Projet pentest mobile

ESGI – Sécurité et mobilité

Dans ce projet, vous allez devoir effectuer le test d’intrusion de l’application InsecureBankV2
ou de l’OWASP AndroGOAT.
- InsecureBankV2 : https://github.com/dineshshetty/Android-InsecureBankv2
- AndroGOAT

Ces machines sont des DVA (Damn Vulnerable Application), elles sont donc truffées de
vulnérabilités !
Appliquez les techniques de test d'intrusion vu en cours pour identifier des vulnérabilités sur
l'application choisie. À l'aide de vos recherches, expliquez comment sécuriser l'élément
vulnérable. Vous pouvez vous aider de la doc de l'application ou de toute autre ressource
trouvée en ligne.

Rendu attendu :
Dans ce projet, vous êtes évalué sur la démarche de recherche associée à l'exercice. De
nombreuses informations sont disponibles sur Internet, vous serez donc noté sur vos
explications, votre compréhension des éléments identifiés, le soin apporté à votre prise de
preuves numériques et enfin sur vos propositions de correction de vulnérabilité.

Attendu – rapport d’audit pentest (format PDF) contenant – À rendre le 26 février :

- Recherches et preuves d'exploitation de vulnérabilité (exemple : capture d'écran d'une
exploitation de XSS sur l'application), capture du résultat d'un outil, etc.
- Recherche et proposition de correction associée à chaque vulnérabilité identifiée.
- Décomposer le document en une fiche par vuln avec : description de l'élément identifié +
preuve d'exploitation, proposition de correction)
- Description du risque associé à la vulnérabilité comme vu en cours (cf : DICT)

Soutenance – 27 février :
- Lors de la soutenance, vous ferez un compte rendu d’audit à l’aide du support de votre
choix.
- Le but est ici de simuler un véritable compte rendu d’entreprise. Synthétisez donc les
éléments identifiés dans l’audit pour les transmettre au client final.
- Déroulé : 10 min de présentation + 10 min max de questions par groupe.

Composition des équipes : Le projet peut se faire seul ou à 2 personnes maximum.

Pour réaliser ce projet, vous pouvez vous appuyer sur le document OWASP MASTG et le
système de classification de risque OWASP détaillé dans le Template de rapport.

L. GEORGE – inIT consulting services

Template de rapport :

Le rapport comprend 4 sections :

1) Page de garde
2) Synthèse managériale : ici le but est de résumer le niveau de sécurité global
identifié lors des tests.
3) Synthèse technique : dans ce tableau sont résumés et classés toutes les
vulnérabilités identifiées avec leur niveau de risque et la correction proposée.
4) Fiche de vulnérabilité (1 par vuln) : dans cette section, sont détaillées chaque
vulnérabilité avec :
a. Description : comment la vuln a été identifié (ajouter ici les captures
d’écran etc.)
b. Risque : détail du risque, analyse des critères DICT ect.
c. Correction proposée : détail des correctifs possible pour contrer la
vulnérabilité

Exemple de rapport :

L. GEORGE – inIT consulting services

Synthèse managériale
Synthèse de l’audit
Le niveau global de sécurité de ….. révélé par ce test d’intrusion est Critique pour
les applications et la configuration globale du système.

Quatre vulnérabilités critique ont été remontées. Elles ont toutes permis d’obtenir un
accès et des privilèges Administrateur sur la machine.

Plusieurs vulnérabilités majeures ont également été relevées : des composants ayant
des vulnérabilités connues et exploits publics ont été détectés et peuvent être
exploités par un attaquant.

De nombreuses autres vulnérabilités sont présentes sur la machine cible. Il n’a pas
été possible de réaliser un listing exhaustif durant le temps imparti aux tests.

0
Note Faible Moyen Élevé Critique

Les experts sécurité de ….. recommandent pour les services interne en priorité de :

L. GEORGE – inIT consulting services

 Synthèse technique
Liste des vulnérabilités détectées
La méthode de classification choisie par les auditeurs de …. est la méthode de
qualification de risque de l’OWASP.

L’ensemble des vulnérabilités trouvées dans le périmètre sont classées par risque
dans le tableau ci-dessous :

Réf. Nom Risque Vraisemblance Impact Correction

V1 Critique Élevé Élevé

V2 Critique Élevé Élevé

V3 Critique Élevé Élevé

V4 Critique Élevé Élevé

V5 Élevé Élevé Moyen

V6 Faible Moyen Faible

L. GEORGE – inIT consulting services

Détails techniques du test d’intrusion
Audit en boîte noire : Vulnérabilités
Vulnérabilité V1 : Titre de la vulnérabilité

Description

Risque

[Description et analyse du risque]

Le niveau de risque est donc fixé à critique/élevé/moyen/faible/note pour cette
vulnérabilité.

Correction proposée

Pour corriger cette vulnérabilité, les experts sécurité de …. recommandent de

V1 Titre de la vuln

Vraisemblance Élevé
Niveau de
Impact Élevé Critique
risque
Authentification Non-authentifié

L. GEORGE – inIT consulting services

Annexe
Méthode de classification des failles
La méthode de notation des risques utilisée pour classifier les failles est basée sur
l’OWASP Risk Rating Methodology.

Cette méthode est basée sur 3 éléments principaux : vraisemblance, impact et

risque.

Catégorie Valeurs possibles Signification

Plus il est facile de
trouver la vulnérabilité,
Vraisemblance Faible Moyen Élevé
plus la vraisemblance est
élevée.
Mesure de l’impact
(technique, fonctionnel et
Impact Faible Moyen Élevé
d’image) de la
vulnérabilité.
Niveau de risque introduit
par la vulnérabilité,
calculé en fonction des
Risque Faible Moyen Élevé Critique autres critères évalués
(difficulté d’exploitation,
vraisemblance et
impact).
Authentifié Non authentifié L’exploitation de la
vulnérabilité se fait en
Authentification
mode authentifié ou
non ?

Vraisemblance

Le calcul de la vraisemblance prend en compte plusieurs facteurs liés à la nature de

la menace :

• Niveau de connaissances requis

• Motivation nécessaire
• Ressources et moyens techniques requis
• Dimension des attaquants potentiels (visiteurs anonymes du site,
administrateurs, utilisateurs authentifiés…)

ainsi qu’à la nature de la vulnérabilité :

• Facilité de découverte de la vulnérabilité

• Facilité d’exploitation de la vulnérabilité
• Niveau de sensibilisation à la vulnérabilité (faille connue, 0-day…)

L. GEORGE – inIT consulting services

 • Facilité de détection par les outils de détection d’intrusions

Impact

L’impact est calculé en fonction de l’impact technique sur :

• la confidentialité
• l’intégrité
• la disponibilité
• la traçabilité

ainsi que l’impact métier en terme de :

• dégâts financiers
• perte d’image de marque de l’entreprise
• non-conformité
• violation de vie privée

Risque

Une fois la vraisemblance et l’impact déterminés, le tableau suivant permet de situer

automatiquement le niveau de risque :
Risque

ÉLEVÉ Moyen Élevé Critique

MOYEN Faible Moyen Élevé

Impact FAIBLE Note Faible Moyen

FAIBLE MOYEN ÉLEVÉ

Vraisemblance

Ainsi, le risque est une fonction des 2 autres éléments :

Risque = Vraisemblance * Impact

L. GEORGE – inIT consulting services