucune information n’est envoyée sur le net, vous gardez le contrôle total sur vos données. C’est simple, gratuit, et ça marche sur tous les appareils. Que demander de plus ?
Alors la prochaine fois qu’on vous demande le code wifi, dirigez donc vos invités vers votre QR code Wificard.io. En un flash, tout le monde sera connecté sans même connaître votre mot de passe. De quoi libérer de la bande passante dans votre cerveau pour des choses plus essentielles ! Par contre, si une équipe de télévision vient faire un reportage chez vous, pensez à retirer la Wifi Card du tableau en liège derrière vous, sinon tout le monde va se moquer.
Il n'a suffi que d'un pseudonyme, révélé par le Monde, pour qu'une horde d'internautes se lance dans une chasse en ligne. L'objectif : retracer une grande partie des cheminements du jeune Jordan Bardella, une décennie avant sa candidature aux élections européennes de 2024.
Les Américains qui ont accès à la fonctionnalité AI Overviews de Google ont beaucoup relevé les errements de l'intelligence artificielle. Des problèmes admis en partie par l'entreprise américaine, mais aussi contestés. Malgré tout, la société annonce avoir apporté de nombreux changements dans le fonctionnement de son outil.
Qu'est-ce que le tableau de bord Google My Activity ? Peut-on désactiver l'historique sur son compte Google ? Est-il possible de supprimer les données collectées par Google ? Nous allons répondre à ces trois questions !
À partir du moment où l'on utilise les services de Google, nos faits et gestes sont intégrés au sein d'un historique. Ceci est vrai pour les recherches sur le moteur de recherche, le streaming de vidéos sur YouTube ou encore la navigation avec Maps. Google essaie de jouer la carte de la transparence grâce à une interface en ligne que chacun peut utiliser pour visualiser son activité : Google My Activity.
II. Qu'est-ce que l'outil My Activity ou Mon Activité de Google ?
Google My Activity, ou en français, Mon Activité Google, se présente sous la forme d'un centre de contrôle accessible à partir de son compte Google, à l'adresse suivante : myactivity.google.com. Même s'il n'est pas connu de tous les utilisateurs, il n'est pas nouveau, car il existe depuis 2016.
Au-delà de vous, donner l'accès à votre historique sur les différents services Google, c'est aussi un moyen de brider la collecte de données. En effet, lorsque l'on arrive sur la page d'accueil de "Mon activité Google", on peut voir en un coup d'œil l'état des fonctions suivantes :
Activité sur le Web et dans les applications,
Historique des positions,
Historique YouTube
Tout cela correspond aux recherches effectuées sur le moteur de recherche Google et sur YouTube, mais aussi aux vidéos que vous regardez en étant connecté à votre compte Google. Ainsi, vous pouvez visualiser l'historique des recherches effectuées et des pages visitées sur tous vos appareils, car ces informations sont stockées sur les serveurs de Google. Sans surprise, ces différentes options sont activées par défaut. Vous pouvez lire cet article détaillé pour en savoir plus sur l'historique de my activity.
Google décrit l'historique de YouTube de cette façon : "L'historique YouTube répertorie les vidéos que vous avez visionnées ainsi que les recherches que vous avez effectuées sur YouTube. En conservant votre historique YouTube, vous pouvez bénéficier d'une expérience plus personnalisée, comme de meilleures recommandations ou la possibilité de reprendre là où vous en étiez."
La collecte de données des utilisateurs et Google, c'est un sujet de longue date. Ainsi, si l'on souhaite utiliser les services de Google sans pour autant donner le maximum d'informations à Google, cela me semble indispensable d'aller faire un tour dans cette interface. Vous pourriez bien être surpris de voir à quel point Google trace l'ensemble de vos actions. Même si l'on sait que Google "se fait plaisir", c'est l'occasion d'avoir un aperçu, car on peut imaginer, légitimement, que ces données sont exploitées par le géant américain.
Pour désactiver l'enregistrement de données, cliquez sur chaque section et désactivez toutes les options disponibles. Par la même occasion, vous pourrez supprimer l'historique relatif à la section en cours de configuration.
L'exemple ci-dessous montre comment désactiver l'enregistrement de votre activité pour le Web et les applications Google. Vous devez cliquer sur le bouton "Désactiver" puis choisir entre, simplement désactiver, ou alors désactiver et supprimer les données actuelles. Faites le choix que vous préférez et laissez-vous guider par l'assistant. Profitez-en également pour désactiver les paramètres secondaires.
III. Comment supprimer les données de son compte Google ?
Google My Activity offre la possibilité à l'utilisateur de supprimer les données de son historique, que ce soit pour Android (historique d'utilisation des applications !), la navigation Google Maps, les recherches Google, ou encore l'utilisation de l'assistant Google.
Tout d'abord, le bouton "Supprimer" présent sur la page d'accueil du tableau de bord Google My Activity peut vous permettre de supprimer rapidement les données, notamment celles les plus récentes (dernière heure, dernier jour), sur une période personnalisée ou sur toute la période.
Le fait de choisir "Toute la période" permet de sélectionner les services et applications pour lesquels vous souhaitez supprimer les données. Ceci est efficace à condition de désactiver également l'historique, sinon, Google va continuer à collecter les données.
Plus intéressant encore, il est possible, à partir du menu "Commandes relatives à l'activité" (présent dans le menu latéral, sur la gauche) de configurer la suppression automatique des activités Google de plus de 3 mois, de plus de 18 mois ou de plus de 36 mois.
IV. Conclusion
En conclusion, je dirais que Google My Activity est un outil utile pour savoir tout ce que Google sait de vous (et qu'on a le droit de savoir). Chaque internaute qui utilise les services de Google devrait s'y connecter au moins une fois pour définir ses préférences. Malheureusement, je doute que ce soit utilisé majoritairement, sauf par les utilisateurs avertis et ceux qui souhaitent volontairement améliorer la protection de leurs données personnelles.
Retenez que My Activity est un outil pratique pour contrôler et personnaliser votre expérience avec les services Google en gardant un œil sur votre activité en ligne. En effet, l'historique est exploité par Google pour personnaliser votre expérience à différents niveaux, y compris pour les publicités.
Pour se protéger totalement contre ce phénomène, la meilleure solution reste d'utiliser des services alternatifs en remplacement de ceux de Google. Pour la recherche sur le Web, vous pouvez utiliser les moteurs de recherche Qwant et DuckDuckGo en remplacement de Google (mais sachez qu'ils s'appuient sur l'API de Bing, le moteur de recherche de Microsoft). Pour la messagerie électronique, il y a également des alternatives, notamment ProtonMail, un service suisse en perpétuelle évolution, ainsi que d'autres tels que kMail d'Infomaniak.
Connaissiez-vous cette interface de gestion Google ?
Un groupe de pirates informatiques se faisant appeler ShinyHunters dit avoir récupéré des données personnelles issues de Ticketmaster, une plateforme spécialisée dans la vente de tickets pour du sport, des concerts et des spectacles. 560 millions d'internautes seraient touchés.
Un groupe de pirates informatiques se faisant appeler ShinyHunters dit avoir récupéré des données personnelles issues de Ticketmaster, une plateforme spécialisée dans la vente de tickets pour du sport, des concerts et des spectacles. 560 millions d'internautes seraient touchés.
Aujourd'hui, le tracking web joue un rôle fondamental pour les entreprises cherchant à optimiser leurs ressources de manière efficiente. En analysant et en comprenant minutieusement le comportement des utilisateurs en ligne, le tracking web offre aux entreprises des informations précieuses pour allouer judicieusement leurs ressources. Dès lors, il permet de cibler les investissements marketing, de renforcer les stratégies d'acquisition et d'améliorer l'expérience utilisateur, offrant ainsi un avantage concurrentiel significatif.
Dans la suite de l’article, nous vous expliquons à quoi correspond précisément le tracking web ainsi que pourquoi et comment le mettre en place.
Qu’est-ce que le tracking web ?
Le tracking web fait référence à la partie collecte de données du web analytics. Ce dernier est une pratique visant à suivre et à comprendre le comportement des visiteurs sur un site web ainsi que les performances des stratégies d’acquisition. Cela implique la collecte, l'analyse et l'interprétation des données générées par un site. Son objectif principal est d'évaluer la performance des sources d'acquisition et d'améliorer les résultats en comprenant le comportement des utilisateurs.
Le tracking web (tracking client-side ou tracking server-side) est la composante de la collecte de données du web analytics. Il désigne la méthode spécifique utilisée pour collecter des informations sur le comportement des utilisateurs en ligne. Ce processus implique l’élaboration d’un plan de taggage et l'utilisation de diverses technologies telles que les cookies, les balises pixels et les scripts pour enregistrer les actions des utilisateurs sur un site web. Ainsi, le tracking web permet de recueillir des données détaillées sur les interactions des utilisateurs telles que les mouvements de souris, les clics et les interactions avec les éléments de la page.
Ce tracking peut être mis en place pour des outils d'analyse web, mais également pour des plateformes publicitaires telles que Google Ads, Meta Ads, etc. Les données collectées grâce au tracking web peuvent être de nature quantitative (taux, nombre d'utilisateurs, etc.) ou qualitative (appareils utilisés, source de trafic, etc.).
Pourquoi mettre en place un tracking web ?
Les deux objectifs principaux du tracking web sont de comprendre les performances des efforts d'acquisition marketing et d'appréhender le comportement des utilisateurs sur un site. Cela se traduit par l'analyse des résultats des campagnes marketing, incluant le trafic, les taux de conversion, les chiffres d'affaires, le ROAS, etc. Cette analyse peut être effectuée dans le temps ou en comparant différentes campagnes, annonces, etc.
La mise en place du tracking web doit permettre de comprendre qui sont les profils de visiteurs les plus actifs en termes de trafic et de conversions, ainsi que ceux qui quittent rapidement le site. Il est également important de déterminer la provenance des visiteurs afin de cibler efficacement les canaux les plus performants et allouer judicieusement les ressources.
Finalement, le tracking web offre une vue détaillée et précise des performances sur site des entreprises, permettant ainsi d'ajuster les stratégies pour optimiser les résultats et l'expérience utilisateur.
Comment mettre un en place un tracking web ?
Le tracking web implique plusieurs étapes essentielles pour assurer une collecte de données précise et utile.
Étape 1 : Réaliser un plan de mesure
En premier lieu, il peut être intéressant de réaliser un plan de mesure. Ce dernier permet de réaliser un cadrage détaillé du tracking web. Ce plan rassemble ainsi les informations cruciales pour orienter la collecte de données de manière efficace (liste des KPI et dimensions associées, informations sur la gestion du consentement, etc).
Étape 2 : Réaliser un plan de taggage
L'étape suivante consiste en la réalisation d’un plan de taggage dans lequel sont définis précisément les éléments qui doivent être traqués (actions utilisateurs). Il fournit des instructions sur la manière dont le tracking doit être réalisé. Ce document aligne toutes les parties prenantes autour d'une stratégie commune de collecte de données, tout en guidant les développeurs chargés de l'implémentation. Le plan de taggage, également connu sous le nom de plan de tracking, est donc d’une importance capitale dans les projets de tracking web. C’est pourquoi il doit nécessairement être créé avant l’implémentation du tracking.
Étape 3 : Déployer le plan de taggage
Le déploiement du plan de taggage se fait généralement par le biais d'un développeur qui implémente un code permettant l'envoi des données dans le dataLayer. Une vérification rigoureuse est ensuite nécessaire pour s'assurer que les données remontent correctement dans le dataLayer.
Étape 4 : Configurer les outils du tracking web
La configuration des outils de collecte de données, tels que Google Analytics 4 (GA4), Google Tag Manager (GTM), ou des plateformes de gestion de consentement (CMP), constitue une autre étape cruciale. Cela implique la création de variables, balises, déclencheurs dans GTM, ainsi que la mise en place des flux de données, la création de métriques personnalisées, etc., dans GA4. Une vérification rigoureuse est ensuite nécessaire pour s'assurer du bon fonctionnement et de la précision des données collectées par ces outils.
Cette étape consiste à configurer les différents outils utilisés pour la collecte, à savoir :
La CMP envisagée (Axeptio, Didomi, OneTrust, etc) ;
Le TMS envisagé (Google Tag Manager, Commanders Act, etc) - Création des variables, des déclencheurs, des balises, etc ;
L’outils web analytics envisagé (par exemple : Google Analytics 4) - Création de la propriété, activation ou non des signaux Google, création des conversions, création des dimensions personnalisées, connexion à BigQuery, connexion à Google Ads, connexion à Google Search Console, etc (+ 20).
Étape 5 (optionnelle) : Mettre en place des dashboards analytics
Enfin, bien que cela sorte de la sphère du tracking web, pour compléter ce dernier, il est possible de mettre en place des dashboards analytics. Il s’agit d’une autre étape du web analytics, dans la continuité du tracking web. Les dashboards offrent une visualisation claire et interprétable des données collectées, permettant aux entreprises de mieux comprendre et exploiter les informations. La mise en place de dashboard analytics va au-delà du simple suivi web : elle transforme les données en visualisations pertinentes pour une analyse approfondie de l'acquisition marketing et du comportement des utilisateurs sur un site web.
Quel est le rôle d’une CMP dans un tracking web ?
Chaque jour, des millions d'utilisateurs parcourent le web, laissant derrière eux une traînée numérique d'informations personnelles. Dans cette ère de données omniprésentes, la gestion du consentement devient une pièce maîtresse pour les entreprises souhaitant rester en conformité avec des lois telles que le RGPD, la Loi 25, et le CCPA.
Les Consent Management Platforms (CMP) sont les boucliers permettant aux entreprises de naviguer plus sereinement à travers ces réglementations évolutives.
Une CMP est un outil permettant de gérer le consentement donné par les utilisateurs du site web concerné. Cette solution permet aux entreprises de collecter, stocker et gérer le consentement de leurs utilisateurs de façon claire, transparente et en restant en conformité avec la législation en vigueur dans les différentes zones géographiques. En effet, la législation n’est pas la même en fonction du pays dans lequel se trouve l’utilisateur.
Pendant que des salons comme Vivatech encensent Elon Musk et ferment les yeux sur son virage politique, Yann Le Cun, une personnalité majeure du monde de l'intelligence artificielle, s'attaque publiquement aux « théories du complot » du créateur de SpaceX. Le scientifique français est une des rares voix fortes de la Silicon Valley à s'opposer à Musk.
Dans cet article, nous allons découvrir et apprendre à maitriser Nuclei : un scanner web, open-source, rapide et puissant. Cet outil peut être utilisé dans de nombreux cas, notamment pour scanner un ou plusieurs sites web très rapidement et découvrir de potentielles vulnérabilités les affectant, et ce, de façon automatisée.
Nuclei propose de très nombreux points de test et de vérification. Par exemple, il vous permettra de facilement découvrir sur des sites web :
Des fichiers sensibles accessibles ;
Des signatures spécifiques à certaines technologies, voire la découverte de leur version exacte ;
Des CVE affectant une application ;
Des logins par défaut ;
Des défauts de configuration concernant l'application web, le service web, les en-têtes de sécurité ou les cookies ;
Des pages d'administration exposées ;
Réaliser des tâches de fuzzing ;
Certaines vulnérabilités du top 10 OWASP ;
Etc.
Et, je ne parle même pas de la prise en compte d'autres protocoles qui peuvent graviter autour de la réalisation d'une analyse de sécurité sur des applications web : DNS, SSH, SSL, mais aussi la réalisation de tâches d'OSINT ou d'analyse de fichiers, etc.
Ce projet open source présent sur le dépôt de ProjectDiscovery possède de nombreuses forces :
Rapidité : Nuclei est écrit en Go (Golang), un langage notamment optimisé pour le parallélisme et les opérations web/API. Il est capable d'effectuer un grand nombre d'opérations sur plusieurs centaines de sites en relativement peu de temps comparé à d'autres outils.
Développement communautaire : presque 5 000 commits en 4 ans existences, plus de 300 contributeurs venant de nombreux pays et plus de 8 000 modules de test. La grande force de Nuclei est également sa communauté qui propose continuellement de nouveaux modules de test pour suivre l'actualité des attaques et des vulnérabilités.
Simplicité de prise en main et de personnalisation : vous le verrez à la fin de cet article, la prise en main de Nuclei est aisé, un peu de pratique sera nécessaire pour une utilisation avancée, mais rien d'insurmontable, il suffit de savoir lire la manpage. Également, les choix techniques faits par les développeurs rendent l'outil personnalisable très facilement grâce au format YAML.
Dans les faits, j'utilise très fréquemment de Nuclei pour automatiser toute sorte de vérification, que ce soit sur une application web précise ou sur plusieurs centaines de sites. Ainsi, les cas d'usage les plus fréquents de Nuclei sont :
Effectuer une analyse globale d'une surface d'attaque composée de nombreuses applications web ;
Réaliser un check-up régulier de la sécurité des applications web de son entreprise ;
Automatiser la vérification de certains points lors test d'intrusion ou d'une recherche Bug Bounty ;
Vérifier rapidement sur un grand nombre de sites la présence d'une nouvelle vulnérabilité publiée ;
Etc.
Attention, bien que Nuclei ne soit pas fait pour exploiter des vulnérabilités, il enverra des requêtes qui s'apparenteront quoi qu'il arrive à une cyberattaque. Ainsi, assurez-vous de disposer d'une autorisation explicite des propriétaires des applications web visées (test d'intrusion, analyse interne à l'entreprise ou Bug Bounty). Pour rappel : Code pénal : Chapitre III : Des atteintes aux systèmes de traitement automatisé de données
II. Installation de Nuclei
Nous allons à présent installer Nuclei, j'utilise pour cela un OS Linux (Kali Linux), mais cela devrait fonctionner sur n'importe que Système Linux. L'outil étant écrit en Go, votre système doit disposer de quoi exécuter les programmes écrit en Go, vous pourrez vérifier que c'est le cas via la commande suivante :
$ go version
go version go1.21.6 linux/amd64
Si vous n'avez pas une version en réponse, c'est que Go n'est pas présent sur votre système. Je vous oriente vers la documentation officielle, très claire, pour l'installer :
Pour que Nuclei puisse être utilisé depuis n'importe quel dossier de votre système, n'oubliez pas d'ajouter le répertoire dans lequel seront stockés les binaires Go dans votre variable "PATH" et d'intégrer cette modification à votre ".bashrc" :
export PATH=$PATH:/usr/local/go/bin
Une fois cela fait, nous pouvons installer Nuclei avec la commande suivante :
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
Pour vérifier qu'il s'est bien installé, vous pouvez utiliser la commande suivante :
nuclei --version
Si tout s'est bien passé, voici le résultat attendu :
Récupération de la version Nuclei installée.
L'outil étant très souvent mis à jour, cette commande vous permettra également de mettre à jour Nuclei. Pour finir, il faut nous assurer que notre base de templates, nom des modules de test de Nuclei, est à jour. Nous pouvons pour cela utiliser la commande suivante (-ut" pour "--update-templates") :
nuclei -ut
Voici une sortie possible :
Mise à jour des templates Nuclei.
Voilà, notre base est à jour. Pensez à mettre souvent à jour votre base de template, car de nouveaux sont très souvent disponibles.
II. Maitriser Nuclei pour scanner des sites web
A. Utilisation basique de Nuclei
À présent, nous allons commencer à utiliser Nuclei dans des cas basiques, afin de se faire la main. Pour commencer, nous pouvons lancer Nuclei en mode "par défaut", sans trop lui spécifier d'option. Nous devons au moins lui spécifier l'application web à scanner :
Utilisation basique de Nuclei sur une application web.
Comme vous pouvez le voir, nous obtenons quelques informations à propos du contexte de lancement du test. Nous voyons notamment si Nuclei et notre base de template sont à jour, mais aussi le nombre de templates qui seront utilisés ici : 7921.
En sachant qu'un template peut lui-même exécuter plusieurs requêtes, cela donne une idée du nombre de requêtes et de tests que Nuclei va faire.
Vu l'application web testée ici, je ne suis pas près de trouver des vulnérabilités là-dessus avec Nuclei. Mais c'est pour l'exemple :). Vous noterez tout de même que Nuclei me renvoie quelques alertes de type "[info]", qui correspondent à des points de vérifications standard (certificat, CDN utilisé, technologies, etc.).
Pour connaitre le nombre exact de requêtes qui seront envoyées, et en plus avoir un état d'avancement du test, je vous conseille de systématiquement utilisé l'option "--stats" :
nuclei -u https://monapplication.tld --stats
Voici ce que cette option va changer :
Utilisation de l'option "-stats" de Nuclei.
Vous aurez un suivi, toutes les 5 secondes, du nombre de tests fait et à faire, le nombre d'hôtes qui ont été scannés parmi ceux fournis en entrée, le nombre de template pour lesquels il y a eu un résultat (4 dans mon exemple) et le nombre d'erreurs. Ce dernier nombre sera forcément élevé puisque la plupart des tests n'aboutiront pas, la cible ne pouvant de toute façon pas être vulnérables à tout d'un seul coup :-).
Pour aller plus loin, nous pouvons aussi scanner non pas une application web, mais un nom de domaine, observons la différence :
Utilisation de Nuclei sur un nom de domaine.
Comme vous pouvez le voir, Nuclei va utiliser "httpx" sur le nom de domaine fournit. Cet outil tiers va permettre de déterminer quels sont les services web accessibles sur le nom de domaine en allant vérifier sur les ports classiques pour ce service : TCP/80, TCP/81, TCP/443, TCP/8080, etc. Cela permet de faire une analyse un peu plus large, et de scanner aussi bien le service TCP/443 que les TCP/8080 si les deux sont présents pour un même domaine.
Enfin, dans un contexte plus réaliste, nous pouvons scanner plusieurs applications web, domaine ou adresse IP. Il suffit pour cela de créer un fichier texte avec une cible par ligne et d'indiquer ce fichier à Nuclei :
nuclei --list mesCibles.txt --stats
Voilà pour l'utilisation vraiment basique de Nuclei. Peut-être avez-vous déjà eu des premiers résultats ici, mais je vous conseille de continuer la lecture de l'article, car nous allons apprendre à manier l'outil de façon beaucoup plus efficace et intéressante.
B. Découverte et usage des templates
Comme indiqué dans l'introduction, la puissance de Nuclei réside dans ses nombreux templates et son approche modulaire. Les templates de Nuclei décrivent chacun un test bien précis et ceux-ci sont organisés en catégories et en tags, ce qui permet de facilement les utiliser en fonction de nos besoins. Voici notamment un aperçu des tags les plus présents :
Extrait du tableau présentant les principaux tags, auteurs et catégories des templatesNuclei.
Vous trouverez sur la page suivante la totalité des tags pouvant être utilisés dans les options d'exécution de Nuclei :
Par défaut, vos templates Nuclei sont normalement stockés dans le répertoire "~/.local/nuclei-templates/". Vous pourrez également les parcourir dans ce répertoire local.
Commençons, pour se faire une idée, par afficher tous les templates disponibles grâce à l'option "-tl" :
Option permettant de lister tous les templates Nuclei.
Comme vous pouvez le voir, il y a du monde ! Pas loin de 8 000 templates sont disponibles en date d'écriture de cet article. La capture ci-dessus est bien sûr tronquée. On peut notamment retrouver un début de hiérarchie dans la capture ci-dessus (cloud, code, exposures, etc.). Pour avoir une meilleure idée, voici à quoi ressemble un templateNuclei :
Ce template, qui se trouve dans le répertoire "http/exposed-panels/" et utilise les tags "panel" et "phpmyadmin" (ligne 17) a pour but de découvrir la présence d'une page d'authentification ou d'un panel "PHPMyAdmin" sur nos cibles.
Nous pouvons notamment voir les payloads qui seront utilisés sur chaque cible, il y en a ici 12. Ce qui signifie que ce test à lui seul générera 12 requêtes par cible. En exécutant ce test, Nuclei essaiera de charger la page "{{baseURL}}/phpmyadmin/" puis "{{baseURL}}/admin/phpmyadmin/", etc. Le "{{BaseURL}}" étant bien sûr remplacé à la volée par l'URL des applications ciblée par nos tests.
Pour chaque réponse, il consultera le code source de la page afin de trouver les chaines de caractères "phpMyAdmin" ou "pmahomme" et lèvera une alerte de niveau "[info]" s'il obtient une réponse positive.
Pour exécuter une analyse se basant sur ce template uniquement, nous pouvons utiliser la commande suivante :
Ici, Nuclei va automatiquement aller cherche le fichier ".yaml" au sein du répertoire par défaut de stockage des templates. Si nous souhaitons utiliser un ensemble de template en fonction de leur catégorie, nous pouvons utiliser la commande suivante :
# Templates relatifs à la découverte de panels d'administration
nuclei -t http/exposed-panels/* -list mesCibles.txt -stats
# Templates relatifs à la découverte de technologies et version
nuclei -t http/technologies/* -list mesCibles.txt -stats
Nous pouvons également nous aider des tags, qui permettent de sélectionner des templates dans plusieurs catégories. Par exemple, si nous avons un CMS "Joomla" à scanner, nous pourrions souhaiter découvrir ses plugins, sa version, puis la présence de CVE ou défauts de configuration spécifiques à "Joomla". Chacun de ces tests se trouve dans une catégorie Nuclei différente, mais tous partagent le même tag : "joomla". Exemple :
# Lister les tous les templates ayant un tags "joomla"
nuclei -tl --tags joomla
# Exécuter tous les templates ayant un tags "joomla"
nuclei --tags joomla -list mesCibles.txt -stats
L'utilisation unitaire d'un template, groupée via les tags ou via les catégories, est ce qui rend Nuclei très pratique d'utilisation et modulable en fonction des besoins et des cibles à scanner. Le grand nombre de templates et de modules nécessite quelque temps de pratique avant de pouvoir exploiter complètement la puissance de Nuclei, mais cela vaut vraiment le coup.
Nuclei est un outil très modulable et propose, en plus de ses nombreux templates, de nombreuses options. Prenez le temps de lire l'aide de l'outil pour avoir un aperçu de tout ce qu'il est capable de faire : "nuclei --help"
Également, plutôt que de réaliser une analyse soit trop précise, soit trop vague entrainant un grand nombre de requêtes inutiles. Nous pouvons utiliser le mode "intelligent" de Nuclei qui va utiliser l'application wappalyzer afin de réaliser une première découverte des technologies utilisées, puis un scan en utilisant les tags associés à ces technologies. Cette opération se fait via le tag "-as" (pour "-automatic-scan") :
# Analyse intelligente basée sur le détecteur de technologie wappalyzer
nuclei -as -list mesCibles.txt -stats
Avec ces quelques options, vous maitriserez mieux les différents concepts et la puissance de Nuclei. Pour vous faciliter l'utilisation des tags, je vous propose ce tableau qui détaille, pour les principaux tags, leur cas d'usage :
Tag
Usage
--tags cve, --tags cve2023, --tags cve2022
Templates relatifs à la détection de CVE. Utilisable aussi par année.
--tags panel
Templates permettant de découvrir des panels d'administration spécifiques à certaines technologies.
--tags wordpress, --tags wp-plugin, --tags joomla, etc.
Templates relatifs aux CMS, ou à la découverte de plugins des CMS.
--tags exposures
Templates permettant de rechercher des fuites de données dans des fichiers exposés (backups, configurations, etc.)
--tags osint
Templates relatifs à la recherche d'informations par sources ouvertes.
--tags tech
Templates de recherche de bannières des technologies utilisées et de leurs versions.
--tags misconfig
Templates permettant de rechercher des défauts de configuration classiques et connus dans les services web, les CMS, etc.
IV. Concevoir son propre template
A. Comprendre la structure d'un template
Nous allons à présent étudier un peu plus précisément les différents composants d'un template afin d'avoir les connaissances nécessaires pour construire notre premier template.
Vous l'autre peut être remarqué en manipulant Nuclei ou en lisant cet article, les templates Nuclei sont écrits en YAML et visent à décrire précisément comment les requêtes seront envoyées et leurs réponses analysées. On retrouve d'ailleurs l'utilisation du YAML dans les règles de détection SIGMA. Voici la structure globale d'un template :
Identifiant unique
C'est le nom du template, il sera utilisé notamment lors de l'affichage d'une alerte :
id: mon-premier-template
Les informations de métadonnées
Les "info" sont les données annexes d'un template, comme l'auteur, la description, mais aussi les tags, le niveau de criticité de l'alerte qui sera levée, etc. Elles sont importantes pour bien réutiliser, comprendre et évaluer les résultats de notre template par la suite.
info:
name: Mon premier template
author: it-connect
severity: medium
description: Je ne sais pas encore
reference: https://www.it-connect.fr
tags: generic
Le protocole cibléet la requête
Comme indiqué, bien que Nuclei s'oriente principalement autour du web (HTTP), il peut aussi faire quelques actions sur d'autres protocoles comme SSH, DNS, ou directement sur des fichiers. C'est aussi là que sera décrite la requête à envoyer, avec sa méthode (dans le cas de l'HTTP), les données POST, le chemin ciblé, le tout en utilisant des variables comme "{{BaseURL}}", comme vu plus haut.
Voici un exemple du module "tomcat-exposed-docs.yaml"
http:
- method: GET
path:
- '{{BaseURL}}/docs/'
Les matchers
Les matchers sont les éléments principaux du template, ils permettent d'analyser la réponse obtenue et d'y rechercher des éléments indiquant le succès de l'opération. Il s'agit en fait de différentes conditions pouvant s'appliquer sur les en-têtes de réponse, le corps de la réponse, son statut, sa taille, etc. Il est alors possible d'indiquer si toutes les conditions doivent être remplies pour déterminer un succès, ou seulement certaines d'entre elles. Ce sont notamment ces conditions qui assurent un minimum de faux positif.
Voici un exemple du template "tomcat-exposed-docs.yaml" :
matchers-condition: and
matchers:
- type: word
words:
- 'Apache Tomcat'
condition: and
- type: status
status:
- 200
Dans l'exemple ci-dessus, les conditions sont à la fois la présence de "Apache Tomcat" dans le corps de la réponse, et l'obtention d'un code HTTP 200 en retour.
Les extractors
Les extractors sont optionnels et sont déclenchés uniquement en cas de succès du test. Ils permettent de récupérer des informations supplémentaires comme une version grâce à une expression régulière.
Voici un exemple du module "tomcat-exposed-docs.yaml" :
Maintenant que nous connaissons la structure globale d'un template. Nous pouvons construire notre premier templates. Nous ferons simple pour débuter.
Supposons que nous avons découvert que l'administrateur système qui a été embauché pour l'été afin d'effectuer une sauvegarde de nos nombreuses applications web n'a pas été très rigoureux et a laissé certaines de ces archives "backup-lesysadmin.zip" à la racine des applications web. Notre entreprise possédant 340 serveurs web en DMZ avec plusieurs dizaines d'applications chacun, toutes dans des répertoires différents, il serait aussi rapide d'utiliser Nuclei pour aller identifier la présence de ce fichier sur toutes nos applications web.
Pour répondre à ce besoin, il faut commencer par définir les métadonnées de notre template :
id: recherche-zip-sysadmin
info:
name: Recherche archive ZIP du Sysadmin
author: it-connect
severity: medium
description: Recherche de l'archive ZIP créée par notre Sysadmin cet été
reference: https://www.it-connect.fr
tags: generic
Nous allons ensuite définir la requête à envoyer et les conditions à réunir pour déterminer le succès de l'opération. Ici, un code "200" et un en-tête "Content-Type" à "application/zip" :
http:
- method: GET
path:
- '{{BaseURL}}/backup-lesysadmin.zip'
matchers:
- type: word
part: header
words:
- 'application/zip'
condition: and
- type: status
status:
- 200
Notre premier template est prêt ! Pour l'utiliser, il suffit de spécifier le chemin vers le fichier à l'aide de l'option "-t", comme vu précédemment. Voici le résultat :
Utilisation d'un template précis avec Nuclei.
Nous avons bien un match sur l'une de nos applications web. L'alerte est, comme prévu, remonté en sévérité "Medium".
En cas de problème, notamment si Nuclei fait mine de ne pas avoir de template à utiliser, je vous conseille d'utiliser l'option "-v", les éventuelles erreurs de votre template seront alors affichées :
Affichage verbeux pour obtenir les erreurs de syntaxe d'un template.
Si vous souhaitez développer d'autres templates pour effectuer des tâches différentes ou plus complexes, je vous conseille de partir d'un template existant qui fait à peu près la même opération. Qu'il s'agisse de l'envoi de données en POST, la récupération d'informations dans les en-têtes ou le corps de la requête, etc. Vous aurez ainsi une base concrète sur laquelle démarrer.
V. Quelques options pour maitriser la bête
Je vous propose différentes options pour maitriser un peu plus la puissance de Nuclei. Il s'agit des options dont je me sers le plus au quotidien et qui sont, selon moi, utiles à connaitre pour une utilisation plus régulière de l'outil :
Générer un fichier de sortie
Pour stocker, archiver, comparer ou même traiter les données produites par Nuclei, il peut être utile d'écrire ses résultats dans un fichier. Nuclei propose notamment le format de sortie JSON, un format standard pouvant être facilement réutilisé par d'autres outils ou langage de programmation :
# Sortie texte standard
nuclei -list mesCibles.txt -o nuclei_output.txt
# Sortie au format JSON
nuclei -list mesCibles.txt -j -o nuclei_output.json
Gérer le nombre de requêtes sur une période
Vous constaterez surement rapidement que Nuclei et un outil très rapide, il peut arriver que les services web ou équipements intermédiaires aient du mal à encaisser la charge ou bannisse votre adresse IP si elle émet trop de requêtes sur une courte période. Pour cela, Nuclei intègre une option permettant de gérer le nombre de requêtes par seconde :
# Limiter l'exécution à 50 requêtes/seconde (valeur par défaut : 150)
nuclei -list mesCibles.txt -rl 50
Sélectionner/exclure les template exécutés par criticité
La sortie produite par Nuclei peut vite être très verbeuse en fonction du type, de la maturité et du nombre de cibles. Ainsi, de nombreuses options permettent de mieux contrôler les tests qui seront effectués et notamment d'en inclure ou omettre en fonction de la criticité de chaque template, établie sur 6 niveaux : unknown, info, low, medium, high, critical :
# Exécuter uniquement les templates à criticité medium, high et critical
nuclei -list mesCibles.txt -s medium,high,critical
# Exclure des tests les templates high et critical
nuclei -list mesCibles.txt -es high,critical
Optimiser la vitesse de tests
Il est aussi possible d'utiliser certaines options pour que la durée des tests soient optimisée. Par exemple, en raccourcissant le temps ou le nombre de requêtes à partir desquels Nuclei considère une page ou hôte en injoignable/timeout, ou le nombre de tentatives supplémentaires qu'il va faire après un premier échec :
# Réduire le nombre de seconde avant de requête en timeout (par défaut : 10
nuclei -list mesCibles.txt -timeout 2
# Réduire à 3 au lieu de 30 le bombre d'échec avant de considérer un hôte définitivement injoignable
nuclei -list mesCibles.txt -mhe 3
# Réduire à 1 au lieu de 3 le nombre de tentative de communication après un échec
nuclei -list mesCibles.txt -retries 1
Ces différentes options peuvent bien sûr être combinées entre elles pour plus d'efficacité.
VI. Conclusion
Dans cet article, nous avons fait le tour des principales options et cas d'usage de Nuclei. Cela devrait vous permettre de l'utiliser dans de bonnes conditions, bien qu'il regorge de fonctionnalités dont nous n'avons pas parlé grâce à ses nombreuses options et templates. J'espère notamment qu'utiliser cet outil vous aidera à trouver et à corriger des faiblesses sur vos applications web pour améliorer votre sécurité !
N'hésitez pas à donner votre avis dans les commentaires ou sur notre Discord !
Les autorités françaises annoncent la levée de l'interdiction de TikTok en Nouvelle-Calédonie. L'application mobile avait fait l'objet d'une censure sur place depuis le 15 mai 2024, au motif qu'elle a servi à jeter de l'huile sur le feu.
Déployée aux États-Unis depuis le 14 mai 2024, la fonction « AI Overviews » résume les pages web grâce à l'intelligence artificielle Gemini. Elle est vivement critiquée par ses premiers utilisateurs, puisque certaines de ses réponses sont complètement fausses.
La page Wikipédia pour la branche française de Volt, un parti européen, a été supprimée. Pour le candidat, cette décision porte préjudice à sa liste, à quelques semaines de la tenue des élections. Mais pour un modérateur de l'encyclopédie, l'article ne respecte pas les règles.
Vous en avez marre de devoir mémoriser une tripotée de commandes compliquées pour effectuer vos tâches au quotidien sur votre propre serveur ? Et si je vous disais qu’il existe un outil ultra pratique pour simplifier tout ça, avec une interface web hyper intuitive ?
Laissez-moi vous présenter OliveTin, qui va révolutionner votre façon de travailler !
Cet outil permet d’accéder de manière sécurisée à un ensemble de commandes shell prédéfinies, le tout depuis une interface web. Et c’est d’une simplicité enfantine puisque le but c’est de vous faciliter la vie en rendant accessibles des tâches qui peuvent parfois être bien techniques.
Par exemple, si vous avez besoin de redémarrer régulièrement un conteneur Docker sur votre serveur, plutôt que de devoir sortir votre terminal, vous connecter en SSH et taper une commande à rallonge, vous pouvez le faire en quelques clics via une jolie interface web. Pratique non ?
Autre cas de figure… Imaginons que vous vouliez donner accès à des commandes à des gens moins à l’aise avec la technique. Et bien il vous suffit de créer un raccourci sur OliveTin et le tour est joué.
En plus de ça, OliveTin est hyper simple à mettre en place. La configuration se fait via un fichier YAML lisible et ça s’installe en deux temps trois mouvements grâce à l’image Docker. Et vu qu’il est prévu pour consommer très peu de ressources, vous pouvez même le déployer un peu partout sans forcement payer un gros serveur dédié.
Notez que si vous êtes du genre à cheval sur l’accessibilité, cet outil passe également haut la main tous les tests d’accessibilité de Firefox.
La chienne favorite d'Internet est morte, a annoncé sa propriétaire. Kabosu, la chienne Shiba Inu ayant inspiré la création du mème Doge, était très malade depuis 2022.
Facebook a bien l'intention d'entraîner son IA avec vos contenus sur le réseau social, et Instagram aussi. Cette nouvelle politique doit être lancée à partir du 26 juin 2024. Cependant, les internautes peuvent s'opposer à ce traitement de leurs données personnelles. Avec, toutefois, certaines limites.
Connexion
