Techniques de Hacking

EBIOS RM 2026 : Guide Complet Méthode ANSSI [5 Ateliers]

Guide EBIOS RM 2026 : méthode ANSSI complète, 5 ateliers détaillés, exemples concrets et template SOA pour homologation.

Burp Suite : Pentest Web et API par PortSwigger 2026

Burp Suite est la suite d'outils de reference mondiale pour le pentest d'applications web et d'API, developpee depuis 2003 par PortSwigger, l'entreprise britannique fondee par Dafydd Stuttard. Concue autour d'un proxy d'interception place entre le navigateur et le serveur cible, Burp Suite permet de capturer, analyser, modifier et rejouer chaque requete HTTP/HTTPS, transformant n'importe quelle application web en cible auditable. Au-dela du proxy, la suite federe un scanner de vulnerabilites passif et actif, un outil de fuzzing Intruder, un rejoueur Repeater, un encodeur Decoder, un analyseur d'aleatoire Sequencer et un comparateur Comparer.

Race Condition : Faille, Attaque et Défense - Guide 2026

Guide exhaustif sur les race conditions : fondamentaux TOCTOU, exploitation web via single-packet attack PortSwigger, CVE Dirty COW et Dirty Pipe, outils Turbo Intruder, et stratégies défensives complètes (verrous ACID, idempotency keys, tests CI/CD). Pour pentesters, développeurs et architectes sécurité 2026.

Désérialisation Insécurisée : Bonnes Pratiques 2026

Guide expert 2026 sur la désérialisation insécurisée (OWASP A08:2021). Chaînes de gadgets Java ysoserial CC1/CC4/ROME, .NET BinaryFormatter, PHP unserialize/phar, Python pickle/PyYAML, Ruby Marshal, Node.js node-serialize. Mitigations : allowlist ObjectInputFilter, signature HMAC, RASP, défense en profondeur. CVE 2024-2026 (Spring, Tomcat, PyTorch, Parquet), pipeline CI/CD sécurisé, conformité NIS2/DORA/EU AI Act.

XXE : XML External Entity — Exploitation et Défense

L'injection XXE (XML External Entity) exploite le mécanisme d'entités externes du standard XML pour forcer un parser côté serveur à charger des ressources arbitraires — fichiers locaux, URLs internes, ou données encodées exfiltrées vers un serveur contrôlé par l'attaquant. Malgré...

Élévation de Privilèges Linux : SUID, Capabilities et Kernel

Élévation de Privilèges Windows : Techniques Avancées

SSRF : Server-Side Request Forgery — Exploitation Avancée

Le Server-Side Request Forgery reste en 2026 l'une des vulnérabilités les plus sous-estimées et les plus dévastatrices dans les architectures cloud-native. Là où une injection SQL compromet une base de données, un SSRF bien exploité compromet l'infrastructure entière : accès...

Désérialisation : Attaques Java, PHP, .NET et Python

Guide expert désérialisation : ysoserial Java, POP chains PHP, BinaryFormatter .NET, pickle Python. Exploitation, détection et défense complètes.

LOLBas / LOLBins : Living Off The Land — Guide Complet

Guide complet LOLBas/LOLBins : certutil, mshta, rundll32, regsvr32, BYOVD. Campagnes APT, détection Sysmon/Sigma, défense AppLocker/WDAC.

NoSQL Injection : MongoDB, Redis, Cassandra — Guide Expert

Les bases de données NoSQL — MongoDB, Redis, Cassandra, Couchbase — dominent les architectures applicatives modernes grâce à leur flexibilité de schéma et leurs performances en lecture et écriture. Cette adoption massive a cependant engendré une classe de vulnérabilités spécifiques...

IDOR : Exploitation et Défense des Références Directes

Les vulnérabilités IDOR (Insecure Direct Object Reference) constituent en 2026 la faille la plus fréquemment exploitée dans les API modernes, occupant la première position du classement OWASP API Security Top 10 sous la dénomination BOLA (Broken Object Level Authorization). Contrairement...

Bettercap & Ettercap : Guide MITM et Pentest Réseau

Guide complet Bettercap et Ettercap : techniques MITM (ARP/DNS spoofing, HTTPS downgrade), WiFi pentest, caplets, exploitation AD. Comparatif et défenses.

Web Cache Poisoning & Deception : Guide d'Exploitation et Défense

Guide expert Web Cache Poisoning et Cache Deception : techniques d'exploitation, outils (Param Miner, WCVS), cas réels PayPal/GitHub, défense CDN.

ETW Tampering : Évasion et Détection sur Windows en 2026

TPM et BitLocker : Cold Boot et Bypass Chiffrement

Covert Channels Réseau : Stéganographie et Exfiltration Avancée

eBPF Offensif : Rootkits, Évasion et Détection Kernel-Level

DMA Attacks : Exploitation Thunderbolt, PCIe et FireWire 2026

Type Confusion V8 : Exploitation Avancée Navigateurs

Vol de Mots de Passe Chrome : DPAPI, Exploits et Outils

Le vol de mots de passe Chrome constitue l'une des techniques les plus exploitées par les attaquants dans les phases de post-exploitation et de mouvement latéral. Avec plus de 65 % de parts de marché des navigateurs en 2024, Google Chrome — et par extension l'ensemble des navigateurs basés sur Ch...

Extraction Credentials Firefox : NSS, Key4.db et Exploits

L'extraction des credentials stockés dans le gestionnaire de mots de passe Firefox constitue l'une des techniques post-exploitation les plus redoutables du paysage offensif contemporain. Contrairement aux idées reçues, le mécanisme de protection de Firefox repose sur une architecture complexe art...

Hacking Password Managers Navigateurs : Attaques Expert

Les gestionnaires de mots de passe intégrés aux navigateurs web représentent, en 2026, l'un des vecteurs d'attaque les plus exploités par les groupes de menaces persistantes avancées, les opérateurs de ransomware et les équipes de red team professionnelles. Cet article constitue le guide de référ...

EvilGinx 2026 : Phishing AiTM, Bypass MFA & Défense SOC

EvilGinx bypasse le MFA TOTP via proxy AiTM et vole les cookies de session. Guide complet : installation, phishlets, détection SOC, contre-mesures FIDO2.