Dernière mise à jour : 2 décembre 2023
Joomscan Security Scanner est un outil d’audit des sites web pour Joomla. Il est écrit en Perl et il est capable de détecter plus de 550 vulnérabilités comme les inclusions de fichiers, les injections SQL, les failles RFI, LFI, faille XSS, blind SQL injection, protection des répertoires et autres.
Joomscan est destinée pour les professionnels de la sécurité informatique et les administrateurs des sites sous Joomla.
Les principales fonctionnalités de Joomscan
- Détection de la version de Joomla.
- Détection et énumération des composants, plugin et les modules vulnérables.
- Affichage d’une note défensive pour bien sécuriser son site web.
Installation de Joomscan
Joomscan est disponible sous la distribution Kali linux. Si vous avez un ordinateur sous Windows alors je vous conseille avant d’aller plus loin d’installer une distribution Linux (genre Kali Linux) sur une machine virtuelle. Il suffit de télécharger VMware et une image de Kali Linux. Voici comment installer Kali Linux sur une machine Windows avec VMware.
Si vous avez une autre distribution alors vous pourrez toujours le télécharger avec les commandes suivantes:
cd joomscan
perl joomscan.pl
Trouver des vulnérabilités sur un site joomla
Après avoir installé Joomscan, l’analyse se lance grâce à une ligne de commande en passant comme argument le domaine de votre site :
# perl joomscan.pl –u monsite.com
Apres une analyse, joomscan déduit la version de mon portail joomla.
Puis il affiche les composants vulnérables et la description de chaque faille qui peut être exploitées facilement par un hacker.
Dans mon cas j’ai trouvé 4 failles sur mon site Joomla, déjà pas mal.
Sinon pour la correction des failles Joomla trouvées, ça dépend du type de la faille. Pour moi, il m’a fallu seulement quelques mises a jour et la désactivation d’un composant et tout est rentrée dans l’ordre.
Vous pouvez aussi afficher une petite note défensive, elle est très utile pour bien sécuriser son site Joomla.
Il se trouve d’autres options optionnelles pour joomscan comme :
-x = si vous voulez utiliser un proxy
-ot = copier le résultat de l’analyse vers un fichier txt
-oh = copier le résultat de l’analyse vers une page web html
Faites bon usage de cet outil, souvenez-vous de faire des sauvegardes régulières de votre site et de prendre des mesures avant qu’il ne soit trop tard.
Je ne voi pas pourquoi vous vulgariser ce genre d’informations !
on nous a descendu nos site web tous nos projet investissement en temps et en argent notre équipe s’est retrouvé au chomage à cause de genre d’info que vous vulgariser et vous mettez en les mains de personnes malveillantes qui s’amuse à faire tomber des site sans tenir compte de l’entreprise qui est derrière !!! au diable tous ça ! j’en souffre et j’en dore pas la nuit ! Expliquer aussi que ce genre de pratique bousillent la vie des gens voir des familles entière qui vivent des site web légaux du ecommerce ! Ce n’est pas parsqu’on oublie dès fois de fermer ça porte à clé que tt le monde à le droit de rentrer chez les gens !
Nous comprenons profondément les préoccupations que vous exprimez, et nous sommes désolés d’apprendre les difficultés que vous avez rencontrées. Notre intention première est de sensibiliser à la sécurité en ligne et non de causer des problèmes. Nous comprenons que des attaques contre des sites web légitimes peuvent avoir des conséquences graves sur les entreprises et les personnes qui en dépendent.
Il est crucial de souligner que nos articles ne visent pas à encourager des pratiques malveillantes, mais plutôt à éduquer sur les méthodes de protection contre de telles attaques. Nous partageons des informations sur des outils de sécurité, comme Joomscan, dans le but de permettre aux propriétaires de sites de renforcer leurs défenses.
Nous sommes véritablement désolés pour les difficultés que vous avez traversées et comprenons la gravité de la situation. Notre engagement est d’encourager des pratiques responsables en matière de sécurité informatique et de contribuer à minimiser les risques pour les entreprises et les individus en ligne.
Si tu codes avec les pieds et surtout en faisant payer des clients… Non mais sérieux t’as pas honte de venir pleurer ici de cette façon !!! Heureusement que les types et entreprises comme la tienne mettent la clé sous la porte sinon nos infos personnelles n’auraient plus rien de personnel et nos cartes seraient sur tout les blackmarket…
Quel honte de venir écrire ça…
bonjour,
j’ai réussi à installer perl sur Windows, lancé le bouzin … et j’ai eu le scan.
sauf qu’il ne me montre que les derniers résultats une fois fini, et je n’arrive pas dans l’invite de commande à faire -ot
que faut il faire précisement ?