Différences

Ci-dessous, les différences entre deux révisions de la page.

--- cyber:owasp5:methodologie [2025/01/26 19:11] – créée dthevenot
+++ cyber:owasp5:methodologie [2025/01/26 19:19] (Version actuelle) – dthevenot
@@ Ligne 1: / Ligne 1: @@
-Le serveur Mutillidae propose un site Web conçu pour identifier et tester les failles de sécurité identifiées par l’OWASP. Il est possible pour chacune d’entre elles, de définir le niveau de sécurité appliqué.
+**Réalisation de l'activité en groupe de 2 ou 3 avec rédaction d'un compte-rendu de TP puis démonstration à l’autre groupe avec explication de tous les concepts mis en oeuvre.**
-IMAGE
+Il s’agit de réaliser un défi permettant d’injecter du code malveillant XML afin de récupérer un fichier confidentiel sur le serveur cible.
-Réalisation de l'activité en groupe de 2 ou 3 avec rédaction d'un compte-rendu de TP puis démonstration à l’autre groupe avec explication de tous les concepts mis en oeuvre.
+Pour rappel, l’environnement de travail est le suivant :
-Notre démarche consistera, pour les activités présentées :
+  * Le serveur Mutillidae propose un site Web conçu pour identifier et tester les failles de sécurité identifiées par l’OWASP. Il est possible pour chacune d’entre elles, de définir le niveau de sécurité appliqué.
+Notre démarche consistera, pour le défi présenté :
+  - à utiliser la version non sécurisée de la page concernée pour mettre en évidence la faille de sécurité ;
+  - constater ensuite que l’attaque n’est plus possible dans la version sécurisée de cette page fournie par Mutillidae ;
+  - étudier les mécanismes de sécurisation utilisés, donc le code de la page associée, pour  identifier des bonnes pratiques de programmation.
+Pour réaliser ce défi, l’outil BurpSuite n’a pas besoin d’être utilisé.
+La réalisation du défi nécessite de consulter le dossier documentaire.
-à partir de la version non sécurisée de la page concernée et à mettre en évidence la faille de sécurité ;
-nous constaterons ensuite que dans la version sécurisée de cette page fournie par Mutillidae, l’attaque n’est plus possible ;
-l’étude des mécanismes de sécurisation utilisés, donc du code de la page associée, permettra de dégager des bonnes pratiques de programmation.