Notes sur la Sécurité Web

Introduction

• Présentation de quatre outils et ressources pour progresser en sécurité web.
• Rappel : contenu éducatif, non destiné à des usages illégaux.

Les Injections Web

• Failles courantes et dangereuses :
  • Injections SQL
  • XSS (Cross-Site Scripting)
  • Injections de templates
• Conséquences :
  • Vol d'informations
  • Accès aux sessions admin
  • Exécution de code sur le serveur de la victime.

Méthode pour exploiter les failles d'injection

1. Localiser les points d'injection :
   • Champs de formulaire, paramètres URL, headers HTTP.
2. Tester la réaction du serveur :
   • Injecter différentes données pour observer les comportements anormaux.
3. Créer le bon payload :
   • Si une erreur est affichée, cela peut indiquer une faille exploitable.

Fuzzing

• Définition :
  • Envoi d’entrée aléatoire pour provoquer une réponse anormale du serveur.
• Outil utilisé :
  • Fuf : pour automatiser le processus de fuzzing sous Linux.
• Commandes clés :
  • fuf -u <URL> -w <wordlist> : tester une page web avec une liste de payloads.
  • Utilisation des wordlists du projet Seclist.

Session ID vs. JSON Web Token (JWT)

• Session ID :
  • Identifiant unique généré par le serveur lors de la connexion pour l'identification.
• JSON Web Token (JWT) :
  • Token encodé contenant des informations (nom d'utilisateur, algorithme, signature).
  • Vérification du token par le serveur, signature doit être valide.
• Outil pour JWT :
  • Jwt Tool : pour tester les vulnérabilités des JWT.

Documentation et Ressources

• Importance de lire la documentation technique.
• Exemple d'utilisation :
  • Inspecter les réponses HTTP pour comprendre la sécurité d'un site.
  • Documentation utile :
    • Documentation de Mozilla pour expliquer les headers et leur fonction.

Environnements de Pratique

• CTF (Capture The Flag) :
  • Challenges de sécurité informatique pour tester et améliorer les compétences.
• Plateformes recommandées :
  • Pentester Lab : 400 exercices, correction en vidéo.
    • Prix : 20€ par mois, bonne offre pour l'apprentissage.
  • Web Security Academy : solution gratuite avec divers challenges.

Conclusion

• Importance de se concentrer sur la compréhension des failles et des protocoles plutôt que d'accumuler un grand nombre d'outils.
• Recommandations :
  • Bookmark des ressources et planifier du temps pour l'apprentissage.
• La maîtrise de quelques outils spécialisés est préférable à une connaissance superficielle de nombreux outils.