Sécurité web

logo

Objectifs

Avant toute mise en ligne d'une application Web celle-ci devrait faire l'objet d'un audit de sécurité afin de vérifier qu'elle ne présente pas de faille majeure.

L'objectif de cette formation est d'apprendre à auditer une apllication Web par un test de pénétration à l'outis automatiques mais aussi manuellement.

Prérequis

Notion de développement d'apllication Web.

Connaissances de base sur Apache, PHP et MySQL.

Bases d'utilisation de Linux/Windows


Plan du cours

Jour 1
  • Les technologies du Web

    • Historiques

    • Les langages les plus utilisés

    • Les frameworks

    • Les CMS

  • Tour d'horizon des attaques sur le web

    • Qui? Pourquoi? Comment?

    • Les cibles les plus courantes

  • Classification des attaques Web

    • Présentation de l'OWASP

    • Classification des dix attaques les plus courantes

  • Installation d'un serveur LAMP

    • Installation

    • Tour d'horizon des éléments de sécurité dans le fichiers de configuration


Jour 2
  • Passage des contrôle côté client

    • Les outils inclus dans les navigateurs

    • Utilisation d'un proxy local (ZAP, BurpSuite)

    • Utilisation d'addons (Tamper Data, Web developper, etc)

    • Bonne pratique et règle de sécurité pour les contrôles côté client

  • Technique d'hameçonnage par injection dans l'URL

    • Les failles XSS

    • Les bonnes pratiques d'authentifications

    • Passage des CAPTCHA


Jour 3
  • Les injections SQL classiques

    • Rappels sur les bases de données

    • Principe des injections SQL

    • Exemples et exercices

  • Les injections SQL en aveugle

    • Principes

    • Exploitation

    • Exemples et exercices

  • Détection et exploitation des injections SQL

  • Se prémunir des injections SQL


Jour 4
  • La faille Include

    • Exploitation d'une faille include

    • Bonnes pratiques pour se prémunir des failles includes

  • La faille Upload

    • Passage des extensions et types MME

    • Mise en place d'un shell

    • Saturation du serveur

    • Contre mesure

  • La faille Upload

    • Les outils d'audit automatiques (ZAP, W3AF, Acunetix, Burpsuite)

    • Interprétation et vérification des résultats

    • Synthèse des bonnes pratiques pour la réalisation d'une apllication Web


Jour 5
  • Les contres-mesures

    • Filtrage par expressions régulières

    • Les WAF

    • Installation et réglage du mod_security d'apache

    • Les règles préconisées par l'OWASP

  • Atelier d'audit