Durant cette formation, vous apprendrez à tester puis à renforcer la sécurité de vos applications Web.

Cette formation Hacking et sécurité des applications Web s’adresse à des développeur·se·s Web (frontend, backend, ou full-stack) souhaitant monter en compétence sur les thématiques liées à la sécurité applicative en comprenant comment les attaquants compromettent les applications Web et comment se prémunir des attaques visant vos applications.

Ces dernières années, les applications Web sont devenues les pièces maîtresses du système d’information. Elles sont populaires et incontournables, aussi bien auprès des utilisateurs que de l’organisation qui les déploie.

C’est pour cela que, même si le paysage des menaces informatiques évolue au grès des usages et des évolutions technologiques, les applications Web restent invariablement l’un si ce n’est le plus important des vecteurs d’attaque dirigées contre un système d’information.

Pour votre entreprise, les conséquences d’un piratage se traduisent directement en termes de vol d’information, perte d’actifs, interruption d’activité, perte de clients ou de crédibilité. Les
coûts associés explosent.

Durant cette formation Hacking et sécurité des applications Web, mettez au placard vos solutions de sécurisation (antivirus, firewall,...), nous vous montrerons que la qualité de votre code reste la meilleure parade.

Entrez dans la peau d’un pirate et apprenez à pirater vos applications Web. Vous saurez alors les sécuriser et en tester la robustesse.

Les nombreux exercices pratiques qui ponctueront la formation Hacking et sécurité des applications web, vous permettront de mettre en évidence des failles de sécurité et assurer l'application de correctifs.

Envie d'aller plus loin ?

Apprenez à renforcer la sécurité de vos applications Web en utilisant les mécanismes prévus par les navigateurs lors de la formation Sécurité Web côté clients !
Puis, pour améliorer vos connaissances des processus à l'œuvre dans la détection et l'analyse d'attaques informatique, jetez un oeil à la formation Réponse à un incident !

Covid-19: Nous restons ouverts. Cette formation est disponible à distance.
🇺🇸 This training is also available in English

Les objectifs

• Prendre connaissance des bonnes pratiques de développement permettant d’éviter de rendre une application vulnérable
• Installer, configurer et utiliser des outils permettant d’analyser efficacement vos applications

Pré-requis

• Expérience en programmation, idéalement en développement Web (des bases en HTML, JavaScript et SQL sont nécessaires pour les exercices).
• Installations nécessaires sur votre machine : des droits d'administration suffisants pour installer les outils nécessaires à la réalisation des travaux pratiques
• Ordinateur portable à apporter

Le programme de la formation Hacking et sécurité des applications web

Jour 1 : contexte, architecture Web et vecteurs d'attaque

Introduction : le paysage de l'insécurité numérique

• Les technologies Web, les risques
• Mythes et réalités
• Statistiques et évolutions
• Retours d'expériences

Attaquants et défenseurs

• Le profil des "pirates", leur arsenal
• La défense (politique de sécurité, législation, réponse des éditeurs...)
• Le Bug Bounty ; avantages et inconvénients

Architecture d'une application Web et vecteurs d’attaque

• Architecture générale : client et serveur HTTP
• Navigateurs Web, serveurs HTTP : fonctionnement, faiblesses

Le protocole HTTP

• Format des requêtes standards et malicieuses
• Génération de requêtes HTTP
• Découverte passive d'information
• Comprendre les étapes d'une attaque

Mises en pratique :
- Recherche de sources ouvertes, Google dorks
- Scan de ports / Fingerprinting
- Introduction à l'utilisation d'un proxy Web
- Rejeu et injection de requêtes HTTP modifiées

Jour 2 : détecter la vulnérabilité de vos applications

Vulnérabilités des applications Web

• L'exposition des applications Web
• Classement des risques majeurs selon l'OWASP et le CWE (MITRE)
• Analyse des vulnérabilités et des conséquences de leur exploitation
• Les principales attaques : "Cross Site Scripting” (XSS) / Les attaques en injection / Les attaques sur les authentifications et sessions / CSRF...
• Les vulnérabilités des frameworks et CMS

Outils de détection et d’exploitation

• Les scanners de vulnérabilités Web
• L'analyse statique de code
• Les outils d’analyse manuelle
• Exploitation SQL
• Brute-force et fuzzing

Mises en pratiques :
- Découverte de défauts de gestion de session et d'authentification sur une application
- Exploitation de failles top 10 OWASP

Jour 3 : sécuriser vos applications Web

Principe du développement sécurisé

• Les écueils
• La sécurité dans le cycle de développement
• Application à AGILE/SCRUM
• Le budget
• Le rôle du code côté client
• Le contrôle des données envoyées par le client
• Les règles de développement à respecter

Bonnes pratiques et contre-mesures

• Authentification des utilisateurs et stockage des mots de passe
• Chiffrement des flux
• Les tests : Intégration de tests de sécurité dans le développement / Réalisation de tests d’intrusion en interne / L'audit de sécurité

Mises en pratiques :
- Exploitation de XXE
- Découverte de vulnérabilités sur une application Web, analyse du code source vulnérable

Le(s) formateur(s)

A propos de Human Coders

Human Coders c'est un centre de formation pour développeurs avec :

• une certification Qualiopi, indispensable pour que vous puissiez obtenir des aides au financement via votre OPCO
• de nombreux clients qui nous font confiance depuis des années
• un manifeste pour garantir des formations à taille humaine, des formateurs passionnés, de véritables workshops...
• 83 formations au catalogue, 1015 sessions depuis nos débuts en 2012 avec une moyenne de satisfaction de 4,6/5
• la possibilité de vous proposer un accompagnement personnalisé ou du conseil après la formation