Je parlais de ce très bon framework dans mon article énumérant des outils pour tester la sécurité de son site web.
SET est un Multiple tools pentest, en gros un ensemble d'outils personnalisés permettant d'augmenter et de simuler des attaques de type social-engineering afin de pouvoir tester comment une attaque peut réussir sur votre serveur. Pour l'instant celui-ci supporte deux méthodes d'attaque principales, une utilisant des Metasploits et l'autre passant par un site virtuel malicieux envoyant des attaques Java.
Aujourd'hui la version 3 ayant pour nom de code #WeThrowBaseballs vient de sortir et propose un grand nombre de modifications/nouveautés :
- Code entièrement revu
- Support pour Windows - Testé sur Windows 7 et Vista mais les outils basés sur Metasploit ne fonctionnent pas encore.
- Nouveau vecteur d'attaque par QRCode
- De nouveaux metasploits ont été ajouté
Si vous voulez voir le reste du changelogs (assez colossal), allez voir le billet sur SecManiac qui traite de cette nouvelle version.
Vous pouvez télécharger gratuitement le Social Engineer Toolkit à partir de SecManiac. Une vidéo a également été publiée pour vous montrer les nouveautés intégrées dans cette version :
La première chose que vous vous dites lorsque vous choisissez un hébergeur est sans doute la capacité de stockage. "Mais quelle quantité puis-je stocker ou de quelle quantité ais-je besoin?"
Lorsque vous chercherez un hébergeur, vous verrez souvent la notion de bande passante apparaître. Qu'est-ce que la bande passante? C'est en fait la quantité de données que votre hôte vous permettra de télécharger ou d'envoyer (cumulativement) sur une période de 1 mois.
Une fois votre site en place, il y a de forte chances que vous ayez besoin de domaines supplémentaires pour accueillir un nouveau site comme celui d'un ami par exemple. Ce serait vraiment embêtant d'avoir à gérer plusieurs comptes d'hébergement pour chaque site... Dans le panneau d'administration de votre hébergeur, vous retrouverez souvent une section dédiée aux domaines et sous-domaines. Chaque domaine ou sous-domaine pourra pointé vers un sous-dossier de votre espace FTP.
La plupart des hébergeurs offrent un serveur de messagerie pour vos domaines. Posez-vous la question de combien de comptes emails vous pouvez acquérir et n'oubliez pas leurs choix pour recevoir ces mails. Ont-ils une interface type webmail? Intégration avec Google Apps (pour l'interface Gmail) ? Pouvez-vous recevoir les mails en utilisant un autre client (Outlook, Thunderbird, Windows Live Mail) de votre choix via le protocole IMAP ou POP? Autorisent-ils les redirections de comptes de messagerie?
De nos jours, mêmes les plus petits sites web bénéficient d'une base de donnée. Vous voulez sûrement être sûr d'utiliser une base de donnée sur laquelle vous êtes à l'aise. La plupart des hébergeurs proposent une base de donnée de type MySQL. Celles-ci sont les plus utilisées mais vous préféreriez peut être une base de type PostsgreSQL, Oracle, SQL Server ou tout autre. Rappelez-vous, si aucune publicité dans les offres ne proposent une base de donnée, celle-ci n'est sans doute pas offerte.
Beaucoup d'hébergeurs proposent aujourd'hui des solutions en un clic pour l'installation de frameworks, systèmes de blogging ou tous autres CMS suivant les contrats passés avec ceux-ci.
Pour la majorité des webmasters, cette option serait un réel extra! Pouvoir administrer son site depuis son smartphone Android ou bien son iPhone. Pour l'instant seuls 2 hébergeurs à ma connaissance proposent ce service : SliceHost et MediaTemple.
Sans doute l'un des points les plus importants à prendre en compte. Pouvez-vous leur téléphoner? A quelles heures? Ont-ils une adresse email de support? Un système de ticket? Leur temps de réponse (1h, 24h, 48h) ? Ont-ils un chat en live? Ont-ils un wiki ou une librairie avec des articles et des tutoriels?
Si vous êtes un peu plus expérimenté, vous choisirez sans doute un hébergeur proposant un accès à la console; C'est une connexion à votre serveur sur une ligne de commande via SSH.
Vous pouvez avoir la possibilité d'utiliser des fichiers .htaccess à placer dans vos répertoires. Qu'est-ce qu'un fichier .htaccess? C'est un fichier de configuration utilisé par le serveur Apache. Il permet de protéger des répertoires par mot de passe, de ré-écrire des URLs, de rediriger des pages, etc...
Un cron est un service qui permet d'exécuter des scripts automatiquement à un date et une heure spécifiée à l'avance. Chez un hébergeur ce sont plus des appels à un script en PHP ou toute autre page de votre site. Cela peut être utile pour nettoyer des répertoires de cache/sessions ou bien supprimer des comptes d'utilisateurs qui ne se sont pas connectés depuis X temps.
Cela va de soit! Mais assurez-vous que le support pour les langages côté serveur que vous souhaitez utiliser sont compris dans votre pack d'hébergement. Si vous souhaitez utiliser Django par exemple, assurez-vous que Python est supporté. Ne vous bloquez pas au PHP comme unique choix (à moins que vous soyez sûr de n'avoir besoin que de lui!)
Ne croyez pas que votre hébergeur est moins sensible à la perte de données que votre propres ordinateur! Quelles options votre hébergeur fournit-il dans ce cas comme système de backup? Fait-il des sauvegardes quotidiennes de vos bases de donnée et de vos fichiers? Si il n'offre aucune solution, à ce moment-là l'accès à la console et l'utilisation de crons peut devenir très très utile!
Pour la plupart des gens, ce ne sera pas un gros problème. Par contre si vous développez en ASP.NET, vous aurez besoin d'un serveur Windows; c'est un peu difficile à trouver et souvent un peu plus cher, mais si vous êtes un développeur de Microsoft, le surcoût en vaut la peine.
Si possible, essayez de connaître les versions des différents outils/frameworks de la plateforme que vous propose votre hébergeur. Certains ne mettent pas à jour rapidement leur plateforme alors que d'autres vous proposent même sur quelles versions vous souhaitez développer.
Il est clair que c'est un point vital de savoir qu'un visiteur peut accéder à n'importe quel moment à votre site. Lisez donc bien votre contrat et regardez le pourcentage de uptime spécifié. Prenez garde aux 99.9%. Pour vous assurer un hébergeur de confiance, une petite recherche sur Google est à faire pour savoir ce que les utilisateurs pensent de votre hébergeur. Pour ma part j'utilise le système d'alerte 
Même si vous avez déjà un nom de domaine, mieux vaut privilégier les hébergeurs qui vous l'offre et c'est ce qui se fait en général le plus souvent.
