.: Formation PHP :.

SECURITE DES DEVELOPPEMENTS PHP / MySQL

De par sa nature même, le service dynamique de pages Web ouvre de nombreuses portes sur le monde extérieur. Pour le développeur, il est primordial de prendre conscience des types d'attaques auxquelles son code sera potentiellement exposé. Ce cours se concentre sur le point de vue du développeur, par une approche pratique basée sur des sessions de hacking éthique.

Contenu

Introduction
Les pages Web
Formulaires : la grande porte
Cookies et sessions
Sécuriser PHP : les bons réglages
Bases de données
Sécuriser l'emploi des extensions
Considérations générales

Participants

Cette formation s'adresse aux développeurs PHP ayant déjà une bonne pratique du langage, désirant développer des applications plus sécurisées.

Pré-requis

Bonnes connaissances des langages PHP et SQL. Connaissances de base de JavaScript.

DUREE

3 jours

Programme

Introduction

Les risques

- Destruction de données.

- Détournement de site.

- Publication de données confidentielles.

- Abus de ressources.

- Vol d'identité.

Plan Sécurité

- Conception, Développement et Maintenance.

Les pages Web

XSS

- Principe et méthodes de protection.

- Moteur de recherche.

CSRF

- Principe et contre-mesures.

- Virus en base de données

Formulaires : la grande porte

Les failles

- Validation et limitations de l'approche JavaScript.

- Chaînage, attaques HTTP et Ajax.

- Contre-mesures.

Validation des entrées

- Tests et principe des listes.

- Expressions régulières, standards et filtres.

Upload

- Failles et contre-mesures.

- Pornographie & nudité.

- Images : la face cachée.

Cookies et sessions

Cookies

- Principes et risques.

- Manipulation JavaScript.

- Tableaux de cookies.

Sessions

- Mode Cookie vs. Header.

- Principe du vol de session.

Sécuriser PHP : les bons réglages

PHP.ini

- Directives sensibles, sessions et erreurs.

Protéger les scripts

- Protection physique.

- Exécution de scripts distants ou à la volée.

Bases de données

Failles potentielles

- Risques : données et administration.

- Stockage.

Injections SQL

- Principe et contre-mesure.

- Procédures stockées et requêtes paramétrées.

- Limites.

Fichiers d'accès

- Organisation et valeurs par défaut.

- Accès anonymes et protocoles.

Sécuriser l'emploi des extensions

Email

- Spam via un formulaire de contact : injections et contre-mesures.

Accès réseau par PHP

- Appels séquentiels et récursifs.

- Attaque furtive.

Considérations générales

BFA

- Principe : dictionnaire.

- Identification et contre-mesures.

Phishing

- Principe et formation des utilisateurs.

DoS

- Quotas et gestion des charges.

Mots de passe

- Renforcement et stockage.

- Création et rappel.

Chiffrement et signature

- Cryptage / décryptage : implémentation PHP et MySQL.

Ruses de Sioux

- Pot de Miel, Obfuscation et Turing inversé.

Frameworks et briques logicielles

- Gestion de la sécurité dans les développements composites.

Audit de sécurité

- Méthodologie de base, Cross-test et rapport d'audit.