Forum du club des d�veloppeurs et IT Pro - S�curit�

ouvrir une session root

Papy214 — Sun, 30 Aug 2026 17:39:57 GMT

Bonjour

Sur kubuntu j'essaie d'ouvrir une session avec le compte root et l'acc�s m'est refus�.
Je voudrais juste savoir si c'est normal ou si j'ai loup� un truc :)

Merci d'avance

Darkmoon : une plateforme open source de pentest autonome par IA � 50 agents, qui garde toutes les donn�es en

john_the_ripper — Tue, 04 Aug 2026 13:13:43 GMT

Darkmoon : l'ancienne distribution Cygwin de s�curit� devient une plateforme open source de pentest autonome par IA, forte de 50 agents sp�cialis�s

Le projet toulousain d'ASC-IT, distribu� sous GPLv3, mise sur une anonymisation locale des donn�es pour faire tourner des agents offensifs sans jamais envoyer le code ni le trafic vers un mod�le h�berg� � l'�tranger

Les lecteurs qui suivent le projet Darkmoon depuis ses d�buts le connaissaient sous une tout autre forme. � l'origine, Darkmoon �tait une distribution GNU/Cygwin portable pour Windows, orient�e � toolbox � de d�veloppement. En 2023, son auteur en a fait une version orient�e s�curit� offensive, toujours bas�e sur Cygwin, en y portant de nombreux outils de pentest habituellement utilis�s sous Linux (l'ancien d�p�t et sa documentation Developpez restent en ligne). Cette approche s'est heurt�e � des limites de compatibilit� propres � Cygwin. Le projet a alors �t� enti�rement repens� sur WSL, avec un serveur MCP (Model Context Protocol) et une console TUI pour piloter des agents d'IA. C'est cette nouvelle plateforme, d�sormais tr�s �loign�e de la distribution d'origine, qui vient de franchir un cap avec un ensemble de 50 agents sp�cialis�s.

Pour rappel, une nouvelle g�n�ration d'outils de pentest � autonomes � a �merg� depuis 2024 : XBOW, Strix, Shannon, PentAGI, HexStrike AI ou encore NodeZero confient � un mod�le de langage le soin d'encha�ner reconnaissance, exploitation et rapport. La plupart partagent deux caract�ristiques : ils se concentrent surtout sur la couche web, et ils envoient les donn�es de la cible vers un mod�le h�berg� dans le cloud, le plus souvent aux �tats-Unis. C'est pr�cis�ment sur ces deux points que Darkmoon prend le contre-pied.

Une passerelle d'anonymisation pour ne rien envoyer au mod�le

La fonction que l'�quipe met le plus en avant est une "Privacy Gateway". Le constat de d�part est simple : pour raisonner, un agent IA a besoin de voir les donn�es de la cible (adresses IP, noms de machines, identifiants, parfois le code source). Les envoyer � un mod�le tiers, souvent h�berg� hors d'Europe, est r�dhibitoire pour une banque, un h�pital, un industriel ou un acteur souverain. La conformit� l'interdit, les clients l'interdisent, et dans certains secteurs la loi l'interdit.

Le m�canisme retenu repose sur une tokenisation d�terministe suivie d'une r�hydratation locale. Concr�tement, avant que quoi que ce soit n'atteigne le mod�le, chaque valeur r�elle est remplac�e par un marqueur stable : une adresse IP devient IP_PRIVATE_001, un nom de machine devient HOST_INTERNAL_001, et ainsi de suite. Le mod�le raisonne sur la structure sans jamais voir la valeur r�elle. Celle-ci n'est r�inject�e que localement, au moment pr�cis o� un outil s'ex�cute, puis de nouveau masqu�e au retour. Toute tentative d'exfiltration est bloqu�e. Darkmoon peut par ailleurs fonctionner enti�rement sur un mod�le local (Ollama, llama.cpp), ce qui rend l'ensemble compatible avec un environnement isol� (air gap). Le code et le trafic restent ainsi sur l'infrastructure de l'utilisateur.

Pour un public attentif � la souverainet� des donn�es, l'argument est direct : l� o� les outils concurrents transmettent le contexte d'un test d'intrusion � un mod�le am�ricain ou chinois, Darkmoon garde tout en local.

50 agents sp�cialis�s

La particularit� de Darkmoon est l'�tendue de son p�rim�tre. L� o� la concurrence se limite le plus souvent aux applications web, le d�p�t compte aujourd'hui 50 agents de m�thodologie, �crits en Markdown lisible et auditable, orchestr�s par un agent chef (� pentest �). Le maillage couvre notamment :

le web et les CMS : agents d�di�s � WordPress, Drupal, Joomla, Magento, PrestaShop, Moodle, ainsi qu'aux stacks Node.js/Angular, PHP, Flask, Spring Boot, ASP.NET, Ruby, Go et GraphQL ;
le cloud public et priv� : AWS, Azure, GCP, Entra ID ;
l'infrastructure interne et l'identit� : Active Directory, PKI/ADCS, SSO/IdP, VPN et acc�s distant, pare-feu et r�seau, MDM ;
les conteneurs et l'orchestration : Kubernetes, Docker, registres de conteneurs, plateformes de conteneurs, GitOps ;
la cha�ne CI/CD et l'IaC : GitHub, GitLab, Jenkins, Ansible, Terraform ;
les donn�es et les secrets : bases SQL et NoSQL, messagerie/cache, stockage, sauvegardes, HashiCorp Vault ;
l'embarqu� et le mobile : firmware, objets connect�s, applications mobiles ;
et d'autres surfaces : hyperviseurs, messagerie d'entreprise, observabilit�.

Le dispatch est d�clench� par un artefact concret et non par une simple inf�rence : un agent ne se lance que sur une preuve tangible (une cl� qui fuit, un port ouvert, une image de firmware), ce qui limite les faux positifs. Quelques exemples parlants tir�s des retours publi�s : trois agents lanc�s en parall�le attaquent simultan�ment un coffre Vault, un registre de conteneurs et un socket Docker expos� ; un agent Terraform lit un fichier d'�tat et y rel�ve 16 vuln�rabilit�s, dont 10 critiques ; un agent firmware ouvre une image, en extrait mots de passe et portes d�rob�es, puis obtient un acc�s root sur l'objet en direct. La plateforme sait aussi encha�ner les couches : un secret oubli� dans l'historique Git qui remonte jusqu'� un acc�s AWS, ou une SSRF transform�e en acc�s initial sur GCP.

Des mesures reproductibles sur diff�rents laboratoire

Chaque d�couverte est accompagn�e d'une preuve d'exploitation (la commande jou�e et son r�sultat brut), ce qui rend les r�sultats reproductibles. Le banc d'essai de r�f�rence est OWASP Juice Shop, une application web d�lib�r�ment vuln�rable, maintenue par l'OWASP � des seules fins de formation et de test (et non une cible r�elle, ce qui �carte toute question de l�galit�). En bo�te noire et sur un mod�le local, Darkmoon y rapporte 57 vuln�rabilit�s ; une vid�o de d�monstration de cette ex�cution autonome est disponible:

D'autres campagnes publi�es font �tat de 22 d�couvertes sur un couple PostgreSQL/MySQL, ou de 16 sur un fichier d'�tat Terraform. L'auteur documente �galement ses tests sur des environnements de d�monstration tiers, comme celui d'OpenNHP, avec la m�thodologie associ�e.

Sur le plan de la comparaison, Darkmoon se distingue moins par un score brut que par deux axes rarement r�unis : la capacit� � fonctionner sur un mod�le local sans exfiltration de donn�es, et l'�tendue du p�rim�tre (du web � l'Active Directory, du cloud au firmware, en passant par le CI/CD). Les outils comme Strix ou Shannon, souvent cit�s pour leurs r�sultats, op�rent en cloud et se concentrent sur d'autres axes ; l'�quipe publie ses conditions de test en clair et invite � contester ou reproduire les chiffres.

Open source, dockeris� et pens� pour le DevSecOps

Darkmoon est publi� sous licence GPLv3 et s'installe en auto-h�bergement via docker-compose. Le projet fournit �galement une int�gration � la cha�ne CI/CD : un d�p�t de d�monstration montre un d�clenchement du test d'intrusion via GitHub Actions, avec remont�e des r�sultats sous forme d'artefacts. L'ensemble s'adresse donc autant � l'�quipe s�curit� qu'aux pipelines DevSecOps.

Le d�veloppement reste actif : les derniers commits ajoutent de nouveaux agents et corrigent des r�f�rences d'outils avant l'ex�cution, afin d'�viter qu'un binaire mal nomm� ne fasse �chouer un vecteur. Le projet est d�velopp� � Toulouse par ASC-IT.

Une couverture dans la presse sp�cialis�e

Depuis sa publication, le projet a �t� pr�sent� par plusieurs m�dias sp�cialis�s en s�curit� et en logiciel libre, en France comme � l'�tranger. Help Net Security et Cyber Security News ont d�taill� son fonctionnement, de m�me que SecurityBrief au Royaume-Uni, LinuxLinks et Let's Data Science, ainsi qu'en fran�ais UnderNews. Ces articles reviennent tous sur le m�me parti pris : garder les donn�es de la cible hors du mod�le, l� o� le reste du march� s'appuie sur des mod�les h�berg�s dans le cloud. L'�quipe s'en tient par ailleurs � des mesures reproductibles et � des conditions de test publi�es, plut�t qu'� des effets d'annonce.

Darkmoon est par ailleurs recens� par le projet de veille LLM4Pentest, qui cartographie les outils de pentest fond�s sur les LLM et retient notamment ses sous-agents sp�cialis�s, sa couverture de l'Active Directory et de Kubernetes, et l'orchestration de plus de 80 outils via MCP.

Et vous ?

:fleche: Que pensez-vous de l'approche par anonymisation locale des donn�es pour le pentest par IA ?
:fleche: Un p�rim�tre aussi large (web, cloud, AD, conteneurs, CI/CD, firmware) vous para�t-il pertinent, ou pr�f�rez-vous des outils sp�cialis�s ?
:fleche: La souverainet� des donn�es p�se-t-elle dans votre choix d'un outil de s�curit� ?

Sources

D�p�t GitHub du projet : https://github.com/ASCIT31/Dark-Moon
Site et blog technique (�tudes de cas, m�thodologie, comparaisons) : https://www.dark-moon.org/blog
Documentation historique du projet sur Developpez.com : https://johntheripper.developpez.com/darkmoon-project/

Linux Hydra JSON page web proteg�e par password

Noddles — Sun, 02 Aug 2026 11:32:14 GMT

Bonjour,

j'ai cr��e une page web avec identifiant password cr�e chez WIX :
https://reyjp81.wixsite.com/sport-ar...-membres-prive
Il y a du JSON

je teste l'outil Hydra sous Kali Linux. Apr�s install de VirtualBox.
J'ai g�n�r� le fichier password qui contient le mot de passe :

Code:

crunch 3 3 ABCDEFGHIJKLMNOPQRSTUVWXYZ -o password.txt

Avec Burp suite, j'obtiens ceci :

Code:

{"password":"JUL","pageId":"pubhb","metaSiteId":"fb98b4a7-f08b-4a2e-8b69-524306a8e106","siteId":"bddd9820-dab1-48ec-a278-aefb50dcfaec"}

J'ai test� la commande hydra suivant pour d�couvrir le password :

Code:

hydra -l '' -f -V -P password.txt site-pages.wix.com https-post-form "/_api/wix-public-html-info-webapp/resolve_protected_page_urls?siteRevision=8:{\"password\"\:\"^PASS^\",\"pageId\"\:\"pubhb\",\"metaSiteId\"\:\"fb98b4a7-f08b-4a2e-8b69-524306a8e106\",\"siteId\"\:\"bddd9820-dab1-48ec-a278-aefb50dcfaec\"}\:S=\"success\"\:true:H=Origin\:https\://reyjp81.wixsite.com/sport-articles:H=Accept\:*/*:H=Content-Type\:application/json"

Mais �a ne fonctionne pas. Ca me dit que tous les mots de passe du fichier password sont valides.
Faut il �chapper chaque : et chaque " dans cette s�quence :

Code:

\:S=\"success\"\:true:H=Origin\:https\://reyjp81.wixsite.com/sport-articles:H=Accept\:*/*:H=Content-Type\:application/json"

Une aide pour faire fonctionner ce code serait la bienvenue.

Le certificat https neutralise le firewall UFW

cmascart — Wed, 29 Apr 2026 11:36:07 GMT

Bonjour,

Je tente de bloquer un visiteur ind�sirable, qui fouille r�guli�rement mon site web, h�berg� sur un VPS Linux Ubuntu, chez OVH Strasbourg.
Son IP commence par 188.143.x.x, les deux derniers octets changent, d'une visite � l'autre.

Je n'utilise jamais les ports par d�faut.
Dans le certificat ssl_gateway d'OVH, j'ai remplac� le port http 80 par le port 12345, et programm� Apache2 pour l'�couter.
Ca fonctionne, c'est parfait !

J'ai donc programm� une r�gle UFW
ufw insert 4 deny from 188.143.0.0/16 to any port 12345 proto tcp

Ok, elle appara�t bien dans la liste des ufw status numbered
[ 4] Anywhere DENY IN 188.143.0.0/16
Les trois premiers ne sont que des DENY du m�me genre.

Ce matin, je constate qu'il passe toujours.

Mon IP commence toujours par 111.222, que m'alloue mon FAI,
telle que le r�v�le la superglobale PHP $_SERVER['REMOTE_ADDR']

Intrigu�, je me bloque moi-m�me en https, pour faire un test
ufw insert 2 deny from 111.222.0.0/16 to any port 12345 proto tcp
[ 2] 12345/tcp DENY IN 111.222.0.0/16

Ensuite, je surfe sur mon VPS, auquel j'ai toujours acc�s, alors que je me suis interdit l'acc�s au port http.
M�me apr�s un red�marrage d'Apache2 et d'UFW.

Visiblement, la r�gle [2] DENY d'UFW ne me bloque pas du tout.
Je me demande si ce n'est pas d� au certificat ssl gateway.
Car mon nom de domaine monDomaine.be pointe sur le certificat, chez dns.be,
qui, � son tour, d�signe l'IP et le port http 12345 de mon VPS.

Est ce que le certificat OVH ssl_gateway ne masquerait pas la v�ritable IP de mes visiteurs http, paralysant, ainsi, le firewall UFW ?
Je ne parle pas des autres services (ssh, mysql, ...) qui ne sont pas concern�s par le certificat.

Alors que pourtant la superglobale PHP $_SERVER['REMOTE_ADDR'] la d�tecte bien.
Pour qu'il la d�tecte, je me souviens d'avoir du installer (il y a quatre ans) un fichier dans la config de PHP
Sans quoi, tous mes visiteurs avaient la REMOTE_ADDR du certificat.

Comment configurer UFW pour qu'il filtre les demandes en HTTP sur base de l'IP r�elle du visiteur ?
Afin de bloquer les 🐗 qui 🐽fouillent impun�ment mon site web.
Si PHP affiche bien l'IP r�elle du visiteur, UFW doit aussi pouvoir y avoir acc�s.

Merci.
Christian.

Probl�me bizarre ce matin

Jip�t� — Fri, 19 Dec 2025 11:37:54 GMT

Bonjour,

D'habitude j'ai �a, apr�s un ps ax :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
   ...
   1342 ?        Ss     0:00 /usr/sbin/cupsd -l
   1347 ?        Sl     0:00 package-update-indicator
   1364 ?        Ssl    0:00 /usr/libexec/colord
   1380 ?        Ssl    0:00 /usr/libexec/upowerd
   1395 ?        Ssl    0:00 /usr/libexec/gvfs-udisks2-volume-monitor
   1407 ?        Ssl    0:00 /usr/libexec/gvfs-afc-volume-monitor
   1413 ?        Ssl    0:00 /usr/libexec/gvfs-gphoto2-volume-monitor
   1418 ?        Ssl    0:00 /usr/libexec/gvfs-goa-volume-monitor
   1423 ?        Ssl    0:00 /usr/libexec/gvfs-mtp-volume-monitor
   1429 ?        Ssl    0:00 /usr/libexec/packagekitd
   1434 ?        Sl     0:00 /usr/libexec/gvfsd-trash --spawner :1.9 /org/gtk/gvfs/exec_spaw/0
   1458 ?        Sl     0:00 /usr/lib/menu-cache/menu-cached /run/user/0/menu-cached-:0
   1542 ?        Sl     0:00 lxterminal
   1545 pts/0    Ss     0:00 bash
   1629 pts/0    R+     0:00 ps ax

qui m'inspire confiance.
Le probl�me aujourd'hui c'est quand je lance le navigareur FireFox, car 3 fen�tres apparaissent en haut � droite de l'�cran :

qui n'inspirent pas du tout confiance !

Jusqu'� hier tout allait bien, alors que faire sous Linux Debian 12.12 ?

Il n'y a rien de particulier dans /usr/share/applications, voil� les fichiers les plus r�cents :

Code:

1
2
3
-rw-r--r-- 1  3826  9 déc.  23:02 firefox-esr.desktop
-rw-r--r-- 1  9692 11 déc.  11:10 thunderbird.desktop
-rw-r--r-- 1 26910 14 déc.  18:10 mimeinfo.cache

Le lancement de FF se situant l�-dedans : /usr/lib/firefox-esr,
j'y jette un coup d'�il mais �a n'est pas int�ressant : voil� ce que montre un ps ax :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
   ...
   1687 ?        Sl     0:01 leafpad <<< lancé par moi pour prendre des notes
   2337 ?        I      0:00 [kworker/0:2-events]
   2571 ?        I      0:00 [kworker/u2:0-events_unbound]
   2572 ?        I      0:00 [kworker/u2:1-ext4-rsv-conversion]
   3022 ?        I      0:00 [kworker/0:1-events]
   3036 ?        I      0:00 [kworker/0:3-events]
   3057 pts/0    Sl+    0:04 /usr/lib/firefox-esr/firefox-esr
   3062 ?        Sl     0:00 /usr/lib/firefox-esr/crashhelper 3057 9 /tmp/ 11
   3115 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -parentBuildID 20251201132345 -prefsHandle 0:
   3116 ?        Ss     0:00 /lib/systemd/systemd-timedated
   3133 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:41407 -prefMapHa
   3137 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -parentBuildID 20251201132345 -prefsHandle 0:
   3175 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:50445 -prefMapHa
   3223 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -parentBuildID 20251201132345 -sandboxingKind
   3225 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:42882 -prefMapHa
   3247 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:42939 -prefMapHa
   3249 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:42939 -prefMapHa
   3371 pts/1    Ss     0:00 bash
   3403 pts/0    Sl+    0:00 /usr/lib/firefox-esr/firefox-esr -contentproc -isForBrowser -prefsHandle 0:42939 -prefMapHa
   3423 pts/1    R+     0:00 ps ax

Ce qui est amusant, c'est le comportement du machin : tout � l'heure il m'a balanc� 3 fen�tres en m�me temps, j'ai reboot� et l� il a pris son temps pour en afficher une, puis encore du temps pour la deuxi�me et enfin encore du temps pour la troisi�me.

Si quelqu'un a une solution...

PS : les images ne sont pas toujours les m�mes.

Images attach�es

comment faire en sortes que les fichiers php.bak ne soient pas t�l�chargeable ?

Invit� — Thu, 23 Oct 2025 09:24:43 GMT

bonjour,

sur certains cms, je cr�e un .bak des fichiers de config .php (o� ya le mdp en clair de la bdd/admin...etc).
comment faire en sortes que le .bak ne soient pas t�l�chargeable via le navigateur (si par malchance un pirate le cherche)?

merci de votre conseil.