Bug Bounty Hunting - Tools I Use

Bug Bounty Hunting - Tools I Use

Chasse aux insectes – Outils que j'utilise

par HackerSploit · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 HackerSploit 👥 1.0M 📅 15 avril 2019 ⏱ 15 min 👁 412K 📄 tutoriel 🧭 2026-10-10
Disponible en : Français (actuel) English

Mots-clés

Burp SuiteFuzzingÉnumération de sous-domainesCMSSQLMap

Résumé

Dans cette vidéo, HackerSploit présente les outils qu’il utilise pour la chasse aux bugs (bug bounty). Il commence par rappeler son contexte : il s’est lancé dans cette activité depuis peu et veut partager sa démarche. Pour l’environnement, il recommande Kali Linux, qui intègre la plupart des outils nécessaires. Le premier outil est Burp Suite, un proxy d’interception, qu’il utilise en version communautaire. Il présente ensuite plusieurs extensions de navigateur : FoxyProxy pour gérer les proxies, Cookie Editor pour modifier les cookies, et Wapplyzer (ou BuiltWith) pour identifier les technologies d’un site. Pour le fuzzing, il utilise Wfuzz et DirBuster pour découvrir des répertoires et fichiers. Pour l’énumération de sous-domaines, il cite Knockpy (via des wordlists) et Sublist3r (via les moteurs de recherche). Il recommande également les listes SecLists, très utiles pour les tests. Scrapy est présenté comme un framework de crawling personnalisé. CyberChef est pour l’encodage/décodage. WhatCMS permet de détecter le CMS utilisé. SQLMap est pour l’injection SQL. Enfin, Striker est un outil avancé qui scanne les serveurs et contourne Cloudflare. Il annonce que la prochaine vidéo sera consacrée à la méthodologie et à la documentation.

187 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur des informations est bonne : la vidéo fournit une liste concrète d’outils utilisés couramment par les pentesters, et chaque outil est brièvement expliqué avec son usage. L’auteur s’appuie sur son expérience personnelle et donne des astuces pertinentes, comme l’utilisation de Sublist3r avec OSINT ou la préférence pour les listes SecLists. L’argumentation est solide car il justifie ses choix, par exemple pourquoi il utilise Wfuzz plutôt que d’autres fuzzers, ou pourquoi il privilégie la version communautaire de Burp Suite pour ne pas exclure certains spectateurs. Il ne se contente pas d’énumérer : il montre rapidement comment lancer chaque outil. La démonstration est claire et progressive, même si elle reste à un niveau introductif pour ce type de contenu.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est moyenne : l’auteur ne cite pas de sources techniques précises (pas de RFC, pas de références à des publications), mais il renvoie à des dépôts GitHub officiels pour chaque outil (bien que ces liens ne soient pas donnés individuellement dans la description, il indique une liste consolidée). La qualité des sources est donc correcte, car ces outils sont des standards de la sécurité web. Le titre correspond exactement au contenu : il s’agit bien d’une présentation des outils personnels de l’auteur. On note une présence publicitaire pour un VPN (NordVPN) et des liens vers des cours payants, mais cela n’affecte pas la qualité du contenu proposé. Aucun commentaire négatif majeur ; les commentaires sont très positifs, saluant la pertinence des explications et l’approche pratique.

262 mots

Adéquation titre / contenu

Le titre est parfaitement en adéquation avec le contenu : il présente les outils personnels de l'auteur pour la pratique du bug bounty.

Qualité & fiabilité

7/10

Vidéo tuto claire, pratique et bien structurée, présentant une liste d'outils connus et utilisés en sécurité. L'expertise de l'auteur est réelle, mais les informations sont données sans sources formelles ni validation externe, et reposent essentiellement sur l'expérience personnelle.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • GitHub - AlexisAhmed/BugBountyTools — Liste consolidée des outils présentés dans la vidéo.
  • HackerSploit Academy — Plateforme de formation de l'auteur.
  • Python For Ethical Hacking — Cours sur Python pour le hacking éthique.
  • The Complete Ethical Hacking Bootcamp 2019 — Cours de hacking éthique.
  • The Complete Linux System Administration Bootcamp — Cours d'administration Linux.
  • HackerSploit Forum — Forum de la communauté.
  • Hsploit — Site officiel de l'auteur.
  • HackerSploit Podcast (iTunes) — Podcast de l'auteur.
  • NordVPN (lien affilié) — Lien promotionnel pour un VPN.
  • HackerSploit Podcast (SoundCloud) — Podcast de l'auteur.
  • The Complete Deep Web Course 2018 — Cours sur le deep web.

Sources concordantes

  • Wfuzz — Fuzzer pour découverte de contenu web.
  • DirBuster — Outil de brute force de répertoires et fichiers.
  • CyberChef — Outil en ligne pour encodage, décodage, et transformation de données.
  • WhatCMS — Service de détection de CMS.
  • FoxyProxy — Extension de gestion de proxies.

Sources discordantes

  • Aucune source divergente n'est mentionnée — La vidéo ne présente pas de controverses ou de désaccords avec d'autres sources.

Apport & nouveautés

La vidéo apporte une liste pratique et commentée d’outils essentiels pour démarrer le bug bounty, avec une démonstration rapide de lancement pour chaque outil. L’originalité réside dans la sélection personnelle de l’auteur et l’approche progressive qu’il compte adopter dans sa série. Elle permet au spectateur d’avoir une vue d’ensemble des solutions disponibles, même si elle reste superficielle sur les aspects méthodologiques, qui seront traités plus tard.

Pour aller plus loin :

  • Burp Suite — Outil central de la vidéo, proxy d’interception et suite de tests d’intrusion.
  • OWASP ZAP — Alternative open-source à Burp Suite, également un proxy d’interception.
  • SecLists — Collection de listes de mots pour le fuzzing et l’énumération.
  • Sublist3r — Outil d’énumération de sous-domaines via OSINT.
  • SQLMap — Outil d’automatisation de détection et d’exploitation d’injections SQL.

128 mots

Profil radar

Le profil radar montre une vidéo équilibrée avec une quantité d'informations élevée et un niveau technique correct. La fiabilité est bonne mais non exceptionnelle, et la rigueur des sources est moyenne, car l'auteur se base sur son expérience plutôt que sur des références formelles.

Fiabilité 7/10

💬 Très positif. Sur les 30 commentaires analysés, les utilisateurs remercient massivement l'auteur et expriment leur enthousiasme pour cette série, certains soulignant la clarté des explications et la pertinence des outils présentés.