PentestRecon v1.5

Exposure detection vulnerability intelligence and automated reconnaissance for modern web applications.

Surveillez en temps réel les vecteurs d'attaque exposés sur vos applications web.

OWASP TOP 10 · CVSS SCORING · OSINT · 9 MODULES

Activité mondiale en direct

23,456 cyber events

● OK ● WARN ● VULN

Activité Cyber Mondiale LIVE

23,456

cyber events en cours

Malware8,245

Phishing7,842

Exploits4,531

DDoS2,838

> SCAN

> HISTORY

> DIFF

> GUIDE

> TARGET URL

PASS

WARN

VULN

SCORE

AWAITING TARGET

Entrez une URL cible et lancez le scan

> SCAN HISTORY

[*] No scans in history yet.

> COMPARE TWO SCANS

SCAN A (reference)

SCAN B (comparaison)

[*] Selectionnez deux scans et cliquez sur COMPARER.

// PENTESTRECON v1.5 — GUIDE COMPLET

PentestRecon est un outil de pré-audit de sécurité web automatisé. Il analyse un site internet en moins de 60 secondes et identifie les failles, mauvaises configurations et vulnérabilités potentielles à travers 9 modules d'analyse.

Il est conçu pour être utilisé par des pentesters juniors et seniors dans le cadre de missions d'audit autorisées, et pour produire des rapports professionnels livrables directement au client.

⚖ UTILISATION LÉGALE — À LIRE OBLIGATOIREMENT

✗ Ne jamais scanner un site sans autorisation écrite explicite du propriétaire. Scanner un site sans permission est une infraction pénale dans la plupart des pays (loi CFAA aux USA, article 323-1 du Code Pénal en France, similaire en Côte d'Ivoire).
✗ Ne jamais utiliser les commandes [EXPLOIT] sur des cibles non autorisées — même pour "tester".
✗ Ne jamais partager les résultats d'un scan sans accord du client.
✗ Ne pas utiliser cet outil sur des infrastructures gouvernementales, bancaires ou critiques sans contrat en règle.
✓ Toujours obtenir un contrat d'audit signé avant toute opération.
✓ Documenter chaque action dans un rapport horodaté.
✓ Utiliser [VERIFY] pour confirmer avant [EXPLOIT].
✓ En cas de doute sur la légalité d'une action, ne pas la faire.

> LA BARRE DE SCAN — LES BOUTONS

Champ URL

Entrez l'URL complète avec le protocole : https://monsite.com. Appuyez sur Entrée ou cliquez [ SCAN ].

[ SCAN ]

Lance l'analyse complète sur les 9 modules en parallèle. Le SCAN LOG s'ouvre et affiche chaque étape en temps réel. Durée : 15 à 60 secondes selon le site.

[ EXPORT HTML ]

Télécharge un rapport HTML complet avec tous les findings, scores CVSS, payloads et commandes. Ouvrable dans tout navigateur. Livrable directement au client.

[ EXPORT MD ]

Télécharge le rapport en format Markdown. Utilisable dans Notion, GitHub, GitLab, ou tout éditeur de rapport professionnel.

✨ [ ANALYSER AVEC IA ]

Apparaît uniquement après un scan. L'IA (Claude Sonnet) génère un résumé exécutif, priorise les findings, détecte les faux positifs, et donne des recommandations adaptées à votre stack technique.

[ RESET ]

Efface tous les résultats affichés et remet l'interface à zéro. L'historique des scans est conservé côté serveur.

> LES 4 STATISTIQUES DE SCAN

PASS

Nombre de vérifications sans problème. Plus c'est élevé, mieux c'est.

WARN

Avertissements — problèmes réels mais pas encore critiques. À corriger rapidement.

VULN

Vulnérabilités critiques. À corriger immédiatement. Potentiellement exploitables.

SCORE

Score global de sécurité en %. 80%+ = faible risque. Moins de 50% = critique.

> LE SCORE DE SÉCURITÉ — COMMENT IL EST CALCULÉ

Le score est calculé en 3 couches pondérées :

Web Vulns (60%) — XSS, SQLi, formulaires, cookies, secrets exposés. Les failles directement exploitables.

Security Config (30%) — Headers de sécurité manquants, fingerprinting, version exposée, CORS.

OSINT / Infra (10%) — DNS, WHOIS, CDN, sous-domaines exposés, SPF/DMARC.

80%+

FAIBLE RISQUE

70–80%

MODÉRÉ

50–70%

ÉLEVÉ

-50%

CRITIQUE

> LES 3 BOUTONS SUR CHAQUE FINDING

[VERIFY]

Copie dans le presse-papier la commande curl ou nslookup pour confirmer manuellement que la faille est réellement présente. Toujours vérifier avant d'agir.

[EXPLOIT]

Copie la commande exacte d'exploitation (sqlmap, hydra, curl avec payload). Uniquement sur des cibles pour lesquelles vous avez une autorisation contractuelle écrite. Ne jamais utiliser sur des systèmes en production sans accord.

[PAYLOAD]

Copie le payload brut (ex: ' OR 1=1-- pour SQLi, <script>alert(1)</script> pour XSS). Utile pour tester manuellement dans les formulaires ou paramètres URL.

> LES BADGES SUR CHAQUE FINDING

CONFIRMED

Détection fiable avec plusieurs indicateurs concordants.

SUSPECTED

À vérifier manuellement — possible faux positif.

HARDENING

Recommandation de durcissement — pas une vuln active.

conf:high / conf:medium

Niveau de confiance de la détection automatique.

> LE SCORE CVSS — COMPRENDRE LES NIVEAUX

Le CVSS (Common Vulnerability Scoring System) est le standard international de notation des failles de sécurité :

CVSS 9.0 – 10.0CRITIQUE — Exploitation immédiate possible, impact total

CVSS 7.0 – 8.9ÉLEVÉ — Risque sérieux, correctif urgent

CVSS 4.0 – 6.9MOYEN — À corriger dans les 30 jours

CVSS 0.1 – 3.9FAIBLE — Risque limité, correctif planifiable

> LES 9 MODULES D'ANALYSE — DÉTAIL COMPLET

[NET] ACCÈS ET PROTOCOLE

• Site inaccessible ou timeout — serveur down ou DoS possible
• HTTP sans redirection HTTPS — trafic interceptable en clair
• Temps de réponse > 5s — potentiel DoS ou serveur saturé

[HDR] SECURITY HEADERS — 8 vérifications

• CSP absent — XSS non bloqué (CVSS 6.1)
• CSP avec unsafe-inline ou unsafe-eval — protection contournable
• HSTS absent — downgrade HTTP possible
• X-Frame-Options absent — clickjacking possible
• X-Content-Type-Options absent — MIME sniffing
• Referrer-Policy absent — fuite d'URLs internes
• Permissions-Policy absent — accès caméra/micro non restreint
• CORS wildcard (*) — requêtes cross-origin non restreintes

[CKI] COOKIES ET SESSION

• Cookie sans Secure — transmis en HTTP clair, interceptable
• Cookie sans HttpOnly — lisible en JavaScript, vol via XSS
• Cookie sans SameSite — CSRF potentiellement possible

[PTH] CHEMINS SENSIBLES — 20 chemins testés

• /.env — credentials et clés API en clair (CVSS 9.8)
• /.git/HEAD — code source téléchargeable (CVSS 7.5)
• /admin, /administrator — interface admin exposée
• /console — exécution de code RCE (CVSS 10.0)
• /backup.zip — sauvegarde téléchargeable (CVSS 9.8)
• /phpinfo.php — config PHP exposée
• /api/v1, /graphql — endpoints API sans auth
• /swagger — documentation API publique
• /actuator — Spring Boot exposé (CVSS 8.2)
• /wp-admin, /wp-login.php — WordPress brute-force
• /test, /dev, /staging — environnements non sécurisés
• HTTP 403 — bypass possible via headers spéciaux

[FNG] FINGERPRINTING

• Version serveur exposée — CVE recherchables
• X-Powered-By exposé — technologie backend révélée
• WordPress détecté (≥2 indicateurs) — CMS le plus ciblé
• Drupal, jQuery, Angular, React, Vue, Next.js détectés
• Chaque technologie donne des vecteurs d'attaque spécifiques

[FRM] FORMULAIRES ET INJECTIONS

• Formulaire login — SQLi auth bypass, brute-force, sqlmap (CVSS 9.8)
• Formulaire recherche — XSS réfléchi, SQLi sur paramètre GET/POST
• Formulaire upload — upload webshell, RCE possible (CVSS 9.9)

[DNS] DNS / WHOIS / CERTIFICATS SSL

• SPF absent — spoofing email possible depuis ce domaine
• DMARC absent ou policy=none — phishing non bloqué
• IP directe exposée — serveur attaquable sans CDN
• CDN détecté — IP réelle masquée, stratégie différente
• Sous-domaines via crt.sh — environnements staging potentiels
• WHOIS — registrar, dates d'enregistrement et expiration

[SEC] SECRETS & API KEYS — NOUVEAU v1.5

Scanne le HTML et les fichiers JavaScript du site pour détecter des secrets exposés :
• AWS Access Key (CVSS 9.8) — accès aux ressources cloud
• GitHub Token — accès aux repositories privés
• Stripe sk_live — accès aux paiements réels
• Google API Key — abus possible selon permissions
• Firebase Config — vérifier les règles de sécurité
• Twilio, SendGrid — SMS et emails frauduleux possibles
• Clé privée RSA/PEM — compromission totale
• JWT Secret hardcodé — forge de tokens d'auth
• Mot de passe en dur — accès non autorisé
• Connection string DB — accès base de données
• Slack Webhook — envoi de messages frauduleux
• Clé Anthropic/OpenAI — coûts frauduleux

Note: Les valeurs détectées sont masquées (ex: sk-an****t-key) dans le rapport.

[XSS] XSS RÉFLÉCHI — NOUVEAU v1.5

Teste si des paramètres GET sont réfléchis dans la réponse HTTP :
• Paramètres existants dans l'URL cible
• Paramètres communs : q, search, id, name, query, filter...
• Paramètres extraits des liens de la page
• Détection du contexte : tag HTML, attribut, texte brut

Important: Les détections XSS sont marquées SUSPECTED car une vérification manuelle est toujours requise. Un paramètre réfléchi ne signifie pas automatiquement XSS exploitable — les encodages côté serveur peuvent bloquer l'exploitation.

> SECTION [REC] — CONCLUSIONS & RECOMMANDATIONS

Après chaque scan, une section spéciale apparaît avec pour chaque problème :

CE QUE ÇA VEUT DIRE — Explication claire en langage non technique
RISQUE CONCRET — Ce qu'un attaquant peut faire avec cette faille
COMMENT CORRIGER — La commande ou configuration exacte à donner au développeur

> ONGLET HISTORY — HISTORIQUE DES SCANS

Chaque scan est sauvegardé automatiquement côté serveur.

[ LOAD ] — Recharge un scan précédent avec tous ses résultats
[ DEL ] — Supprime un scan spécifique
[ CLEAR ALL ] — Efface tout l'historique

Note: L'historique est stocké sur le serveur Render. En plan gratuit, il peut être réinitialisé lors d'un redémarrage.

> ONGLET DIFF — COMPARER DEUX SCANS

Sélectionnez deux scans et cliquez [ COMPARER ]. L'outil affiche exactement ce qui a changé entre les deux analyses :

DÉGRADÉ — Failles qui ont empiré entre les deux scans
NOUVEAU — Nouvelles failles apparues dans le scan B
AMÉLIORÉ — Failles qui se sont améliorées
CORRIGÉ — Failles qui ont disparu
INCHANGÉ — Failles présentes dans les deux scans

Usage typique : Scan A avant correctif, Scan B après correctif. Le diff prouve au client que les corrections ont été appliquées.

> LIMITATIONS — CE QUE L'OUTIL NE FAIT PAS

PentestRecon est un outil de pré-audit passif. Il ne remplace pas un pentest complet.

✗ Ne teste pas les vulnérabilités côté serveur (SQLi réelle, RCE)
✗ Ne peut pas détecter les failles logiques métier
✗ Ne teste pas les failles d'authentification multi-étapes
✗ Ne fait pas de fuzzing agressif
✗ Les XSS stockés et DOM-based nécessitent un test manuel
✗ Les résultats peuvent contenir des faux positifs (surtout SUSPECTED)

Recommandation : Utiliser PentestRecon comme première étape d'audit, puis compléter avec Burp Suite, Nmap et des tests manuels.

PentestRecon v1.5 — Outil de pré-audit de sécurité web — Développé par M'BRA Koffi Jeannot