pentesting-obioba

Pentesting boîte noire : Shellshock (CVE-2014-6271) + Log4Shell (CVE-2021-44228). Élévation de privilèges vers root. Rapport exécutif et technique

Pentesting Obioba — Audit de Sécurité (Boîte Noire)

Projet du Bootcamp 360° en Cybersécurité de The Bridge Digital Talent Accelerator (2025-2026).

🎯 Objectif

Réaliser un audit de sécurité sur un serveur legacy selon une méthodologie boîte noire, en simulant un acteur de menace externe sans accès préalable. L'objectif était d'identifier des vulnérabilités permettant un accès non autorisé et une élévation de privilèges jusqu'au contrôle total du système.

🧪 Environnement

• Cible : Serveur Obioba (dépôt de bases de données héritées)
• Attaquant : Kali Linux
• Méthodologie : Boîte noire — sans connaissance préalable de l'infrastructure
• Environnement : Laboratoire contrôlé et isolé

🔁 Phases exécutées

1. Reconnaissance et énumération

Identification des services exposés via Nmap avec les flags -sV -sC -p-. Découverte de trois vecteurs d'intérêt : SSH (port 22), service web Apache (port 8081) et service Java/Nagios (port 8080).

2. Analyse des vulnérabilités

Énumération web avec DIRB pour confirmer les chemins /cgi-bin/. Scan avec Nessus du port 8080 qui a révélé la vulnérabilité critique Log4Shell avec un score CVSS de 10.0.

3. Exploitation — Shellshock (CVE-2014-6271)

Exploitation du script CGI vulnérable sur le port 8081 via Metasploit (apache_mod_cgi_bash_env_exec). Obtention d'un shell en tant qu'utilisateur www-data.

4. Élévation de privilèges — Log4Shell (CVE-2021-44228)

Injection JNDI dans les en-têtes HTTP du port 8080 via Metasploit (log4shell_header_injection). Le service Java s'exécutait en tant que root — compromission totale du système.

5. Rapport exécutif et plan d'atténuation

Documentation de l'impact sur la triade CIA, analyse des risques par criticité et plan de remédiation avec des délais concrets.

🛠️ Outils utilisés

🛡️ Cartographie MITRE ATT&CK

📊 Résultat

Compromission totale du serveur en moins de 3 heures. Les deux vulnérabilités sont connues et disposent de correctifs disponibles depuis des années — ce qui démontre le risque réel des systèmes legacy non maintenus.

🔒 Note de confidentialité

⚠️ Les rapports techniques détaillés, les captures d'écran et les preuves du projet ne sont pas publiés dans ce dépôt pour des raisons de confidentialité avec l'entité formatrice (The Bridge Digital Talent Accelerator).

Si vous êtes recruteur ou professionnel du secteur et souhaitez voir le matériel complet (rapports exécutifs, PoC, captures et plans d'atténuation), n'hésitez pas à me contacter :

📧 [email protected] 🔗 LinkedIn

⚠️ Avertissement

Ce projet a été exécuté dans un environnement de laboratoire isolé à des fins éducatives. Les techniques documentées sont destinées à l'amélioration des capacités défensives.

📧 Contact

Facundo Martín Fernández Otón · GitHub