Awesome Web Security

🐶 Liste organisée de matériels et ressources de sécurité web.

Inutile de dire que la plupart des sites web souffrent de divers types de bugs qui peuvent éventuellement mener à des vulnérabilités. Pourquoi cela arrive-t-il si souvent ? Plusieurs facteurs peuvent être impliqués, notamment une mauvaise configuration, un manque de compétences en sécurité des ingénieurs, etc. Pour y remédier, voici une liste organisée de matériels et ressources de sécurité web pour apprendre les techniques de pénétration de pointe, et je vous encourage vivement à lire d'abord cet article "So you want to be a web security researcher?".

Veuillez lire les directives de contribution avant de contribuer.

🌈 Vous voulez renforcer vos compétences en pénétration ?
Je recommande de jouer à quelques awesome-ctf.

Si vous appréciez cette liste géniale et souhaitez la soutenir, consultez ma page Patreon :)
N'oubliez pas non plus de consulter mes repos 🐾 ou dites hi sur X (anciennement Twitter) !

🤖 Utiliser un assistant IA ?

Cette liste est également fournie en tant que compétence Claude Code afin que les agents IA puissent l'interroger en temps réel — pas de snapshot obsolète, elle lit toujours le dernier data/index.json depuis master.

Installer (une ligne, recommandé) :```bash npx skills add qazbnm456/awesome-web-security -a claude-code -g -y

Ou dans [Claude Code](https://claude.com/claude-code), utilisez le marketplace de plugins :```text
/plugin marketplace add qazbnm456/awesome-web-security
/plugin install awesome-web-security

Pour Codex, remplacez -a claude-code → -a codex.

Puis posez n'importe quelle question de sécurité web et la compétence s'active sur des sujets tels que XSS, SQLi, SSRF, JWT, OAuth, reconnaissance, contournement WAF, désérialisation, SAML, rédaction de CTF, et bien plus. Voir skills/awesome-web-security/SKILL.md pour la liste complète des déclencheurs.

Sommaire

Digests
Forums
Introduction
- XSS
- Prototype Pollution
- CSV Injection
- SQL Injection
- Command Injection
- ORM Injection
- FTP Injection
- XXE
- CSRF
- Clickjacking
- SSRF
- Web Cache Poisoning
- Relative Path Overwrite
- Open Redirect
- SAML
- Upload
- Rails
- AngularJS
- ReactJS
- SSL/TLS
- Webmail
- NFS
- AWS
- Azure
- Fingerprint
- Sub Domain Enumeration
- Crypto
- Web Shell
- OSINT
- DNS Rebinding
- Deserialization
- OAuth
- JWT
Évasions
- XXE
- CSP
- WAF
- JSMVC
- Authentification
Astuces

Digests

CTF Field Guide - Écrit par Trail of Bits.
Hacker101 - Écrit par hackerone.
Infosec Newbie - Écrit par Mark Robinson.
PayloadsAllTheThings - Écrit par @swisskyrepo.
The Daily Swig - Web security digest - Écrit par PortSwigger.
The Magic of Learning - Écrit par @bitvijays.
Web Application Security Zone by Netsparker - Écrit par Netsparker.
tl;dr sec - Résumé hebdomadaire des meilleurs outils de sécurité, articles de blog et recherches en sécurité.

Forums

Dark Reading - Connecter la communauté de la sécurité de l'information.
HackDig - Digérer des articles de sécurité web de haute qualité pour les hackers.
Phrack Magazine - Ezine écrit par et pour les hackers.
Security Weekly - Le réseau de podcasts sur la sécurité.
The Hacker News - La sécurité de manière sérieuse.
The Register - Mord la main qui nourrit l'informatique.

Introduction

XSS - Cross-Site Scripting

C.XSS Guide - Écrit par @JakobKallin et Irene Lobo Valbuena.
Cross-Site Scripting – Application Security – Google - Écrit par Google.
H5SC - Écrit par @cure53.
THE BIG BAD WOLF - XSS AND MAINTAINING ACCESS - Écrit par Paulos Yibelo.
AwesomeXSS - Écrit par @s0md3v.
XSS.png - Écrit par @jackmasa.
PayloadsAllTheThings - XSS Injection - Écrit par @swisskyrepo.
payloadbox/xss-payload-list - Écrit par @payloadbox.
Laravel Content Security Policy: Complete Implementation Guide - Guide pratique pour implémenter Content Security Policy dans Laravel — cycle de vie des nonces, intégration Vite et Livewire, signalement des violations et checklist de pré-mise en application, par @itxshakil.

Fingerprint

Sub Domain Enumeration

A penetration tester’s guide to sub-domain enumeration - Écrit par Bharath.
The Art of Subdomain Enumeration - Écrit par Patrik Hudak.

Crypto

Applied Crypto Hardening - Écrit par The bettercrypto.org Team.
What is a Side-Channel Attack ? - Écrit par J.M Porup.

Web Shell

Hacking with JSP Shells - Écrit par @_nullbind.
Hunting for Web Shells - Écrit par Jacob Baines.

OSINT- Pirater les mineurs de cryptomonnaie avec des techniques OSINT - Écrit par @s3yfullah.

OSINT x UCCU Workshop on Open Source Intelligence - Écrit par Philippe Lin.
102 Deep Dive in the Dark Web OSINT Style Kirby Plessas - Présenté par @kirbstr.
Le guide le plus complet pour trouver l’email de n’importe qui - Écrit par Timur Daudpota.

DNS Rebinding

Attaquer les réseaux privés depuis Internet avec le DNS Rebinding - Écrit par @brannondorsey.
Pirater les routeurs domestiques depuis Internet - Écrit par @radekk.

Deserialization

Qu’ont en commun WebLogic, WebSphere, JBoss, Jenkins, OpenNMS et votre application ? Cette vulnérabilité. - Écrit par @breenmachine.
Roulette .NET : Exploitation de la désérialisation non sécurisée dans Telerik UI - Écrit par @noperator.
Attaquer la désérialisation .NET - Écrit par @pwntester.
Comment exploiter la désérialisation du cookie DotNetNuke - Écrit par CRISTIAN CORNEA.
COMMENT EXPLOITER LIFERAY CVE-2020-7961 : CHEMIN RAPIDE VERS LE POC - Écrit par @synacktiv.

OAuth

Que se passe-t-il avec OAuth 2.0 ? Et pourquoi vous ne devriez pas l’utiliser pour l’authentification. - Écrit par @damianrusinek.
Introduction à OAuth 2.0 et OpenID Connect - Écrit par @PhilippeDeRyck.

JWT

Secrets codés en dur, jetons non vérifiés et autres erreurs courantes avec JWT - Écrit par @ermil0v.

Évasions

XXE

Contournement du correctif de l’XXE OOB en utilisant un encodage différent - Écrit par @SpiderSec.

CSP

CSP : contournement de form-action avec XSS réfléchi - Écrit par Detectify Labs.
TWITTER XSS + CONTOURNEMENT DE CSP - Écrit par Paulos Yibelo.
Contourner élégamment les CSP - Écrit par Wallarm.
Éviter la CSP avec un balisage pendouillant basé sur le DOM - Écrit par portswigger.
Le parcours CSP de GitHub - Écrit par @ptoomey3.
Le parcours post-CSP de GitHub - Écrit par @ptoomey3.
Une protection contre l’import dynamique de modules ? - Écrit par @shhnjk.

WAF

Airbnb – Quand contourner l’encodage JSON, le filtre XSS, le WAF, le CSP et l’auditeur se transforme en huit vulnérabilités - Écrit par @Brett Buerhaus.
Comment contourner libinjection dans de nombreux WAF/NGWAF - Écrit par @d0znpp.
Techniques d’évasion des pare-feu applicatifs (WAF) - Écrit par @secjuice.
Techniques d’évasion des pare-feu applicatifs (WAF) #2 - Écrit par @secjuice.

JSMVC

JavaScript MVC et frameworks de templating - Écrit par Mario Heiderich.

Authentification

Trend Micro Threat Discovery Appliance - Contournement d’authentification par génération de session (CVE-2016-8584) - Écrit par @malerisch et @steventseeley.

Astuces

CSRF

Exploiter CSRF sur des endpoints JSON avec Flash et redirections - Écrit par @riyazwalikar.
Astuces pour contourner la protection CSRF - Écrit par Twosecurity.
Vol de jetons CSRF avec injection CSS (sans iFrames) - Écrit par @dxa4481.
Craquer le RNG de Java pour CSRF - Javax Faces et pourquoi l’aléa des jetons CSRF est important - Écrit par @rramgattie.
Si HttpOnly, vous pouviez quand même faire du CSRF… Grâce à CORS, vous le pouvez ! - Écrit par @GraphX.

Clickjacking

Clickjackings chez Google d’une valeur de 14981,7 $ - Écrit par @raushanraj_65039.

Exécution de code à distance

DRUPAL 7.X SERVICES MODULE UNSERIALIZE() VERS RCE - Écrit par Ambionics Security.
Exploiter le bogue de désérialisation de Node.js pour une exécution de code à distance - Écrit par OpSecX.
Exécution de code à distance sur GitHub Enterprise - Écrit par @iblue.
Comment j’ai enchaîné 4 vulnérabilités sur GitHub Enterprise, de la chaîne d’exécution SSRF à RCE ! - Écrit par Orange.
Comment nous avons exploité une vulnérabilité d’exécution de code à distance dans math.js - Écrit par @capacitorset.
RCE sur Google App Engine à 36 000 $ - Écrit par Ezequiel Pereira.
Poor RichFaces - Écrit par CODE WHITE.
Exécution de code à distance sur un serveur Facebook - Écrit par @blaklis_.
Mauvais enseignant : injection de code dans Moodle - Écrit par RIPS Technologies.
Journal de débogage de la RCE WebLogic (CVE-2019-2725) - Écrit par Badcode@Knownsec 404 Team.
Qu’ont en commun WebLogic, WebSphere, JBoss, Jenkins, OpenNMS et votre application ? Cette vulnérabilité. - Écrit par .

XSS

NE FAITES PAS CONFIANCE AU DOM : CONTOURNER LES MESURES D’ATTÉNUATION XSS VIA DES SCRIPT GADGETS - Écrit par Sebastian Lekies, Krzysztof Kotowicz et Eduardo Vela.
ECMAScript 6 du point de vue d’un attaquant - Briser les frameworks, les sandboxes et tout le reste - Écrit par Mario Heiderich.
Comment j’ai trouvé un XSS Google Maps à 5 000 $ (en bidouillant Protobuf) - Écrit par @marin_m.
Le réordonnancement des paramètres de requête amène la page de redirection à afficher une URL non sécurisée - Écrit par kenziy.
XSS Uber via Cookie - Écrit par zhchbin.
XSS stocké sur Facebook - Écrit par Enguerran Gillier.
DOM XSS – auth.uber.com - Écrit par StamOne_.
Un autre XSS dans Google Colaboratory - Écrit par Michał Bentkowski.
XSS dans Google Colaboratory + contournement CSP - Écrit par Michał Bentkowski.
est filtré ? - Écrit par .

Injection SQL

Injection SQL sur GitHub Enterprise - Écrit par Orange.
Injection SQL dans une requête UPDATE - une histoire de bug bounty ! - Écrit par Zombiehelp54.
Rendre une injection SQL aveugle un peu moins aveugle - Écrit par TomNomNom.
Red Team Tales 0x01 : De MSSQL à RCE - Écrit par Tarlogic.
Injection SQL basée sur les erreurs MySQL avec EXP - Écrit par @osandamalith.
INJECTION SQL ET POSTGRES - UNE AVENTURE VERS LA RCE ÉVENTUELLE - Écrit par @denandz.

Injection NoSQL

Injection NoSQL GraphQL via des types JSON - Écrit par Pete.

Injection FTP

Récupération de données hors bande XML - Écrit par @a66at et Alexey Osipov.
Exploitation OOB de l’XXE sous Java 1.7+ - Écrit par Ivan Novikov.

XXE

XML malveillant avec deux encodages - Écrit par Arseniy Sharoglazov.
Automatisation de la découverte de DTD locales pour l’exploitation des XXE - Écrit par Philippe Arteau.
Exploiter les XXE avec des fichiers DTD locaux - Écrit par Arseniy Sharoglazov.
Forcer la réflexion des XXE via les messages d’erreur du serveur - Écrit par Antti Rantasaari.
Vulnérabilité XXE pré-authentification dans le module Drupal Services - Écrit par Renaud Dubourguais.
Ce que vous ne saviez pas sur les attaques par entités externes XML - Écrit par Timothy D. Morgan.
Récupération de données hors bande XML - Écrit par Timur Yunusov et Alexey Osipov.
XXE dans le SDK WeChat Pay (WeChat laisse une porte dérobée sur les sites marchands) - Écrit par Rose Jackcode.
Exploitation OOB de l’XXE sous Java 1.7+ (2014) - Exfiltration via le protocole FTP - Écrit par Ivan Novikov.
Extraction OOB d’XXE via HTTP+FTP en utilisant un seul port ouvert - Écrit par skavans.

SSRF

Une nouvelle ère pour SSRF - Exploiter les analyseurs d’URL dans les langages de programmation tendance ! - Écrit par Orange.
SSRF dans https://imgur.com/vidgif/url - Écrit par aesteral.
Conseils SSRF - Écrit par xl7dev.
Techniques SSRF en PHP - Écrit par @themiddleblue.
SSRF dans Exchange mène à un accès ROOT sur toutes les instances - Écrit par @0xacb.
Dans le Borg – SSRF à l’intérieur du réseau de production Google - Écrit par opnsec.
Percer le voile : Server Side Request Forgery pour accéder au NIPRNet - Écrit par Alyssa Herrera.
Tout ce que vous devez savoir sur SSRF et comment nous pouvons écrire des outils pour le détecter automatiquement - Écrit par @Auxy233.
Prise de contrôle AWS via SSRF en JavaScript - Écrit par Gwen.

Empoisonnement du cache Web

Contourner les contre-mesures d’empoisonnement du cache Web - Écrit par @albinowax.
Empoisonnement du cache et autres sales tours - Écrit par Wallarm.

Injection d’en-tête

Les injections FTP Java/Python permettent un contournement du pare-feu - Écrit par Timothy Morgan.

URL

[dev.twitter.com] XSS - Écrit par Sergey Bobrov.
Phishing avec des domaines Unicode - Écrit par Xudong Zheng.
Quelques problèmes des URL - Écrit par Chris Palmer.
Les domaines Unicode sont mauvais et vous devriez avoir honte de les supporter - Écrit par VRGSEC.

Deserialization

Fichiers de ressources ASP.NET (.RESX) et problèmes de désérialisation - Écrit par @irsdl.

OAuth

Vulnérabilité du framework OAuth Facebook - Écrit par @AmolBaikar.

Autres- Provoquer des fuites DNS dans les services Web Onion - Écrit par @epidemics-scepticism.

XSS stocké et SSRF dans Google en utilisant le langage de publication de jeux de données - Écrit par @signalchaos.
Comment j'ai piraté le système de suivi de bugs de Google pour 15 600 $ de primes - Écrit par @alex.birsan.
Quelques astuces de mon groupe secret - Écrit par phithon.

Browser Exploitation

Frontend (comme contournement SOP, usurpation d'URL, et ce genre de choses)

Divulgation d'informations IE11 - Détection de fichiers locaux - Écrit par James Lee.
Détournement JSON pour le web moderne - Écrit par portswigger.
Contournement SOP / UXSS – Voler des identifiants assez rapidement (Edge) - Écrit par Manuel.
Caractéristiques de Safari dans les attaques côté client - Écrit par Bo0oM.
Comment arrêter de divulguer des informations entre origines ? - Écrit par aaj at google.com et mkwst at google.com.
Définir des en-têtes de requête arbitraires dans Chromium via injection CRLF - Écrit par Michał Bentkowski.
Je récolte les numéros de carte de crédit et les mots de passe de votre site. Voici comment. - Écrit par David Gilbertson.
La barre d'inception : une nouvelle méthode de phishing - Écrit par jameshfisher.
Contourner la sécurité des navigateurs mobiles pour le plaisir et le profit - Écrit par @rafaybaloch.
Le monstre des cookies dans vos navigateurs - Écrit par .

Backend (cœur de l'implémentation du navigateur, et fait souvent référence à la partie C ou C++)

Attaquer les moteurs JavaScript - Une étude de cas de JavaScriptCore et CVE-2016-4622 - Écrit par [email protected].
Exploiter une écriture hors limites dans V8. - Écrit par @halbecaf.
Avis SSD – Exécution de code à distance Chrome Turbofan - Écrit par SecuriTeam Secure Disclosure (SSD).
Regarde Maman, je n'utilise pas de shellcode - Étude de cas d'exploitation de navigateur pour Internet Explorer 11 - Écrit par @moritzj.
POUSSER LES BOUTONS DE WEBKIT AVEC UN EXPLOIT MOBILE PWN2OWN - Écrit par @wanderingglitch.
Une approche méthodique de l'exploitation de navigateur - Écrit par RET2 SYSTEMS, INC.
CVE-2017-2446 ou JSC::JSGlobalObject::isHavingABadTime. - Écrit par Diary of a reverse-engineer.
Casser UC Browser - Écrit par Доктор Веб.
Trois chemins mènent à Rome - Écrit par @holynop.
S'ÉCHAPPER PROPREMENT DU SANDBOX CHROME - Écrit par @tjbecker_.

PoCs

Base de données

awesome-cve-poc - Liste organisée de PoCs CVE par @qazbnm456.
js-vuln-db - Collection de CVEs de moteurs JavaScript avec PoCs par @tunz.
Some-PoC-oR-ExP - Collecte ou rédaction de divers PoCs et Exploits de vulnérabilités par @coffeehb.
uxss-db - Collection de CVEs UXSS avec PoCs par @Metnew.
SPLOITUS - Moteur de recherche d'exploits et d'outils par @i_bo0om.
Exploit Database - archive ultime d'exploits, de shellcode et de documents de sécurité par Offensive Security.

Cheetsheets

Aide-mémoire Capture the Flag - Écrit par @uppusaikiran.
Aide-mémoire XSS - Édition 2018 - Écrit par @brutelogic.

Tools

Auditing

A2SV - Scan automatique de vulnérabilités SSL par @hahwul.
prowler - Outil d'évaluation de sécurité, d'audit et de durcissement AWS par @Alfresco.
slurp - Évaluer la sécurité des buckets S3 par @hehnope.

Command Injection

commix - Outil automatisé tout-en-un d'injection et d'exploitation de commandes OS par @commixproject.

Reconnaissance

OSINT - Open-Source Intelligence

Censys - Censys est un moteur de recherche qui permet aux informaticiens de poser des questions sur les appareils et réseaux qui composent Internet par University of Michigan.
FOCA - FOCA (Fingerprinting Organizations with Collected Archives) est un outil utilisé principalement pour trouver des métadonnées et des informations cachées dans les documents qu'il scanne par ElevenPaths.
FOFA - Moteur de recherche du cyberespace par BAIMAOHUI.
gitrob - Outil de reconnaissance pour les organisations GitHub par @michenriksen.
GSIL - Fuite d'informations sensibles GitHub（Github敏感信息泄露）par @FeeiCN.
NSFOCUS - PORTAIL DE RENSEIGNEMENT SUR LES MENACES par NSFOCUS GLOBAL.
raven - raven est un outil de collecte d'informations Linkedin qui peut être utilisé par les pentesteurs pour collecter des informations sur les employés d'une organisation via Linkedin par @0x09AL.
Shodan - Shodan est le premier moteur de recherche au monde pour les appareils connectés à Internet par @shodanhq.
SpiderFoot - Outil open source de footprinting et de collecte de renseignements par @binarypool.
urlscan.io - Service qui analyse les sites web et les ressources qu'ils demandent par @heipei.
xray - XRay est un outil de reconnaissance, de cartographie et de collecte OSINT à partir de réseaux publics par .

Sub Domain Enumeration

AQUATONE - Outil de survol de domaines par @michenriksen.
Certificate Search - Entrez une identité (nom de domaine, nom d'organisation, etc.), une empreinte de certificat (SHA-1 ou SHA-256) ou un ID crt.sh pour rechercher des certificats par @crtsh.
Certificate Transparency - Le projet Certificate Transparency de Google corrige plusieurs défauts structurels dans le système de certificats SSL par @google.
domain_analyzer - Analyser la sécurité de n'importe quel domaine en trouvant toutes les informations possibles par @eldraco.
EyeWitness - EyeWitness est conçu pour prendre des captures d'écran de sites web, fournir des informations d'en-tête de serveur et identifier les identifiants par défaut si possible par @ChrisTruncer.
GSDF - Chercheur de domaine nommé GoogleSSLdomainFinder par @We5ter.
subDomainsBrute - Un outil de brute force de sous-domaines simple et rapide pour les pentesteurs par @lijiejie.
VirusTotal domain information - Recherche d'informations sur un domaine par VirusTotal.
Sublist3r - Sublist3r est un outil multi-thread d'énumération de sous-domaines pour les testeurs d'intrusion par @aboul3la.

Code Generating

VWGen - Générateur d'applications web vulnérables par @qazbnm456.

Fuzzing

charsetinspect - Script qui inspecte les jeux de caractères multi-octets à la recherche de caractères avec des propriétés spécifiques définies par l'utilisateur par @hack-all-the-things.
IPObfuscator - Outil simple pour convertir l'IP en une IP DWORD par @OsandaMalith.
wfuzz - Bruteforceur d'applications web par @xmendez.
domato - Fuzzer DOM par @google.
FuzzDB - Dictionnaire de modèles d'attaque et de primitives pour l'injection de fautes dans les applications en boîte noire et la découverte de ressources.
dirhunt - Crawler web optimisé pour la recherche et l'analyse de la structure des répertoires d'un site par @nekmo.
ssltest - Service en ligne qui effectue une analyse approfondie de la configuration de tout serveur web SSL sur l'internet public. Fourni par Qualys SSL Labs.
fuzz.txt - Fichiers potentiellement dangereux par @Bo0oM.
wayparam - CLI Python multiplateforme qui récupère les URL historiques de l'API Wayback CDX et produit des URL paramétrées normalisées pour le fuzzing, par @aleff-github.

Scanning

JoomlaScan - Logiciel gratuit pour trouver les composants installés dans Joomla CMS, construit à partir des cendres de Joomscan par @drego85.
wpscan - WPScan est un scanner de vulnérabilités WordPress en boîte noire par @wpscanteam.
WAScan - Est un scanner de sécurité d'applications web open source qui utilise la méthode "boîte noire", créé par @m4ll0k.
Nuclei - Nuclei est un outil rapide pour le scan ciblé configurable basé sur des modèles offrant une extensibilité massive et une facilité d'utilisation par @projectdiscovery.
Vigolium - Scanner de vulnérabilités haute fidélité fusionnant l'IA agentique avec la vitesse native, la modularité et la précision, maintenu par @j3ssie.
ZAP by Checkmarx - Scanner de sécurité d'applications web open source maintenu par l'équipe principale de ZAP.
Fray - Kit d'outils open-source de contournement WAF et de test de sécurité avec plus de 6 300 payloads dans les catégories OWASP, moteur d'évasion assisté par IA, pipeline de reconnaissance à 27 contrôles et audit de durcissement OWASP, par @dalisecurity.
Trust Scan - Scanner de sécurité URL combinant le renseignement sur les menaces (URLhaus, PhishTank, Spamhaus) avec la détection de plus de 40 modèles d'arnaques et de phishing par @undeadlist.
ZeroTrust - Extension Chrome priorisant la confidentialité qui analyse la sécurité des sites web localement avec l'IA sur l'appareil (WebGPU), produisant des scores de confiance à partir des signaux HTTPS, phishing, scripts malveillants et conformité des cookies, par @sattyamjjain.

Penetration Testing

Burp Suite - Burp Suite est une plateforme intégrée pour effectuer des tests de sécurité d'applications web par portswigger.
Astra - Tests de sécurité automatisés pour les API REST par @flipkart-incubator.
aws_pwn - Une collection de trucs pour les tests d'intrusion AWS par @dagrz.
grayhatwarfare - Buckets publics par grayhatwarfare.
TIDoS-Framework - Un framework d'audit d'applications web complet pour couvrir tout, de la reconnaissance et l'OSINT à l'analyse de vulnérabilités par @_tID.
numasec - Plateforme de tests d'intrusion pilotée par l'IA qui coordonne 10 agents et 38 scanners de vulnérabilités couvrant l'OWASP Top 10, par @FrancescoStabile.
Darkmoon - Plateforme de tests d'intrusion IA autonome open source qui orchestre plus de 80 outils offensifs via des playbooks Markdown et MCP sur le web, le cloud, Active Directory et Kubernetes, avec une trace de preuves par constat par @ASCIT31.

Offensive

XSS - Cross-Site Scripting

xssor2 - XSS'OR - Pirater avec JavaScript par @evilcos.
XSStrike - XSStrike est un programme qui peut fuzzer et bruteforcer des paramètres pour XSS. Il peut également détecter et contourner les WAF par @s0md3v.
beef - Le projet Browser Exploitation Framework par beefproject.
JShell - Obtenir un shell JavaScript avec XSS par @s0md3v.
csp evaluator - Un outil pour évaluer les politiques de sécurité du contenu par Csper.

SQL Injection

sqlmap - Outil automatique d'injection SQL et de prise de contrôle de base de données.

Template Injection

tplmap - Outil de détection et d'exploitation d'injection de templates côté serveur et de code par @epinna.

XXE

dtd-finder - Lister les DTD et générer des payloads XXE en utilisant ces DTD locales par @GoSecure.

Cross Site Request Forgery- XSRFProbe - La trousse d'audit et d'exploitation CSRF de premier ordre par @0xInfection.

Falsification de requête côté serveur (SSRF)

Générateur de payloads Open redirect/SSRF - Générateur de payloads Open redirect/SSRF par intigriti.

Fuites

CSS-Keylogging - Extension Chrome et serveur Express qui exploite les capacités de keylogging du CSS par @maxchehab.
DVCS-Pillage - Pillage de dépôts GIT, HG et BZR accessibles sur le web par @evilpacket.
dvcs-ripper - Extrait les systèmes de contrôle de version (distribués) accessibles sur le web : SVN/GIT/HG... par @kost.
gitleaks - Recherche des secrets et clés dans tout l'historique du dépôt par @zricethezav.
GitMiner - Outil de minage avancé de contenu sur GitHub par @UnkL4b.
HTTPLeaks - Toutes les façons possibles pour un site web de fuiter des requêtes HTTP par @cure53.
pwngitmanager - Gestionnaire Git pour pentesteurs par @allyshka.
snallygaster - Outil pour scanner les fichiers secrets sur les serveurs HTTP par @hannob.
LinkFinder - Script Python qui trouve les endpoints dans les fichiers JavaScript par @GerbenJavado.
keyFinder - Extension Chrome qui scanne passivement les pages web à la recherche de clés API, jetons et identifiants divulgués sur 10 surfaces d'attaque en utilisant plus de 80 motifs de détection et une analyse d'entropie de Shannon, par @momenbasel.

Détection

bXSS - bXSS est une application simple de Blind XSS adaptée de cure53.de/m par @LewisArdern.
malware-jail - Bac à sable pour l'analyse semi-automatique de malwares JavaScript, désobfuscation et extraction de payloads par @HynekPetrak.
repo-supervisor - Scannez votre code pour les mauvaises configurations de sécurité, recherchez mots de passe et secrets.
retire.js - Scanner détectant l'utilisation de bibliothèques JavaScript avec des vulnérabilités connues par @RetireJS.
sqlchop - Moteur de détection d'injection SQL par chaitin.
xsschop - Moteur de détection XSS par chaitin.
OpenRASP - Une solution open source RASP activement maintenue par Baidu Inc. Avec un algorithme de détection contextuel, le projet atteint presque aucun faux positif. Moins de 3% de réduction de performance est observée sous charge serveur élevée.
GuardRails - Une application GitHub qui fournit des retours de sécurité dans les Pull Requests.

Prévention

js-xss - Assainir du HTML non fiable (pour prévenir XSS) avec une configuration spécifiée par une liste blanche par @leizongmin.
Acra - Moteur de chiffrement côté client pour bases de données SQL, avec chiffrement sélectif fort, prévention des injections SQL et détection d'intrusion par @cossacklabs.
DOMPurify - Assainisseur XSS DOM uniquement, super rapide, ultra tolérant pour HTML, MathML et SVG par Cure53.
Csper - Un ensemble d'outils pour construire/évaluer/surveiller la politique de sécurité du contenu afin de prévenir/détecter les scripts intersites par Csper.
UUSEC WAF - Un pare-feu d'application web open-source et une passerelle de sécurité API maintenus par UUCORP.
BunkerWeb - Un pare-feu d'application web open-source de nouvelle génération construit sur nginx, maintenu par Bunkerity.
FCaptcha - CAPTCHA auto-hébergé avec analyse comportementale, détection d'agents IA vision, empreinte de navigateur sans tête, et preuve de travail SHA-256, maintenu par WebDecoy.
Pompelmi - Middleware de sécurité pour le téléchargement de fichiers in-process pour Node.js qui scanne les téléchargements non fiables avant stockage pour détecter les malwares, l'usurpation MIME et les archives risquées, maintenu par pompelmi.
WebDecoy - Plugin de détection de bots WordPress sans configuration combinant détection WebDriver, empreinte de navigateur sans tête, analyse comportementale et preuve de travail SHA-256, maintenu par WebDecoy.
- IPS collaboratif open-source écrit en Go qui analyse le comportement des visiteurs et partage des signaux de menace à travers une communauté d'opérateurs, maintenu par .

Proxy

Charles - Proxy HTTP / Moniteur HTTP / Proxy inverse qui permet à un développeur de visualiser tout le trafic HTTP et SSL/HTTPS entre sa machine et Internet.
mitmproxy - Proxy HTTP intercepteur interactif avec capacité TLS pour les testeurs de pénétration et les développeurs logiciels par @mitmproxy.

Webshell

reverse-shell - Shell inversé en tant que service par @lukechilds.
Reverse-Shell-Manager - Gestionnaire de shell inversé via terminal @WangYihang.
webshell - Ceci est un projet open source de webshell par @tennc.
Webshell-Sniper - Gérez votre site web via terminal par @WangYihang.
Weevely - Shell web weaponisé par @epinna.
nano - Famille de shells PHP golfés en code par @s0md3v.
PhpSploit - Framework C2 complet qui persiste silencieusement sur un serveur web via un oneliner PHP malveillant par @nil0x42.

Désassembleur

Iaitō - Interface graphique Qt et C++ pour le framework de rétro-ingénierie radare2 par @hteso.
plasma - Plasma est un désassembleur interactif pour x86/ARM/MIPS par @plasma-disassembler.
radare2 - Framework de rétro-ingénierie de type Unix et outils en ligne de commande par @radare.

Décompilateur

CFR - Un autre décompilateur Java par @LeeAtBenf.

Rebinding DNS

DNS Rebind Toolkit - DNS Rebind Toolkit est un framework JavaScript frontend pour développer des exploits de rebinding DNS contre des hôtes et services vulnérables sur un réseau local (LAN) par @brannondorsey.
dref - Framework d'exploitation de rebinding DNS. Dref fait le travail lourd pour le rebinding DNS par @mwrlabs.
Singularity of Origin - Il inclut les composants nécessaires pour rebinder l'adresse IP du nom DNS du serveur d'attaque vers l'adresse IP de la machine cible et pour servir des payloads d'attaque afin d'exploiter les logiciels vulnérables sur la machine cible par @nccgroup.
Whonow DNS Server - Un serveur DNS malveillant pour exécuter des attaques de rebinding DNS à la volée par @brannondorsey.

Autres

CyberChef - Le couteau suisse cybernétique - une application web pour le chiffrement, le codage, la compression et l'analyse de données - par @GCHQ.
Dnslogger - Logger DNS par @iagox86.
cefdebug - Code minimal pour se connecter à un débogueur CEF par @taviso.
ctftool - Outil interactif d'exploration CTF par @taviso.
ntlm_challenger - Analyse les messages de défi NTLM sur HTTP par @b17zr.

Base de données d'ingénierie sociale

haveibeenpwned - Vérifiez si vous avez un compte qui a été compromis dans une fuite de données par Troy Hunt.
Hudson Rock - Vérifiez si votre email ou domaine a été compromis par un malware voleur d'informations, maintenu par Hudson Rock.

Blogs

BRETT BUERHAUS - Divulgations de vulnérabilités et discussions sur la sécurité des applications.
Broken Browser - Amusement avec les vulnérabilités des navigateurs.
James Kettle - Responsable de la recherche chez PortSwigger Web Security.
leavesongs - Pénétreur web talentueux chinois.
n0tr00t - ~# n0tr00t Security Team.
OpnSec - Sécurité ouverte d'esprit !.
Orange - Pénétreur web talentueux taïwanais.
Scrutiny - Sécurité Internet à travers les navigateurs web par Dhiraj Mishra.
RIPS Technologies - Write-ups pour les vulnérabilités PHP.
0Day Labs - Superbes write-ups de bug-bounty et de défis.
Blog of Osanda - Recherche en sécurité et rétro-ingénierie.

Utilisateurs Twitter

@cure53berlin - Cure53 est une entreprise allemande de cybersécurité.
@filedescriptor - Pénétreur actif qui tweet souvent et écrit des articles utiles.
@garethheyes - Pénétreur web anglais.
@h3xstream - Chercheur en sécurité, intéressé par la sécurité web, la crypto, le pentest, l'analyse statique mais surtout, samy est mon héros.
@HackwithGitHub - Initiative pour présenter des outils de hacking open source pour les hackers et pentesteurs.
@hasegawayosuke - Chercheur en sécurité JavaScript japonais.
@kinugawamasato - Pénétreur web japonais.
@XssPayloads - Le pays des merveilles des utilisations inattendues de JavaScript, et plus encore.
@shhnjk - Chercheur en sécurité web et navigateurs.

Pratiques

Application

SELinux Game - Apprenez SELinux en pratiquant. Résolvez des puzzles, montrez vos compétences - Écrit par @selinuxgame.
BadLibrary - Application web vulnérable pour l'entraînement - Écrite par @SecureSkyTechnology.
Hackxor - Jeu de hacking d'application web réaliste - Écrit par @albinowax.
OWASP Juice Shop - Probablement l'application web non sécurisée la plus moderne et sophistiquée - Écrite par @bkimminich et l'équipe @owasp_juiceshop.
Portswigger Web Security Academy - Formations et laboratoires gratuits - Écrit par PortSwigger.
OopsSec Store - Application e-commerce intentionnellement vulnérable construite avec Next.js - Écrite par @kOaDT.

AWS

FLAWS - Défi CTF Amazon AWS - Écrit par @0xdabbad00.
CloudGoat - Outil de configuration d'infrastructure AWS "Vulnérable par conception" de Rhino Security Labs - Écrit par @RhinoSecurityLabs.

XSS

alert(1) to win - Série de défis XSS - Écrit par @steike.
prompt(1) to win - Défi XSS complexe de 16 niveaux tenu à l'été 2014 (+4 niveaux cachés) - Écrit par @cure53.
XSS Challenges - Série de défis XSS - Écrit par yamagata21.
XSS game - Défi XSS Google - Écrit par Google.

ModSecurity / OWASP ModSecurity Core Rule Set

ModSecurity / OWASP ModSecurity Core Rule Set - Série de tutoriels pour installer, configurer et régler ModSecurity et le Core Rule Set - Écrit par @ChrFolini.

Communauté

Divers- A glimpse into GitHub's Bug Bounty workflow - Un aperçu du workflow Bug Bounty de GitHub, écrit par @gregose.

awesome-bug-bounty - Liste complète et organisée des programmes Bug Bounty & Disclosure disponibles et des rapports par @djadmin.
Brute Forcing Your Facebook Email and Phone Number - Forcer brutalement votre e-mail et numéro de téléphone Facebook, écrit par PwnDizzle.
bug-bounty-reference - Liste de rapports de bug bounty classés par nature du bug par @ngalongc.
Cybersecurity Campaign Playbook - Guide stratégique de cybersécurité pour les campagnes, écrit par Belfer Center for Science and International Affairs.
EQGRP - Contenu déchiffré de eqgrp-auction-file.tar.xz par @x0rz.
Google VRP and Unicorns - Google VRP et les licornes, écrit par Daniel Stelter-Gliese.
Infosec_Reference - Référence en sécurité de l'information qui ne déçoit pas par @rmusser01.
Internet of Things Scanner - Vérifiez si vos appareils connectés à Internet chez vous sont publics sur Shodan par BullGuard.
notes - Quelques notes publiques par @ChALkeR.
Pentest + Exploit dev Cheatsheet wallpaper - Fond d'écran antisèche Pentest + Développement d'exploit - Aide-mémoire pour les tests d'intrusion et le développement d'exploits.
- Le guide définitif de la science des données et de l'apprentissage automatique en sécurité, écrit par JASON TROS.

Code de conduite

Veuillez noter que ce projet est publié avec un Code de conduite pour les contributeurs. En participant à ce projet, vous acceptez de vous conformer à ses termes.

Licence

Dans la mesure permise par la loi, Boik Su a renoncé à tous les droits d'auteur et droits voisins sur cette œuvre.

Populaires

awesome-web-security

Awesome Web Security

🤖 Utiliser un assistant IA ?

Sommaire

Digests

Forums

Introduction

XSS - Cross-Site Scripting

Prototype Pollution

CSV Injection

SQL Injection

Command Injection

ORM Injection

FTP Injection

XXE - XML eXternal Entity

CSRF - Cross-Site Request Forgery

Clickjacking

SSRF - Server-Side Request Forgery

Web Cache Poisoning

Relative Path Overwrite

Open Redirect

Security Assertion Markup Language (SAML)

Upload

Rails

AngularJS

ReactJS

SSL/TLS

Webmail

NFS

AWS

Azure

Fingerprint

Sub Domain Enumeration

Crypto

Web Shell

OSINT- Pirater les mineurs de cryptomonnaie avec des techniques OSINT - Écrit par @s3yfullah.

DNS Rebinding

Deserialization

OAuth

JWT

Évasions

XXE

CSP

WAF

JSMVC

Authentification

Astuces

CSRF

Clickjacking

Exécution de code à distance

XSS

Injection SQL

Injection NoSQL

Injection FTP

XXE

SSRF

Empoisonnement du cache Web

Injection d’en-tête

URL

Deserialization

OAuth

Autres- Provoquer des fuites DNS dans les services Web Onion - Écrit par @epidemics-scepticism.

Browser Exploitation

Frontend (comme contournement SOP, usurpation d'URL, et ce genre de choses)

Backend (cœur de l'implémentation du navigateur, et fait souvent référence à la partie C ou C++)

PoCs

Base de données

Cheetsheets

Tools

Auditing

Command Injection

Reconnaissance

OSINT - Open-Source Intelligence

Sub Domain Enumeration

Code Generating

Fuzzing

Scanning

Penetration Testing

Offensive