Skip to content

Latest commit

 

History

History
79 lines (51 loc) · 3.25 KB

1.md

File metadata and controls

79 lines (51 loc) · 3.25 KB
Raw

💬 Un peu d'histoire

Concepts de base et terminologies : Vulnérabilité, menace, attaque, risque et sécurité.

  • Vulnérabilité : Faiblesse dans un système qui peut être exploitée.
  • Menace : Potentiel de source de danger pour une vulnérabilité.
  • Attaque : Action d'exploitation d'une vulnérabilité par une menace.
  • Risque : Potentiel de perte ou de dommage lorsqu'une menace exploite une vulnérabilité.
  • Sécurité : Ensemble des mesures prises pour protéger contre les menaces.

Ateliers

  • Groupe 1
    • La sécurité informatique avant internet
    • La cyber sécurité
    • Personnages célèbres
  • Groupe 2
    • Black hat / White hat / Grey hat
    • Blue Team / Red Team
    • Virus / Malware / Trojan / Ransomware
    • Zero Days
  • Groupe 3
    • Encodage vs Chiffrement vs Hachage
    • Algorithmes de chiffrement
    • Histoire du hachage MD5 et alternatives modernes
  • Groupe 4
    • Quelques hacks notoires
    • L'impact des Failles de Sécurité
  • Groupe 5
    • Les différents types de Menaces en Sécurité Informatique

Exercices

Présentation et démo Failles SQL

livecode-faille-sql

Running an SQL Injection Attack

🔴Red Team : Contourner une requête sql avec une injection

Nous allons découvrir portswigger qui est composé de cours et d'éxplications à travers différents topics ainsi que des exercices pratiques

Je vous invite à créer un compte ici : https://portswigger.net/users et commencer à vous documenter sur ce topic en vous exerçant avec les Labs proposés

Bonus - Exercices Root Me

Challenge 1 : Intro à l'injection SQL

SQL injection - Authentification

Challenge 2 : SQL injection - String

SQL injection - String

Hint Pour découvrir la table qui contient les utilisateurs :

Outils à disposition :

Outil de détection à découvrir ( pas indispensable pour les challenges ) :

🔵Blue Team : Comment prévenir des injections SQL ? (question ouverte)

Réflexions et réponses apportées :

  • En utilisant les requêtes préparées : les requêtes préparées préparent le code SQL à exécuter, puis injectent les données qui ne seront pas interprétées en tant que code SQL mais en tant que données
  • Échappement des données des formulaires et entrées utilisateurs en utilisant des fonctions natives des langages de programmation trim(), htmlspecialchars et autres
  • Préférer l'utilisation des ORM + des dépositoires de nos frameworks sans exception