Aller au contenu
Réussir mon BTS SIO

Tape une notion, une commande ou le nom d'une épreuve.

Par exemple

TP de 4 séancesSLAM2e année

OWASP Top 10 en pratique

Tu découvres les 10 familles de failles de l'OWASP, puis tu casses et répares ta propre application AppliFrais : injection NoSQL, XSS, contrôle d'accès. Le socle de l'écrit E7.

Par Josselyn C., prof de BTS SIO. Publié le , mis à jour le .

Les étapes du TP

  1. Panorama : Cartographier les 10 familles

    Panorama OWASP Top 10

    Tu nommes les 10 familles de l'OWASP Top 10, tu repères où chacune frappe dans AppliFrais et tu dresses sa carte de menace.

    7 chapitres5 livrables

  2. Injection NoSQL : Contourner le login, puis le blinder

    Injection NoSQL (MongoDB)

    Tu contournes le login d'AppliFrais avec $ne et $gt, tu extrais un secret via $regex, puis tu valides les types avec Zod et durcis Mongoose.

    14 chapitres9 livrables

  3. XSS : Injecter du script, puis échapper

    XSS : injecter du script

    Tu fabriques un XSS réfléchi, stocké et DOM sur AppliFrais, puis tu te défends : échappement, DOMPurify, cookie HttpOnly et CSP avec helmet.

    10 chapitres9 livrables

  4. Contrôle d'accès : Forcer les droits, puis les vérifier

    Broken Access Control

    Avec un token visiteur, tu valides des fiches, lis celles des autres (IDOR) et t'attribues un rôle, puis tu poses les contrôles côté serveur.

    9 chapitres10 livrables

Commencer le TP

Le TP en bref

Durée
4 séances
Pour qui
SLAM, 2e année
Prérequis
Ton application AppliFrais (API Express, MongoDB, front React) qui tourne en local.
Matériel
Un PC avec Node.js, MongoDB et curl (ou Postman), et ta copie locale d'AppliFrais.
Outils
Express, MongoDB, React, curl, Zod

Compétences du référentiel

  • C3.5Assurer la cybersécurité d'une solution applicative
  • C3.3Sécuriser les équipements et les usages des utilisateurs

Les cours à réviser avec ce TP