Pentest web : trouver et corriger les failles des applications Quiz final

Quiz final : pentest web et applications

Réussite à partir de 75%. Vous pouvez recommencer autant de fois que nécessaire.

Connectez-vous pour passer ce quiz et enregistrer votre score. Se connecter

1 Dans quel cadre peut-on légalement tester la sécurité d’une application web ? Une seule réponse Sur n’importe quel site, si l’on ne modifie aucune donnée Sur n’importe quel site, si l’on prévient le propriétaire après coup Avec une autorisation écrite et un périmètre défini, ou sur un environnement d’entraînement légal Sur les sites dont la sécurité paraît faible

2 Pourquoi cartographie-t-on l’application avant de chercher des failles (plusieurs réponses) ? Plusieurs réponses possibles Pour ne pas oublier de zones de l’application Pour obtenir l’autorisation légale de tester Pour repérer les paramètres et fonctions sensibles qui deviendront des hypothèses de test Pour pouvoir prouver ce qui a été couvert par le test

3 Quel mécanisme de défense empêche un lien de réinitialisation de mot de passe d’être réutilisé après usage ? Une seule réponse Le rendre à usage unique et le faire expirer côté serveur Allonger l’adresse du lien Envoyer le lien par SMS plutôt que par e-mail Demander à l’utilisateur de ne pas le partager

4 Quels éléments améliorent la protection d’un cookie de session (plusieurs réponses) ? Plusieurs réponses possibles Les attributs Secure et HttpOnly Un identifiant de session contenant le nom de l’utilisateur La régénération de l’identifiant à la connexion L’attribut SameSite

5 Une application impose un second facteur à l’écran, mais accepte une requête directe vers une page protégée après la première étape seule. Quel est le problème ? Une seule réponse Le code à usage unique est trop long La vérification n’est pas imposée côté serveur sur tous les chemins d’accès Le mot de passe est stocké haché Le second facteur devrait être un SMS

6 Quelle est la défense racine contre l’injection SQL ? Une seule réponse Un pare-feu applicatif seul Une liste noire de mots SQL interdits La validation côté navigateur Les requêtes préparées (paramétrées)

7 En laboratoire, comment procède un testeur pour confirmer une injection SQL tout en restant mesuré (plusieurs réponses) ? Plusieurs réponses possibles Il note d’abord la réponse normale de référence Il compare le comportement avec une condition toujours vraie et une toujours fausse Il télécharge toute la base pour mesurer l’impact Il s’arrête à la preuve minimale et documente le constat

8 Une application exécute une commande système avec une valeur saisie par l’utilisateur, concaténée telle quelle. Quelle est la meilleure réponse défensive ? Une seule réponse Éviter d’appeler le shell, ou passer des arguments séparés validés par liste blanche Chiffrer la valeur avant de l’envoyer au serveur Renommer le paramètre Ajouter un cookie de session

9 Quelle est la différence entre un XSS réfléchi et un XSS basé sur le DOM ? Une seule réponse Le XSS basé sur le DOM n’existe que sur les sites sans JavaScript Le réfléchi concerne la base de données, le DOM les fichiers Aucune, ce sont deux noms pour la même faille Réfléchi : le serveur renvoie la valeur dans sa réponse ; DOM : le script de la page l’insère dangereusement

10 Quelles défenses limitent efficacement le CSRF (plusieurs réponses) ? Plusieurs réponses possibles Un jeton anti-CSRF imprévisible lié à la session Utiliser POST à la place de GET, sans autre mesure L’attribut SameSite sur le cookie de session Redemander le mot de passe actuel pour les actions sensibles

11 Quel est le rôle de la directive frame-ancestors (ou de X-Frame-Options) ? Une seule réponse Chiffrer le trafic entre le navigateur et le serveur Empêcher l’énumération de comptes à la connexion Contrôler quels sites peuvent inclure la page dans un cadre, contre le clickjacking Interdire les requêtes SQL

12 Comment tester une faille d’IDOR de façon responsable dans un laboratoire ? Une seule réponse Parcourir tous les identifiants pour lire les données d’utilisateurs réels Rejouer avec la session du compte A la référence d’un objet du compte B, les deux comptes étant les vôtres Tester sur le site d’un ami sans l’en informer Utiliser uniquement un scanner automatique sans comptes

13 Quels exemples relèvent des failles de logique métier (plusieurs réponses) ? Plusieurs réponses possibles Le serveur accepte le prix envoyé par le navigateur lors d’une commande Le site utilise un certificat TLS valide L’étape de paiement d’un parcours peut être sautée Une limite « un code promo par client » n’est vérifiée que dans l’interface

14 Pourquoi une liste noire d’adresses internes est-elle une défense fragile contre la SSRF ? Une seule réponse Parce que les adresses internes n’existent pas Parce qu’une même destination peut être écrite de multiples façons ou atteinte par redirection Parce qu’elle bloque trop de visiteurs légitimes Parce qu’elle est interdite par la loi

15 Quels constats relèvent d’une mauvaise configuration de serveur (plusieurs réponses) ? Plusieurs réponses possibles Un mode débogage actif qui affiche des traces détaillées Une redirection automatique de HTTP vers HTTPS Un compte administrateur par défaut jamais désactivé Une archive de sauvegarde accessible dans le dossier public

16 Que signifie la présence d’une version ancienne d’un composant avec une CVE connue ? Une seule réponse Une compromission certaine à signaler comme critique sans vérification Rien : les CVE ne concernent que les éditeurs Un risque à qualifier selon l’usage réel du composant, avec recommandation de mise à jour Que l’application a déjà été piratée

17 Pour un envoi de fichiers, quelle vérification n’est PAS suffisante à elle seule ? Une seule réponse La vérification de la taille maximale La vérification du contenu réel du fichier La vérification de l’extension du nom fourni par le client Le stockage hors de la racine web

18 Quelle bonne pratique réduit le plus le risque de désérialisation non sécurisée (plusieurs réponses) ? Plusieurs réponses possibles Utiliser un format simple comme JSON et construire les objets soi-même après validation Allonger les mots de passe des utilisateurs Signer les données qui voyagent chez le client, ou garder l’état côté serveur Ne pas désérialiser de données non fiables avec un format qui instancie des objets arbitraires

19 Quel contenu trouve-t-on dans la synthèse de gestion d’un rapport de test ? Une seule réponse La liste complète des requêtes capturées Le niveau de risque global, la répartition des constats et les priorités, sans jargon Les mots de passe des comptes de test Le code source complet de l’application

20 Pourquoi complète-t-on le score CVSS de base par d’autres critères pour prioriser (plusieurs réponses) ? Plusieurs réponses possibles Pour tenir compte de l’exposition de la faille (Internet, interne) Parce que le CVSS ne s’applique qu’aux anciens systèmes Pour tenir compte de la valeur de l’actif concerné Pour tenir compte de l’effort de correction et repérer les gains rapides

21 Vous découvrez une faille sur un vrai service en dehors de tout programme. Quelle est la bonne démarche ? Une seule réponse Publier immédiatement les détails pour alerter les utilisateurs Explorer davantage pour mesurer l’ampleur avant de signaler Demander une récompense avant de dire de quoi il s’agit S’arrêter, ne rien conserver, puis signaler de façon confidentielle par un canal officiel