Description

Dans ce module, les participants apprendront les concepts de sécurité des applications web, les techniques et les méthodes utilisées par les développeurs d’applications web.

Contenu technique

• Les bases de la WebApp
  o HTML
  ▪ Balises de base
  ▪ Apprendre à formater
  o PHP
  ▪ Syntaxe de base
  ▪ Définir les variables
  o Combiner HTML et PHP
  o Codes de réponse HTTP
• Concepts de la WebApp
  o Architecture des applications web
  ▪ Client, serveur et base de données
  ▪ Sites web sur les empreintes digitales
  ▪ Structure de Robots.txt
  ▪ Comprendre les points d’entrée
  o Vulnérabilités d’authentification
  ▪ Authentification vs. autorisation
  ▪ Contrôle d’accès basé sur les rôles
  ▪ Sécurisation de l’interface administrative
  ▪ Altération des paramètres
  ▪ SSL contre TLS
  ▪ Cryptage HTTPS
  o Session
  ▪ Techniques de gestion
  ▪ Cookies
  ▪ Longue durée de la session
  o Traitement des dossiers
  ▪ Traversée du chemin
  ▪ Traitement de la taille et du type de fichier
  ▪ Traitement des extensions de fichiers non sécurisés.
  

Description

Dans ce module, les participants apprendront à travailler avec les scanners d’applications web et les outils de reconnaissance, à examiner leurs rapports et à comprendre les données qu’ils fournissent. Ils apprendront également comment limiter les fuites de données sensibles.

Contenu technique

• Scanning
  o Scanners de vulnérabilité
  ▪ Nikto
  ▪ Grabber
  ▪ Zed Attack Proxy
  ▪ SQLmap
  ▪ Wfuzz
  ▪ W3af
  ▪ Vega
  ▪ Wapiti
  ▪ Féroce
  o Exfiltration des données DNS
  ▪ DIG
  ▪ DNSRecon
  ▪ DNSEnum
• Analyser
  o Découverte de l’annuaire
  ▪ Dirbuster
  ▪ Dirb
  o Outils de reconnaissance
  ▪ La moissonneuse
  ▪ Whois et Dimitry
  ▪ Maltego
  ▪ OSINT Framework

Description

Au cours de ce module, les participants découvriront les vulnérabilités les plus courantes des applications web, comment elles peuvent être exploitées et quel impact elles pourraient avoir.

Contenu technique

• Comprendre l’injection de code
  o Entités externes XML (XXE)
  o Cross-Site Scripting (XSS)
  o Trouver des données sensibles exposées
• Expoitation de la mauvaise configuration de la sécurité
  o Authentification frauduleuse
  o Contournement du contrôle d’accès défectueux
  o Désérialisation non sécurisée
  o Trouver les composants présentant des vulnérabilités connues
  o Insuffisance de l’enregistrement et de la surveillance.
  

Description

Au cours de ce module, les participants apprendront les bases de la réalisation de tests sur les applications web pour détecter les failles de sécurité soit par la force brute, soit par l’exploitation d’une vulnérabilité.

Contenu technique

• Attaquer l’essentiel
  o Principes fondamentaux de la burpsuite
  o Détection de pare-feu
  ▪ Wafw00f
  ▪ En-têtes HTTP
  o Pages de connexion Brute-Forcing
  ▪ Créer des listes de mots en utilisant Cupp et Crunch
  ▪ Utilisation de la burpsuite et de l’hydre
  o Attaques de bases de données SQL
  ▪ Union-Based
  ▪ Injection à l’aveugle
  ▪ Burpsuite Automated SQL Attacks