Formation Cybersécurité - Web App Penetration Testing
Description
Objectif de formation : Acquérir les compétences techniques et méthodologiques pour réaliser des tests d’intrusion sur des applications web, en identifiant les vulnérabilités critiques et en évaluant les risques métier associés.
- Comprendre les principes fondamentaux du pentest d'applications web.
- Identifier et exploiter les vulnérabilités classiques et avancées des applications web.
- Utiliser des outils de test d’intrusion tels que ZAP, Burp Suite, BeEF, nuclei.
- Réaliser un rapport d’audit clair, structuré et exploitable par les équipes techniques.
- Pentesters débutants ou intermédiaires souhaitant se spécialiser sur les applications web.
- Analystes SOC et Blue Team souhaitant mieux comprendre les vecteurs d’attaque Web.
- Développeurs ou DevSecOps en charge de la sécurité applicative.
- Connaissances de base en réseau, HTTP, et développement web (HTML, JavaScript, SQL).
- Notions fondamentales en cybersécurité.
- 1
Introduction aux tests d’intrusion Web (3 heures)
- Méthodologie OWASP Web Testing Guide
- Phases du test d’intrusion : reconnaissance, exploitation, post-exploitation
- Notions légales et éthiques
- Travaux pratiques : Découverte et scan d’une application web de test
- Travaux pratiques : Cartographie des fonctionnalités accessibles anonymement
- 2
Collecte d’information et reconnaissance (4 heures)
- Techniques de fingerprinting : serveurs, frameworks, technos
- Découverte de endpoints, mapping des flux
- Utilisation de Burp Suite pour l’interception et l’analyse
- Travaux pratiques : Utilisation de Burp Suite, ZAP et nuclei pour scanner une cible
- Travaux pratiques : Récupération de headers, cookies, tokens et points d’entrée
- 3
Exploitation des vulnérabilités d’authentification (5 heures)
- Faille d’authentification : brute force, logique, JWT, SSO, 2FA contourné
- Gestion des sessions, cookies et jetons d’accès
- Problèmes de gestion des autorisations (IDOR, Broken Access Control)
- Travaux pratiques : Exploitation d’une faille IDOR avec Burp Suite
- Travaux pratiques : Contournement d’une page d’administration protégée
- 4
Injection, XSS et failles critiques (7 heures)
- Injection SQL, LDAP, XML (XXE), Command Injection
- XSS (Stored, Reflected, DOM) et chaînes de payloads typiques
- Exploitation SSRF, RFI, LFI, Deserialization
- Travaux pratiques : Injection SQL dans un formulaire de login
- Travaux pratiques : SSRF sur un service interne exposé
- Travaux pratiques : XSS via champs vulnérables dans un CMS
- 5
Automatisation et outils avancés (6 heures)
- Automatiser la détection avec nuclei et d'autres scripts
- Command and Control via BeEF
- Découverte via wordlists, fuzzing, scripting
- Travaux pratiques : Utilisation de BeEF pour compromettre un navigateur
- Travaux pratiques : Script Python pour brute force de paramètres GET
- 6
Tests sur SSL/TLS, API et WebSockets (4 heures)
- Vérification des configurations SSL/TLS
- Tests de sécurité des API REST/GraphQL
- Analyse des communications WebSockets
- Travaux pratiques : Analyse TLS avec testssl.sh
- Travaux pratiques : Fuzzing d’API avec Postman et Burp
- Travaux pratiques : Interception WebSockets avec Burp Suite
- 7
Rapport d’audit et restitution (6 heures)
- Rédaction de rapports d’intrusion : format, contenu, tonalité
- Structuration des findings, preuves, remédiations
- Débriefing client et simulation de restitution en condition réelle
- Travaux pratiques : Rédaction d’un rapport à partir des vulnérabilités trouvées
- Travaux pratiques : Présentation orale d’une synthèse d’audit Web devant un jury fictif
Ils nous font Confiance
Nos partenaires de confiance
Questions fréquentes
FAQ : Formation Cybersécurité - Web App Penetration Testing
Oui, mais la prise en charge d'une formation professionnelle par un OPCO dépend de votre opérateur de compétences, de votre branche d'activité et des critères de financement applicables. Ascent Formation vous accompagne dans l'identification des possibilités de financement adaptées à votre entreprise.
Une formation inter-entreprises réunit des participants issus de différentes organisations, tandis qu'une formation intra-entreprise est organisée pour les collaborateurs d'une même entreprise. Le format intra permet notamment d'adapter le contenu et les modalités aux besoins spécifiques de vos équipes.
Selon la formation proposée, il est possible de suivre une formation professionnelle à distance, en présentiel ou selon d'autres modalités disponibles. Consultez les informations de la session concernée ou contactez-nous pour connaître les formats possibles.
Oui, une formation professionnelle peut être adaptée aux objectifs, au niveau des participants et aux besoins opérationnels de votre entreprise. Ascent Formation vous propose des parcours personnalisés pour accompagner le développement des compétences de vos équipes.
Formations similaires
CybersécuritéFormation Administration et sécurité des appareils et applications mobiles - ANDROID et IOS (3-017)
CybersécuritéFormation Analyse de Malware - Fondamentaux
CybersécuritéFormation Analyse de Malware - Techniques avancées
Cybersécurité