Cybersécurité

• 01

  Méthodologie & reconnaissanceScan de ports (Nmap), énumération de sous-domaines, prise d'empreintes.

  4 leçons
  · Scanner des ports avec Nmap· Détection avancée avec les scripts Nmap (NSE)· Énumérer les sous-domaines d'une cible· Prise d'empreintes : identifier technologies et versions
• 02

  Vulnérabilités webLFI/RFI, path traversal, RCE, étude de CVE réelles.

  6 leçons
  · Path traversal : lis des fichiers que tu ne devrais pas voir· LFI : transformer une lecture de fichier en exécution de code· RFI : faire inclure ton propre code par le serveur· RCE : exécuter des commandes sur le serveur· Étude de CVE : Log4Shell (CVE-2021-44228)· Étude de CVE : Shellshock (CVE-2014-6271)
• 03

  Exploitation pas à pasDe la faille au shell : write-ups commentés (style Hack The Box).

  5 leçons
  · Reconnaissance active : cartographier la cible avant d'attaquer· Exploiter un service vulnérable avec Metasploit· Du webshell au reverse shell : prendre le contrôle d'un serveur web· Escalade de privilèges Linux : de www-data à root· Write-up complet : résoudre une machine Hack The Box de A à Z
• 04

  Post-exploitationEscalade de privilèges, récupération de credentials, persistance.

  4 leçons
  · Escalade de privilèges sous Linux· Escalade de privilèges sous Windows· Récupération de credentials· Maintenir l'accès : persistance et backdoors
• 05

  DéfenseDurcissement, détection, bonnes pratiques pour ne pas être la cible.

  4 leçons
  · Durcir un serveur Linux· Configurer un pare-feu avec iptables et UFW· Détecter une intrusion : logs et IDS· OpSec et bonnes pratiques : ne pas être la cible
• 06

  Cadre légal & éthiquePentest autorisé, responsible disclosure, ce qui est interdit.

  2 leçons
  · Pentest autorisé vs interdit : où est la ligne ?· Responsible disclosure : signaler une faille sans enfreindre la loi

Comment ça se passe

Chaque leçon est écrite, claire, droit au but. Tu lis, tu fais l'exercice, puis tu vois la correction sur la page suivante. Tu avances à ton rythme, sans rester bloqué — pas de vidéo de trois heures.