Test de pénétration Web — Drupal (CVE-2018-7600)

Type : Projet de stage | Entreprise : BB CyberSec | Période : Nov 2024 – Jan 2025

---

📋 Aperçu du projet

Ce projet documente un test de pénétration complet mené sur une application web Drupal dans le cadre de mon stage en cybersécurité chez BB CyberSec. L'évaluation s'est concentrée sur l'identification et l'exploitation de la vulnérabilité critique CVE-2018-7600 (Drupalgeddon 2), une vulnérabilité d'exécution de code à distance affectant le cœur de Drupal.

---

🎯 Objectifs

• Effectuer un audit de sécurité structuré d'une application web basée sur Drupal
• Identifier les vulnérabilités à l'aide d'outils standard de l'industrie
• Exploiter CVE-2018-7600 pour démontrer l'impact et la gravité
• Documenter les conclusions et recommander des mesures de sécurité concrètes

---

🛠️ Outils utilisés

---

🔍 Méthodologie

Le test de pénétration a suivi la méthodologie standard PTES (Penetration Testing Execution Standard) :

1. Reconnaissance et énumération

• Scanné la cible avec Nmap pour identifier les ports ouverts et les services en cours d'exécution
• Détecté la version de Drupal à l'aide de Droopescan
• Énuméré les répertoires web et les points de terminaison

2. Analyse des vulnérabilités

• Identifié CVE-2018-7600 (Drupalgeddon 2) — une vulnérabilité RCE critique (CVSS : 9,8)
• Analysé la surface d'attaque avec Burp Suite
• Scanné les faiblesses supplémentaires avec Nikto

3. Exploitation

• Utilisé le module Metasploit exploit/unix/webapp/drupal_drupalgeddon2 pour exploiter CVE-2018-7600
• Obtenu avec succès l'exécution de code à distance sur le système cible
• Démontré le potentiel d'élévation de privilèges

4. Post-exploitation et rapport

• Documenté toutes les conclusions avec des niveaux de gravité
• Évalué l'impact commercial de chaque vulnérabilité
• Dérivé des recommandations de remédiation concrètes

---

🚨 Détails de la vulnérabilité

---

✅ Conclusions et recommandations

---

🛡️ Compétences démontrées

Penetration Testing Ethical Hacking Web Application Security Vulnerability Analysis Exploit Development Security Reporting Nmap Metasploit Burp Suite CVE Research

---

⚠️ Avertissement

Ce projet a été mené dans un environnement de laboratoire contrôlé dans le cadre d'un stage autorisé chez BB CyberSec. Tous les tests ont été effectués avec une autorisation explicite. Les techniques documentées ici sont à des fins éducatives uniquement. Les tests de pénétration non autorisés sont illégaux.

---

👤 Auteur

Erman Bölükbasi — Ingénieur en cybersécurité & étudiant en informatique

• 🌐 www.bb-cybersec.de
• 💼 LinkedIn
• 🐙 GitHub