Hacking des applications Web
Référence : WEHA
Durée : 1 jour (7 heures)
La frénésie du développement Web qui sévit actuellement a trop souvent son laissé pour compte : la sécurité d'accès aux applications. Résultat, des utilisateurs peu vigilants aux petits malins plus ou moins bien intentionnés, nombreuses sont les possibilités de s'introduire dans une application et de provoquer un dysfonctionnement en utilisant un simple navigateur.
Sans se focaliser sur des problématiques de sécurisation réseau, ce cours expose les risques et attaques dont sont bien souvent la cible les applicatifs Web, quelle que soit la plate-forme de développement, ainsi que les moyens d'éviter ces attaques et les règles que tout bon développeur Web doit connaître.
Ce cours vous permettra d'apporter des réponses aux questions suivantes : "Quelles sont les attaques courantes ?", "Comment savoir ce que l'on risque réellement ?", "Quelle stratégie de sécurité mettre en place ?".
Vous allez apprendre à :
- Comprendre d'où viennent les attaques et leurs dangers
- Établir un niveau de connaissance commun pour les développeurs Web
- Savoir quels points doivent être particulièrement surveillés dans un développement Web
- Éviter simplement les attaques les plus courantes
- Découvrir des outils d'analyse
Méthode pédagogique :
Présentations, discussions et démonstrations
Audience :
Développeurs Web, Java EE, .Net ou PHP, chefs de projets, responsables d'applications, directeurs informatique
Pré-requis :
- Maîtriser les bases du développement Web
Programme :
- Rappels sur la sécurité réseau
- Réseau, Web et sécurité
- Principes d'authentification
- Utilisation de SSL
- Firewall et proxy
- Sécurité des clients Web
- Phising et usurpation d'identité
- Failles des navigateurs
- Authentification renforcée
- Failles JavaScript et Ajax
- Utilisation de HTTPS
- Sessions HTTP et navigateur
- Re-post des données
- Time-out et déconnexion
- Cookies et certificats numériques
- Session ID et jeton de transaction
- Détournement de sessions authentifiées
- Analyse d'attaques courantes
- SQL Injection
- XSS ou Cross Site Scripting
- Utilisation des références directes
- CSRF ou Cross Site Request Forgery
- Points à surveiller
- Masquer les URL
- Validation des données
- Liste de contrôle d'accès
- Utilisation du JavaScript
- Sécurité d'accès au SGBD
- Échappement des Tags HTML
- Recherche de vulnérabilités
- Analyse statique
- Analyse dynamique ou test de pénétration