Guide de tests de sécurité web OWASP

Table des matières

1. Avant-propos par Eoin Keary
2. Frontispice
3. Introduction
   1. Le projet de test OWASP
   2. Principes des tests
   3. Explication des techniques de test
   4. Inspections et revues manuelles
   5. Modélisation des menaces
   6. Revue de code source
   7. Tests d'intrusion
   8. La nécessité d'une approche équilibrée
   9. Dérivation des exigences de test de sécurité
   10. Tests de sécurité intégrés dans les flux de travail de développement et de test
   11. Analyse et rapport des données de test de sécurité
   12. Références
4. Le cadre de test OWASP
   1. Le cadre de test de sécurité Web
   2. Phase 1 : Avant le début du développement
   3. Phase 2 : Pendant la définition et la conception
   4. Phase 3 : Pendant le développement
   5. Phase 4 : Pendant le déploiement
   6. Phase 5 : Pendant la maintenance et l'exploitation
   7. Un flux de travail de test SDLC typique
   8. Méthodologies de test d'intrusion
5. Test de sécurité des applications Web
   1. Introduction et objectifs
   2. Collecte d'informations
      1. Effectuer une reconnaissance de découverte par moteur de recherche pour la fuite d'informations
      2. Identifier l'empreinte du serveur Web
      3. Examiner les métafichiers du serveur Web pour détecter les fuites d'informations
      4. Enumérer les applications sur le serveur Web
      5. Examiner le contenu des pages Web pour détecter les fuites d'informations
      6. Identifier les points d'entrée de l'application
      7. Cartographier les chemins d'exécution à travers l'application
      8. Empreinte du framework d'application Web
      9. Cartographier l'architecture de l'application
   3. Test de gestion de la configuration et du déploiement
      1. Tester la configuration de l'infrastructure réseau
      2. Tester la configuration de la plateforme applicative
      3. Tester la gestion des extensions de fichiers pour les informations sensibles
      4. Examiner les anciens fichiers de sauvegarde et les fichiers non référencés pour les informations sensibles
      5. Enumérer les interfaces d'administration de l'infrastructure et de l'application
      6. Tester les méthodes HTTP
      7. Tester HTTP Strict Transport Security
      8. Tester la politique de domaine croisé RIA
      9. Tester les permissions de fichiers
      10. Tester la prise de contrôle de sous-domaine
      11. Tester le stockage Cloud
   4. Test de gestion des identités
      1. Tester les définitions de rôle
      2. Tester le processus d'enregistrement des utilisateurs
      3. Tester le processus de provisionnement des comptes
      4. Test de l'énumération des comptes et des comptes utilisateurs devinables
      5. Test de la politique de nom d'utilisateur faible ou non appliquée
   5. Test d'authentification
      1. Test du transport des informations d'identification sur un canal chiffré
      2. Test des informations d'identification par défaut
      3. Test du mécanisme de verrouillage faible
      4. Test de contournement du schéma d'authentification
      5. Test de la vulnérabilité du mot de passe mémorisé
      6. Test des faiblesses du cache du navigateur
      7. Test de la politique de mot de passe faible
      8. Test de la question/réponse de sécurité faible
      9. Test des fonctionnalités de modification ou de réinitialisation de mot de passe faibles
      10. Test de l'authentification plus faible dans un canal alternatif
   6. Test d'autorisation
      1. Test de traversée de répertoire/inclusion de fichier
      2. Test de contournement du schéma d'autorisation
      3. Test d'escalade de privilèges
      4. Test des références d'objets directs non sécurisées
   7. Test de la gestion de session
      1. Test du schéma de gestion de session
      2. Test des attributs de cookies
      3. Test de la fixation de session
      4. Test des variables de session exposées
      5. Test de la falsification de requête intersite (CSRF)
      6. Test de la fonctionnalité de déconnexion
      7. Test du délai d'expiration de la session
      8. Test de la confusion de session
      9. Test du détournement de session
   8. Test de validation des entrées
      1. Test du Cross Site Scripting Réfléchi
      2. Test du Cross Site Scripting Stocké
      3. Test de l'altération du verbe HTTP
      4. Test de la pollution des paramètres HTTP
      5. Test de l'injection SQL
      6. Test pour Oracle
      7. Test pour MySQL
      8. Test pour SQL Server
      9. Test PostgreSQL
      10. Test pour MS Access
      11. Test pour NoSQL Injection
      12. Test pour ORM Injection
      13. Test côté client
      14. Test de l'injection LDAP
      15. Test de l'injection XML
      16. Test de l'injection SSI
      17. Test de l'injection XPath
      18. Test de l'injection IMAP/SMTP
      19. Test de l'injection de code
      20. Test de l'inclusion de fichier local
      21. Test de l'inclusion de fichier distant
      22. Test de l'injection de commande
      23. Test de l'injection de chaîne de format
      24. Test des vulnérabilités incubées
      25. Test du fractionnement/contrebande HTTP
      26. Test des requêtes HTTP entrantes
      27. Test de l'injection d'en-tête d'hôte
      28. Test de l'injection de modèle côté serveur
      29. Test de la falsification de requête côté serveur (SSRF)
   9. Test de la gestion des erreurs
      1. Test de la gestion incorrecte des erreurs
      2. Test des traces de pile
   10. Test de la cryptographie faible
       1. Test de la sécurité faible de la couche de transport
       2. Test de l'oracle de padding
       3. Test des informations sensibles envoyées via des canaux non chiffrés
       4. Test du chiffrement faible
   11. Test de la logique métier
       1. Introduction à la logique métier
       2. Tester la validation des données de la logique métier
       3. Tester la capacité à falsifier des requêtes
       4. Tester les contrôles d'intégrité
       5. Test de la synchronisation des processus
       6. Tester le nombre de fois qu'une fonction peut être utilisée
       7. Test du contournement des flux de travail
       8. Tester les défenses contre l'utilisation abusive des applications
       9. Tester le téléchargement de types de fichiers inattendus
       10. Tester le téléchargement de fichiers malveillants
   12. Test côté client
       1. Test du Cross-Site Scripting basé sur le DOM
       2. Test de l'exécution JavaScript
       3. Test de l'injection HTML
       4. Test de la redirection d'URL côté client
       5. Test de l'injection CSS
       6. Test de la manipulation des ressources côté client
       7. Test du partage de ressources inter-origines (CORS)
       8. Test du Cross-Site Flashing
       9. Test du Clickjacking
       10. Test des WebSockets
       11. Test de la messagerie Web
       12. Test du stockage du navigateur
       13. Test de l'inclusion de script inter-sites
   13. Test de l'API
       1. Test de GraphQL
6. Reporting
7. Annexe
   1. A. Ressources d'outils de test
   2. B. Lectures suggérées
   3. C. Vecteurs de fuzzing
   4. D. Injection encodée
   5. E. Historique
   6. F. Utilisation des outils de développement