Ce que YouTube vous apprend vraiment sur le hacking (et là où il ment)
YouTube est une excellente porte d'entrée vers la sécurité offensive et un très mauvais endroit pour creuser. Comment l'utiliser sans se mentir.
La plupart des gens en sécurité ont commencé pareil. Une vidéo de LiveOverflow à 1h du matin, la vague intuition que c'était soluble, et trois heures de plus envolées. YouTube est le meilleur outil de recrutement que la sécurité offensive ait jamais eu. Il est aussi responsable d'un blocage très précis qui mérite qu'on le nomme.
Le format récompense les mauvaises choses. Un bon walkthrough d'exploit dure 14 minutes parce que le créateur a coupé les quatre heures où rien ne marchait. Vous voyez le chemin propre. Vous ne voyez pas les impasses, la mauvaise hypothèse qui a bouffé un après-midi, le moment où il a relu le code source et compris que le bug était ailleurs. Ce montage est du bon cinéma et de la mauvaise pédagogie, parce que les impasses, c'était ça la leçon.
Ce que le format réussit vraiment
La largeur, et le goût. Avant de creuser quoi que ce soit, il faut savoir que le terrain existe. En regardant quelqu'un rooter une machine sur Hack The Box, reverser un malware ou enchaîner trois bugs web mineurs jusqu'au vol de compte, vous construisez une carte de ce que le domaine contient. Cette carte est difficile à obtenir autrement, et YouTube vous la donne gratuitement.
Il excelle aussi à montrer les outils en mouvement. Lire la doc de Burp Suite vous dit ce que fait l'onglet Repeater. Regarder quelqu'un modifier une requête à la volée, remarquer que la taille de la réponse a changé de deux octets et pivoter dessus, ça vous dit à quoi l'outil sert. Ce réflexe du "qu'est-ce que je regarde ensuite" se transmet vraiment en vidéo, ce qui n'est pas le cas à l'écrit.
Et il est bon pour la motivation, qu'on sous-estime. La sécurité a un plateau de début brutal où tout est difficile et rien ne marche. Voir quelqu'un que vous respectez rendre ça fun est parfois la seule chose qui vous garde sur la chaise.
Là où il vous lâche en silence
La profondeur, évidemment. Aucune vidéo ne vous apprend à lire un fichier C de 4000 lignes en gardant l'organisation du tas en tête. Ça vient en le faisant, mal, beaucoup de fois.
L'échec plus sournois, c'est l'illusion de compétence. Vous regardez IppSec rooter une machine proprement et votre cerveau classe ça dans "je comprends". Faux. Vous avez compris son chemin. Asseyez-vous devant une machine vierge sans walkthrough et l'écart devient assourdissant. Le nombre de gens capables de suivre un writeup et le nombre capables d'en produire un n'ont rien à voir.
Il y a aussi un problème de fraîcheur dont personne ne parle. Une vidéo de 2021 sur le contournement d'un WAF précis ou l'exploitation d'une désérialisation Java vous enseigne peut-être une technique morte depuis deux ans. Les protections ont bougé. Le payload de la vidéo renvoie un 403 maintenant. Vous allez cramer une soirée à croire que vous vous êtes trompé alors que c'est internet qui a pourri sous le tuto. Regardez toujours la date de publication, et partez du principe que tout ce qui touche à la sécurité et date de plus de 18 mois doit être vérifié contre le comportement actuel.
Comment s'en servir pour de vrai
Regardez une fois pour la forme, puis fermez l'onglet et reproduisez à froid. Si vous n'y arrivez pas, vous n'avez pas appris, vous avez regardé. Cette seule discipline sépare ceux qui plafonnent de ceux qui avancent.
Mettez en pause et prédisez. Avant que le créateur lance la commande suivante, dites à voix haute ce que vous lanceriez et pourquoi. Quand vous vous trompez, c'est le signal, c'est exactement l'endroit où votre modèle du système est cassé. La plupart des gens regardent passivement et se demandent pourquoi rien ne reste.
Associez chaque vidéo à du texte. Regardez le walkthrough façon OSCP, puis allez lire la page HackTricks de la technique, puis la recherche d'origine s'il y en a une. La vidéo donne l'intuition, le texte donne la précision, l'advisory d'origine donne la vérité. Il faut les trois.
Et arrêtez de collectionner les chaînes. Le réflexe au début, c'est de s'abonner à quarante chaînes et de se sentir productif en le faisant. Choisissez trois ou quatre personnes dont vous faites confiance à la profondeur, parcourez sérieusement leur catalogue, et ignorez l'algorithme qui essaie de vous resservir la même vidéo Nmap pour débutants pour la neuvième fois.
L'annuaire qui héberge ce blog existe en partie à cause de ce dernier problème. Trouver les gens qui creusent vraiment, dans votre langue, sur le sujet qui vous intéresse, est plus difficile que ça ne devrait l'être. Les miniatures se ressemblent toutes. Les bons ne sont pas toujours les plus bruyants.