Comment énumérez-vous un serveur web que vous n'avez jamais vu auparavant ?

Un service web est le point d'appui le plus courant sur les machines OSCP, et la page d'accueil ne montre presque jamais le composant vulnérable. L'énumération web consiste à découvrir les parties de l'application que le développeur ne voulait pas que vous voyiez.

Identifier d'abord

Vérifiez les en-têtes de réponse, les cookies et le source de la page pour identifier le serveur (Apache/IIS/nginx), le langage (PHP/ASP.NET) et tout framework ou CMS. La stack décide de tout ce qui suit — quelles extensions brute-forcer et quels exploits s'appliquent.

Brute-forcer le contenu

Utilisez gobuster, feroxbuster ou ffuf contre une wordlist de qualité (la collection SecLists est la norme). Deux détails font ou défont l'opération :

• Extensions. Passez -x php,txt,bak (ou asp,aspx sur IIS) pour trouver config.php, backup.bak et admin.php, pas seulement des répertoires.
• Récursivité. Quand vous trouvez un répertoire, brute-forcez aussi à l'intérieur.

Vous traquez panneaux d'administration, pages de connexion, uploads de fichiers, robots.txt, fichiers de sauvegarde et de configuration, et chemins révélant des versions.

Hôtes virtuels et source

Si l'application se comporte différemment lorsque vous envoyez un en-tête Host:, fuzzez les vhosts avec une wordlist de noms d'hôte — beaucoup de machines cachent un second site derrière un hôte virtuel absent du DNS. Lisez toujours les commentaires HTML et le JavaScript lié ; identifiants, chemins internes et endpoints d'API y fuitent constamment.

Pourquoi le manuel compte

Les scanners automatisés ratent le contexte. Un humain remarque qu'une page « upload » associée à un dossier à listing de répertoires signifie que vous pouvez déposer et exécuter un webshell — une chaîne qu'aucun outil seul ne signale.

Ce que recherchent les recruteurs

Ils veulent un brute force de répertoires et de fichiers avec les bonnes extensions, une revue de source et une découverte de vhosts — décrits comme des étapes délibérées. « Je regarderais simplement le site web » est la réponse qui échoue.