Ce weekend, j’ai découvert un truc complètement barré qui risque de vous faire repenser tout ce que vous savez sur le e-commerce. Ça s’appelle AnyCrap , et c’est littéralement une boutique en ligne qui vend… rien. Enfin si, elle vend des concepts de produits qui n’existent pas. Et c’est plus que brillant, vous allez voir !

L’idée est simple comme bonjour mais fallait y penser : Vous tapez n’importe quel nom de produit débile qui vous passe par la tête, genre des chaussettes téléportantes ou du café qui rend invisible, et le site vous génère instantanément une fiche produit complète avec description, caractéristiques et même des avis clients. Le tout propulsé par l’IA, évidemment.

Screenshot

Sur la page d’accueil, on vous promet de “trouver vos produits à travers les dimensions parallèles”. Marketing génial ou folie douce ? Les deux mon capitaine. Le slogan “Tomorrow’s products, available today (not actually available)” résume d’ailleurs parfaitement l’esprit de ce site… on est dans l’absurde assumé et ça fait du bien.

Ce qui me fascine, c’est que pendant que le marché de l’IA dans l’e-commerce atteint 6,63 milliards de dollars avec des assistants shopping ultra-sérieux, AnyCrap prend complètement le contre-pied. Au lieu d’optimiser les conversions et de tracker chaque pixel, ils ont créé un anti-marketplace où l’objectif n’est pas de vendre mais de faire rêver.

Cette anti-marketplace propose même des catégories comme “Weird Tech Stuff” et “Snacks From Outer Space” où chaque produit généré est unique, avec sa propre mythologie et ses caractéristiques loufoques. Techniquement, on est probablement sur un mix de ChatGPT pour les descriptions et peut-être DALL-E ou Midjourney pour les visuels et ce concept rejoint un peu d’ailleurs ce que propose Writecream avec son générateur de reviews fictives , sauf qu’ici c’est tout l’écosystème commercial qui est fictif.

La promesse de “livraison instantanée” de concepts m’a fait aussi marrer. En gros, vous commandez une idée et vous la recevez immédiatement dans votre cerveau. Zéro émission carbone, zéro déchet, 100% satisfaction garantie puisque vous n’avez rien acheté de tangible.

Dans un monde où on nous vend des NFT de singes à des millions et où le metaverse était censé révolutionner le shopping, AnyCrap a au moins le mérite d’être honnête sur sa proposition : on ne vous vend rien, mais on le fait avec classe.

Le site propose même une newsletter pour recevoir des produits fictifs chaque semaine. Maintenant, si on creuse un peu, AnyCrap pose surtout des questions intéressantes sur la nature même du commerce. Qu’est-ce qu’on achète vraiment quand on fait du shopping en ligne ? L’objet ou l’idée de l’objet ? Le produit ou la dopamine liée à l’acte d’achat ? En vendant littéralement du vent, AnyCrap révèle peut-être quelque chose de plus profond sur notre société de consommation…

Et pour les créatifs, c’est une mine d’or. Scénaristes en panne d’inspiration pour un objet magique ? Game designers cherchant des idées d’items ? Publicitaires voulant brainstormer sur des concepts produits ? AnyCrap devient un générateur d’idées déguisé en boutique.

Le plus beau dans tout ça c’est que le site accepte même les paiements (enfin, il y a un bouton pour soutenir le créateur). Donc techniquement, vous pouvez payer pour ne rien acheter…

Bref, c’est super fun ! Allez faire un tour sur AnyCrap.shop , inventez le produit le plus débile possible, et savourez l’absurdité. C’est gratuit, et ça va bien vous occuper en ce chouette lundi matin !

Vous savez quel est le problème avec les serveurs web mal configurés ? C’est qu’ils sont comme ces vieux greniers où on entasse tout et n’importe quoi en pensant que personne n’ira jamais fouiller. Sauf que sur Internet, il y a toujours quelqu’un pour venir mettre son nez dans vos affaires.

J’ai récemment découvert dans DirSearch et cet outil reste une valeur sûre. Pendant que tout le monde s’excite sur les dernières IA et les zero-days à 100k$, ce petit scanner Python continue tranquillement de faire le job depuis des années.

Le principe est simple comme bonjour. Vous lui donnez une URL et une wordlist, et il va tester méthodiquement tous les chemins possibles pour voir ce qui traîne. Des fichiers de backup oubliés, des répertoires d’admin planqués, des configs exposées… Le genre de trucs qui peuvent transformer une simple reconnaissance en jackpot pour un pentester.

Ce qui rend DirSearch efficace, c’est son approche multi-threadée. Là où un script basique va tester les chemins un par un comme un escargot sous Valium, lui peut balancer des centaines de requêtes simultanées. Le multithreading permet de tester des milliers d’entrées rapidement.

Mais attention, ce n’est pas qu’une histoire de vitesse brute. L’outil est assez malin pour gérer les redirections, les codes d’erreur personnalisés, et même les WAF qui essaient de vous bloquer. Il peut adapter ses requêtes, changer de User-Agent, utiliser des proxies… Bref, il sait se faire discret quand il faut.

Pour l’installer, rien de plus simple. Un petit pip install dirsearch et c’est parti. Ou alors vous clonez le repo GitHub si vous préférez avoir la version de développement. Dans les deux cas, c’est opérationnel en 30 secondes chrono.

L’utilisation basique ressemble à ça :

dirsearch -u https://target.com

L’outil va automatiquement utiliser sa wordlist par défaut et commencer à scanner. Mais évidemment, c’est en personnalisant les options qu’on obtient les meilleurs résultats.

Vous pouvez spécifier les extensions à tester avec -e php,asp,txt. Pratique quand vous savez que le serveur tourne sous une techno particulière. Le flag -r active la récursion pour explorer les sous-répertoires trouvés. Et avec --exclude-status 404,403, vous filtrez le bruit pour ne garder que les résultats intéressants.

Un truc que j’aime bien, c’est la possibilité de sauvegarder les résultats dans différents formats. L’outil supporte plusieurs formats de sortie : JSON pour parser facilement, texte simple pour un rapport rapide, ou XML pour l’intégration dans d’autres outils.

Comparé à ses concurrents comme Gobuster (codé en Go) ou Dirb, DirSearch s’en sort bien avec sa gestion efficace des cas particuliers.

L’outil gère aussi les authentifications HTTP basiques, les cookies de session, les headers personnalisés… Tout ce qu’il faut pour scanner des applications web modernes qui demandent une authentification. Vous pouvez même lui passer un certificat client si le serveur l’exige.

Le projet est hébergé sur GitHub où vous pouvez contribuer ou signaler des bugs.

Bon par contre, comme tout outil de scanning, utilisez-le uniquement sur des systèmes que vous êtes autorisé à tester. Scanner le site de votre banque “pour voir”, c’est le meilleur moyen de vous attirer des ennuis. Et croyez-moi, expliquer à un juge que c’était “juste pour apprendre”, ça passe moyen.

Pour les pros du pentest, DirSearch s’intègre bien dans une méthodologie complète. Vous commencez par un scan de ports avec Nmap, vous identifiez les services web, et hop, DirSearch entre en jeu pour explorer l’arborescence. Combiné avec Burp Suite pour l’analyse approfondie des résultats intéressants, c’est redoutable.

Pas d’IA, pas de machine learning, pas de blockchain. C’est un outil classique de brute-force intelligent qui complète bien une méthodologie de test complète… et franchement, quand on voit le nombre de serveurs qui traînent encore des phpMyAdmin non protégés ou des .git exposés, on se dit que les basiques ont encore de beaux jours devant eux.

Source