Sécurité des applications web - testez (piratez !) et sécurisez vos applications Web par Human Coders

Jour 1
Introduction : le paysage de l'insécurité numérique
Les technologies web, les risques
Mythes et réalités
Statistiques et évolutions
Retours d'expériences
Attaquants et défenseurs
Le profil des "pirates", leur arsenal
La défense (politique de sécurité, législation, réponse des éditeurs...)
Le Bug Bounty ; avantages et inconvénients
Architecture d'une application Web et vecteurs d'attaque
Architecture générale et évolutions
Navigateurs Web, serveurs HTTP : fonctionnement, faiblesses
Le protocole HTTP
Format des requêtes standards et malicieuses
Mécanismes d'authentification HTTP
Génération de requêtes HTTP
Découverte passive d'information
Comprendre les étapes d'une attaque
Travaux pratiques
Recherche de sources ouvertes, Google dorks...
Scan de ports / Fingerprinting
Introduction à l'utilisation d'un proxy Web
Rejeu et injection de requêtes HTTP modifiées
Jour 2
Vulnérabilités des applications Web
L'exposition des applications Web
Classement des risques majeurs selon l'OWASP et le CWE
Analyse des vulnérabilités et des conséquences de leur exploitation
Les principales attaques : "Cross Site Scripting" (XSS) / Les attaques en injection / Les attaques sur les authentifications et sessions / CSRF...
Les vulnérabilités des frameworks et CMS
Outils de détection et d'exploitation
Les scanners de vulnérabilités Web
L'analyse statique de code
Les outils d'analyse manuelle
Exploitation SQL
Brute
- force et fuzzing
Travaux pratiques
Découverte de défauts de gestion de session et d'authentification sur une application
Exploitation de failles top 10 OWASP
Jour 3
Principe du développement sécurisé
Les écueils
La sécurité dans le cycle de développement
Application à AGILE/SCRUM
Le budget
Le rôle du code côté client
Le contrôle des données envoyées par le client
Les règles de développement à respecter
Bonnes pratiques et contre
- mesures
Authentification des utilisateurs et stockage des mots de passe
Chiffrement des flux
Les tests : Intégration de tests de sécurité dans le développement / Réalisation de tests d'intrusion en interne / L'audit de sécurité
Travaux pratiques
Exploitation de XXE
Découverte de vulnérabilités sur une application Web, analyse du code source vulnérable

Prendre connaissance des bonnes pratiques de développement permettant d'éviter de rendre une application vulnérable.
Installer, configurer et utiliser des outils permettant d'analyser vos applications.