L’ami du pentesteur – SysReptor

Lors de mes tests d’intrusion, j’ai souvent été confronté aux problèmes liés aux rapports de pentest, souvent chronophages et laborieux à réaliser. Chaque vulnérabilité détectée nécessite une page dédiée, suivie de la création de tableaux adaptés avec les criticités et les remédiations.

Mais j’ai trouvé la parade: SysReptor!

Cet outil est juste génial, il fonctionne en mode auto-hébergé, dispose de modèles intégrés, et offre une grande flexibilité de personnalisation. Avec un peu de connaissances en langage html et js on peut obtenir des rapports de pentest de grande qualité.

Dorénavant, cet outil est devenu essentiel et un compagnon incontournable pour tous mes tests de pénétration. Un « Must Have » comme disent les anglais.

Partons à la découverte de SysReptor.

---

Pour l’installer il vous faut juste un serveur Linux, nous allons utiliser Ubuntu Server LTS

• Ubuntu Server LTS
• 4 vCpu
• 4GB de RAM
• La dernière version de Docker (avec docker-compose-plugin)

Je considère que vous savez installer un serveur Linux , donc je ne vais pas détailler son installation.

Une fois que nous avons terminé l’installation de notre Serveur Ubuntu avec Docker et le plugin docker-compose, nous allons passer à l’étape suivante, l’installation du SysReptor.

L’installation via un script est l’option la plus simple.

Installez les exigences supplémentaires pour l’installation par script :

sudo apt update
sudo apt install sed curl openssl uuid-runtime coreutils

L’utilisateur exécutant le script d’installation doit avoir la permission d’utiliser docker.

Lancez:

curl -s https://docs.sysreptor.com/install.sh | bash

Le script d’installation crée un nouveau répertoire sysreptor contenant le code source et tout ce dont vous avez besoin. Il va construire une image docker, créer des volumes et des secrets et lancer vos conteneurs.

Accédez à votre application à l’adresse http://ip_du_serveur:8000/.

D’autres configurations peuvent être modifiées dans sysreptor/deploy/app.env.

Prêts à lancer des pentests ?

L’utilisation de techniques de test d’intrusion (pentest) doit être abordée avec prudence et responsabilité!

Ne réalisez jamais de tests d’intrusion sur des systèmes, des réseaux ou des applications qui ne vous appartiennent pas ou sans une autorisation formelle et écrite des propriétaires ou des gestionnaires de ces systèmes.
Effectuer des tests non autorisés peut être considéré comme une activité illégale et entraîner des conséquences juridiques.

Soyez conscient des lois locales, nationales et internationales qui régissent les tests d’intrusion et la cybersécurité. Le non-respect de ces lois peut entraîner des poursuites judiciaires.