Séminaire de formation. «Sécurité WEB»

Transcription

1 Séminaire de frmatin «Sécurité WEB» «Maitriser la sécurité de vs applicatins WEB» Maitriser la sécurité de vs applicatins WEB Page 1

2 L bjectif de la frmatin L bjectif de cette frmatin est : Maitriser les vulnérabilités des applicatins WEB Etre capable de détecter les failles relatives aux applicatins WEB Maitriser le prcessus d audit applicatif Cette frmatin s'adresse : Public cible Dévelppeurs web. Architectes d'applicatins web. Architectes d'applicatins web suhaitant renfrcer u actualiser leurs cnnaissances dans la sécurité des applicatins web. Experts en sécurité infrmatique. Chefs de prjets u respnsables sécurité vulant mieux cmprendre les techniques des attaquants pur mieux sécuriser leurs applicatins. Les participants divent avir de bnnes cnnaissances des prtcles et des archtectures web classiques. Une bnne cnnaissance des ntins réseaux, les systèmes d explitatin Windws et Linux, les technlgies web. Organisatin et lgistique La frmatin sera assurée dans un hôtel de la place du 13 au 17 Avril 2015 Les participants snt invités à ramener leur rdinateur prtable pur la réalisatin des différents travaux pratiques. Les rdinateurs prtables divent avir une bnne perfrmance à savir 4 G de RAM au minimum avec un espace libre sur le disque dur d une taille de 20 G au minimum et divent dispser d un lecteur DvD, d une carte réseau Ethernet et d une carte Wifi. Maitriser la sécurité de vs applicatins WEB Page 2

3 Frmateur L animateur, Anis Furati, certifié CEH et ISO27001 LA est cnsultant sénir en sécurité des systèmes d infrmatins et a plusieurs références dans l audit de la sécurité de l infrmatin et particulièrement l audit des applicatins web en Tunisie et à l étranger. Prgramme de la frmatin Cette frmatin traite des aspects purement techniques pur permettre aux participants de tucher aux aspects pratiques de la sécurité WEB et de vir les risques réels encurus par la présence d éventuelles failles dans les systèmes et applicatins. La frmatin sera répartie cmme suit : - 40% du temps sera allué aux aspects thériques et méthdiques quant à la gestin de la missin d audit et à la cmpréhensin des ntins de base. - 60% du temps sera allué à des exercices pratiques et à des études de cas. Le prgramme de la frmatin se présente cmme suit : 1. Intrductin : a. Statistiques et évlutin des failles Evlutin des attaques applicatives ; b. Présentatin du TOP10 de l'owasp c. Qui snt les hackers? 2. La technlgie Web : a. Architecture d une applicatin WEB le prtcle http ; b. L applicatin web : prte pur les hackers ; c. Les WebShells ; d. Terminlgies essentielles ; e. Typlgie et classificatin des attaques (Injectin / redirectin / sessin / authentificatin / manipulatin de fichier / ) 3. PARTIE 1 : Aspects pratiques des attaques WEB : a. Les attaques Crss site scripting/crss-site Request Frgery/HTTP Respnse Splitting/ Crss-User Defacement ; b. Les attaques par injectin (SQL Injectin /cmmand Injectin/OS injectin/xpath injectin/.) ; c. Les attaques sur les sessins (Cache Pisning/Hijacking/ Mauvaise gestin des sessins et de l authentificatin.) ; d. Les vulnérabilités d authentificatin et l autrisatin (Brute frce/ insuffisance d authentificatin / insuffisance d autrisatin/ Escalatin de Maitriser la sécurité de vs applicatins WEB Page 3

4 privilège/ Référence directe nn sécurisée à un bjet..) ; e. La manipulatin des fichiers (Remte File Include /Remte File uplad/path Manipulatin/Directry traversal/directry indexing.); f. Les attaques lgiques (déni de service/abus de fnctinnalité/ insuffisance anti-autmatin ) ; g. Attaques sur la cnfiguratin standard (Mauvaise cnfiguratin/cnfiguratin par défaut/mt de passe par défaut ) ; h. L attaque de Phishing ; i. Les attaques réseaux (DOS/DDOS/DNS cache pisnning) ; j. Les Bnnes pratiques du dévelppement sécurisé et d administratin de plate frme d hébergement : i. Bnnes pratiques pur le dévelppement sécurisé ; ii. Bnnes pratiques pur l administratin des sites web ; iii. Bnnes pratiques pur la sécurité des platefrmes web ; iv. Travaux pratiques : crrectin de certaines vulnérabilités. k. Travaux pratiques i. Webshell ii. Attaques par injectin iii. Attaque sur certains CMS : Wrd Press iv. Attaques XSS v. Attaque XSS (Stred, Reflected, redirectin, vl de sessin) vi. Attaque sur les sessins vii. Attaque par brute frce viii. Attaque sur certains CMS : Jmla / Twiki / Vitiger CRM ix. Exemple d attaque DS x. Exemples de crrectin des vulnérabilités WEB : SQL Injectin, XSS, Remte File Inclusin, remte cmmand executin, 4. PARTIE 2 : Cmment détecter les failles applicatives : a. Les Types d'audit (Dynamique / Statique, Bite nire / bite Blanche,...) ; b. Démarche d'audit (TOP10 de l'owasp, Apprche du CEH, utils d'a u- dit, référentiels d'audit applicatifs,...) ; c. Apprche de l'owasp pur la validatin des applicatins (apprche e test par niveau, OWASP ASVS 2009 et 2014,...); d. Audit dynamique (utils, démarches,...) ; e. Audit statique (utils, démarches,...) ; f. Analyse des risques i. Apprches d'analyse des risques techniques ; ii. OWASP Risk Rating; Maitriser la sécurité de vs applicatins WEB Page 4

5 g. Travaux pratiques i. Recherche de vulnérabilités sur un CRM ii. Audit d'un frmulaire d'authentificatin : préparatin d'une checklist et dérulement des tests iii. Scan des vulnérabilités dynamiques (Acunetix, Tamper Data,...) et interprétatin des résultats; iv. Analyse des résultats de scan et Explitatin des vulnérabilités SQL Injectin ; v. Scan des vulnérabilités statiques 1. préparatin de signature de détectin d'une faille ; 2. Scan d'une applicatin; 3. Exemple d'explitatin suite à une analyse statique; vi. Analyse des risques cnfrmément à l'owasp Risk Rating; Maitriser la sécurité de vs applicatins WEB Page 5