Attacking and Exploiting Modern Web Applications
Dernière mise à jour
Dernière mise à jour
Mon avis personnel sur le livre Attacking and Exploiting Modern Web Application de Simone Onofri, Donato Onofri, paru en 2023
Titre : Attacking and Exploiting Modern Web Applications Auteur : Simone Onofri, Donato Onofri Dernière parution : 25 août 2023 Langue : Anglaise Prix : 34,49 € Lien : https://www.packtpub.com/en-us/product/attacking-and-exploiting-modern-web-applications-9781801811965
Résumé / Présentation : Web attacks and exploits pose an ongoing threat to the interconnected world. This comprehensive book explores the latest challenges in web application security, providing you with an in-depth understanding of hackers' methods and the practical knowledge and skills needed to effectively understand web attacks.
The book starts by emphasizing the importance of mindsets and toolsets in conducting successful web attacks. You’ll then explore the methodologies and frameworks used in these attacks, and learn how to configure an environment using interception proxies, automate tasks with Bash and Python, and set up a research lab. As you advance through the book, you’ll discover how to attack the SAML authentication layer; attack front-facing web applications by learning WordPress and SQL injection, and exploit vulnerabilities in IoT devices, such as command injection, by going through three CTFs and learning about the discovery of seven CVEs. Each chapter analyzes confirmed cases of exploitation mapped with MITRE ATT&CK. You’ll also analyze attacks on Electron JavaScript-based applications, such as XSS and RCE, and the security challenges of auditing and exploiting Ethereum smart contracts written in Solidity. Finally, you’ll find out how to disclose vulnerabilities.
By the end of this book, you’ll have enhanced your ability to find and exploit web vulnerabilities.
Table des matières :
Part 1: Attacking Preparation
Mindset and Methodologies
Toolset for Web Attacks and Exploitation
Part 2: Evergreen Attacks
Attacking the Authentication Layer – a SAML Use Case
Attacking Internet-Facing Web Applications – SQL Injection and Cross-Site Scripting (XSS) on WordPress
Attacking IoT Devices – Command Injection and Path Traversal
Part 3: Novel Attacks
Attacking Electron JavaScript Applications – from Cross-Site Scripting (XSS) to Remote Command Execution (RCE)
Attacking Ethereum Smart Contracts – Reentrancy, Weak Sources of Randomness, and Business Logic
Continuing the Journey of Vulnerability Discovery
L'ouvrage, écrit par Simone Onofri et Donato Onofri, offre un tour d'horizon de la sécurité des applications web modernes. Il explore des systèmes largement utilisés, comme le CMS Wordpress, l'IoT, les applications cross-plateforme basées sur Electron, et aborde également les smart contracts.
La première partie se concentre sur l'approche et la méthodologie, s'appuyant sur des frameworks tels que le Penetration Testing Execution Standard (PTES), le NIST SP 800-115, l'OWASP STG et encore l'Open-Source Security Testing Methodology Manual (OSSTMM). Ces outils offrent un cadre intéressant pour l'analyser de cibles à la recherche de vulnérabilités. On y retrouve également le chapitre incontournable, bien que classique, dédié à l'installation des outils essentiels, tels que Burp, VirtualBox, Docker, et bien d'autres.
La seconde partie entre dans le vif du sujet en explorant l'exploitation de vulnérabilités liées à la norme SAML2, à l'injection SQL, et accessoirement XSS, sur un plugin Wordpress. Elle se conclut sur l'exploitation d'une XSS into RCE sur un dispositif IoT. Chaque exploitation retrace le processus nécessaire pour y parvenir, en passant par l'analyse statique et dynamique, le reverse engineering, le désassemblage et le débogage.
La dernière partie explore les concepts des applications modernes cross-platforme à travers l'analyse d'une application basée sur Electron, en mettant en évidence plusieurs failles XSS aboutissant finalement à une RCE. Une sous-partie aborde un point intéressant : la présence de vulnérabilités au sein d'outils conçus pour la réponse à incident. Enfin, le dernier chapitre se consacre à l'étude d'un scénario de smart contract nommé LicenseManager, issu d'un CTF publié par QuillAcademy.
Ce livre est intéressant, mais il ne s’adresse pas à tout le monde, et certainement pas aux débutants. Un lecteur découvrant la cybersécurité ou le test d’intrusion d'applications web risque d’être rapidement perdu face à de l’exploitation de vulnérabilités SAML ou du reverse d'IoT. Il devient sans doute plus pertinent pour un niveau intermédiaire, lorsque les principales vulnérabilités sont déjà bien assimilées, offrant alors certains approfondissements techniques intéressants. Toutefois, l’ouvrage met avant tout l’accent sur la démarche en expliquant pas à pas la découverte et l'exploitation de quelques vulnérabilités. Ceux souhaitant affiner leur méthodologie y trouveront un intérêt, notamment en matière d’approche analytique, de threat modeling, et de structuration des tests (concepts d’happy case, etc.). Pour un professionnel expérimenté, son utilité est, selon moi, limitée, sauf peut-être pour obtenir un aperçu d’un sujet particulier. Par exemple, en ce qui me concerne, ma connaissance du Web3 était assez restreinte, et la dernière partie m’a permis d’en avoir une meilleure compréhension, bien que des recherches plus poussées soient encore nécessaires pour maitriser ces concepts.
En conclusion, ce livre s'adresse principalement aux personnes ayant déjà une solide compréhension des vulnérabilités web mais souhaitant mieux structurer leur approche et leurs méthodologies lors de l'analyse d'une application web.
