Tutoriel de piratage Linux : Ubuntu Commandes et outils

Linux est le système d'exploitation serveur le plus répandu, notamment pour les serveurs web. Étant open source, son code source est accessible à tous. Cette transparence présente un double avantage : les mainteneurs l'utilisent pour identifier et corriger rapidement les failles, tandis que les attaquants étudient ce même code à la recherche de vulnérabilités à exploiter. Le piratage Linux consiste à exploiter ces vulnérabilités pour obtenir un accès non autorisé à un système.

Les sections ci-dessous expliquent ce qu'est Linux, les failles de sécurité qui l'affectent et proposent une approche pratique du piratage. Ubuntuet les contre-mesures que vous pouvez mettre en place.

Note rapide sur Linux

Linux est un système d'exploitation libre. De nombreuses distributions sont basées sur ce système, notamment : Red Hat Enterprise Linux, Fedora, Debian et UbuntuComme le code source est publié, chercheurs, fournisseurs et attaquants peuvent tous l'examiner. Ces derniers exploitent cet accès pour rechercher des failles, tandis que cette même visibilité permet aux équipes de maintenance de déployer des correctifs plus rapidement que sur les plateformes fermées. Linux peut être utilisé comme système d'exploitation pour serveurs, ordinateurs de bureau, tablettes ou appareils mobiles.

Les programmes Linux peuvent être utilisés via une interface graphique ou en ligne de commande. Travailler en ligne de commande est plus rapide et plus précis que de naviguer dans une interface graphique, ce qui explique pourquoi les testeurs de sécurité travaillant sur des distributions telles que Linux privilégient cette méthode. Kali Linux Ils passent la quasi-totalité de leur temps dans un terminal. La connaissance des commandes de base est donc une condition pratique indispensable.

Référez-vous à ceci Tutoriel Linux pour les fondamentaux, et pour le Kali Linux tutoriel pour la distribution axée sur la sécurité construite par-dessus.

Vulnérabilités de sécurité et vecteurs d'attaque courants sous Linux

Les attaques contre Linux reposent rarement sur des exploits exotiques. Les données télémétriques publiées entre 2025 et 2026 montrent que la plupart des compromissions tracOn en revient à un petit nombre de faiblesses récurrentes, et les connaître permet de savoir où concentrer en priorité ses efforts défensifs.

• Identifiants SSH faibles ou réutilisés — Les tentatives d'attaque par force brute et par bourrage d'identifiants contre les protocoles SSH exposés à Internet représentent la grande majorité des activités hostiles observées sur les terminaux Linux.
• Failles non corrigées du noyau et des paquets — L'équipe du noyau Linux est devenue une autorité de numérotation des CVE en 2024, et le nombre de CVE signalés dans le noyau est passé d'environ 290 en 2023 à plus de 3 500 l'année suivante, ce qui a entraîné une accumulation rapide des retards dans le traitement des correctifs.
• Mauvaise configuration — Les comptes par défaut, les démons inutiles, les fichiers accessibles en écriture à tous et les règles sudo permissives octroient des privilèges qu'aucune exploitation n'était nécessaire pour obtenir.
• Applications Web vulnérables — des défauts tels que Injection SQL Les attaques XSS (Cross-Site Scripting) permettent à un attaquant d'accéder au serveur via l'application plutôt que via le système d'exploitation. Les web shells constituent l'artefact malveillant le plus fréquemment rencontré sur les serveurs Linux compromis.
• Bugs d'élévation de privilèges — des failles locales qui transforment un compte limité en compte root. Certaines sont restées indétectées dans le noyau pendant plus d'une décennie avant d'être révélées.
• Risque lié à la chaîne d'approvisionnement et à la dépendance — Les packages tiers, les bibliothèques de langage et les images de conteneurs intègrent du code que personne de l'équipe d'exploitation n'a examiné.

Aucune de ces méthodes ne nécessite que l'attaquant parvienne à compromettre Linux lui-même. L'analyse de 2025 intrusions a révélé que près de quatre sur cinq n'impliquaient aucun logiciel malveillant, mais reposaient plutôt sur une mauvaise configuration et des identifiants volés.

Outils de piratage Linux

Les testeurs de sécurité et les administrateurs système utilisent les mêmes outils d'analyse : les uns pour détecter les failles avant qu'un attaquant ne les exploite, les autres pour vérifier l'efficacité des correctifs. Les outils présentés ci-dessous sont les plus fréquemment utilisés pour auditer un système Linux.

Cette liste n'est pas exhaustive ; elle donne une idée des outils disponibles pour l'audit. Ubuntu et d'autres systèmes Linux. Les guides plus anciens recommandent encore SARA, l'assistant de recherche de l'auditeur de sécurité, mais sa dernière version date de 2009 et son site web est hors ligne. Lynis et OpenVAS sont les alternatives maintenues.

Activité de piratage : pirater un Ubuntu Système Linux utilisant PHP

Dans ce scénario pratique, nous verrons comment accéder à un serveur Linux via une application web, en utilisant PHP comme exemple. Aucun système réel n'est ciblé. Si vous souhaitez tester, installez LAMPP, la version Linux de XAMPP, sur votre machine.

PHP Ce module comprend deux fonctions permettant d'exécuter des commandes système : `exec()` et `shell_exec()`. La fonction `exec()` renvoie la dernière ligne du résultat de la commande, tandis que `shell_exec()` renvoie le résultat complet de la commande sous forme de chaîne de caractères.

À titre d'exemple, supposons qu'un attaquant parvienne à télécharger le fichier suivant sur un serveur web.

<?php

$cmd = isset($_GET['cmd']) ? $_GET['cmd'] : 'ls -l';

echo "executing shell command:-> $cmd</br>";

$output = shell_exec($cmd);

echo "<pre>$output</pre>";

?>

ICI,

Le script ci-dessus récupère la commande depuis la variable GET nommée cmd. Cette commande est exécutée à l'aide de la fonction shell_exec() et le résultat est affiché dans le navigateur.

Le code ci-dessus peut être exploité en utilisant la méthode suivante URL

http://localhost/cp/konsole.php?cmd=ls%20-l

ICI,

• « …konsole.php?cmd=ls%20-l » attribue la valeur ls –l à la variable cmd.

La commande sur le Ubuntu Le serveur est donc exécuté comme

shell_exec('ls -l') ;

L'exécution du code ci-dessus sur un serveur web donne un résultat similaire à celui-ci.

Le résultat affiche simplement les fichiers du répertoire courant et leurs permissions.

Supposons maintenant que l'attaquant transmette la commande suivante à la place.

rm -rf /

ICI,

• « rm » supprime les fichiers.
• « rf » permet d'exécuter la commande rm en mode récursif, supprimant ainsi tous les dossiers et fichiers.
• Le caractère « / » indique à la commande de commencer la suppression à partir du répertoire racine.

L'attaque URL Cela ressemblerait à ceci

http://localhost/cp/konsole.php?cmd=rm%20-rf%20/

Un seul paramètre non validé suffit donc à conférer à un attaquant tous les privilèges du compte du serveur web. Les deux sections suivantes visent à empêcher cela et à détecter les failles de sécurité lorsque les mesures de prévention échouent.

Comment se prémunir contre le piratage de Linux

Le piratage Linux exploite les vulnérabilités du système d'exploitation et des logiciels qui y sont exécutés. Une organisation peut adopter les mesures de contrôle suivantes, appliquées conjointement, pour combler la plupart des failles décrites ci-dessus.

• Gestion des correctifs Les correctifs résolvent les failles exploitées par les attaquants pour compromettre un système. Une politique définie garantit l'application rapide des mises à jour pertinentes, et non pas au gré des envies.
• Configuration correcte du système d'exploitation Désactiver les comptes utilisateurs inactifs et les processus inutiles. Modifier les paramètres par défaut, notamment les noms d'utilisateur, les mots de passe des applications partagées et les numéros de port.
• Renforcement SSH — Désactiver l'authentification par identifiant et mot de passe root, n'autoriser que les utilisateurs ou groupes nommés et limiter le nombre de tentatives d'authentification. Ceci permet de bloquer le point d'entrée le plus vulnérable aux attaques sous Linux.
• Moindre privilège — n’accordez aux comptes et aux services que les droits dont ils ont besoin, et limitez sudo à des commandes spécifiques au lieu d’un accès administratif général.
• Contrôle d'accès obligatoire — Conservez SELinux (famille Red Hat) ou AppArmor (Debian et Ubuntu) en mode d'application afin qu'un service compromis ne puisse pas atteindre le reste du système.
• Validation des entrées — La démonstration ci-dessus ne fonctionne que parce que les données de la requête parviennent à une fonction shell. Ne transmettez jamais d'entrée utilisateur à exec() ou shell_exec().
• Pare-feu et segmentation — exposer uniquement les ports dont un service a réellement besoin, en utilisant un pare-feu et la segmentation du réseau pour limiter ce qu'un hôte compromis peut atteindre.
• Systèmes de détection d'intrusion — Ces outils peuvent être utilisés pour détecter les accès non autorisés au système, et certains peuvent également bloquer la tentative.
• Sauvegardes testées — Les sauvegardes hors ligne restaurables transforment une commande destructive comme celle ci-dessus en une interruption de service plutôt qu'en une perte permanente.

Comment détecter un système Linux compromis

La prévention finit toujours par échouer ; la question suivante est donc de savoir à quelle vitesse vous détecteriez un problème. Sous Linux, la détection repose sur la collecte des preuves pertinentes avant l’incident, et non après.

• Journalisation des audits Le système d'audit du noyau, auditd, enregistre l'utilisation des privilèges, les accès aux fichiers et les appels système sous une forme qu'un processus compromis ne peut pas modifier discrètement. Transmettez ces journaux hors de l'hôte vers un collecteur central.
• Journaux d'authentification — une série d'échecs suivie d'un seul succès dans /var/log/auth.log ou /var/log/secure est la signature classique d'une attaque par force brute.
• Processus et connexions inattendus — Un service d'écoute ou une connexion sortante dont personne ne peut expliquer l'origine mérite une enquête immédiate.
• Surveillance de l'intégrité des fichiers — des outils qui hachent les fichiers binaires système et les fichiers de configuration, et qui signalent les modifications apportées à des fichiers qui ne devraient jamais être modifiés.
• Tâches planifiées et éléments de démarrage — La persistance se retrouve généralement dans les tâches cron, les unités systemd ou les scripts de profil shell.
• Comptes nouveaux ou modifiés — Recherchez les utilisateurs inconnus, tout deuxième compte avec un UID 0 et les clés SSH que personne n'a ajoutées.
• Répertoires du serveur Web — car les web shells sont les fichiers malveillants les plus courants sur les serveurs Linux, les fichiers de script inattendus sous un répertoire racine web méritent une attention particulière.
• Audits programmés — Exécutez un outil d'audit d'hôte tel que Lynis de manière planifiée et considérez chaque rapport comme une liste de tâches plutôt que comme un exercice ponctuel.

Si vous découvrez des preuves de compromission, isolez l'hôte, sauvegardez les journaux et une image disque avant toute modification, et reconstruisez le système à partir de supports sains plutôt que d'essayer de nettoyer un système en fonctionnement. La gestion des preuves est abordée dans [référence manquante]. Médecine légale numérique.

Limites légales et éthiques du piratage Linux

Chaque technique décrite sur cette page est légale sur les systèmes dont vous êtes propriétaire ou pour lesquels vous disposez d'une autorisation écrite de test, mais illégale presque partout ailleurs. L'exercice ci-dessus est délibérément exécuté sur une installation locale précisément pour cette raison.

• Autorisation écrite — Un périmètre d'intervention défini, une période de test convenue et un contact désigné sont les éléments qui distinguent un test d'intrusion d'une infraction. Une approbation verbale ne suffit pas.
• Restez dans les limites du périmètre — Les hôtes, les plages d'adresses et les techniques qui ne sont pas répertoriés ne sont pas autorisés, même s'ils sont accessibles.
• Manipulez les données avec précaution — Les preuves recueillies lors d'un test contiennent toujours de véritables données personnelles et doivent être stockées en toute sécurité puis détruites.
• Signaler de manière responsable — Communiquez les résultats au propriétaire et laissez le temps de corriger le problème avant de publier quoi que ce soit.

Les risques juridiques sont bien réels : l’accès non autorisé à un système informatique constitue une infraction pénale en vertu de lois telles que le Computer Fraud and Abuse Act américain et le Computer Misuse Act britannique. Si vous souhaitez faire carrière grâce à ces compétences, empruntez une voie reconnue. certificat de sécurité et un laboratoire dont vous êtes propriétaire, plutôt que le serveur de quelqu'un d'autre.

FAQ