OWASP JoomScan : le scanner de vulnérabilités open source pour sécuriser vos sites Joomla

Joomla, ce CMS que tout le monde oublie de surveiller

Joomla, ça vous parle ? Ce gestionnaire de contenu propulse encore des centaines de milliers de sites à travers le monde, des vitrines associatives aux portails d'entreprise. Et comme tout logiciel populaire, il attire naturellement l'attention des personnes mal intentionnées. Le souci, c'est qu'un site Joomla n'est jamais tout seul : il embarque un cœur, mais surtout une ribambelle de composants, de modules et d'extensions installés au fil du temps. Chacun de ces morceaux peut cacher une faille, une version obsolète ou une mauvaise configuration qui ouvre grand la porte.

Le problème, vous le sentez venir, c'est qu'auditer tout ça à la main relève du chemin de croix. Vérifier la version installée, croiser les composants avec les bases de vulnérabilités connues, chercher les fichiers de sauvegarde oubliés dans un coin… Personne n'a envie de passer ses soirées là-dessus. C'est exactement là qu'un outil comme OWASP JoomScan entre en scène.

OWASP JoomScan, scanner de vulnérabilités pour Joomla - Crédit photo : © Gitbub.com

OWASP JoomScan, c'est quoi au juste ?

OWASP JoomScan est un scanner de vulnérabilités open source pensé pour une seule mission : automatiser la détection de failles sur les installations Joomla. Développé sous l'égide de l'OWASP (l'organisation de référence en matière de sécurité applicative) et porté par Mohammad Reza Espargham et Ali Razmjoo, il est écrit en Perl et distribué sous licence GPLv3. Autrement dit, il est totalement gratuit, ouvert, et vous pouvez regarder sous le capot autant que vous voulez.

Sa philosophie tient en un mot : la légèreté. Pas d'usine à gaz, pas de dépendances à rallonge. Vous lancez une commande, l'outil interroge le site cible comme le ferait un visiteur, analyse les réponses et vous rend un rapport clair. Le tout avec une empreinte système minimale, ce qui explique qu'il soit intégré par défaut dans Kali Linux, la distribution favorite des professionnels du test d'intrusion.

L'idée n'est pas de pirater un site, mais de repérer ses points faibles avant que quelqu'un d'autre ne le fasse à votre place.

Ce qu'il sait faire concrètement

Sous ses airs de petit script discret, JoomScan couvre une belle palette de vérifications. Il commence par identifier la version exacte de Joomla installée, une information précieuse puisqu'elle permet immédiatement de savoir si le cœur du CMS traîne des vulnérabilités connues. Il enchaîne ensuite avec l'énumération des composants : sa base embarque plus de 1 200 composants populaires et environ 1 030 exploits associés, de quoi débusquer l'extension vieillissante que vous aviez oubliée.

Mais il ne s'arrête pas là. L'outil sait aussi détecter la présence d'un pare-feu applicatif (WAF), repérer les fichiers de logs et de sauvegarde laissés accessibles par mégarde, et pointer les mauvaises configurations qui fragilisent l'ensemble. À la fin de son passage, il génère un rapport lisible au format texte ou HTML, que vous pouvez archiver ou transmettre à un client sans avoir à tout reformater.

Comment on s'en sert ?

Bonne nouvelle : la prise en main est déconcertante de simplicité. Sur Kali Linux, l'outil est déjà présent. Ailleurs, un petit clone du dépôt suffit et vous êtes prêt à démarrer :


git clone https://github.com/OWASP/joomscan.git
cd joomscan
perl joomscan.pl --url www.exemple.com

Cette commande de base lance déjà une analyse complète. Si vous voulez pousser jusqu'à l'énumération des composants installés, il suffit d'ajouter l'option dédiée :


perl joomscan.pl --url www.exemple.com --enumerate-components

Et pour ceux qui aiment rester discrets ou travailler dans des conditions réalistes, JoomScan propose tout un arsenal d'options : choisir un User-Agent personnalisé, en piocher un au hasard, passer par un proxy, injecter des cookies de session ou ajuster le délai d'expiration des requêtes. Une préférence pour Docker ? Une image est fournie, ce qui vous évite d'installer Perl et ses dépendances à la main.

Un tableau des options bien pratique

Pour vous y retrouver, voici les principaux drapeaux à connaître : --url (ou -u) pour désigner la cible, --enumerate-components (ou -ec) pour scanner les composants, --user-agent (ou -a) pour définir un en-tête sur mesure, --random-agent (ou -r) pour en tirer un au hasard, sans oublier --proxy, --cookie et --timeout pour affiner le comportement. Un --update maintient par ailleurs la base de signatures à jour.

Pourquoi l'adopter ?

L'intérêt de JoomScan tient d'abord à son rapport bénéfice/effort imbattable. En quelques secondes de configuration, vous obtenez une cartographie des risques qui vous aurait demandé des heures de vérifications manuelles. Pour un administrateur qui gère un ou plusieurs sites Joomla, c'est un moyen simple de faire un point de santé régulier et de prioriser les mises à jour vraiment urgentes.

Son statut de projet OWASP est également un gage de sérieux : le code est ouvert, audité par une communauté, et sa base de vulnérabilités s'enrichit avec le temps. Ajoutez à cela sa gratuité, sa légèreté et sa présence native dans Kali Linux, et vous comprenez pourquoi il figure dans la boîte à outils de nombreux pentesteurs.

On appréciera aussi sa capacité à s'intégrer dans une routine automatisée. Comme il tourne en ligne de commande et produit des rapports exploitables, rien ne vous empêche de le programmer pour qu'il vérifie vos sites à intervalles réguliers et vous alerte au moindre écart. Pour une agence qui héberge plusieurs sites Joomla, ou pour un prestataire chargé de la maintenance, ce genre de contrôle périodique devient vite un réflexe salutaire plutôt qu'une corvée ponctuelle.

En résumé, OWASP JoomScan ne fera pas les mises à jour à votre place et ne remplacera pas un audit complet mené par un professionnel. En revanche, il vous offre un premier niveau de visibilité indispensable sur l'état réel de vos installations Joomla. Et dans un domaine où la plupart des piratages exploitent des failles connues depuis des mois, savoir où l'on met les pieds fait déjà une énorme différence.

Avertissement

L'utilisation de ce programme ne peut se faire que dans le cadre légal d'un audit de vulnérabilités, basé sur le consentement mutuel. Il est de la responsabilité de l'utilisateur final de ne pas utiliser ce programme dans un autre cadre. SecuriteInfo.com n'assume aucune responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.

Téléchargement

Quelques suggestions sur le sujet de la sécurité des sites web

Vous avez aimé cet article ? Voici quelques suggestions qui devraient vous plaire :