Atelier – Analyse de l'OWASP

Objectifs
Partie 1 : Top 10 de l'OWASP
Partie 2 : pages de la communauté OWASP

Contexte/scénario
Open Web Application Security Project (OWASP) est une organisation à but non lucratif dédiée à
la sécurité des applications web. L'OWASP publie une liste des 10 principales préoccupations en
matière de sécurité web auxquelles les entreprises sont conf rontées tous les trois ans. L'objectif
de ce rapport est de sensibiliser le public à la sécurité des applications web et d'aider les
entreprises à intégrer ces inf ormations dans leur processus af in de minimiser et d'atténuer les
risques pour la sécurité.
OWASP accepte également les contributions de la communauté pour le contenu lié à la
sécurité. Les pages de la communauté OWASP f ournissent la liste des attaques et des
vulnérabilités signalées par les communautés.
Dans cet atelier, vous découvrez le Top 10 du programme OWASP de 2021 et quelques -unes des
attaques et vulnérabilités signalées par les contributeurs de la communauté.

Ressources requises
 Accès Internet

Instructions

Partie 1 : Top 10 de l'OWASP

un. Accédez au Top 10 de l'OWASP ( https://owasp.org/Top10 ).
b. Au moment de la rédaction de ce document, le projet de la dernière liste du Top 10 a été
publié en 2021.
Question :

Passez en revue les 10 principales catégories. Choisissez 3 catégories dans le top 10. Dans
le tableau ci-dessous, répertoriez les catégories que vous avez choisies. Décrivez ensuite la
catégorie et quelques-uns des moyens de prévenir les attaques dans cette catégorie.

Les 10 principales
catégories Description La prévention

Zone de réponse Zone de réponse Zone de réponse

Zone de réponse Zone de réponse Zone de réponse
Zone de réponse Zone de réponse Zone de réponse
Ligne vierge - aucune information supplémentaire

Les 10 principales
catégories Description La prévention

L'échec du contrôle d'accès permet Le hacker ne doit pas être en mesure

un accès non autorisé aux données d'accéder ou de modif ier la vérif ication
Exemple et à l'exécution de f onctions du contrôle d'accès ou les
Contrôle d'accès interrompu commerciales. métadonnées, ni d'élever le privilège.

Masquer la réponse
Ligne vierge - aucune information supplémentaire

Partie 2 : pages de la communauté OWASP

 Les pages de la communauté OWASP permettent aux membres de la communauté de participer
à des questions liées à la sécurité. Dans cette partie, vous passerez en revue les pages sur les
vulnérabilités pour étudier les techniques d'attaque signalées par les c ontributeurs.
un. Accédez à la page de la communauté OWASP pour les
vulnérabilités. ( https://owasp.org/www-community/vulnerabilities/ ).
OWASP déf init une vulnérabilité comme une f aille dans l'application qu'un hacker peut
exploiter.
Question :

Consultez la liste des vulnérabilités et choisissez 3. Dans le tableau ci -dessous, répertoriez

les vulnérabilités que vous avez choisies. Décrire la vulnérabilité et les moyens d'empêcher
son exploitation.

Vulnérabilités Description La prévention

Zone de réponse Zone de réponse Zone de réponse

Zone de réponse Zone de réponse Zone de réponse
Zone de réponse Zone de réponse Zone de réponse
Ligne vierge - aucune information supplémentaire

Vulnérabilités Description La prévention

Les domaines expirés achetés par

les hackers peuvent collecter des
inf ormations personnelles. Serveur
Exemple de messagerie hébergé sur des
Autoriser l'expiration de domaines appartenant à des
domaines ou de comptes entreprises disparues.
Ne pas laisser le domaine expirer et
surveiller les entreprises qui
hébergent les serveurs

Masquer la réponse
Ligne vierge - aucune information supplémentaire

b. Accédez à la page de la communauté OWASP pour les attaques. ( https://owasp.org/www-

community/attacks ).
Selon l'OWASP, une attaque est une technique utilisée pour exploiter les vulnérabilités d'une
application.
Question :

Consultez la liste des attaques et choisissez 3. Dans le tableau ci-dessous, répertoriez les
attaques que vous avez choisies. Décrivez ensuite brièvement l'attaque et les moyens de
l'empêcher.

Attaques Description La prévention

Zone de réponse Zone de réponse Zone de réponse

Zone de réponse Zone de réponse Zone de réponse
Zone de réponse Zone de réponse Zone de réponse
Ligne vierge - aucune information supplémentaire

Attaques Description La prévention

Des scripts malveillants sont injectés

Exemple dans des sites web de conf iance via Le serveur web doit être conf iguré
Scripts intersites (XSS) une requête web pour valider les données entrantes.