10. Le Metasploit Framework

Ce serait une sorte d’appel au crime (comme offrir une mallette nucléaire sur eBay). Mais j’admets volontiers que la possession d’un outil tel que le Metasploit Framework est fort utile aux évaluateurs de sécurité réseau émulant les menaces (dès lors que la boîte de Pandore est ouverte, les gentils devraient avoir le même arsenal que les méchants).

Le Metasploit Framework a été introduit voilà deux ans comme un projet de recherche, par les chercheurs en sécurité bien connus H.D. Moore et spoonm. Les objectifs du projet étaient à moitié avouables : pousser plus loin la recherche sur la sécurité et fournir une ressource pour les développeurs de forfaits. J’utilise le Metasploit Framework (avec prudence et après un test préalable dans un environnement de laboratoire) comme outil d’exploitation pour des évaluations de sécurité.

Metasploit Framework est un moteur de type script Perl qui permet de choisir parmi une myriade d’exploits pour une grande variété de plates-formes et d’applications (plus de 75 exploits et 75 charges utiles et en croissance au moment où nous écrivons ces lignes). Metasploit Framework donne une sélection d’exploits pour des vulnérabilités connues ; mais il permet aussi de sélectionner les charges utiles spécifiques que vous aimeriez envoyer avec les exploits. Ainsi, si vous voulez « exploiter » un système qui présente la vulnérabilité SQL Slammer, comme mentionné dans la section SQLRECON ci-dessus, vous pouvez choisir comment vous voulez manipuler le système vulnérable : en créant une connexion shell Win32 Bind, en renvoyant un shell Win32 Reverse, en exécutant simplement une commande à distance, en injectant un DLL serveur VNC (Virtual Network Computing) voyou dans un processus actif « exploité », ou par tout autre moyen. Puisque le Metasploit Framework est aussi extensible via des modules Perl, vous pouvez écrire vos propres exploits, les introduire dans le framework et utiliser une charge de travail applicable existante. La figure 2 montre l’interface Metasploit Framework Web, facile d’emploi, énumérant les exploits disponibles.

Je vous conseille d’aborder le Metasploit Framework avec circonspection et de ne l’utiliser que pour démontrer des vulnérabilités spécifiques pendant votre évaluation de la sécurité réseau. Vous pouvez télécharger le Metasploit Framework à http://metasploit.com. Nessus (http://www.nessus.org) est une autre plate-forme d’exploits et de scanner de vulnérabilité bien connue, qui existe depuis plusieurs années et mérite un coup d’oeil.

J’ai tenté de faire une chose pratiquement impossible : fournir une liste des outils gratuits les plus répandus utiles pour l’évaluation de la sécurité réseau. Il est difficile au mieux de ne choisir que 10 outils : ils sont légion.

Si ce que j’ai recommandé ne marche pas dans votre cas particulier, vous pouvez essayer d’autres outils gratuits comparables. Vous pouvez aussi vous intéresser aux outils commerciaux, souvent plus développés et mieux épaulés que les outils gratuits. J’espère que vous possédez maintenant de nouvelles connaissances sur des outils fort utiles. Même si vous n’avez découvert qu’un nouvel outil intéressant, cet article méritait probablement d’être lu !