Joomscan Security Scanner est un outil d’audit des sites web pour Joomla. Il est écrit en Perl et il est capable de détecter plus de 550 vulnérabilités comme les inclusions de fichiers, les injections SQL, les failles RFI, LFI, faille XSS, blind SQL injection, protection des répertoires et autres.
Joomscan est destinée pour les professionnels de la sécurité informatique et les administrateurs des sites sous Joomla.
Les principales fonctionnalités de Joomscan
- Détection de la version de Joomla.
- Détection et énumération des composants, plugin et les modules vulnérables.
- Affichage d’une note défensive pour bien sécuriser son site web.
Installation de Joomscan
Joomscan est disponible sous la distribution Kali linux. Si vous avez un ordinateur sous Windows alors je vous conseille avant d'aller plus loin d'installer une distribution Linux (genre Kali Linux) sur une machine virtuelle. Il suffit de télécharger VMware et une image de Kali Linux. Voici comment installer Kali Linux sur une machine Windows avec VMware.
Si vous avez une autre distribution alors vous pourrez toujours le télécharger avec les commandes suivantes:
cd joomscan
perl joomscan.pl
Trouver des vulnérabilités sur un site joomla
Après avoir installé Joomscan, l’analyse se lance grâce à une ligne de commande en passant comme argument le domaine de votre site :
# perl joomscan.pl –u monsite.com
Apres une analyse, joomscan déduit la version de mon portail joomla.
Puis il affiche les composants vulnérables et la description de chaque faille qui peut être exploitées facilement par un hacker.
Dans mon cas j’ai trouvé 4 failles sur mon site Joomla, déjà pas mal.
Sinon pour la correction des failles Joomla trouvées, ça dépend du type de la faille. Pour moi, il m'a fallu seulement quelque mise a jour et la désactivation d’un composant et tout est rentrée dans l'ordre.
Vous pouvez aussi afficher une petite note défensive, elle est très utile pour bien sécuriser son site Joomla.
Il se trouve d’autres options optionnelles pour joomscan comme :
-x = si vous voulez utiliser un proxy
-ot = copier le résultat de l’analyse vers un fichier txt
-oh = copier le résultat de l’analyse vers une page web html
Faites bon usage de cet outil, souvenez-vous de faire des sauvegardes régulières de votre site et de prendre des mesures avant qu'il ne soit trop tard.
Avez-vous trouvé ce guide utile ?
Nous aimerions connaître votre avis pour améliorer nos tutoriels. Avez-vous trouvé ce guide utile ?
À propos de l'auteur :
Questions & Réponses
Posez votre question
Question :
Je ne voi pas pourquoi vous vulgariser ce genre d'informations ! on nous a descendu nos site web tous nos projet investissement en temps et en argent notre équipe s'est retrouvé au chomage à cause de genre d'info que vous vulgariser et vous mettez en les mains de petit c o n s qui s'amuse à faire tomber des site sans tenir compte de l'entreprise qui est derrière !!! au diable tous ça ! j'en souffre et j'en dore pas la nuit ! Expliquer aussi que ce genre de pratique bousillent la vie des gens voir des familles entière qui vivent des site web légaux du ecommerce ! Ce n'est pas parsqu'on oublie dès fois de fermer ça porte à clé que tt le monde à le droit de rentrer chez les gens ! F U K
Réponse :
Si tu codes avec les pieds et surtout en faisant payer des clients... Non mais sérieux t'as pas honte de venir pleurer ici de cette façon !!! Heureusement que les types et entreprises comme la tienne mettent la clé sous la porte sinon nos infos personnelles n'auraient plus rien de personnel et nos cartes seraient sur tout les blackmarket... Quel honte de venir écrire ça...
Réponse :
Les articles de funinformatique vise à informer les utilisateurs sur les techniques de hacking et à les aider à mieux se protéger non pas pour embêter les gens.Aprendre l'attaque pour mieux se défendre. Je me demande comment une entreprise peut créer un site ecommerce s'il n' a pas les compétences nécessaire sur les bases du hacking et du pentesting. Et pour avoir ces notions et se former, il faut lire les articles des blogs et des documents. Il est plus facile d'attribuer nos échecs à autrui .
Question :
bonjour, j'ai réussi à installer perl sur Windows, lancé le bouzin ... et j'ai eu le scan. sauf qu'il ne me montre que les derniers résultats une fois fini, et je n'arrive pas dans l'invite de commande à faire -ot que faut il faire précisement ?