Interpréter la collecte d’informations de la phase de reconnaissance

Vous avez récupéré des pages web, des adresses IP et quelques documents. Très bien… mais que raconte réellement cette collecte d’informations ? Lors de la phase de reconnaissance en pentesting, une longue liste de résultats ne suffit pas à comprendre une entreprise, encore moins à identifier ses faiblesse.

Dans ce chapitre, vous apprendrez à organiser votre collecte d’informations, à examiner les métadonnées des fichiers et à recouper vos observations. L’objectif : transformer des données dispersées en pistes vérifiables pour préparer la suite d’un pentest, un test de sécurité autorisé.

Passer de la collecte à l’interprétation

Nos chapitres pour aspirer un site web pendant la reconnaissance et rechercher des adresses IP et mail en pentesting vous expliquent comment obtenir vos premières données. Nous allons maintenant travailler sur ce qu’elles permettent de comprendre.

L’interprétation consiste à donner du sens à une observation, en tenant compte de son contexte et de ses limites. Trouver un nom dans un PDF confirme sa présence dans ce fichier. Cela ne confirme pas que la personne travaille encore dans l’entreprise.

Votre démarche suit donc un ordre simple : conserver les faits, formuler des hypothèses, puis chercher ce qui permet de les confirmer ou de les écarter. Le terminal affiche des résultats ; il ne rédige pas les conclusions à votre place !

Organiser les informations avant de les analyser

Étape 1 : conserver les sources

Prenons NovaTech, une entreprise fictive. Créez un dossier de travail et séparez les documents récupérés de vos notes. Pour chaque découverte, conservez sa source, la date de consultation et son contexte : un rapport ancien et une page de contact récente n’apportent pas les mêmes garanties.

Depuis un terminal , vous pouvez préparer ces dossiers :

# Créer les dossiers sans supprimer ceux qui existent déjà.
mkdir -p reconnaissance_novatech/documents_novatech reconnaissance_novatech/notes

# Entrer dans le dossier de travail.
cd reconnaissance_novatech

• mkdir crée des dossiers,
• -p crée aussi les dossiers parents nécessaires. 
• cd change votre dossier courant.
• Placez ensuite vos documents dans documents_novatech.

Étape 2 : distinguer fait, hypothèse et vérification

Un tableau suffit pour commencer. Voici un exemple d’interprétation de la collecte d’informations :

Fait observé	Hypothèse	Vérification à prévoir
Un PDF contient « alex.martin »	Nom d’un compte de travail	Comparer avec d’autres documents
Une annonce mentionne un logiciel	Technologie utilisée ou envisagée	Vérifier la date et le contexte
Deux domaines partagent une IP	Hébergement commun	Faire confirmer leur rattachement

Ajoutez une colonne pour la source et une pour le périmètre autorisé. Vous éviterez de confondre « découvert », « confirmé » et « autorisé à tester ».

Comprendre les métadonnées

Un document contient parfois davantage d’informations que le texte ou les images visibles à l’écran. Ces renseignements supplémentaires sont appelés métadonnées.

Par exemple, un document Word, une présentation PowerPoint ou un PDF peut conserver :

• le nom de l’auteur ou de la dernière personne ayant modifié le fichier
• les dates de création et de modification
• le nom du logiciel utilisé
• le titre du document
• un nom d’utilisateur ou un chemin de dossier

Toutes ces informations ne sont pas présentes dans chaque fichier. Leur contenu dépend du format, du logiciel utilisé et des opérations effectuées avant la publication.

Il faut aussi distinguer les métadonnées enregistrées dans le document des informations liées à sa copie locale. Par exemple, la date de modification affichée par le système de fichiers peut avoir changé lors du téléchargement et ne pas correspondre à la dernière modification réelle du contenu.

Ces données peuvent révéler des détails sur une organisation sans qu’elle en ait conscience. Un document public peut ainsi contenir un nom de compte, une référence à un dossier partagé ou une indication sur les outils employés.

Examiner des fichiers avec ExifTool

ExifTool permet de lire les métadonnées de nombreux formats de fichiers, notamment des images, des PDF et des documents bureautiques. Contrairement à MetaGooFil, il ne recherche pas automatiquement les documents d’une entreprise sur Internet et ne les télécharge pas. Il analyse les fichiers déjà disponibles sur l’ordinateur.

👉 Consultez notre guide complet pour ExifTool.

Prenons l’exemple de l’entreprise fictive NovaTech. Après avoir récupéré des documents publics dans le cadre du test, on les place dans un dossier nommé documents_novatech.

Étape 3 : examiner un premier fichier

Installez d’abord l’outil puis ouvrez ensuite votre terminal dans le dossier de travail. Les lignes commençant par # dans les exemples Bash sont des commentaires explicatifs.

Une fois ExifTool installé, cette commande permet d’examiner un fichier :

# Lire les métadonnées du PDF placé dans le dossier indiqué.
exiftool documents_novatech/rapport.pdf

Le programme affiche les informations qu’il parvient à lire. Selon le document, il peut notamment montrer son auteur, ses dates ou le logiciel qui l’a produit.

Étape 4 : analyser un dossier et enregistrer les résultats

Pour examiner les fichiers d’un dossier ainsi que ceux de ses sous-dossiers, on utilise :

# Examiner les formats reconnus dans le dossier et ses sous-dossiers.
exiftool -r documents_novatech

L’option -r demande à ExifTool de parcourir également les sous-dossiers. On peut limiter l’analyse à certains formats avec l’option -ext, répétée pour chaque extension souhaitée. Par exemple, pour les PDF, les documents Word .docx, les classeurs Excel .xlsx et les présentations PowerPoint .pptx :

# Limiter la lecture aux quatre extensions choisies.
exiftool -r -ext pdf -ext docx -ext xlsx -ext pptx documents_novatech

Pour conserver les résultats dans un fichier texte, on ajoute une redirection :

# Enregistrer les résultats dans le dossier de travail courant.
exiftool -r -ext pdf -ext docx -ext xlsx -ext pptx documents_novatech > resultats_novatech.txt

Le symbole > demande au terminal d’enregistrer la sortie dans resultats_novatech.txt. Si ce fichier existe déjà, son contenu est remplacé. Ces commandes lisent les métadonnées sans modifier les documents analysés.

Interpréter les résultats

Supposons qu’un document contienne le chemin suivant :

C:\Users\alex.martin\Documents\

Ce chemin fournit plusieurs indices. Sa forme correspond à un chemin Windows, et alex.martin pourrait être le nom du compte utilisé lors de la création ou de la modification du document.

Cela ne prouve toutefois pas que ce compte existe encore, ni qu’il permet de se connecter au réseau de NovaTech. Le document peut être ancien, provenir d’un ordinateur personnel ou avoir été créé à partir d’un modèle.

De même, le nom d’un logiciel présent dans les métadonnées indique généralement qu’il a participé à la création ou au traitement du fichier. Il ne suffit pas à confirmer que ce logiciel est toujours utilisé dans l’entreprise.

L’intérêt des métadonnées est donc de fournir des indices à recouper avec d’autres observations. Elles aident à mieux comprendre l’environnement technique d’une organisation, mais ne doivent pas être considérées comme des preuves suffisantes à elles seules.

Étape 5 : recouper sans compter deux fois le même indice

Si trois PDF mentionnent alex.martin, vérifiez leur origine. Trois exports d’un même modèle peuvent répéter une seule information ancienne. Des sources indépendantes, récentes et cohérentes renforcent davantage une hypothèse.

Notez aussi les contradictions. Un document ancien peut mentionner un logiciel remplacé depuis. Conservez cette différence avec ses dates plutôt que de choisir arbitrairement la version qui vous arrange.

Relier les informations techniques et humaines

La reconnaissance renseigne également sur l’organisation : fonctions des employés, prestataires, procédures et messages publics. Leur rapprochement peut révéler un risque d’ingénierie sociale, c’est-à-dire de manipulation visant à obtenir une information ou une action.

Par exemple, un nom publié, une fonction et un message d’absence détaillé peuvent rendre une usurpation d’identité plus crédible auprès d’un support. L’observation à consigner concerne alors la quantité d’informations exposées et la façon dont le support vérifie une identité.

Cela ne démontre pas que la procédure est défaillante. Toute simulation impliquant des personnes doit être explicitement prévue dans la mission. De même, les scénarios de supports USB piégés illustrent un risque humain et matériel ; leur branchement ne déclenche pas systématiquement un programme.

Qu’est-ce que l’ingénierie sociale ?

C’est une méthode de piratage qui ne s’attaque pas directement aux ordinateurs, mais à l’humain. Elle consiste à manipuler un employé pour qu’il donne, sans s’en rendre compte, des informations confidentielles sur son entreprise.

Récupérer des informations par e-mail

Vous envoyez un message à un commercial en vous faisant passer pour un client potentiel. Le commercial vous répond. En analysant les données cachées dans son e-mail (les en-têtes), vous apprenez comment fonctionnent les serveurs de messagerie de l’entreprise.

Mieux, en cas d’absence ou grâce à sa signature de mail, vous apprenez son nom complet et qu’il est en déplacement pendant deux semaines…

Le piège du support technique (par téléphone)

Fort de ces informations, vous appelez le support informatique de l’entreprise en vous faisant passer pour ce commercial… et vous prétendez être en voyage d’affaires et avoir perdu votre mot de passe.

Le technicien, convaincu par votre histoire, réinitialise le mot de passe pour vous. Vous avez désormais un accès complet au réseau de l’entreprise (e-mails, fichiers clients, VPN, etc.).

Le piège de la clé USB abandonnée

• Vous déposez une clé USB ou un CD piégé dans un endroit fréquenté de l’entreprise (hall, toilettes, parking).
• L’astuce en plus : Pour inciter les gens à la brancher, vous mettez une étiquette attractive ou intrigante comme « Confidentiel » ou « Rapports des entretiens annuels ».
• Par curiosité, un employé branche la clé sur son ordinateur. Un programme malveillant s’exécute automatiquement,contourne la sécurité et donne au pirate un accès à distance à la machine.

Pour réussir une attaque d’ingénierie sociale, le pirate a surtout besoin de temps, de préparation, de patience et d’aplomb/assurance au téléphone ou en face-à-face pour tromper la vigilance humaine.

Préparer les vérifications suivantes : valider le périmètre et choisir les priorités

Une adresse IP liée à un domaine peut appartenir à un prestataire ou héberger plusieurs clients. Une découverte n’autorise donc pas automatiquement un test. Faites confirmer les ressources et les opérations couvertes avant de poursuivre.

Inutile, également, de convertir chaque renseignement en IP : une URL, une convention de nommage ou une procédure peut conserver toute sa valeur dans l’analyse.

Classez vos pistes selon leur pertinence, la qualité des preuves et l’impact possible. « Auteur présent dans un PDF » reste une observation ; « procédure de vérification d’identité à évaluer » devient une question de test, si elle est autorisée.

Pour compléter un point incertain, comparez plusieurs sources plutôt que de multiplier les outils. Un outil de cartographie des relations, comme Maltego, peut aider à visualiser les liens ; un tableau suffit largement pour débuter. L’automatisation rassemble les indices, elle ne garantit pas leur justesse.

La fin de la période de reconnaissance

Pour conclure, lors de cette phase de reconnaissance en pentesting, la collecte d’informations sert à cartographier la surface d’attaque pour trouver les points faibles avant de tenter d’entrer.

Voici comment interpréter chaque type de donnée récoltée :

• Adresse IP : C’est l’adresse physique des équipements sur Internet. Elle permet de savoir où frapper et d’identifier les serveurs, pare-feux et sous-réseaux utilisés par l’entreprise.
• DNS (Noms de domaine) : C’est le carnet d’adresses. Il permet de découvrir des serveurs cachés, des sous-domaines oubliés ou des espaces de test moins bien sécurisés.
• E-mails : Ce sont les cibles pour la manipulation (ingénierie sociale). Ils permettent de connaître le format des identifiants (ex: prenom.nom@entreprise.com) et d’identifier les rôles clés (commercial, support, administrateur).
• Documents (PDF, Word) : Ce sont des mines d’or cachées. Leurs métadonnées révèlent souvent les noms des employés, les versions des logiciels utilisés, la structure des dossiers internes et parfois des identifiants.

En résumé : Toutes ces informations mises bout à bout forment un plan complet de l’entreprise. Elles permettent au tester de choisir la porte la plus fragile pour s’introduire.

Et si vous examiniez vos propres documents ?

Choisissez un PDF que vous avez publié et observez ce qu’il révèle avec ExifTool. Comparez ensuite ces informations avec celles que vous souhaitiez partager.

Ce décalage ouvre une question très concrète : comment préparer vos fichiers avant leur publication pour limiter les renseignements inutiles ? Vous passerez ainsi de l’interprétation des traces à la maîtrise de votre propre exposition numérique.

ExifTool : L’analyse des métadonnées