web-threat-mitigation

Laboratoire pratique sur la détection et l'atténuation des menaces d'applications web à l'aide d'OWASP ZAP, Burp Suite et ModSecurity WAF (avec OWASP CRS). Étude de cas : Spring4Shell (CVE-2022-22965). Configuration locale basée sur Docker.

1. Déploiement de WebGoat sur CentOS avec Docker, exposé sur le port 8080.

2. Scan initial depuis Kali Linux avec OWASP ZAP :
   • Alertes à haut risque : Injection SQL, Spring4Shell
   • Moyen : CSP manquant, jetons CSRF, falsification de paramètres
   • Info : fuites de version, XSS potentiel, problèmes de session

3. Déploiement du proxy inverse sur Debian 12 avec nginx.

4. Configuration du WAF avec OWASP CRS et règles chargées depuis :
   root@kitploit:~

   /etc/nginx/coreruleset-4.9.0/crs-setup.conf
   /etc/nginx/coreruleset-4.9.0/rules/*.conf
   

   Les règles ont été testées et activées en vérifiant les logs ModSecurity.

5. Scan post-WAF avec OWASP ZAP a montré :
   • Alertes réduites (réponses bloquées ou masquées)
   • Confirmation de la protection du WAF en place

6. Test d'exploitation avec Metasploit contre Spring4Shell :
   • Sans WAF : RCE réussie (payload de reverse shell)
   • Avec WAF : Exploit bloqué en raison de la détection CRS

Conclusion

Ce laboratoire montre l'importance d'une sécurité en couches :

• Une application vulnérable peut être facilement exposée sans protection
• ZAP/Burp aident à identifier et catégoriser les vulnérabilités
• ModSecurity et OWASP CRS réduisent efficacement la surface d'attaque
• Les WAF peuvent bloquer des CVE réelles comme Spring4Shell avec un réglage approprié

Auteur

Bruno Paolo Huamán Vela (Lima, Pérou) Étudiant en cybersécurité – Université fédérale de l'Oural (UrFU)