Pentest Web White Box Intermédiaire - 5 jours
Description
La complexité des applications web modernes nécessite une forte compréhension des mécanismes natifs des langages utilisés. Les méthodes d'analyse de code source permettent d'optimiser la recherche de vulnérabilités lors d'une intrusion.
Au cours de cette formation de cinq jours, vous acquerrez les compétences nécessaires à l'identification de vulnérabilités complexes au sein du code source d'applications Java et PHP. En s'appuyant sur de nombreux cas pratiques sur des frameworks répandus tels que Spring ou Symfony, les participants apprendront à optimiser leur recherche à l'aide d'outils d'analyse statique et dynamique.
-
5 jours ( 35 heures ) modulaires ( découpage possible )
-
7 modules couvrant les spécificités des langages Java et PHP
-
Cas pratiques sur les frameworks Spring, Struts, Hibernate, Zend, Symfony et Laravel
Public et prérequis
Cette formation est adaptée pour des personnes ayant de bonnes connaissances des technologies web et des vulnérabilités associées. Elle s'adresse principalement aux pentesteurs et développeurs souhaitant améliorer leur méthode de recherche.
-
Pentesteurs
-
Développeurs
De bonnes connaissances réseau et Unix sont recommandées.
Contenu
Jour 1
Méthodologie : approches top-down, bottom-up et hybrides, analyses statique et dynamique, outillage. Applications Java classiques : structure d'une application ( composants Class, JAR, JSP, configurations ), formats ( WAR, EAR ), configuration web.xml ( mapping URI, filtres, hooks, contraintes de sécurité ), application des approches top-down et bottom-up, outillage.
Jour 2
Applications Java basées sur des frameworks : identification, analyse des architectures et implémentations Spring ( JavaBean, modèle MVC, SpEL, AOP, Security ), Struts2 ( actions, intercepteurs, vues, OGNL, configuration, SMI / DMI, devMode ) et Hibernate ( définition des modèles, configuration des connecteurs, ORM, HQL et transformation SQL ), aperçu d'autres frameworks communs ( JavaServer Faces, VAADIN, SEAM, Play ).
Jour 3
Instrumentation Java : Byteman, AspectJ et JDWP. Applications Java closed-source : méthodes et outillage pour décompilation
Jour 4
Applications PHP basées sur des frameworks : mise en place de l'environnement d'analyse ( IDE, Xdebug, configuration PHP ), analyse des architectures et implémentations Symfony ( ORM, routing, contraintes, authentification et contrôle d'accès ), Zend ( routing, authentification et contrôle d'accès ), Laravel ( structure, configuration ). POP chains : concepts, recherche et développement.
Jour 5
Applications PHP closed-source : mécanismes ( scrambling, chiffrement ), analyse des implémentations Blenc et IonCube, utilisation d'outils d'extraction et d'analyse de code protégé ( VLD, Xdebug, Dtrace, AOP, APD, RunKit ).
Nous joindre
N'hesitez pas à nous contacter afin de nous faire part de vos besoins. Notre équipe commerciale se tient à votre disposition pour répondre à toutes vos questions.
Contacts commerciaux
