Hacking Éthique : Tests d'intrusion et sécurité web
What you'll learn
- Comprendre et savoir détecter les failles web.
- Comprendre comment corriger les problèmes de sécurité des applications web.
- Comprendre le fonctionnement d'un site web.
- Comprendre comment mettre en place un environnement de test volontairement faillible.
Requirements
- Vous devez avoir des notions de bases sur Internet et l'informatique.
- Vous devez avoir une machine Windows ou Linux (Mac non testé).
- Vous devez savoir différencier "Hacking éthique" de "piratage informatique"
Description
Bienvenue dans ce cours vidéo sur la sécurité web !
Ce cours se focalise entièrement sur la sécurisation de sites web. Nous passerons par la démarche classique du hacking éthique : apprendre et comprendre les attaques afin de nous en protéger concrètement.
Vous allez mettre en place un environnement de test avec des machines virtuelles Kali Linux, Metasploitable et Windows 10 afin d'installer des applications web volontairement vulnérables que l'on pourra attaquer sans rien casser.
Vous découvrirez les diverses failles web à travers des modules pratiques vous permettant de passer d'un niveau débutant à un niveau plus avancé.
Le cours est divisé en 10 sections :
1. Mettre en place un environnement de test
Vous allez installer Kali Linux, Metasploitable et Windows 10 en tant que machines virtuelles. La méthode d'installation a été simplifiée au maximum pour vous éviter toutes démarches fastidieuses.
2. Comprendre le fonctionnement d'un site web
Nous mettrons en place les fondations avant de continuer : comment fonctionne un site web et comment interagissent les divers composants, comment fonctionnent DNS, HTTP et HTTPS.
3. Comprendre la récupération d'informations et s'en protéger
Une étape trop souvent oubliée qui permet à un attaquant d'en apprendre beaucoup sur votre site web et sur votre organisation. Nous passerons en revue divers services et outils permettant à des attaquants de découvrir de précieuses informations sur vos produits et ressources. Vous saurez les utiliser sur vos sites avant qu'on ne le fasse contre vous et afin de corriger les problèmes en amont.
4. Comprendre l'injection SQL et s'en protéger
Nous passerons longuement en revue la faille web la plus populaire du moment. Vous découvrirez différentes façons de l'exploiter et comprendrez l'importance de non seulement vous en protéger mais en plus de bien savoir le faire.
5. Injection SQL avancée
Nous donnerons davantage d'exemples et nous expliquerons pourquoi les concepts de sécurité doivent bien être maîtrisés pour offrir une sécurité efficace et complète.
6. Comprendre les problèmes d'authentification et de session
Les vols de sessions, la faille CSRF (Cross site request forgery) et les bruteforces sont au programme de cette section. Vous obtiendrez des démonstrations de ces problèmes de sécurité ainsi que les moyens de vous en prémunir.
7. Comprendre les problèmes d'Inclusion de fichiers
Les failles LFI (Local File Inclusion) et RFI (Remote File Inclusion) aussi appelées "Faille Include" seront étudiées. Vous découvrirez que ce n'est pas parce qu'une faille n'est pas très connue qu'elle n'est pas très dangereuse...
8. Comprendre et éviter les Mauvaises configurations de sécurité
Dans cette section, nous allons regrouper les soucis courants liés à des mauvaises configurations de sécurité : la faille file upload permettant à un pirate d'uploader des fichiers arbitraires sur un serveur, le clickjacking, l'injection de commandes et le déni de service.
9. Comprendre et éviter la faille XSS (Cross-site scripting)
Probablement l'une des failles les plus connues qui permet à un attaquant d'injecter du script arbitraire dans des sites web vulnérables. Vous découvrirez les différentes possibilités d'exploitation et les contre-mesures.
10. Utilisation de composants vulnérables et scans automatisés
Il s'agit d'une section très importante dans laquelle on insistera sur la faille humaine qui rend toute notre infrastructure vulnérable. Démonstration avec un plugin vulnérable et un thème backdooré sous Wordpress. Avec bien entendu des conseils de sécurité spécifiques à WordPress.
Nous passerons à l'exécution d'outils automatisés afin d'épauler le hacker éthique dans sa tâche de sécurisation de sites web.
14. Conclusion
Conclusion de ce cours et derniers conseils.
Le cours s'adresse aux débutants et initiés en priorité. Vous saurez à la fin de chaque session comment détecter et corriger concrètement les diverses vulnérabilités. Vous aurez également un quiz de fin de section et diverses ressources additionnelles pour compléter les vidéos.
Ce que vous saurez faire à la fin de ce cours :
• Comprendre et savoir détecter les failles web
• Comprendre comment corriger les problèmes de sécurité des applications web
• Comprendre le fonctionnement d'un site web
• Comprendre comment mettre en place un environnement de test volontairement faillible
• Et bien d'autres...
NOTE: Les systèmes, programmes et méthodologies de ce cours sont utilisés à but éducatif et préventif uniquement. Toutes les autorisations ont été reçues au préalable et toutes les précautions nécessaires ont été mises en place pour assurer un apprentissage légal et sans risque pour autrui. Vous restez cependant les responsables de vos actions et aucune responsabilité ne sera engagée quant à la mauvaise utilisation du contenu enseigné. En d'autres termes, ce cours n'est pas destiné aux apprentis pirates informatiques.
Crédits image : shutterstock.
Who this course is for:
- Les (futurs) webmasters ou développeurs web.
- Les étudiants en (sécurité) informatique.
- Les propriétaires de petites entreprises.
- Les personnes souhaitant se mettre à jour dans ce milieu.
- Les personnes souhaitant se lancer sur le web.
Course content
- Preview02:17
- Preview01:58
- Preview02:59
- Preview18:42
- 12:03Installer Kali Linux sous macOS
- 08:03Agrandir la taille de fenêtre (Additions invité)
- 04:12CHECK LIST ANTI ERREURS
- 09:10Résolution d'erreurs avec Kali et Virtualbox
- Preview04:33
- Preview03:38
- 09:42Connecter les machines entre elles
- 05:20Installation de XAMPP et Mutillidae 2
- 02:23Si vous rencontrez une erreur avec Mutillidae 2
Instructors
Consultant en sécurité informatique rapidement reconverti en entrepreneur, Michel cherche à partager ses connaissances dans le but d'aider le plus grand nombre à se protéger contre les cybermenaces.
“Michel n'est pas un pirate, c'est un hacker éthique qui aide les internautes à se protéger.”
— Complément d'enquête - FRANCE 2
Apprenez TOUT sur la cybersécurité :
• Devenez un(e) véritable hacker éthique polyvalent(e)
• Mettez-vous dans la peau d'un pirate pour apprendre leurs méthodes, leurs outils, et comment s'en défendre pour de bon
• Passez votre vie numérique (et votre carrière !) au niveau supérieur : il y a tant de choses à découvrir (et qu'on n'apprend pas à l'école)
• Apprenez les véritables façons de vous défendre sur Internet, car ni l'antivirus, ni les mises à jour, ni le système ne pourra vous garantir quoi que ce soit !
Cyberini est un organisme de formation en cybersécurité créé en 2017 regroupant les formations vidéos, dont vous trouverez également certains cours sur Udemy.
Le Blog Du Hacker est le blog de sécurité informatique tout public numéro 1 dont les buts sont :
• d'informer les internautes sur les techniques de hacking (malveillantes) utilisées contre eux dans le but de se défendre efficacement
• d'éviter les attaques avant qu'il ne soit trop tard
• de vulgariser l'informatique de manière générale en accompagnant les débutants sur des sujets aussi divers que l'anonymat, la programmation, le web, etc...
Apprendre l'attaque pour mieux se défendre, tel est le slogan du hacking éthique que Le Blog Du Hacker suit pour aider les internautes à rester protégés contre les menaces informatiques.
Contenu éducatif et préventif uniquement, reservé aux étudiants et salariés en (sécurité) informatique. Demandes de piratages rejetées.
"Ce qui est sécurisé à 99% n'est pas sécurisé"
Depuis 2017, Cyberini s’engage à construire un monde numérique plus sécurisé, en enseignant le code de la route numérique indispensable à tous.
Cyberini est un centre de formation en cybersécurité créé par Michel Kartner dont le but est d’éduquer les particuliers et les professionnels aux problématiques de la cybersécurité.
"À mesure que les développeurs continueront d’inventer de meilleures mesures de sécurité, rendant l’exploitation de failles techniques de plus en plus difficiles, les agresseurs se tourneront davantage vers l’exploitation de l’être humain."
– L’art de la supercherie de Kevin D. Mitnick (pirate informatique reconverti en consultant sécurité)