Chapitre 6 — Compromission de Systèmes
⏱ ~25 min autonome · ~40 min encadré
Ce chapitre couvre la phase la plus attendue d'une intrusion — l'obtention d'accès — puis ce qui suit une fois l'accès obtenu : garder cet accès, l'étendre, et disparaître proprement.
- Distinguer escalade de privilèges verticale et horizontale.
- Expliquer pourquoi le maintien de l'accès et l'effacement des traces sont traités différemment en théorie qu'en pratique réelle de test d'intrusion.
- Situer chaque sous-phase de la compromission dans la méthodologie globale du cours.
L'obtention d'accès concrétise tout le travail des chapitres précédents : une vulnérabilité identifiée (Chapitre 5) est effectivement exploitée pour obtenir un premier point d'entrée. Cela peut être aussi simple qu'un mot de passe faible sur un service exposé, ou aussi complexe qu'une chaîne d'exploitation combinant plusieurs faiblesses mineures pour produire un impact majeur.
Cassage et devinette de mots de passe (concepts)
Sans entrer dans un mode d'emploi pratique, deux approches conceptuelles distinctes :
- Attaque par dictionnaire : teste une liste de mots de passe probables (mots courants, fuites de données passées) plutôt que toutes les combinaisons possibles.
- Attaque par force brute : teste systématiquement toutes les combinaisons possibles — fiable en théorie, mais souvent impraticable contre un mot de passe suffisamment long et complexe.
| Type | Principe | Exemple |
|---|---|---|
| Verticale | Passer d'un niveau de privilège à un niveau supérieur | D'un compte utilisateur standard vers un accès administrateur/root |
| Horizontale | Accéder aux ressources d'un autre compte de même niveau de privilège | Accéder aux fichiers d'un collègue ayant les mêmes droits, sans élévation de niveau |
Une fois l'accès obtenu, un attaquant malveillant cherche généralement à s'assurer un retour futur — via des portes dérobées, des tâches planifiées, ou de nouveaux comptes créés discrètement. Cette persistance permet aussi de transformer la machine compromise en plateforme pour d'autres actions : observer le trafic réseau local, ou servir de point de pivot vers d'autres systèmes du réseau.
La dernière sous-phase consiste, en théorie, à dissimuler ou altérer les journaux d'activité pour retarder la détection.
Dans un mandat de test d'intrusion réel, cette phase n'est presque jamais exécutée à la lettre : effacer ou altérer de vrais journaux causerait un tort réel au client et pourrait masquer une attaque malveillante concurrente en cours — un risque inacceptable au regard de la clause de « ne pas causer de tort » vue au Chapitre 1. En pratique, le testeur documente qu'il aurait pu le faire, sans jamais le faire réellement, sauf instruction contraire explicite du client dans les règles d'engagement.
Pour une classification plus systématique des techniques utilisées à chacune de ces sous-phases, voir l'annexe MITRE ATT&CK, qui documente notamment les tactiques Persistance, Élévation de privilèges et Évasion de défense.