Découverte des principales vulnérabilités Web par la compréhension des risques encourus tout. L’apprentissage et la mise en pratique des techniques d’attaques utilisées par des personnes malveillantes seront un fil conducteur.
Formation de 2 jours
- Comprendre la cybersécurité Web
- Découverte du top des 10 des vulnérabilités Web de OWASP
- Initiation à la cryptographie
- Découverte des bonnes pratiques
Développeur, architecte, intégrateur, chef de projet
Il est possible d’installer une marchine virtuelle (instruction de virtualisation activée dans le BIOS).
Avoir un PC/Mac portable avec :
- Avoir déjà installer un outil de virtualisation tel que Vmware Player, Vmware Workstation ou
Vmware Fusion (ou VirtualBox le cas échéant) - Minimum de 15Go d’espace libre (pour déposer et déployer la machine virtuelle)
- Minimum 6Go de RAM
- Minimum 2 coeurs de CPU (Intel, I3, I5, I7 ou AMD équivalent)
- 2 ports USB libres (USB2)
- Système 64bits avec les droits d’administrations (Windows, Linux ou Mac OS)
- Un fichier OVA pour déployer simplement la VM sera fourni
- QCM (en début et fin de session)
- Support de cours PowerPoint (en français)
- Travaux pratiques
Programme
JOUR 1
Introduction à la cybersécurité Web
- Présentation de la cybersécurité Web (les risques, état de l’art, audit / test d’intrusion, boîte blanche / noire / grise, CIA…)
Manque de journalisation et de surveillance
- Fichiers de logs
- Métrologie
Désérialisation non sécurisée
- Vulnérabilité de script
- Sérialisation
- Interprétation de codes malveillants
Mise à jour et vulnérabilités connues
- Importance des mises à jour
- 0 day
- CVE
- Correction rapide
- Metasploit / Harmitage
Mauvaises configurations des entêtes
- Headers (HttpOnly, Secure Flag, Cookie…)
- Démonstration récupération Headers
TP : Récupération des entêtes
- Récupérer les entêtes (manipulation sur navigateur)
- Identifier les plus importants
Mauvaises configurations cryptographiques
- HTTPS
- TLS
- Certificat
- Chaîne de certifications
- Cipher suite
- Démonstration de consultation des cipher suite
TP : Contrôle de la qualité cryptographique
- Contrôler le certificat, naviguer dans les cipher suite et utilisation de ssl_checker
- Comparer avec les normes, Qualys SSL LAB
Cross-site Scripting (XSS)
- Principe d’interprétation de code
- Différence XSS Stocké/Réfléchie
- Démonstration moteur de recherche
- Démonstration injection DOM
TP : Injection XSS
- Injecter une XSS dans l’ecran de login (réféchie) et profile (stockée)
JOUR 2
TP : Exposition de données sensibles
- Chiffrement des données
- Accès restreint
XML External Entity (XXE)
- XML
- Peut interagir avec le système malgré son utilisation
Contrôle d’accès cassé
- Contournement d’URL
- Accès à des données non contrôlée (API)
Injection base de données
- Fonctionnement BDD
- Requête typique “OR 1 = 1
- Démonstration SQLi Moteur de recherche et SQLi blind
Défauts d’autorisations
- Authentification
- Cookie de session
- Vol de Cookie
- XSS
- Démonstration d’accès à l’avatar
- Démonstration de changement de rôle
TP : Manipulation de défauts d’autorisations
- Path transversal
- Défaut d’autorisation à l’avatar
- Changement d’un champs grisé
- Changement d’un rôle
Vous avez un besoin en cybersécurité ?
