Pentest web : trouver et corriger les failles des applications Quiz

Quiz : contrôle d’accès et logique métier

Réussite à partir de 70%. Vous pouvez recommencer autant de fois que nécessaire.

Connectez-vous pour passer ce quiz et enregistrer votre score. Se connecter

1 Le test d’IDOR consiste, dans un laboratoire, à : Une seule réponse Essayer de nombreux mots de passe sur le compte d’un autre utilisateur Rejouer, avec la session du compte A, une requête portant la référence d’un objet du compte B Injecter des caractères spéciaux dans un champ de recherche Vérifier la longueur du cookie de session

2 Quelle est la vraie correction d’une faille IDOR ? Une seule réponse Remplacer les identifiants séquentiels par de longs identifiants aléatoires et s’en tenir là Masquer les liens vers les objets dans l’interface Interdire l’usage de la méthode GET Vérifier côté serveur, à chaque accès, que l’objet appartient à l’utilisateur connecté

3 Quelles situations relèvent d’une élévation de privilèges verticale (plusieurs réponses) ? Plusieurs réponses possibles Un client consulte le profil d’un autre client Un utilisateur ordinaire appelle directement une adresse d’administration non masquée Un utilisateur ajoute un champ de rôle à une requête de profil et le serveur l’accepte Un utilisateur se connecte avec son propre mot de passe

4 Pourquoi un scanner automatique détecte-t-il mal les failles de logique métier ? Une seule réponse Parce que ces failles n’existent que sur les sites anciens Parce qu’il ne connaît pas les règles de gestion attendues et ne peut juger ce qui est anormal Parce qu’elles sont protégées par le chiffrement HTTPS Parce qu’elles n’ont aucun impact

5 Quelles défenses sont pertinentes contre la SSRF (plusieurs réponses) ? Plusieurs réponses possibles Une liste blanche de destinations autorisées Une liste noire des adresses internes connues comme seule protection La segmentation du réseau pour limiter ce que le serveur peut joindre Le contrôle ou la désactivation des redirections