Test d’intrusion web et remédiation
Infos matière
Semestre : S7 · Intervenant : Cyber Courses · Format : 3 jours intensifs (2 → 4 nov. 2026) · Évaluation : examen sur Moodle le vendredi 13 novembre
Réviser
Flashcards et quiz interactifs générés depuis les fiches de révision : Réviser cette matière
🧭 Le fil du cours
Référentiel : OWASP Top 10:2025. Chaque vulnérabilité suit le même déroulé :
🎯 Exploitation → 💥 Code vulnérable → 🛡 Correction → 🧪 Lab PortSwigger
Cadre légal
Tests uniquement sur les environnements fournis (labs, plateforme CTF, sujet de TP). Jamais sur un site réel sans autorisation écrite.
📚 Séances
| Jour | Fiche | Catégories |
|---|---|---|
| 1 · lun. 2 nov. | 2026-11-02 — Contrôle d’accès et mauvaises configurations | Intro · A01 · A02 |
| 2 · mar. 3 nov. | 2026-11-03 — Dépendances, crypto et injection | A03 · A04 · A05 |
| 3 · mer. 4 nov. | 2026-11-04 — Design, authentification et robustesse | A06 → A10 · récap |
🗺️ OWASP Top 10:2025 en un coup d’œil
| # | Catégorie | En une phrase | Fiche |
|---|---|---|---|
| A01 | Broken Access Control | Accéder à ce qui ne nous est pas autorisé (IDOR, privilèges, path traversal, SSRF, CSRF, CORS) | Jour 1 |
| A02 | Security Misconfiguration | Réglages par défaut, verbeux ou oubliés (comptes par défaut, erreurs, en-têtes, fichiers exposés, XXE) | Jour 1 |
| A03 | Software Supply Chain Failures | Le risque vient des dépendances, registres et de la CI/CD (nouveau 2025) | Jour 2 |
| A04 | Cryptographic Failures | Mots de passe mal hachés, secrets en dur, transport faible | Jour 2 |
| A05 | Injection | Une entrée interprétée comme du code (SQL, NoSQL, XSS, commandes, SSTI) | Jour 2 |
| A06 | Insecure Design | Défaut de conception : logique métier, courses, absence de limites | Jour 3 |
| A07 | Authentication Failures | Brute force, énumération, JWT, sessions, reset, MFA | Jour 3 |
| A08 | Software or Data Integrity Failures | Désérialisation non sûre, mises à jour et artefacts non signés | Jour 3 |
| A09 | Security Logging & Alerting Failures | Pas de journaux, pas d’alerte, logs falsifiables | Jour 3 |
| A10 | Mishandling of Exceptional Conditions | Fail-open, fuites d’erreur, épuisement de ressources (nouveau 2025) | Jour 3 |
Fil rouge
Ne jamais faire confiance à une entrée contrôlée par le client.
🧪 Pratique
- Labs PortSwigger — Test d’intrusion web : les 34 labs cités dans le cours, à cocher.
🃏 Fiches de révision
📎 Supports
ESIEA_Audit_Web_Jour1.pdf,Jour2.pdf,Jour3.pdf(Moodle / NextcloudCours/Test d'intrusion web et remédiation/Généralités/)