awesome-web-hacking

Cette liste est destinée à toute personne souhaitant apprendre la sécurité des applications web mais ne sachant pas par où commencer.

Vous pouvez aider en envoyant des Pull Requests pour ajouter plus d'informations.

Si vous n'êtes pas enclin à faire des PRs, vous pouvez me tweeter à @infoslack

Table des matières

• Livres
• Documentation
• Outils
• Aides-mémoire
• Docker
• Vulnérabilités
• Cours
• Sites de démonstration de hacking en ligne
• Laboratoires
• SSL
• Sécurité Ruby on Rails

Livres

• http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
• http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
• http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
• http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
• http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
• http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
• http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
• http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
• http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
• http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
• http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
• https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
• https://www.crypto101.io/ - Crypto 101 est un cours d'introduction à la cryptographie
• http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
• http://www.cl.cam.ac.uk/~rja14/book.html - Security Engineering
• https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL Cookbook
• https://www.manning.com/books/real-world-cryptography - Apprenez et appliquez des techniques cryptographiques.
• https://www.manning.com/books/making-sense-of-cyber-security - Un guide des concepts clés, de la terminologie et des technologies de la cybersécurité, idéal pour toute personne planifiant ou mettant en œuvre une stratégie de sécurité.
• https://www.manning.com/books/cyber-security-career-guide - Lancez une carrière dans la cybersécurité en apprenant à adapter vos compétences techniques et non techniques existantes.
• https://www.manning.com/books/secret-key-cryptography - Un livre sur les techniques cryptographiques et les méthodes à clé secrète.
• https://www.manning.com/books/application-security-program-handbook - Ce livre pratique est un guide complet pour mettre en œuvre un programme robuste de sécurité applicative.
• https://www.manning.com/books/cyber-threat-hunting - Guide pratique de la chasse aux cybermenaces.
• https://nostarch.com/bug-bounty-bootcamp - Bug Bounty Bootcamp
• https://nostarch.com/hacking-apis - Hacking APIs
• https://www.manning.com/books/grokking-web-application-security - Un livre sur la création d'applications web prêtes à affronter et résilientes à toute attaque.

Documentation

• https://www.owasp.org/ - Open Web Application Security Project
• http://www.pentest-standard.org/ - Penetration Testing Execution Standard
• http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
• https://appsecwiki.com/ - Application Security Wiki est une initiative visant à regrouper en un seul endroit toutes les ressources liées à la sécurité applicative pour les chercheurs en sécurité et les développeurs.
• AppSec Santa - Comparaison indépendante de plus de 129 outils de sécurité des applications web couvrant SAST, DAST, SCA et plus encore.

Outils

• https://github.com/bad-antics/nullsec-linux - NullSec Linux - Distribution de sécurité avec des outils de test d'applications web préconfigurés

• https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Framework de fuzzing d'applications web

• https://github.com/poszothebuilder/nextjs-security-headers-starter - Starter d'en-têtes de sécurité Next.js sans dépendances avec CSP, HSTS et un vérificateur de production pour la CI.

• https://www.deepinfo.com/ - La plateforme Deepinfo Attack Surface découvre tous vos actifs numériques, les surveille 24h/24 et 7j/7, détecte tout problème et vous notifie rapidement afin que vous puissiez agir immédiatement.

  • https://github.com/bountyyfi/lonkero - Scanner de vulnérabilités web de niveau entreprise avec plus de 60 modules d'attaque, conçu en Rust pour les tests d'intrusion et les évaluations de sécurité.

• https://spyse.com/ - Moteur de recherche OSINT qui fournit des données à jour sur l'ensemble du web, stocke toutes les données dans sa propre base de données, interconnecte les données trouvées et possède des fonctionnalités intéressantes.

• http://www.metasploit.com/ - Le logiciel de test d'intrusion le plus utilisé au monde

• https://findsubdomains.com - Service de scan de sous-domaines en ligne avec de nombreuses données supplémentaires. Fonctionne grâce à l'OSINT.

• https://github.com/BlessedRebuS/Krawl - Serveur de leurre web cloud-native et anti-crawler.

• https://github.com/bjeborn/basic-auth-pot HoneyPot d'authentification HTTP Basic.

• http://www.arachni-scanner.com/ - Framework de scanner de sécurité pour applications web

• https://github.com/ASCIT31/Dark-Moon - Darkmoon est une plateforme open source (GPL-3.0) de tests d'intrusion autonome basée sur l'IA qui orchestre plus de 80 outils via MCP, avec des sous-agents offensifs dédiés par technologie (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby), et conserve une trace des preuves pour chaque découverte.

• SaaSFort - Scan externe gratuit de posture de sécurité NIS2 en 60 secondes, note de A à F, sans inscription requise.
• ARS3NAL - Arsenal hors ligne avant tout, consultable : environ 1500 payloads, générateur de commandes, GTFOBins, listes de mots, CyberChef intégré, reverse shells et 70 listes de contrôle.

Aides-mémoire

• http://n0p.net/penguicon/php_app_sec/mirror/xss.html - Aide-mémoire XSS
• https://highon.coffee/blog/lfi-cheat-sheet/ - Aide-mémoire LFI
• https://highon.coffee/blog/reverse-shell-cheat-sheet/ - Aide-mémoire Reverse Shell
• https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - Aide-mémoire Injection SQL
• https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - Aide-mémoire Path Traversal : Windows
• Pentest Mindmap - Carte mentale interactive avec plus de 11 600 commandes de pentest réparties dans 32 catégories. Consultable avec copie en un clic.

Images Docker pour les tests d'intrusion

• docker pull kalilinux/kali-linux-docker Kali Linux officiel
• docker pull blackarchlinux/blackarch BlackArch Linux officiel
• docker pull owasp/zap2docker-stable - OWASP ZAP officiel
• docker pull wpscanteam/wpscan - WPScan officiel
• docker pull metasploitframework/metasploit-framework - docker-metasploit
• docker pull citizenstig/dvwa - Damn Vulnerable Web Application (DVWA)
• docker pull bkimminich/juice-shop OWASP Juice Shop
• docker pull wpscanteam/vulnerablewordpress - Installation WordPress vulnérable

Vulnérabilités* http://cve.mitre.org/ - Common Vulnerabilities and Exposures. La norme pour les noms de vulnérabilités en sécurité de l'information.

• https://www.exploit-db.com/ - The Exploit Database – l'archive ultime d'exploits, de shellcodes et de documents sur la sécurité.
• http://0day.today/ - Inj3ct0r est la base de données ultime d'exploits et de vulnérabilités, et une excellente ressource pour les chercheurs en vulnérabilités et les professionnels de la sécurité.
• http://www.securityfocus.com/ - Depuis sa création en 1999, SecurityFocus est un pilier de la communauté de la sécurité.
• http://packetstormsecurity.com/ - Ressource mondiale de sécurité
• https://wpvulndb.com/ - Base de données de vulnérabilités WPScan
• https://snyk.io/vuln/ - Vulnerability DB : informations détaillées et conseils de correction pour les vulnérabilités connues.
• https://stellastra.com/cipher-suite - Base de données de centaines de suites de chiffrement TLS et de leur statut de sécurité.
• https://vulert.com/vuln-db - Vulert aide les développeurs à sécuriser leurs logiciels en surveillant et en les alertant des vulnérabilités dans les dépendances open source, sans nécessiter d'accès à leur code. Il prend en charge les dépendances en JS, PHP, Java, Python, et bien d'autres.
• https://vulncheck.com/xdb/ - Un index de codes de preuve de concept (PoC) d'exploits dans les dépôts Git.
• https://labs.jamessawyer.co.uk/cves/ - CVE PoC Search fournit une recherche de preuves de concept allant de la CVE à GitHub pour passer rapidement d'une vulnérabilité web à un code d'exploit public.

Courses

• https://pwn.guide/ - Plateforme d'apprentissage de la cybersécurité, avec une centaine de tutoriels, dont environ 25 portent sur le piratage web et la défense des sites web.
• https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation (en direct)
• https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Web App Penetration Testing and Ethical Hacking
• https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Advanced Web App Penetration Testing and Ethical Hacking
• http://opensecuritytraining.info/ - Open Security Training
• http://securitytrainings.net/security-trainings/ - Security Exploded Training
• http://www.securitytube.net/ - Le plus grand portail mondial d'Infosec et de hacking.
• https://www.hacker101.com/ - Cours gratuit de sécurité web par Hackerone
• https://www.darkrelay.com/courses/professional-penetration-tester - Cours de pentest de style Zero-Hero par DarkRelay Security Labs

Online Hacking Demonstration Sites

• http://testasp.vulnweb.com/ - Site de test et de démonstration Acunetix ASP
• http://testaspnet.vulnweb.com/ - Site de test et de démonstration Acunetix ASP.Net
• http://testphp.vulnweb.com/ - Site de test et de démonstration Acunetix PHP
• http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
• http://zero.webappsecurity.com/ - Zero Bank
• http://demo.testfire.net/ - Altoro Mutual
• https://public-firing-range.appspot.com/ - Firing Range est un banc d'essai pour les scanners automatisés de sécurité des applications web.
• https://xss-game.appspot.com/ - Défi XSS
• https://google-gruyere.appspot.com/ Google Gruyere, exploits et défenses d'applications web
• https://ginandjuice.shop/catalog
• https://pentest-ground.com/ Pentest-Ground est un terrain de jeu gratuit avec des applications web et des services réseau volontairement vulnérables.
• HackSimulator est un GPT créé par MarkCyber dans lequel chatGPT 4 agit comme un CTF de hacking. Ce GPT vous demandera votre niveau d'expérience et ce que vous souhaitez améliorer, avant de simuler une machine/application à pirater, en utilisant la zone de chat comme endroit pour saisir les commandes du terminal. Comme cela passe par l'IA, il change et s'adapte en fonction de votre niveau d'expérience, et vous pouvez demander de l'aide si vous êtes bloqué.

Labs

• https://portswigger.net/web-security - Web Security Academy : formation en ligne gratuite de PortSwigger
• http://www.cis.syr.edu/~wedu/seed/all_labs.html - Développement de laboratoires pédagogiques pour l'enseignement de la sécurité informatique
• https://www.vulnhub.com/ - Machines virtuelles pour les tests d'intrusion en localhost.
• https://pentesterlab.com/ - PentesterLab est un moyen simple et excellent d'apprendre les tests d'intrusion.
• https://codereviewlab.com/ - Code Review Lab est une plateforme de formation pratique à la revue de code.
• https://github.com/jerryhoff/WebGoat.NET - Cette application web est une plateforme d'apprentissage des failles de sécurité web courantes.
• http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
• http://sourceforge.net/projects/lampsecurity/ - Formation LAMPSecurity
• https://github.com/Audi-1/sqli-labs - Laboratoires SQLI pour tester les injections basées sur les erreurs, les injections aveugles booléennes et les injections basées sur le temps.
• https://github.com/paralax/lfi-labs - petit ensemble de scripts PHP pour s'entraîner à exploiter les vulnérabilités d'injection LFI, RFI et CMD
• https://hack.me/ - Créez, hébergez et partagez gratuitement des applications web vulnérables dans un environnement sandboxé
• http://azcwr.org/az-cyber-warfare-ranges - Champ de cyberguerre gratuit en conditions réelles de type Capture the Flag, équipe bleue, équipe rouge, pour les débutants comme pour les utilisateurs avancés. Vous devez utiliser un téléphone portable pour envoyer un SMS demandant l'accès au champ.
• https://github.com/adamdoupe/WackoPicko - WackoPicko est une application web vulnérable utilisée pour tester les scanners de vulnérabilités des applications web.
• - Hackazon est un site de test gratuit et vulnérable, une boutique en ligne construite avec les mêmes technologies que celles utilisées dans les applications clientes riches et mobiles actuelles.

SSL

• https://www.ssllabs.com/ssltest/index.html - Ce service effectue une analyse approfondie de la configuration de tout serveur web SSL sur l'Internet public.
• http://certdb.com/ - Service de fourniture de données SSL/TLS. Collecte les données sur les certificats numériques - émetteurs, organisation, whois, dates d'expiration, etc... De plus, il dispose de filtres pratiques.
• https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - Sécurité SSL renforcée sur nginx
• https://weakdh.org/ - Diffie-Hellman faible et l'attaque Logjam
• https://letsencrypt.org/ - Let’s Encrypt est une nouvelle autorité de certification : elle est gratuite, automatisée et ouverte.
• https://filippo.io/Heartbleed/ - Un vérificateur (site et outil) pour la CVE-2014-0160 (Heartbleed).
• https://testssl.sh/ - Un outil en ligne de commande qui vérifie les chiffrements TLS/SSL, les protocoles et les failles cryptographiques d'un site web.
• Scorifya - Score de sécurité de 0 à 100 pour tout site web, couvrant TLS, les en-têtes de sécurité (CSP, HSTS, X-Frame-Options), les cookies, le DNS et les signaux e-mail (SPF, DKIM, DMARC), avec des étapes de correction classées.

Security Ruby on Rails

• http://brakemanscanner.org/ - Un scanner de vulnérabilités de sécurité par analyse statique pour les applications Ruby on Rails.
• https://github.com/rubysec/ruby-advisory-db - Une base de données de gemmes Ruby vulnérables
• https://github.com/rubysec/bundler-audit - Vérification au niveau des correctifs pour Bundler
• https://github.com/hakirisec/hakiri_toolbelt - Hakiri Toolbelt est une interface en ligne de commande pour la plateforme Hakiri.
• https://hakiri.io/facets - Analysez Gemfile.lock à la recherche de vulnérabilités.
• http://rails-sqli.org/ - Cette page répertorie de nombreuses méthodes de requête et options d'ActiveRecord qui ne neutralisent pas les arguments SQL bruts et ne sont pas destinées à être appelées avec des entrées utilisateur non sûres.
• https://github.com/0xsauby/yasuo - Un script Ruby qui recherche les applications web tierces vulnérables et exploitables sur un réseau.