juin – juil. 2026
Labs OWASP Top 10 2025 : A01 et A09
Deux labs conteneurisés : un contrôle d'accès cassé exploité de sept façons, et une force brute qui passe d'invisible à détectée dès que la supervision est branchée.
Preuves
- 7variantes de contrôle d'accès exploitéesSource : 17 requêtes tracées
- 0 → 37événements de sécurité centralisés dans LokiSource : preuves archivées par la démo
- 30échecs détectés par fail2ban, IP signaléeSource : preuve de correction
Démonstration
La démonstration interactive se charge avec JavaScript.
Ce que j'ai fait
- A01 : application Flask volontairement vulnérable, à 7 variantes (IDOR, rôle dans un cookie, contrôle fonctionnel manquant, mass assignment, path traversal, forced browsing, IDOR sur virement), exploitées depuis le compte le moins privilégié.
- Rapport de test d'intrusion : CWE, CVSS 3.1 et remédiation par vulnérabilité.
- A09 : application avec une bascule de journalisation sécurisée, chaîne Promtail, Loki et Grafana, et fail2ban.
- Démonstration automatisée, en mode vulnérable ou corrigé, qui lance l'attaque et archive les preuves ; procédure réutilisable par les autres groupes.
Limites
- A01 : la correction est décrite mais n'a pas été retestée.
- A09 : l'action fail2ban du lab journalise le bannissement sans bloquer l'IP, et l'IP est lue dans X-Forwarded-For, que l'attaquant contrôle. En production : blocage réel et IP vue par le proxy.
Outils et référentiels
- Python
- Flask
- Docker Compose
- Promtail
- Loki
- Grafana
- fail2ban
- LogQL
- CVSS 3.1
- CWE
Compétences
- Sécurité applicative
- Détection et réponse