Cas pratiques Pentesting

Contexte : Un serveur web Apache est configuré pour héberger une application. Le Problème : Il est important de vérifier si la configuration du serveur est sécurisée et ne divulgue pas d’informations sensibles. Contraintes : Vérifier les en-têtes HTTP, les configurations de sécurité comme HTTP Strict Transport Security (HSTS) et la gestion des erreurs. Livrable attendu : Fournir un rapport de configuration détaillant les risques potentiels et les actions à entreprendre pour sécuriser le serveur web.

Contexte : Une application permet aux utilisateurs de télécharger des fichiers. Le Problème : L’application ne vérifie pas les types de fichiers ou leur contenu, ce qui pourrait permettre d’uploader des fichiers malveillants. Contraintes : Tester le téléchargement de fichiers malveillants comme des scripts exécutables ou des fichiers contenant des charges utiles. Livrable attendu : Fournir un rapport de test sur les types de fichiers téléchargés et recommander une validation stricte des fichiers, y compris la vérification de type MIME, l’extension et le contenu.

Contexte : Une application utilise une base de données MySQL, mais l’administrateur a oublié de configurer certains paramètres de sécurité. Le Problème : La base de données est exposée à des attaques par force brute ou à des injections SQL. Contraintes : Vérifier les configurations de la base de données (comptes par défaut, accès réseau) et suggérer des améliorations. Livrable attendu : Proposer des modifications sur la configuration de la base de données, telles que la désactivation des comptes par défaut et la mise en place d’un pare-feu pour restreindre l’accès.

Contexte : Une application permet aux utilisateurs de publier des commentaires sans vérifier ou assainir correctement les entrées. Le Problème : Une faille XSS pourrait permettre à un attaquant d’injecter du code JavaScript dans le commentaire. Contraintes : Utiliser un script malveillant basique dans le commentaire et tester si l’injection fonctionne. Livrable attendu : Fournir un exemple de code JavaScript injecté via le formulaire et des recommandations pour éviter ce type d’attaque, comme l’échappement des caractères spéciaux dans les entrées.

Contexte : Un formulaire d'inscription dans une application web ne filtre pas correctement les données envoyées. Le Problème : Lorsqu'un utilisateur soumet des informations via le formulaire, des données sensibles peuvent être envoyées dans les en-têtes HTTP ou la réponse. Contraintes : Utiliser un proxy HTTP comme Burp Suite ou OWASP ZAP pour inspecter la réponse du serveur. Livrable attendu : Identifier les informations sensibles envoyées et proposer des mesures de protection comme la suppression des informations sensibles dans les réponses ou l’utilisation de POST au lieu de GET.

Contexte : Une entreprise souhaite vérifier les ports ouverts sur un serveur pour détecter d’éventuelles vulnérabilités. Le Problème : Les administrateurs ne connaissent pas tous les ports ouverts sur le serveur. Contraintes : Utiliser Nmap pour scanner les ports ouverts sur une adresse IP cible. Livrable attendu : Fournir un rapport complet des ports ouverts et des services associés, avec des recommandations pour fermer les ports non utilisés.

Contexte : Une application web est déployée et l’équipe souhaite vérifier sa sécurité en effectuant un scan de vulnérabilité. Le Problème : Il n’y a pas d’outil ou de méthode définie pour scanner la sécurité de l’application. Contraintes : Utiliser des outils accessibles comme Nikto ou OWASP ZAP pour effectuer un scan de vulnérabilité de base. Livrable attendu : Fournir un rapport de scan avec les vulnérabilités identifiées et des recommandations de correction pour les failles détectées.

Contexte : Une API expose des points d’accès sensibles nécessitant une authentification. Le Problème : L’API ne vérifie pas correctement les permissions d’accès aux ressources. Contraintes : Tester la gestion des tokens d’authentification et la sécurité des points d’accès REST. Livrable attendu : Fournir un rapport indiquant les failles d’authentification, y compris les problèmes de tokens expirés ou non valides, et recommander des améliorations pour sécuriser les points d’accès.

Contexte : Une application permet aux utilisateurs de se connecter via un formulaire d’authentification. Le Problème : L’application ne semble pas protéger correctement contre les attaques par force brute. Contraintes : Utiliser un outil comme Hydra ou Burp Suite pour tester la résistance du formulaire face à une attaque par force brute. Livrable attendu : Fournir un rapport d’attaque détaillant le nombre de tentatives et les protections possibles contre ce type d’attaque.

Contexte : Une application web utilise des cookies pour maintenir les sessions utilisateur. Le Problème : Les cookies ne sont pas sécurisés, permettant un vol de session. Contraintes : Inspecter les cookies avec un proxy comme Burp Suite pour vérifier leur configuration (Secure, HttpOnly, SameSite). Livrable attendu : Identifier les vulnérabilités dans la gestion des cookies et fournir des recommandations pour sécuriser les cookies de session.

Contexte : Une application web est déployée sur un serveur accessible depuis Internet. Le Problème : Certains fichiers sensibles pourraient être accessibles directement via des chemins prévisibles (ex: /backup.zip, /.env). Contraintes : Tester uniquement des chemins génériques dans l’environnement de test sans tenter d’exfiltration de données réelles. Livrable attendu : Identifier les fichiers exposés, analyser l’impact potentiel et recommander des mesures de protection comme la restriction d’accès et la configuration serveur appropriée.

Contexte : Une application permet l’upload de fichiers image pour les profils utilisateurs. Le Problème : La validation semble uniquement basée sur l’extension du fichier. Contraintes : Tester des fichiers modifiés (ex: double extension) dans l’environnement de test sans exécuter de code malveillant. Livrable attendu : Documenter la méthode de contournement de la validation, analyser l’impact potentiel (RCE, stockage de malware) et proposer une stratégie de validation robuste côté serveur.

Contexte : Une API REST permet de consulter des factures via un endpoint de type /api/invoices/123. Le Problème : En modifiant simplement l’identifiant dans l’URL, il est possible d’accéder à d’autres factures sans authentification supplémentaire. Contraintes : Vous devez démontrer l’accès non autorisé uniquement sur des comptes de test fournis. Aucune donnée réelle ne doit être consultée. Livrable attendu : Documenter la vulnérabilité IDOR, expliquer l’impact métier et proposer une correction basée sur une vérification stricte des autorisations côté serveur.

Contexte : Une application utilise des tokens JWT pour sécuriser ses endpoints API. Le Problème : Le token semble accepter des algorithmes faibles ou mal configurés. Contraintes : Tester la robustesse de la validation JWT sans perturber le service. Toute tentative doit rester dans le périmètre légal de test. Livrable attendu : Analyser la configuration JWT, identifier les mauvaises pratiques potentielles (ex: absence de vérification d’algorithme), et proposer des recommandations pour renforcer la validation et la signature.

Contexte : Une application web est accessible publiquement et doit être auditée pour vérifier sa posture de sécurité. Le Problème : Certains en-têtes de sécurité HTTP semblent absents ou mal configurés. Contraintes : Utiliser des outils standards comme curl ou un proxy d’interception pour analyser uniquement les réponses HTTP. Livrable attendu : Identifier les en-têtes manquants (ex: CSP, HSTS, X-Frame-Options), expliquer leur rôle et proposer une configuration renforcée adaptée à un environnement de production.

Contexte : Une API publique est utilisée par plusieurs applications front-end. Le Problème : La configuration CORS semble autoriser toutes les origines avec des credentials activés. Contraintes : Tester la configuration sans exploiter de données sensibles. L’objectif est d’identifier le risque potentiel. Livrable attendu : Décrire la configuration observée, expliquer le risque associé à une politique CORS permissive et recommander une configuration restreinte adaptée au contexte métier.

Contexte : Une API interne est utilisée par plusieurs microservices et protégée par un token d’accès. Le Problème : Les tokens semblent donner accès à toutes les ressources sans granularité. Contraintes : Tester uniquement avec des tokens de test fournis. Aucun accès hors périmètre autorisé. Livrable attendu : Analyser les permissions accordées, identifier les excès de privilèges et proposer un modèle de permissions plus granulaire basé sur le principe du moindre privilège.

Contexte : Vous êtes mandaté pour tester la sécurité d’une application interne de gestion des employés accessible via un navigateur. Le Problème : Un champ de recherche semble vulnérable aux injections SQL. Des messages d’erreur SQL apparaissent lorsqu’un caractère spécial est saisi. Contraintes : Vous devez démontrer la vulnérabilité sans altérer ni supprimer de données. L’environnement est de test et toute action destructive est interdite. Livrable attendu : Décrire la méthodologie d’identification de la faille, fournir un exemple de payload non destructif permettant d’extraire une information générique (ex: version de la base), et proposer des recommandations de correction.

Contexte : Une plateforme SaaS propose une authentification par mot de passe classique. Le Problème : Aucun mécanisme évident de limitation de tentatives n’est visible. Contraintes : Effectuer un test contrôlé dans l’environnement de test fourni, sans dépasser les seuils autorisés par le contrat de test. Livrable attendu : Décrire la méthodologie de test de force brute, analyser la présence ou l’absence de rate limiting, et recommander des mécanismes comme verrouillage temporaire ou CAPTCHA.

Contexte : Une application propose un formulaire de connexion et un mécanisme de récupération de mot de passe. Le Problème : Les messages d’erreur diffèrent selon que l’utilisateur existe ou non, ce qui peut permettre une énumération de comptes. Contraintes : Tester uniquement avec des comptes fictifs fournis dans l’environnement de test. Livrable attendu : Démontrer la possibilité d’énumération d’utilisateurs, analyser l’impact en termes de sécurité et proposer une uniformisation des messages d’erreur.

Contexte : Une application web utilise un système de gestion des utilisateurs avec des rôles pour contrôler l'accès aux différentes fonctionnalités. Le Problème : Un utilisateur avec un rôle de faible privilège peut accéder à des ressources réservées aux administrateurs. Contraintes : Vous devez démontrer l'exploitation de cette faille en élevant les privilèges d'un utilisateur sans compromettre l'intégrité des données. Livrable attendu : Fournir un exemple d'élévation de privilèges et recommander des améliorations dans la gestion des rôles et des permissions, notamment avec une validation stricte des privilèges sur chaque requête.

Contexte : Une application web permet à des utilisateurs de soumettre des informations sensibles, telles que des numéros de carte bancaire, via un formulaire. Le Problème : L’absence de chiffrement sur certaines communications expose les données à une attaque MITM. Contraintes : Vous devez démontrer une attaque MITM et l’interception des données sans compromettre le service en production. Livrable attendu : Fournir un exemple d'attaque MITM en utilisant un proxy et recommander des solutions comme l’activation du chiffrement TLS pour toutes les communications sensibles.

Contexte : Vous avez accès à un réseau sans fil non sécurisé qui est utilisé par une entreprise pour ses communications internes. Le Problème : L’absence de chiffrement sur le réseau permet l'injection de paquets malveillants et l’interception de données sensibles. Contraintes : Utiliser des outils comme Wireshark pour capturer les paquets et démontrer l’exploitation du réseau non sécurisé. Livrable attendu : Fournir un rapport détaillant l'exploitation du réseau sans fil et des recommandations pour sécuriser la communication avec WPA3 ou un autre protocole de chiffrement avancé.

Contexte : Une application de gestion de compte permet aux utilisateurs de modifier leur mot de passe via un formulaire web. Le Problème : L'application est vulnérable aux attaques CSRF et les tokens ne sont pas protégés correctement, permettant à un attaquant de voler un token et de forcer une modification du mot de passe. Contraintes : Vous devez exploiter la vulnérabilité en volant un token valide pour modifier les informations d'un autre utilisateur, sans alerter l'administrateur. Livrable attendu : Décrire la méthode pour voler le token CSRF et utiliser ce dernier pour forcer la modification des données sensibles, en recommandant des protections comme des cookies sécurisés et des contrôles de domaine d'origine.

Contexte : Une API expose des fonctionnalités permettant de traiter des fichiers XML envoyés par les utilisateurs. Le Problème : L'API est vulnérable à une attaque XXE permettant de récupérer des fichiers sensibles du serveur ou d'effectuer des requêtes réseau internes. Contraintes : Tester la vulnérabilité en utilisant un fichier XML malformé sans compromettre la confidentialité des données sensibles. Livrable attendu : Fournir un exemple de fichier XML malveillant et expliquer les impacts de l'attaque, en recommandant des solutions comme la désactivation des entités externes ou la validation stricte des fichiers XML.

Contexte : Une application utilise un ORM pour interagir avec la base de données, mais il semble y avoir des erreurs de configuration qui permettent des injections SQL. Le Problème : Malgré l’utilisation de l’ORM, il est possible d’exécuter des requêtes malveillantes en manipulant certains paramètres. Contraintes : Vous devez exploiter la faille sans affecter l'intégrité de la base de données de production. Livrable attendu : Décrire la vulnérabilité de l'ORM, fournir des payloads pour exploiter l'injection et recommander des pratiques sécuritaires telles que l'utilisation de requêtes préparées ou l'activation de mécanismes de sécurité dans l'ORM.

Contexte : Une application web utilise des objets sérialisés pour stocker et transmettre des informations entre le client et le serveur. Le Problème : La désérialisation des objets n’est pas correctement sécurisée, permettant à un attaquant de manipuler des données et d'exécuter du code malveillant sur le serveur. Contraintes : Vous devez démontrer l'exploitation de la vulnérabilité en utilisant des objets malveillants sans perturber l'application de manière permanente. Livrable attendu : Fournir des exemples d’objets malveillants injectés et des recommandations pour sécuriser la désérialisation avec des mécanismes comme la validation des données ou l'utilisation de bibliothèques sécurisées.

Contexte : Une application web permet aux utilisateurs de soumettre une URL externe à des fins de redirection. Le Problème : La validation des URL est insuffisante, permettant à un attaquant de rediriger un utilisateur vers un site malveillant. Contraintes : Vous devez démontrer l’exploitation de la vulnérabilité en utilisant une URL malveillante qui redirige vers un site de phishing. Livrable attendu : Fournir un exemple d'URL malveillante et proposer des solutions comme la validation stricte des URL ou l'utilisation d'une liste blanche pour les redirections.

Contexte : Vous êtes en charge de tester la sécurité d’une infrastructure réseau d’entreprise. Le Problème : Vous devez identifier les ports ouverts et les services vulnérables accessibles sur le réseau. Contraintes : Utiliser un outil comme Nmap pour scanner les ports de manière discrète, sans perturber l’activité des systèmes. Livrable attendu : Fournir un rapport détaillant les ports ouverts, les services associés et leurs versions, avec des recommandations de sécurité pour limiter les accès non autorisés.

Contexte : Une application propose un formulaire de connexion et un mécanisme de récupération de mot de passe. Le Problème : Les messages d’erreur diffèrent selon que l’utilisateur existe ou non, ce qui peut permettre une énumération de comptes. Contraintes : Tester uniquement avec des comptes fictifs fournis dans l’environnement de test. Livrable attendu : Démontrer la possibilité d’énumération d’utilisateurs, analyser l’impact en termes de sécurité et proposer une uniformisation des messages d’erreur.