Tests d’intrusion d’applications Web et API : Initiation + Approfondissement

Pentesters et auditeurs sécurité Développeurs et architectes souhaitant renforcer la sécurité Web/API Ingénieurs sécurité, RSSI et consultants techniques impliqués dans des audits applicatifs

Bonnes bases en HTTP/HTTPS, API REST et JSON - Connaissances en sécurité Web (OWASP Top 10) et notions de pentest - Aisance avec un environnement Linux et l’utilisation d’outils en ligne de commande

Comprendre en profondeur les spécificités de la sécurité des applications Web et des API - Identifier les faiblesses logiques et techniques des applis Web modernes et des API (authentification, autorisation, session, données) - Disposer des compétences nécessaires pour conduire des tests d’intrusion avancés en environnement contrôlé et interpréter les résultats - Être en mesure de proposer des contre-mesures concrètes et de dialoguer efficacement avec les équipes de développement

Jour 1 – Comprendre et cadrer un test d’intrusion Web et API

Analyser les architectures Web modernes et les flux applicatifs
Revoir HTTP/HTTPS, cookies, sessions, en-têtes, CORS et CSRF
Comprendre les principes des API REST, endpoints, verbes HTTP et codes de retour
Appliquer une méthodologie de test d’intrusion applicatif
Réaliser la reconnaissance, la cartographie et la définition du périmètre
Mettre en place l’environnement de test et les outils d’analyse 

Atelier fil rouge : cartographier une application Web et une API, établir une checklist initiale et prioriser les tests

Jour 2 – Tester l’authentification et la gestion de session

Identifier et analyser les mécanismes d’authentification
Tester la robustesse des mots de passe, des erreurs et des protections anti-brute force
Évaluer la gestion de session, cookies, tokens, expiration et renouvellement
Analyser les mécanismes de réinitialisation de mot de passe
Comprendre et tester les JWT, leur structure, validation et signature
Introduire OAuth2 et OpenID Connect dans le cadre d’un audit applicatif 

Atelier fil rouge : tester l’authentification et la session, identifier les failles et proposer des mesures correctives

Jour 3 – Tester les autorisations et les contrôles d’accès

Distinguer authentification et autorisation dans une application
Tester les contrôles d’accès horizontaux et verticaux
Identifier les vulnérabilités de type IDOR et fuites de données
Analyser la séparation des rôles et les contournements possibles
Comparer contrôles côté client et contrôles côté serveur
Évaluer les impacts métiers et prioriser les risques 

Atelier fil rouge : mettre en œuvre des scénarios de contournement de droits et formuler des recommandations

Jour 4 – Tester les entrées utilisateur et exploiter les vulnérabilités Web

Identifier et analyser les points d’entrée utilisateur
Tester la validation des données, encodages et normalisation
Détecter et exploiter les injections SQL et leurs impacts
Tester les injections de commandes et les risques liés aux appels système
Analyser les injections de templates et interpréteurs
Tester les XSS, SSRF, open redirect et vulnérabilités liées aux flux 

Atelier fil rouge : conduire une campagne de tests d’entrées, documenter les vulnérabilités et proposer des correctifs

Jour 5 – Tester la sécurité des API et structurer la restitution

Identifier les risques spécifiques aux API et aux erreurs de conception
Tester les endpoints API, paramètres, filtres, pagination et tri
Évaluer les contrôles d’accès API et l’exposition fonctionnelle
Tester le rate limiting et les mécanismes anti-abus
Analyser les messages d’erreur et les fuites d’informations
Structurer un rapport d’audit avec preuves, scoring et recommandations
Définir un plan d’actions et dialoguer avec les équipes techniques 

Atelier fil rouge final : produire un mini-rapport d’audit Web et API avec plan de remédiation

Active Learning

contrôle continu ou certification si prévue dans le financement

Support de cours + sources des exemples