Ce qu'Instagram vous apprend vraiment sur le hacking (et là où il ment)

La plupart des gens en sécurité ont commencé pareil. Un reel de LiveOverflow à 1h du matin, la vague intuition que c'était soluble, et trois heures de plus envolées. Instagram est le meilleur outil de recrutement que la sécurité offensive ait jamais eu. Il est aussi responsable d'un blocage très précis qui mérite qu'on le nomme.

Le format récompense les mauvaises choses. Un bon walkthrough d'exploit tient en un clip de 60 secondes parce que le créateur a coupé les quatre heures où rien ne marchait. Vous voyez le chemin propre. Vous ne voyez pas les impasses, la mauvaise hypothèse qui a bouffé un après-midi, le moment où il a relu le code source et compris que le bug était ailleurs. Ce montage est du bon cinéma et de la mauvaise pédagogie, parce que les impasses, c'était ça la leçon.

Ce que le format réussit vraiment

La largeur, et le goût. Avant de creuser quoi que ce soit, il faut savoir que le terrain existe. En voyant quelqu'un rooter une machine sur Hack The Box, reverser un malware ou enchaîner trois bugs web mineurs jusqu'au vol de compte, vous construisez une carte de ce que le domaine contient. Cette carte est difficile à obtenir autrement, et Instagram vous la donne gratuitement.

Il excelle aussi à montrer les outils en mouvement. Lire la doc de Burp Suite vous dit ce que fait l'onglet Repeater. Voir quelqu'un modifier une requête à la volée, remarquer que la taille de la réponse a changé de deux octets et pivoter dessus, ça vous dit à quoi l'outil sert. Ce réflexe du "qu'est-ce que je regarde ensuite" se transmet vraiment dans un post, ce qui n'est pas le cas à l'écrit.

Et il est bon pour la motivation, qu'on sous-estime. La sécurité a un plateau de début brutal où tout est difficile et rien ne marche. Voir quelqu'un que vous respectez rendre ça fun est parfois la seule chose qui vous garde sur la chaise.

Là où il vous lâche en silence

La profondeur, évidemment. Aucun post ne vous apprend à lire un fichier C de 4000 lignes en gardant l'organisation du tas en tête. Ça vient en le faisant, mal, beaucoup de fois.

L'échec plus sournois, c'est l'illusion de compétence. Vous voyez IppSec rooter une machine proprement et votre cerveau classe ça dans "je comprends". Faux. Vous avez compris son chemin. Asseyez-vous devant une machine vierge sans walkthrough et l'écart devient assourdissant. Le nombre de gens capables de suivre un writeup et le nombre capables d'en produire un n'ont rien à voir.

Il y a aussi un problème de fraîcheur dont personne ne parle. Un post de 2021 sur le contournement d'un WAF précis ou l'exploitation d'une désérialisation Java vous enseigne peut-être une technique morte depuis deux ans. Les protections ont bougé. Le payload du post renvoie un 403 maintenant. Vous allez cramer une soirée à croire que vous vous êtes trompé alors que c'est internet qui a pourri sous le tuto. Regardez toujours la date de publication, et partez du principe que tout ce qui touche à la sécurité et date de plus de 18 mois doit être vérifié contre le comportement actuel.

Comment s'en servir pour de vrai

Regardez une fois pour la forme, puis fermez l'appli et reproduisez à froid. Si vous n'y arrivez pas, vous n'avez pas appris, vous avez regardé. Cette seule discipline sépare ceux qui plafonnent de ceux qui avancent.

Mettez en pause et prédisez. Avant que le créateur lance la commande suivante, dites à voix haute ce que vous lanceriez et pourquoi. Quand vous vous trompez, c'est le signal, c'est exactement l'endroit où votre modèle du système est cassé. La plupart des gens scrollent passivement et se demandent pourquoi rien ne reste.

Associez chaque post à du texte. Regardez le walkthrough façon OSCP, puis allez lire la page HackTricks de la technique, puis la recherche d'origine s'il y en a une. Le post donne l'intuition, le texte donne la précision, l'advisory d'origine donne la vérité. Il faut les trois.

Et arrêtez de collectionner les comptes. Le réflexe au début, c'est de suivre quarante comptes et de se sentir productif en le faisant. Choisissez trois ou quatre personnes dont vous faites confiance à la profondeur, parcourez sérieusement leur catalogue, et ignorez l'algorithme qui essaie de vous resservir le même clip Nmap pour débutants pour la neuvième fois.

L'annuaire qui héberge ce blog existe en partie à cause de ce dernier problème. Trouver les gens qui creusent vraiment, dans votre langue, sur le sujet qui vous intéresse, est plus difficile que ça ne devrait l'être. Les miniatures se ressemblent toutes. Les bons ne sont pas toujours les plus bruyants.