Sensibilisation à la cybersécurité Web

Découverte des principales vulnérabilités Web par la compréhension des risques encourus tout. L’apprentissage et la mise en pratique des techniques d’attaques utilisées par des personnes malveillantes seront un fil conducteur.

Formation de 2 jours

  • Comprendre la cybersécurité Web
  • Découverte du top des 10 des vulnérabilités Web de OWASP
  • Initiation à la cryptographie
  • Découverte des bonnes pratiques

Développeur, architecte, intégrateur, chef de projet

Il est possible d’installer une marchine virtuelle (instruction de virtualisation activée dans le BIOS).

Avoir un PC/Mac portable avec :

  • Avoir déjà installer un outil de virtualisation tel que Vmware Player, Vmware Workstation ou
    Vmware Fusion (ou VirtualBox le cas échéant)
  • Minimum de 15Go d’espace libre (pour déposer et déployer la machine virtuelle)
  • Minimum 6Go de RAM
  • Minimum 2 coeurs de CPU (Intel, I3, I5, I7 ou AMD équivalent)
  • 2 ports USB libres (USB2)
  • Système 64bits avec les droits d’administrations (Windows, Linux ou Mac OS)
  • Un fichier OVA pour déployer simplement la VM sera fourni
  • QCM (en début et fin de session)
  • Support de cours PowerPoint (en français)
  • Travaux pratiques

Programme

JOUR 1

Introduction à la cybersécurité Web

  • Présentation de la cybersécurité Web (les risques, état de l’art, audit / test d’intrusion, boîte blanche / noire / grise, CIA…)

Manque de journalisation et de surveillance

  • Fichiers de logs
  • Métrologie

Désérialisation non sécurisée

  • Vulnérabilité de script
  • Sérialisation
  • Interprétation de codes malveillants

Mise à jour et vulnérabilités connues

  • Importance des mises à jour
  • 0 day
  • CVE
  • Correction rapide
  • Metasploit / Harmitage

Mauvaises configurations des entêtes

  • Headers (HttpOnly, Secure Flag, Cookie…)
  • Démonstration récupération Headers

TP : Récupération des entêtes

  • Récupérer les entêtes (manipulation sur navigateur)
  • Identifier les plus importants

Mauvaises configurations cryptographiques

  • HTTPS
  • TLS
  • Certificat
  • Chaîne de certifications
  • Cipher suite
  • Démonstration de consultation des cipher suite

TP : Contrôle de la qualité cryptographique

  • Contrôler le certificat, naviguer dans les cipher suite et utilisation de ssl_checker
  • Comparer avec les normes, Qualys SSL LAB

Cross-site Scripting (XSS)

  • Principe d’interprétation de code
  • Différence XSS Stocké/Réfléchie
  • Démonstration moteur de recherche
  • Démonstration injection DOM

TP : Injection XSS

  • Injecter une XSS dans l’ecran de login (réféchie) et profile (stockée)

JOUR 2

TP : Exposition de données sensibles

  • Chiffrement des données
  • Accès restreint

XML External Entity (XXE)

  • XML
  • Peut interagir avec le système malgré son utilisation

Contrôle d’accès cassé

  • Contournement d’URL
  • Accès à des données non contrôlée (API)

Injection base de données

  • Fonctionnement BDD
  • Requête typique “OR 1 = 1
  • Démonstration SQLi Moteur de recherche et SQLi blind

Défauts d’autorisations

  • Authentification
  • Cookie de session
  • Vol de Cookie
  • XSS
  • Démonstration d’accès à l’avatar
  • Démonstration de changement de rôle

TP : Manipulation de défauts d’autorisations

  • Path transversal
  • Défaut d’autorisation à l’avatar
  • Changement d’un champs grisé
  • Changement d’un rôle

Vous avez un besoin en cybersécurité ?

Retour en haut