Machines virtuelles vulnérables

Pour pratiquer des attaques légalement et en toute sécurité, vous avez besoin de cibles que vous êtes autorisé à compromettre. Les VM intentionnellement vulnérables sont conçues précisément pour cela.

Elles contiennent des faiblesses connues afin que vous puissiez apprendre l’analyse, l’exploitation et la post-exploitation dans un laboratoire contrôlé.

Metasploitable 2 est une VM Ubuntu intentionnellement vulnérable, fournie par Rapid7. Elle exécute de nombreux services obsolètes et exploitables, comme vsftpd, Samba et une ancienne version d’Apache.

C’est une cible classique pour apprendre à utiliser Metasploit et à exploiter les réseaux.

Metasploitable 2 utilise des identifiants faibles bien connus afin que vous puissiez vous connecter après une exploitation ou dans le cadre d’exercices de force brute.

• Nom d’utilisateur : msfadmin
• Mot de passe : msfadmin

N’exposez jamais cette VM à Internet : elle est extrêmement peu sécurisée par conception.

DVWA (Damn Vulnerable Web Application) est une application web PHP/MySQL conçue pour être non sécurisée. Elle est idéale pour apprendre les attaques web, comme l’injection SQL, XSS, l’injection de commandes et l’exploitation des téléversements de fichiers.

DVWA vous permet de définir un niveau de sécurité qui modifie la difficulté d’exploitation de chaque vulnérabilité :

• Faible - aucune protection, niveau le plus facile.
• Moyen - filtrage faible.
• Élevé - protection renforcée, mais toujours contournable.
• Impossible - affiche le code sécurisé à titre de référence.

Le moyen le plus rapide d’exécuter DVWA consiste à passer par Docker. Cela démarre l’application sur le port 80 de l’hôte du laboratoire ou d’une VM dédiée.

Au-delà de Metasploitable et de DVWA, il existe de nombreux environnements d’entraînement :

• OWASP Juice Shop - vulnérabilités d’une application web moderne.
• bWAPP - plus de 100 failles web.
• VulnHub - VM téléchargeables permettant de passer du démarrage à l’accès root.
• HackTheBox / TryHackMe - laboratoires en ligne.

Après avoir importé une VM cible, vérifiez que Kali peut l’atteindre sur le réseau isolé du laboratoire. Trouvez l’adresse IP de la cible et envoyez-lui une requête ping, ou recherchez-la par analyse.

Les exploits corrompent ou font souvent planter une cible. Créez un instantané propre de chaque VM vulnérable immédiatement après sa configuration.

Lorsqu’un service s’arrête ou que vous remplissez le disque avec des charges utiles, revenez à l’instantané et recommencez.

Ces VM n’ont absolument aucune sécurité. Si elles sont accessibles depuis Internet, de véritables attaquants les compromettront en quelques minutes et pourraient les utiliser pour se déplacer vers votre réseau.

• Conservez-les sur des réseaux réservés à l’hôte ou internes.
• Éteignez-les lorsque vous ne les utilisez pas.

Chaque cible permet d’acquérir des compétences différentes :

• Metasploitable - exploitation de services réseau avec Metasploit et Nmap.
• DVWA / Juice Shop - attaques d’applications web avec Burp Suite et injection manuelle.

Un laboratoire complet exécute généralement au moins une cible de chaque type.

Choisissez la bonne cible pour la tâche.

Vous disposez maintenant de cibles d’entraînement légales :

• Metasploitable 2 - services réseau vulnérables (connexion msfadmin/msfadmin).
• DVWA - application web vulnérable avec des niveaux de sécurité allant de Faible à Impossible.
• Créez un instantané avant l’attaque et n’exposez jamais ces VM à Internet.

Ensuite : créer le réseau isolé qui les relie.