HSC   Mode texte : accès au contenu de la page
Hervé Schauer Consultants
Vous êtes ici : Accueil > Formations > Tests d'intrusion des applications web et hacking éthique
Accéder au : Site HSC généraliste
Télécharger le catalogue des formations
Recherche :  
English version
   Formations Présentielles   
o Planning des formations
o Formations certifiantes avec LSTI
o Formations certifiantes SANS
o Certifications
o Formations universitaires
   E-learning   
o Le E-learning HSC
o La norme ISO 27001
o Programmation sécurisée en PHP
   Contacts   
o Coordonnées
o Requêtes particulières
o Accès à nos locaux
o Hôtels proches de nos locaux
   HSC est certifié OPQF   
logo OPQF
|>|Tests d'intrusion des applications web et hacking éthique  
Formations Présentielles
Voir aussi...
o Organisation des formations
o Planning des formations inter-entreprises
o Tests d'intrusion
o Protéger les applications web - SANS DEV522
o Tests d'intrusion et hacking éthique - SANS SEC560
o Tests d'intrusion avancés, exploitation de failles et hacking éthique - SANS SEC660
o Thème actualité
o Thème avis de sécurité
o Newsletter HSC
o Comment nous demander une prestation
o Objectifs
o Certification
o Durée
o Formateur(s)
o Public visé et prérequis
o Méthode pédagogique
o Cours associés
o Support
o Plan
o Modalités d'inscription

Dates des prochaines sessions :
> 19-23 mai 2014 (Paris)
> 17-21 novembre 2014 (Paris)
Dates soumises à modification sans préavis. Les sessions n'auront lieu que si le nombre d'inscrits est suffisant.
 


Objectifs

Les applications web constituent à l'heure actuelle le point le plus vulnérable au sein des entreprises. Il n'est pas rare que des failles de sécurité au sein d'applications web donnent par exemple lieu à des vols de millions de numéros de carte de crédit, à des dommages financiers, à d'importants impacts sur l'image voire même à la compromission de milliers de machines d'internautes consultants le site web piraté.

Au travers d'exercices pratiques et du retour d'expérience des formateurs, cette formation détaillera le processus en quatre étapes d'une intrusion sur une application web. Différentes techniques d'exploitation de vulnérabilités seront enseignées telles que les injections SQL et les Cross-Site Scripting ainsi que les méthodes permettant de les découvrir en utilisant une batterie de tests et les outils associés.


Certification

Cette formation prépare à la certification GIAC Certified Web Application Penetration Tester (GWAPT).
Le passage de l'examen pour la certification peut être acheté soit lors de l'inscription à la formation soit directement auprès de SANS. L'examen se passe dans un centre agréé SANS.


Durée

5 jours (9h00-18h30)


Formateur(s)

La formation est dispensée par :


Public visé et prérequis

Cette formation s'adresse :

  • Développeurs web.
  • Architectes d'application web
  • Architectes d'application web souhaitant renforcer ou actualiser leurs connaissances dans la sécurité des applications web.
  • Experts en sécurité informatique.
  • Chefs de projets ou responsables sécurité voulant mieux comprendre les techniques des attaquants pour ainsi mieux sécuriser leurs applications.
Les participants doivent avoir de bonnes connaissances des protocoles et des architectures web classiques. La connaissance des langages Python et PHP peut être un plus mais n'est pas requise.


Méthode pédagogique

Les supports proviennent directement du SANS et sont donc en anglais, le cours est toutefois donné en français.

Chaque module est illustré de démonstrations permettant de visualiser la problématique abordée. La mise à disposition par HSC d'un ordinateur portable équipé des différentes machines virtuelles et outils nécessaires à la reproduction de ces démonstrations et à la réalisation des différents exercices permet immédiatement de mettre en pratique les attaques et réalisations vues dans le module.

Chaque stagiaire reçoit les supports papiers (en Anglais) de formation.


Cours associés

Les autres cours techniques HSC permettent d'approfondir les risques et les actions de sécurisation à mener sur les technologies abordées dans le cours.

On pourra citer entre autre :


Support

Le support de cours est intégralement en anglais.


Plan

Le plan est issu de la formation SEC 542 du SANS et suit donc le programme décrit à l'adresse :
https://www.sans.org/course/web-app-penetration-testing-ethical-hacking

Le plan des formations est susceptible d'être modifié sans préavis pour être en accord avec les dernières modifications de leur contenu réalisées par SANS.

1) Introduction aux tests d'intrusion applicatifs
  • Point de vue d'un professionnel des tests d'intrusion vis-à-vis du web
  • Diversité des serveurs et clients web
  • Diversité des architectures web
  • Gestion de l'état d'une session
  • Les différents types de vulnérabilités
  • Définition du périmètre et du processus d'intrusion
  • Les différents types de tests d'intrusion
2) Découverte de l'architecture web
  • Découverte de l'infrastructure applicative
  • Identification des machines et systèmes d'exploitation mis en jeu
  • Configurations SSL et faiblesses associées
  • Etude de l'hébergement virtuel et son impact sur les tests
  • Identification des répartiteurs de charge
  • Découverte de la configuration logiciel
  • JavaScript pour les attaquants
3) Cartographie de l'application
  • Recherche d'information sur des sources externes (Google Hacking)
  • Trousse à outils d'exploration d'un site web
  • Ecriture de scripts automatisant les requêtes HTTP
  • Elaboration d'une carte de l'application
  • Analyse des relations entre les différents composants de l'application
4) Recherche de vulnérabilités
  • Méthodologies de recherche de vulnérabilités
  • Fuites d'information
  • Récupération d'identifiants
  • Injections de commandes
  • Injections SQL
  • Injections SQL en aveugle
  • Cross-Site Scripting
  • Cross-Site Request Forgery
  • Failles dans la gestion des sessions
  • Fuzzing et outils associés
  • Analyse du contenu des différentes pages web d'un site
  • Méthodologies d'attaques des web services
5) Recherche de vulnérabilités au sein des composants clients
  • Méthodologies de recherche de vulnérabilités
  • Décompilation des composants clients Flash
  • Analyse de composants malveillants
  • Recherche de vulnérabilités via les composants clients
  • Méthodologies de test pour les applications basées sur Ajax
  • Impacts de l'Ajax et des web services sur les tests d'intrusion
6) Ecriture de scripts
  • Utilité des langages Python et PHP
  • Personnalisation et extension des outils existants
7) Exploitation
  • Asservissement des navigateurs web
  • Utilisation des zombies pour balayer et attaquer le réseau interne
  • Frameworks d'attaque (AttackAPI, BeEF, XSS-Proxy)
  • Elaboration d'un scénario d'attaque complet
  • Exploitation des vulnérabilités découvertes
    • Elévation de privilèges sur le système sous-jacent
    • Utilisation de l'application web comme pivot
    • Interaction avec un serveur à travers une injection SQL
    • Vol de cookies
    • Execution de commandes via les vulnérabilités de l'application web


Modalités d'inscription

Pour toute inscription aux formations HSC, contactez notre service formation par téléphone au (33)1 41 40 97 04 ou par courriel à formations@hsc.fr, en nous transmettant les noms et prénoms des stagiaires, votre adresse postale et le numéro de TVA intra-communautaire de votre société. Ces renseignements permettent d'établir la convention de formation.
La convention de formation est à retourner signée, tamponnée et accompagnée d'un bon de commande de votre organisme, au plus tard 15 jours ouvrés avant la formation. Ce délai strict de 15 jours est imposé par SANS. Le bon de commande doit indiquer votre adresse de facturation et nos conditions de règlement : 30 jours nets date d'émission de facture, envoyée après la formation.
L'inscription est confirmée dès la réception de ces deux documents.

Dernière modification le 14 août 2013 à 16:12:10 CET - webmaster@hsc.fr
Informations sur ce serveur - © 1989-2014 Hervé Schauer Consultants