Aller au contenu

TP3 — Test d'intrusion applicatif (OWASP Top 10) (2h)

Ce TP s'exécute exclusivement contre une application volontairement vulnérable déployée en local à des fins pédagogiques (OWASP Juice Shop ou DVWA). Aucune autre cible n'est autorisée.

Objectifs

  • Identifier et exploiter, de façon contrôlée, des vulnérabilités du Top 10 OWASP.
  • Documenter chaque constat selon le format vu en cours (observation / risque / recommandation).

Exercice 1 — Cartographie de l'application

À l'aide d'OWASP ZAP (mode proxy), parcourir l'application cible et cartographier ses pages, formulaires et paramètres.

Exercice 2 — Injection SQL

Identifier un champ de formulaire (ex. connexion) vulnérable à l'injection SQL. Démontrer un contournement d'authentification via une charge utile simple (ex. ' OR '1'='1). Documenter le constat (preuve, risque, recommandation : requêtes préparées).

Exercice 3 — XSS

Identifier un champ vulnérable à une injection de script (XSS réfléchi ou stocké). Démontrer l'exécution d'un script inoffensif (ex. <script>alert(document.cookie)</script>) et expliquer l'impact potentiel réel (vol de session).

Exercice 4 — Contrôle d'accès défaillant (IDOR)

En modifiant un identifiant dans une URL ou une requête (ex. numéro de commande, identifiant utilisateur), vérifier s'il est possible d'accéder aux données d'un autre compte sans autorisation.

Exercice 5 — Synthèse

Pour chacune des trois vulnérabilités exploitées, rédiger une fiche de constat complète (titre, catégorie OWASP, criticité CVSS estimée, preuve de concept, impact métier, recommandation).

À rendre

Les trois fiches de constat au format vu en cours (chapitre 6).

Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou