Cybersécurité - Web App Penetration Testing

Formation créée le 24/07/2025.
Version du programme : 1

Type de formation

Formation présentielle

Durée de formation

35 heures (5 jours)

Cybersécurité - Web App Penetration Testing


Objectif de formation : Acquérir les compétences techniques et méthodologiques pour réaliser des tests d’intrusion sur des applications web, en identifiant les vulnérabilités critiques et en évaluant les risques métier associés.

Objectifs de la formation

  • Comprendre les principes fondamentaux du pentest d'applications web.
  • Identifier et exploiter les vulnérabilités classiques et avancées des applications web.
  • Utiliser des outils de test d’intrusion tels que ZAP, Burp Suite, BeEF, nuclei.
  • Réaliser un rapport d’audit clair, structuré et exploitable par les équipes techniques.

Profil des bénéficiaires

Pour qui
  • Pentesters débutants ou intermédiaires souhaitant se spécialiser sur les applications web.
  • Analystes SOC et Blue Team souhaitant mieux comprendre les vecteurs d’attaque Web.
  • Développeurs ou DevSecOps en charge de la sécurité applicative.
Prérequis
  • Connaissances de base en réseau, HTTP, et développement web (HTML, JavaScript, SQL).
  • Notions fondamentales en cybersécurité.

Contenu de la formation

Introduction aux tests d’intrusion Web (3 heures)
  • Méthodologie OWASP Web Testing Guide
  • Phases du test d’intrusion : reconnaissance, exploitation, post-exploitation
  • Notions légales et éthiques
  • Travaux pratiques : Découverte et scan d’une application web de test
  • Travaux pratiques : Cartographie des fonctionnalités accessibles anonymement
Collecte d’information et reconnaissance (4 heures)
  • Techniques de fingerprinting : serveurs, frameworks, technos
  • Découverte de endpoints, mapping des flux
  • Utilisation de Burp Suite pour l’interception et l’analyse
  • Travaux pratiques : Utilisation de Burp Suite, ZAP et nuclei pour scanner une cible
  • Travaux pratiques : Récupération de headers, cookies, tokens et points d’entrée
Exploitation des vulnérabilités d’authentification (5 heures)
  • Faille d’authentification : brute force, logique, JWT, SSO, 2FA contourné
  • Gestion des sessions, cookies et jetons d’accès
  • Problèmes de gestion des autorisations (IDOR, Broken Access Control)
  • Travaux pratiques : Exploitation d’une faille IDOR avec Burp Suite
  • Travaux pratiques : Contournement d’une page d’administration protégée
Injection, XSS et failles critiques (7 heures)
  • Injection SQL, LDAP, XML (XXE), Command Injection
  • XSS (Stored, Reflected, DOM) et chaînes de payloads typiques
  • Exploitation SSRF, RFI, LFI, Deserialization
  • Travaux pratiques : Injection SQL dans un formulaire de login
  • Travaux pratiques : SSRF sur un service interne exposé
  • Travaux pratiques : XSS via champs vulnérables dans un CMS
Automatisation et outils avancés (6 heures)
  • Automatiser la détection avec nuclei et d'autres scripts
  • Command and Control via BeEF
  • Découverte via wordlists, fuzzing, scripting
  • Travaux pratiques : Utilisation de BeEF pour compromettre un navigateur
  • Travaux pratiques : Script Python pour brute force de paramètres GET
Tests sur SSL/TLS, API et WebSockets (4 heures)
  • Vérification des configurations SSL/TLS
  • Tests de sécurité des API REST/GraphQL
  • Analyse des communications WebSockets
  • Travaux pratiques : Analyse TLS avec testssl.sh
  • Travaux pratiques : Fuzzing d’API avec Postman et Burp
  • Travaux pratiques : Interception WebSockets avec Burp Suite
Rapport d’audit et restitution (6 heures)
  • Rédaction de rapports d’intrusion : format, contenu, tonalité
  • Structuration des findings, preuves, remédiations
  • Débriefing client et simulation de restitution en condition réelle
  • Travaux pratiques : Rédaction d’un rapport à partir des vulnérabilités trouvées
  • Travaux pratiques : Présentation orale d’une synthèse d’audit Web devant un jury fictif

Capacité d'accueil

Entre 1 et 10 apprenants