Si vous bossez dans la sécu ou que vous êtes juste curieux de comprendre comment fonctionnent les vulnérabilités, je vais vous parler d’un outil qui va vous changer la vie : Sploitus. C’est comme Google mais pour trouver des exploits sécu et avec un crâne-pieuvre en logo.

Créé par Anton “Bo0om” Lopanitsyn, un chercheur en sécurité web basé à Moscou, Sploitus est devenu LA référence pour trouver rapidement des exploits, des proof-of-concepts et des outils de hacking. Le site indexe en temps réel tout ce qui sort dans le domaine de la sécurité offensive et ça, c’est vraiment pratique quand vous devez vérifier si un système est vulnérable.

Sur sploitus.com, vous avez une barre de recherche toute simple dans laquelle vous pouvez chercher par nom de logiciel, par CVE (Common Vulnerabilities and Exposures), par type d’exploit ou même par auteur. Et le moteur va alors fouiller dans sa base de données massive et vous sortir tous les exploits pertinents.

Ce qui est cool avec Sploitus, c’est qu’il agrège plusieurs sources. On y trouve des exploits venant d’Exploit-DB, de GitHub, de Packet Storm, et plein d’autres plateformes. Comme ça au lieu de perdre du temps à chercher sur 15 sites différents, vous avez tout centralisé au même endroit et cerise sur le gâteau, les résultats sont triables par date ou par score de pertinence.

Pour chaque exploit, vous avez donc accès à pas mal d’infos utiles : la description détaillée, le code source (quand il est dispo), les plateformes affectées, et surtout un lien vers la source originale. C’est super important ça, parce que vous pouvez vérifier l’authenticité de l’exploit et voir s’il y a des mises à jour ou des commentaires de la communauté.

Le site propose aussi des flux RSS et Atom si vous voulez suivre en temps réel les nouveaux exploits qui sortent. C’est donc super pratique si comme moi, vous faites de la veille techno ou pour surveiller les vulnérabilités qui touchent vos systèmes. Y’a même un mode sombre pour ceux qui préfèrent coder la nuit (ou qui veulent juste faire plus hacker ^^).

Ah et petit détail sympa, des développeurs ont créé des scripts Python pour interroger Sploitus en ligne de commande. Le projet sploitus-search sur GitHub permet par exemple d’intégrer les recherches Sploitus directement dans vos outils de pentest. C’est super pratique par exemple pendant les CTF ou les audits de sécurité.

Maintenant, parlons un peu de l’aspect légal et éthique, parce que c’est aussi très important. Sploitus a eu par le passé quelques soucis avec des plaintes DMCA, notamment concernant un exploit WordPress, mais globalement, le site reste dans la légalité en tant que moteur de recherche qui indexe du contenu public.

CEPENDANT, les exploits référencés sur Sploitus sont des outils puissants qui peuvent causer des dégâts considérables s’ils sont mal utilisés. L’utilisation de ces exploits sur des systèmes dont vous n’êtes pas propriétaire ou sans autorisation explicite est illégale et peut vous valoir de sérieux problèmes judiciaires. Et ne comptez pas sur moi pour vous apporter des oranges en prison !

Ces outils sont donc destinés aux professionnels de la sécurité pour :

• Tester la sécurité de leurs propres systèmes
• Effectuer des audits autorisés
• Comprendre les vulnérabilités pour mieux s’en protéger
• Faire de la recherche en sécurité informatique

Voilà, donc si vous débutez dans le domaine, je vous conseille fortement de vous former d’abord aux bases de la sécurité informatique et de toujours travailler dans un environnement de test isolé.

D’ailleurs, Sploitus n’est pas le seul dans son genre. Vous avez aussi Exploit-DB qui propose SearchSploit en ligne de commande pour les recherches hors ligne, ou encore la base de données CVE officielle du MITRE. Mais l’avantage de Sploitus, c’est vraiment cette agrégation de sources multiples et cette interface web simple et efficace.

Voilà… Et n’oubliez jamais que le but de ce genre d’outils, c’est de sécuriser les systèmes, pas de les compromettre.

Voici un truc vraiment cool qui va plaire aux fans d’auto-hébergement. Vous le savez, moi j’adore les petits outils pratiques, mais j’en ai marre de devoir uploader mes fichiers sur des services tiers qui vont ensuite les analyser, les stocker et probablement entraîner une IA dessus. Et bien figurez-vous que j’ai trouvé LA solution : Omni Tools.

En gros, c’est une collection d’outils web que vous hébergez vous-même et qui fait tout le traitement directement dans votre navigateur. Mais genre vraiment tout sans que vos fichiers ne quittent jamais votre machine. En plus, c’est léger puisque l’image Docker ne pèse que 28 MB !

Malgré la mise en place un peu partout de l’authentification multifacteur, nous avons besoin de mots de passe efficaces et pratiques pour nos téléphones, courriels, connexion à l’ordi, banque, etc.

Une grande majorité d’entre nous utilise le même mot de passe pour tous les sites web visités, parce qu’avouons-le, c’est beaucoup plus facile d’avoir à se rappeler d’un seul mot de passe, mais avouons-le, cela peut-être très pénalisant.
Le problème, c’est que nous sommes de plus en plus connectés, et donc devenons de plus en plus vulnérables au vol d’identité, aux fraudes, etc..
Raison de plus pour choisir des mots de passe efficaces et en même temps faciles à retenir, mais comment procéder ?

En utilisant une bonne méthode de construction de mot de passe.

One rule to rule them all

Cette règle devra vous permettre d’avoir un mot de passe qui :

1. Soit spécifique au site web auquel il “s’adresse” : 2 sites web ne devraient pas avoir le même mot de passe ;
2. Soit “lié” à vous : 2 personnes suivant la même méthode de construction de mot de passe ne devraient pas arriver au même résultat.

On va donc partir sur 2 choses :

1. le nom du site web pour lequel vous voulez avoir un mot de passe
2. un mot ou une expression qui vous est propre

Libre à vous de trouver une règle à appliquer à votre partie fixe, une règle pour le site web et une manière de combiner les 2.
Par exemple, si Eurédicte Ictor veut s’inscrire sur Le blog du Wis et recherche un mot de passe, il pourrait procéder comme suit :

1. Prendre ces initiales (“E” et “I“)
2. Prendre les 2 premières et les 2 dernières lettres du site (“Le” et “is“) et les retourner (“eL” et “si“)
3. Combiner le tout : EeLIsi

La même règle donne EaYIoo pour Yahoo par exemple, ou EmAIno pour Amazon.

Pourquoi faire simple quand on peut faire compliquer

Ces mots de passe sont déjà suffisamment différents d’un site à l’autre, mais on peut grandement améliorer la complexité de ceux-ci en rajoutant 2 ou 3 choses :

1. Choisir aussi des chiffres dans la partie “personnelle” ;
2. Placer un ou plusieurs caractères non alphabétiques dans le mot de passe ;

On arrive par exemple à EeL#81Isi juste parce que Eurédicte est né en 1981.
Une dernière chose qui peut encore plus complexifier le mot de passe est l’utilisation du leet speak, c’est-à-dire le remplacement de lettre par des combinaisons de chiffres et de ponctuation.

Par exemple, remplacer “I” par “1” ou “E” par “3” ou “D” par “|)“.

Au final, avec la règle de construction suivante :

1. Prendre les initiales de mon prénom et de mon nom (E, I)
2. “leeter” le “E” (3)
3. Prendre les 2 premières et les 2 dernières lettres du site web (Le, is)
4. Les inverser (eL, si)
5. Placer les parties dans cet ordre : Initiale1, Site1, #81, Initiale2, Site2

les mots de passe d’Eurédicte seront :

• Pour Le blog du Wis : 3eL#81Isi
• pour Yahoo: 3aY#81Ioo
• pour Amazon : 3mA#81Ino

Et si Shunn Pol utilise la même méthode qu’Eurédicte, ses mots de passe seront :

• pour Le blog du Wis : 5eL_1985Psi
• pour Yahoo : 5aY_1985Poo
• pour Amazon : 5mA_1985Pno

On remarque que les mots de passe sont différents d’un site à l’autre et d’une personne à l’autre.

On n’est, bien sûr, pas obliger d’aller aussi loin, surtout s’il y a une autre couche de sécurité. Il faut juste choisir une bonne règle de génération en fonction d’une partie fixe et d’une autre changeante afin que vos mots de passe soient le plus efficaces possible.

À voir également : Microsoft 365 : Activer l’authentification Multifacteur (MFA)

L’article Sécurité : Créer facilement des mots de passe efficaces est apparu en premier sur Le Blog du Wis.

Comment ajouter un domaine sur Cloudflare ?
Cloudflare est une entreprise leader en solutions de sécurité et de performances web contribuant à une meilleure qualité de l’internet global.
Composé de plus d’une centaine de data centers gérant plus de 10 000 milliards de requêtes par mois, Cloudflare exploite l’un des plus vastes réseaux au monde.

Car oui, cloudflare ne sert pas juste a géré la zone DNS de votre domaine, la plateforme propose plusieurs services gratuits ou payants tels que la protection DDoS, le Pare-feu pour les applications Web, le serveur de proxy inversé, etc.

Mais alors, comment ajoute-t-on son domaine ?

Attention : À la fin de cette procédure, votre zone DNS ne sera plus gérée par votre service de domaine, mais pas Cloudflare.

Ajouter un domaine

1. Connectez-vous à Cloudflare ou créer un compte si ce n’est pas déjà fait : https://dash.cloudflare.com/login
   

   

2. Ajouter votre domaine en cliquant sur “Ajouter un site” depuis le menu “Sites web” :
   

   

3. Taper ensuite, le nom de votre domaine (exemple : leblogduwis.com).
   

   Note : Si Cloudflare est incapable d’identifier votre domaine comme un domaine enregistré, assurez-vous d’utiliser un domaine de premier niveau ( .com, .fr, .ca, .net ou autres ).

4. Choisissez l’offre gratuite (tout en bas) cependant, si vous souhaitez plus de fonctionnalités, commencez par la version pro ($20 US/mois) qui offre une sécurité renforcée, de l’optimisation sans perte d’images, etc.
5. Cloudflare va alors rechercher vos entrées DNS déjà enregistré chez votre hébergeur de domaine actuel
6. Vous aurez alors le nom des serveurs à mettre à jour chez votre hébergeur de domaine actuel:

   

Mettre à jour votre serveur de noms

1. Connectez-vous à votre hébergeur de domaine (exemple : OVH, Godaddy, Hostpapa, etc.)
2. Changez alors les “Serveurs de noms” par ceux donner par Cloudflare ( exemple : brad.ns.cloudflare.com, gina.ns.cloudflare.com ).
   

   Note : Les changements peuvent prendre plus de temps selon l’hébergement que vous utilisez cependant, le fait de déjà avoir vos entrées DNS chez Cloudflare empêchera une coupure inopinée de votre site web.

3. Dès que l’opération sera terminée, vous recevrez un courriel de Cloudflare vous indiquant que votre domaine est actif !

Bravo : Vous avez réussi ! Vous savez maintenant comment activé un domaine avec Cloudflare

L’article Cloudflare : Ajouter un domaine est apparu en premier sur Le Blog du Wis.

Powertoys est un ensemble d’utilitaires proposés par Microsoft permettant l’ajout de nouvelles fonctionnalités à son système d’exploitation.

PowerToys existait depuis Windows 95 et le concept a été suivi jusqu’à Windows XP mais ce n’est qu’en 2019 que Microsoft annonça la remise à disposition de ces outils sous Windows 10. Microsoft a alors publié le code source sur GitHub, ce qui a permis à la communauté de procéder à des améliorations.

Nous sommes aujourd’hui à la version 0.53 de cet ensemble d’utilitaires et grâce à cette communauté open source, les utilisateurs expérimentés ont désormais une version de PowerToys adapté à Windows 11.

Je vais alors profiter pour vous présenter ces nouvelles fonctionnalités telles que “Always On Top” ou la recherche Web avec le lanceur.

Note : Le lien de téléchargement est en fin d’article.

Bienvenue dans PowerToys !

Always On Top

Je dirais qu’avec le nom, on s’est a peu près de quoi il s’agit !
C’est un ajout à la fonctionnalité multitâche de Windows 11. Elle permet que n’importe quel application soient toujours visibles au premier plan.
Pour utiliser cette fonctionnalité, il vous suffit d’appuyer sur les touches de votre clavier : WIN + CTRL + T.

Le Mode Awake

Ce mode vous permet de garder votre PC actif à la demande sans avoir à gérer vos paramètres d’alimentation.
Pour l’activer, vous devez ouvrir les Paramètres PowerToys et l’activer.

Color Picker

L’une des meilleurs outils selon moi, car il permet de rapidement sélectionner des couleurs à l’échelle de votre système d’exploitation.
Pour l’activer, appuyer sur les touches de votre clavier WIN + SHIFT + C. Voilà comment je met rapidement des couleurs à mes articles .

FancyZones

Il s’agit d’un gestionnaire d’ancrage de fenêtre un peu plus complexe que celui présenter avec Windows 11. Elle vous permet d’agencer des fenêtres sur plusieurs écrans sans compter la possibilité de modifier les dispositions selon vos choix.
Pour ouvrir l’éditeur FanzyZones, appuyer sur les touches de votre clavier : WIN + SHIFT + È.

Extensions de l’Explorateur des fichiers

Cette fonctionnalité va vous permettre de gérer vos gestionnaires d’aperçu personnalisé dans l’explorateur de fichiers Windows.
Vous pouvez, par exemple, ajouter l’aperçu des fichiers PDF ou G-code.

Pour l’activer, il faudra Ouvrir les paramètres.

Image Resizer

Image Resizer vous permet avec un simple clic droit sur une image de l’a redimensionner sans avoir a ouvrir un logiciel de traitement d’image quelconque.
A l’installation de PowerToys, cette fonctionnalité est prête à l’emploi.

Et bien d’autres fonctionnalités

Je vous invite à découvrir les autres fonctionnalités comme l’utilitaire de souris, le PowerRename ou le PowerToys Run avec la nouvelle gestion du Web.

Attention : Cet ensemble d’utilitaires est réservé aux personnes expérimentées donc qui sont assez avancées sur l’utilisation de leur système d’exploitation

Liens utiles

GitHub du projet

Télécharger PowerToys

À voir également : Windows 11 : Activer le mode sombre

L’article PowerToys : Des utilitaires pour les plus expérimentés est apparu en premier sur Le Blog du Wis.