Méthodologies OWASP : intervention à l’Université technique de Slovaquie
·
J’ai eu le privilège d’intervenir devant les étudiants de l’université technique slovaque de Bratislava (STU), à la faculté de génie électrique et d’informatique (FEI), à l’invitation de la professeure Katarína Žáková. Le sujet : les vulnérabilités de sécurité des applications web écrites en PHP, et la façon dont les référentiels OWASP permettent de les chercher méthodiquement plutôt qu’au hasard.
Une séance pratique plutôt qu’un exposé
La sécurité s’apprend mal en théorie. Nous sommes donc entrés directement dans des vulnérabilités réelles et dans les défenses qui leur répondent.
1. Les vulnérabilités web courantes et la méthodologie OWASP
Nous avons commencé par les risques les plus fréquents sur une application PHP : de l’injection SQL au cross-site scripting (XSS). Pour chacun : d’où il vient, pourquoi il persiste malgré vingt ans de littérature, et comment un attaquant l’exploite concrètement. La méthodologie OWASP sert ici à transformer cette liste en démarche — on ne cherche pas ce à quoi on pense, on parcourt un référentiel.
2. Code PHP vulnérable et code PHP correct, côte à côte
La théorie ne suffit pas. Nous avons lu du code vulnérable, identifié ce qui le rendait dangereux, puis parcouru l’implémentation corrigée. Voir les deux versions l’une à côté de l’autre rend la différence évidente d’une façon qu’aucune règle abstraite n’obtient.
3. Démonstration d’attaque en direct
Le moment fort de la séance a été une injection SQL menée en direct. Voir l’attaque se dérouler réellement, étape par étape, donne une compréhension qu’un schéma ne transmet pas : une inattention d’une ligne suffit à ouvrir la base entière.
Ce qu’il faut en retenir
La sécurité commence dans le code
Écrire une application sûre ne consiste pas à appliquer une liste de bonnes pratiques, mais à comprendre comment raisonne un attaquant. Identifier et traiter les risques pendant le développement coûte une fraction de ce que coûte la même correction en production.
La défense compte autant que l’attaque
Les techniques offensives servent à comprendre les failles ; l’objectif reste de construire des applications résistantes. La sécurité doit faire partie du développement, et non arriver à la fin comme une formalité de validation.
Nous appliquons les mêmes référentiels en mission : voyez nos méthodologies de test et le détail de l’OWASP WSTG, ou la prestation correspondante, le pentest web.
