Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.

Réf. SEC-OWS

Sécurité des applications Web - Identifier et corriger les failles OWASP

Sécurité offensive

Durée

21 à 28 heures (3 à 4 jours) selon le format

Modalités

Présentiel, Classe à distance

Reconnaissance

Formation non certifiante (attestation de fin de formation)

Format de vente

Inter-entreprise ou Intra-entreprise

Délai d’accès

Inter : jusqu’à 5 jours ouvrés avant la session ; intra : en moyenne 15 jours ouvrés après l’acceptation du devis

Tarif intra

Sur devis

Pourquoi suivre cette formation

Les applications web sont la cible privilégiée des cyberattaques. Cette formation vous apprend à repérer, exploiter en laboratoire et corriger les vulnérabilités critiques du référentiel OWASP Top 10, avant qu'un attaquant ne le fasse.

À l’issue de cette formation, les participants seront capables de

Maîtriser les 10 vulnérabilités les plus critiques du classement OWASP Top 10
Adopter la démarche d'un attaquant pour anticiper et détecter les failles cachées
Utiliser les outils de référence (Burp Suite, OWASP ZAP) pour mener des tests d'intrusion applicatifs
Interpréter les rapports de vulnérabilités et valider l'efficacité d'un correctif
Mettre en place des protections durables dans le code source et la configuration des serveurs

Formats proposés

ACTIONImmersion21 heures (3 jours)2 550 € HTpar participant (inter-entreprises)

IMPACTTerrain28 heures (4 jours) · dont une journée en décalé3 570 € HTpar participant (inter-entreprises)

Chaque format reprend le précédent et y ajoute des journées.

Public visé

Développeurs web (Fullstack, Backend, Frontend), architectes logiciels, ingénieurs QA/Testeurs, administrateurs système, consultants en cybersécurité, analystes SOC.

Prérequis

Disposer de notions de base en développement web (HTML, JavaScript, requêtes HTTP) et comprendre le fonctionnement d'une base de données SQL.

Prérequis techniques à distance

La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.

Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.

Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.

Objectifs pédagogiques

Identifier les 10 catégories de menaces de l'OWASP Top 10 et leurs mécanismes. Expliquer l'impact d'une faille applicative sur l'intégrité et la confidentialité des données d'entreprise. Manipuler un proxy d'interception (Burp Suite) pour auditer les requêtes et les réponses HTTP. Diagnostiquer l'origine d'une vulnérabilité au sein du code source ou de la configuration du serveur web. Analyser la sévérité d'une faille applicative et valider la conformité d'un correctif de sécurité. Concevoir un plan d'assainissement et de remédiation technique aligné sur les standards OWASP.

Programme détaillé

Jour 1ACTION

Matin

Le référentiel OWASP, le protocole HTTP et la prise en main de Burp Suite

Comprendre les enjeux de la sécurité des applications Web et maîtriser le proxy d'interception Burp Suite.

Présentation de la fondation OWASP (Open Web Application Security Project) et du classement OWASP Top 10.
Décryptage du protocole HTTP/HTTPS : méthodes (GET, POST, PUT, DELETE), en-têtes de sécurité et gestion des cookies.
Prise en main avancée du proxy Burp Suite : interception de requêtes, fonctionnalités Repeater, Intruder et Sequencer.

Atelier pratique

Configuration du navigateur avec le proxy Burp Suite et modification d'une requête HTTP d'achat pour modifier le prix d'un produit.

Cas métier

Audit d'un formulaire de commande en ligne- Détection d'un défaut de validation de prix côté client.

Compétence acquise

Intercepter et manipuler des requêtes HTTP pour auditer la sécurité des échanges applicatifs.

Livrable

Le guide de prise en main du proxy Burp Suite pour l'audit Web.

Après-midi

Injections (SQLi, injection de commandes, Path Traversal)

Détecter, exploiter en laboratoire et corriger les failles d'injection SQL et de commandes.

Mécanismes des injections SQL (In-band, Blind SQLi, Error-based).
Injections de commandes système (OS Command Injection) et traversée de répertoires (PathTraversal / LFI).
Utilisation de l'outil automatisé SQLMap pour la preuve de concept.
Correction globale : utilisation des requêtes préparées (PDO, PreparedStatement), assainissement et validation stricte des entrées.

Atelier pratique

Contournement d'un écran d'authentification par injection SQL et correction par réécriture du code en requêtes préparées.

Cas métier

Audit du portail d'un Espace Client- Élimination d'une faille d'injection SQL permettant d'extraire la table des utilisateurs.

Compétence acquise

Détecter et corriger les vulnérabilités d'injection SQL et de commandes.

Livrable

Le guide de remédiation contre les injections SQL et de commandes.

Jour 2ACTION

Matin

Contournement du contrôle d'accès et failles IDOR, BOLA

Identifier et corriger les d'accès directs non sécurisés aux objets et les ruptures d'autorisation.

Analyse de la rupture du contrôle d'accès (Broken Access Control) : failles IDOR (Insecure Direct ObjectReferences) et BOLA (Broken ObjectLevelAuthorization).
Élévation de privilèges horizontale (accès aux données d'un autre utilisateur) et verticale (accès aux fonctions admin).
Évasion de restrictions d'URL et manipulation des jetons d'autorisation.

Atelier pratique

Exploitation d'une faille IDOR permettant de télécharger la fiche de paie d'un collègue et ajout du contrôle des droits serveur.

Cas métier

Audit d'une API d'un service de facturation- Sécurisation du contrôle d'accès sur chaque identifiant de facture.

Compétence acquise

Implémenter un contrôle d'accès serveur rigoureux au niveau objet et méthode.

Livrable

Le modèle de matrice de contrôle d'accès applicatif.

Après-midi

Failles d'authentification et gestion des sessions

Sécuriser la logique de connexion, le stockage des mots de passe et la gestion des sessions utilisateur.

Faiblesses d'authentification : force brute sur les formulaires de connexion, énumération d'identifiants.
Stockage non sécurisé des mots de passe : hachage faible (MD5/SHA1) vs hachage fort avec sel (bcrypt, Argon2).
Sécurisation des cookies de session : attributs HttpOnly, Secure, SameSite=Strict/Lax et renouvellement de jetons.

Atelier pratique

Attaque par force brute sur un formulaire avec Burp Intruder et mise en place d'un verrouillage de compte et d'un captcha.

Cas métier

Sécurisation de l'accès au back-office e-commerce- Mise en place du MFA et sécurisation des cookies.

Compétence acquise

Sécuriser le processus d'authentification et le cycle de vie des sessions Web.

Livrable

La check-list de sécurisation des authentifications et des sessions Web.

Jour 3ACTION

Matin

Cross-Site Scripting (XSS), CSRF et sécurité des API (JWT)

Neutraliser les attaques XSS et CSRF et sécuriser l'authentification par jetons JWT sur les API.

Attaques Cross-Site Scripting (XSS Reflected, Stored, DOM) : injection de scripts malveillants et vol de cookies.
Cross-Site Request Forgery (CSRF) : pièges de requêtes forcées et jetons Anti-CSRF.
Sécurité des API Web et des jetons JWT : signature des jetons, expiration et attaque par algorithme None.

Atelier pratique

Vol de session par XSS Stored et mise en place de la Content Security Policy (CSP) et de l'encodage HTML.

Cas métier

Sécurisation d'une application collaborative d'entreprise- Élimination des failles XSS dans les champs de saisie enrichis (WYSIWYG).

Compétence acquise

Protéger les applications et API Web contre les vulnérabilités XSS, CSRF et les fausses signatures JWT.

Livrable

Les filtres d'encodage XSS et la politique Content Security Policy (CSP).

Après-midi

Failles cryptographiques, SSRF et rapport d'audit OWASP

Identifier les failles de défaillances cryptographiques, les failles SSRF et rédiger le rapport d'audit.

Défaillances cryptographiques (OWASP) : fuite de données sensibles, algorithmes obsolètes, mauvaise gestion des certificats TLS.
Server-Side Request Forgery (SSRF - OWASP) : rebond depuis le serveur Web vers des ressources internes ou des API Cloud.
Méthodologie de rédaction d'un rapport d'audit applicatif OWASP et plan de remédiation pour les développeurs.

Atelier pratique

Réalisation d'une attaque SSRF pour lire les métadonnées d'un serveur Cloud et rédaction du rapport d'audit final.

Cas métier

Audit complet d'une application d'assurance avant mise en production- Synthèse des failles et contre-mesures.

Compétence acquise

Réaliser l'audit de sécurité complet d'une application Web et délivrer le rapport d'audit OWASP.

Livrable

Le Rapport d'Audit de Sécurité Web OWASP type et la charte de codage sécurisé.

Jour 4 · en décaléIMPACT

Matin

Diagnostic de vos applications web

Repérer les injections SQL, les failles d'authentification et les défauts de contrôle d'accès réels.

Examen confidentiel avec Burp Suite des applications web et des API de production de l'entreprise.

Après-midi

Corriger le code et configurer les règles WAF

Fermer les vulnérabilités réelles et livrer la charte de codage sécurisé OWASP de l'entreprise.

Écriture des correctifs de code avec les développeurs de l'entreprise et configuration du pare-feu applicatif (WAF).

Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.

Méthodes et moyens pédagogiques

Méthodes mobilisées

Pédagogie active s'appuyant sur des simulations immersives. Alternance de démonstrations techniques de contournement, de laboratoires individuels de cassage de code en autonomie, et de revues critiques collectives pour valider la robustesse des correctifs appliqués.

Moyens techniques

Un poste de travail individuel par participant, environnement de laboratoire OWASP (cibles vulnérables de type WebGoat, DVWA), licences d'outils d'audit, accès aux espaces numériques AMBIA.

Moyens humains

Formation animée par un consultant-formateur expert senior, pentester professionnel spécialisé en sécurité applicative et certifié (OSCP, OSWE ou équivalent expert reconnu).

Modalités d’évaluation

Évaluation diagnostique

Questionnaire d'auto-évaluation et de positionnement technique soumis 15 jours avant la session pour vérifier la compréhension des bases du protocole HTTP.

Évaluation formative

Réalisation d'ateliers pratiques métiers de cassage et correction de code, et quiz de validation inter-modules tout au long des 3 jours.

Évaluation sommative

Épreuve pratique de type Capture The Flag (CTF) et contrôle des codes corrigés lors du laboratoire final, complétés par un questionnaire de validation des acquis sous forme de QCM.

Suivi

Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.

Délai d’accès

Inter-entreprises : L’inscription est possible jusqu’à 5 jours ouvrés avant le début de la session, sous réserve des places disponibles.

Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.

Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.

Accessibilité handicap

Nos parcours sont adaptables aux personnes en situation de handicap. Contactez-nous pour l'étude des aménagements nécessaires.

Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.

Indicateurs de résultats

Indicateurs publiés à partir de 3 avis.

Mode de calcul : www.ambia-skills.fr/notre-approche#notes