Sécurité des applications Web - Identifier et corriger les failles OWASP

Objectif : Comprendre les enjeux de la sécurité des applications Web et maîtriser le proxy d'interception Burp Suite.

• Présentation de la fondation OWASP (Open Web Application Security Project) et du classement OWASP Top 10.
• Décryptage du protocole HTTP/HTTPS : méthodes (GET, POST, PUT, DELETE), en-têtes de sécurité et gestion des cookies.
• Prise en main avancée du proxy Burp Suite : interception de requêtes, fonctionnalités Repeater, Intruder et Sequencer.

Atelier pratique : Configuration du navigateur avec le proxy Burp Suite et modification d'une requête HTTP d'achat pour modifier le prix d'un produit.

Cas métier : Audit d'un formulaire de commande en ligne- Détection d'un défaut de validation de prix côté client.

Compétence acquise : Intercepter et manipuler des requêtes HTTP pour auditer la sécurité des échanges applicatifs.

Livrable : Le guide de prise en main du proxy Burp Suite pour l'audit Web.

Objectif : Détecter, exploiter en laboratoire et corriger les failles d'injection SQL et de commandes.

• Mécanismes des injections SQL (In-band, Blind SQLi, Error-based).
• Injections de commandes système (OS Command Injection) et traversée de répertoires (PathTraversal / LFI).
• Utilisation de l'outil automatisé SQLMap pour la preuve de concept.
• Correction globale : utilisation des requêtes préparées (PDO, PreparedStatement), assainissement et validation stricte des entrées.

Atelier pratique : Contournement d'un écran d'authentification par injection SQL et correction par réécriture du code en requêtes préparées.

Cas métier : Audit du portail d'un Espace Client- Élimination d'une faille d'injection SQL permettant d'extraire la table des utilisateurs.

Compétence acquise : Détecter et corriger les vulnérabilités d'injection SQL et de commandes.

Livrable : Le guide de remédiation contre les injections SQL et de commandes.

Objectif : Identifier et corriger les d'accès directs non sécurisés aux objets et les ruptures d'autorisation.

• Analyse de la rupture du contrôle d'accès (Broken Access Control) : failles IDOR (Insecure Direct ObjectReferences) et BOLA (Broken ObjectLevelAuthorization).
• Élévation de privilèges horizontale (accès aux données d'un autre utilisateur) et verticale (accès aux fonctions admin).
• Évasion de restrictions d'URL et manipulation des jetons d'autorisation.

Atelier pratique : Exploitation d'une faille IDOR permettant de télécharger la fiche de paie d'un collègue et ajout du contrôle des droits serveur.

Cas métier : Audit d'une API d'un service de facturation- Sécurisation du contrôle d'accès sur chaque identifiant de facture.

Compétence acquise : Implémenter un contrôle d'accès serveur rigoureux au niveau objet et méthode.

Livrable : Le modèle de matrice de contrôle d'accès applicatif.

Objectif : Sécuriser la logique de connexion, le stockage des mots de passe et la gestion des sessions utilisateur.

• Faiblesses d'authentification : force brute sur les formulaires de connexion, énumération d'identifiants.
• Stockage non sécurisé des mots de passe : hachage faible (MD5/SHA1) vs hachage fort avec sel (bcrypt, Argon2).
• Sécurisation des cookies de session : attributs HttpOnly, Secure, SameSite=Strict/Lax et renouvellement de jetons.

Atelier pratique : Attaque par force brute sur un formulaire avec Burp Intruder et mise en place d'un verrouillage de compte et d'un captcha.

Cas métier : Sécurisation de l'accès au back-office e-commerce- Mise en place du MFA et sécurisation des cookies.

Compétence acquise : Sécuriser le processus d'authentification et le cycle de vie des sessions Web.

Livrable : La check-list de sécurisation des authentifications et des sessions Web.

Objectif : Neutraliser les attaques XSS et CSRF et sécuriser l'authentification par jetons JWT sur les API.

• Attaques Cross-Site Scripting (XSS Reflected, Stored, DOM) : injection de scripts malveillants et vol de cookies.
• Cross-Site Request Forgery (CSRF) : pièges de requêtes forcées et jetons Anti-CSRF.
• Sécurité des API Web et des jetons JWT : signature des jetons, expiration et attaque par algorithme None.

Atelier pratique : Vol de session par XSS Stored et mise en place de la Content Security Policy (CSP) et de l'encodage HTML.

Cas métier : Sécurisation d'une application collaborative d'entreprise- Élimination des failles XSS dans les champs de saisie enrichis (WYSIWYG).

Compétence acquise : Protéger les applications et API Web contre les vulnérabilités XSS, CSRF et les fausses signatures JWT.

Livrable : Les filtres d'encodage XSS et la politique Content Security Policy (CSP).

Objectif : Identifier les failles de défaillances cryptographiques, les failles SSRF et rédiger le rapport d'audit.

• Défaillances cryptographiques (OWASP) : fuite de données sensibles, algorithmes obsolètes, mauvaise gestion des certificats TLS.
• Server-Side Request Forgery (SSRF - OWASP) : rebond depuis le serveur Web vers des ressources internes ou des API Cloud.
• Méthodologie de rédaction d'un rapport d'audit applicatif OWASP et plan de remédiation pour les développeurs.

Atelier pratique : Réalisation d'une attaque SSRF pour lire les métadonnées d'un serveur Cloud et rédaction du rapport d'audit final.

Cas métier : Audit complet d'une application d'assurance avant mise en production- Synthèse des failles et contre-mesures.

Compétence acquise : Réaliser l'audit de sécurité complet d'une application Web et délivrer le rapport d'audit OWASP.

Livrable : Le Rapport d'Audit de Sécurité Web OWASP type et la charte de codage sécurisé.