Membre de l'OWASP! Yes!

Faîtes comme votre serviteur, devenez membre (ou devrais-je dire adhérent) de l'OWASP.

Pour la modique somme de 50 dollars soit environ 35 euros (en fonction des fluctuations du cours), vous pouvez rejoindre la communauté OWASP de ceux qui se sentent concernés par la sécurité des applications web et qui veulent que les choses changent!

En retour vous ne serez pas en reste car vous recevrez, un magnifique T-Shirt pour les étés torrides...

une vraie carte de membre pour impressionner...

et un merveilleux diplôme à afficher au dessus de votre bureau.

Rejoignez le mouvement...!

Source: Open Web Application Security Project http://www.owasp.org/

Challenge Webgoat 5.2: la solution en vidéo

Vous connaissez tous Webgoat, le site web permettant de faire des tests de pénétration fournit par l'OWASP.

Et vous savez également tous que les solutions des exercices de pénétration proposés par Webgoat se trouvent à l'adresse suivante: http://yehg.net/lab/pr0js/training/webgoat.php

Et comme moi, il ne vous a pas échappé que certains exercices n'étaient pas corrigés. C'est en particulier le cas du challenge proposé par Webgoat 5.2.

C'est pourquoi je vous propose de vous donner la solution du challenge avec l'aide d'une vidéo (que vous pouvez visualiser ICI).

La solution est composée de 3 étapes:

- la découverte d'une fonctionnalité de visualisation du code Java n'apparaissant pas dans la barre de menu mais malgré tout disponible
- une injection SQL classique
- et enfin une injection de commande DOS

Bien entendu, nous utilisons Webscarab pour observer et modifier les requêtes HTTP.

Bon film!

Outils utilisés lors du cours sur la sécurité des applications web

Firefox et ses plug-ins peuvent être utilisés pour mettre en évidence les failles d'un site web.

Lors du cours les plug-ins suivants sont utilisés:

• Firebug: pour parcourir l'arbre DOM, le modifier, débugger le JavaScript
• TamperData: pour modifier les requêtes HTTP
• LiveHTTPHeader: pour analyser les headers HTTP
• SwitchProxy: pour changer de proxy et passer par WebScarab par exemple

L'OWASP propose également des outils très intéressants tels que le proxy WebScarab. Lors du cours WebScarab permet d'intercèpter et de modifier les requêtes et les réponses HTTP.

Bien entendu il existe de nombreux outils disponibles pour Firefox et Internet Explorer également. L'important est de choisir ceux qui correspondent le mieux aux technologies mises en oeuvre dans le site web cible.