Launch a virtual machine
/ 20
Set up and run the vulnerable application
/ 20
Scan the application
/ 20
Remediate the vulnerabilities
/ 20
Re-scan the web application
/ 20
IMPORTANT
Cet atelier pratique ne peut être réalisé que sur un ordinateur de bureau ou un ordinateur portable.
Vous ne pouvez tenter l'atelier que cinq fois.
Pour rappel, il est normal de ne pas répondre correctement à toutes les questions du premier coup, et même de devoir refaire un exercice. Cela fait partie du processus d'apprentissage.
Une fois l'atelier démarré, le minuteur ne peut pas être mis en pause. Au bout d'une heure et demie, l'atelier se terminera et vous devrez le recommencer.
Pour en savoir plus, consultez le document Conseils techniques pour les ateliers.
Identifier les failles et mettre en œuvre des techniques de correction est essentiel pour assurer la sécurité et la stabilité des différents systèmes et applications, qui gèrent souvent des informations sensibles (informations permettant d'identifier personnellement l'utilisateur, documents financiers ou documents de propriété intellectuelle, par exemple). L'identification des failles permet de protéger ces données sensibles contre tout accès non autorisé et toute violation potentielle. Il est généralement plus rentable de traiter les failles en amont du processus de développement que de gérer les violations de sécurité ultérieurement. Le coût de correction d'une faille est souvent bien plus élevé que celui de sa prévention.
En tant qu'analyste de la sécurité, vous pouvez analyser régulièrement les failles, afin de les identifier et de les corriger avant que des attaques malveillantes ne se produisent. Cela permet d'atténuer les menaces potentielles de manière proactive et fournit des informations sur la surface d'attaque d'une application, ce qui vous aide à comprendre les voies d'exploitation potentielles et à hiérarchiser les domaines critiques à améliorer.
Dans cet atelier, vous allez apprendre à configurer et à exécuter une application vulnérable, puis à l'analyser pour détecter ses failles.
Cymbal Bank a développé une nouvelle application bancaire pour ses clients professionnels, qui sera hébergée et déployée sur la nouvelle infrastructure cloud. Le responsable de la sécurité des systèmes d'informations (RSSI), Javier, souhaite donner la priorité à la sécurité de cette application avant son lancement et sa mise à disposition des clients. Chloe, votre cheffe d'équipe, vous a demandé d'identifier et de corriger les éventuelles failles de sécurité de cette nouvelle application. Vous allez utiliser Web Security Scanner dans Google Cloud pour analyser l'application à la recherche de failles liées à l'une des principales failles des application Web OWASP®, le "script intersites" (XSS).
Voici comment vous allez procéder : d'abord, vous allez créer une adresse IP statique et lancer une machine virtuelle. Puis, vous déploierez l'application vulnérable. Ensuite, vous configurerez et exécuterez l'application, avant d'y accéder et de l'analyser. Enfin, vous corrigerez les failles et analyserez à nouveau l'application.
Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.
Cet atelier pratique vous permet de suivre vous-même les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Nous vous fournissons des identifiants temporaires pour vous connecter à Google Cloud le temps de l'atelier.
Pour réaliser cet atelier :
Cliquez sur le bouton Démarrer l'atelier. Sur la gauche, vous trouverez le panneau Détails concernant l'atelier, qui contient les éléments suivants :
Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans la fenêtre de navigation privée) si vous utilisez le navigateur Chrome. La page Se connecter s'ouvre dans un nouvel onglet du navigateur.
Conseil : Vous pouvez réorganiser les onglets dans des fenêtres distinctes, placées côte à côte, pour passer facilement de l'un à l'autre.
Si nécessaire, copiez le nom d'utilisateur Google Cloud ci-dessous et collez-le dans la boîte de dialogue Se connecter. Cliquez sur Suivant.
Vous trouverez également le nom d'utilisateur Google Cloud dans le panneau Détails concernant l'atelier.
Vous trouverez également le mot de passe Google Cloud dans le panneau Détails concernant l'atelier.
Après quelques instants, la console s'ouvre dans cet onglet.
Dans cette tâche, vous allez créer une adresse IP statique et lancer la machine virtuelle pour exécuter l'application vulnérable.
). Cliquez sur Continuer si vous y êtes invité.Cette commande crée une adresse IP statique nommée xss-test-ip-address dans la région
Cliquez sur Autoriser si vous y êtes invité.
Cette commande renvoie l'adresse IP statique que vous avez générée.
Cette commande crée une instance de VM pour exécuter l'application vulnérable.
Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche.
Dans cette tâche, vous allez télécharger et extraire les fichiers de l'application Web vulnérable, puis déployer l'application dans SSH dans le navigateur.
Tout d'abord, vous allez créer une règle de pare-feu permettant à Web Security Scanner d'accéder à l'application vulnérable.
Cette commande crée une règle de pare-feu qui autorise l'accès à l'application Web à partir de n'importe quelle adresse IP source. Cela permet à Web Security Scanner d'accéder à l'application vulnérable et d'effectuer une analyse.
Ensuite, vous allez utiliser une connexion SSH pour vous connecter à l'instance de VM.
).Une nouvelle fenêtre de navigateur s'ouvre, établissant une connexion SSH à votre instance de VM.
Maintenant, vous allez extraire les fichiers de l'application Web.
Cette commande télécharge et extrait les fichiers de l'application Web vulnérable.
Appuyez sur Entrée.
Enfin, copiez la commande suivante sur la page SSH dans le navigateur :
Cette commande démarre l'application.
Un message doit indiquer que l'application est en cours d'exécution.
Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche.
Dans cette tâche, vous allez tester votre application pour détecter une faille appelée "script intersites" (XSS). Les failles XSS peuvent être exploitées par des scripts malveillants, tels que du code HTML, dans du contenu qui est ensuite diffusé sur des navigateurs Web.
<YOUR_EXTERNAL_IP> par l'adresse IP statique de la VM que vous avez enregistrée dans un bloc-notes à la tâche 1 :Un portail de services bancaires Cymbal Bank dédié aux professionnels et comportant un formulaire Web doit s'afficher.
Ce code injecte une faille OWASP®.
Le code injecté affichait un message dans le navigateur. Cette action n'est pas malveillante en soi, mais les pirates informatiques peuvent introduire du code malveillant dans une application exploitable pour voler des données ou implanter un logiciel malveillant sur l'appareil de l'utilisateur.
La fenêtre d'alerte s'ouvre et affiche le message suivant : "This is an XSS Injection to demonstrate one of OWASP vulnerabilities".
Dans cette tâche, vous allez analyser l'application à la recherche de failles à l'aide de Web Security Scanner.
D'abord, vous allez activer l'API Web Security Scanner.
).Maintenant, vous allez analyser l'application pour détecter les failles.
).Si l'API Web Security Scanner est activée, la page Cloud Web Security Scanner affiche les détails de la page Analyser les configurations.
Dans la barre d'outils Cloud Web Security Scanner, cliquez sur + Nouvelle analyse.
Dans la section Nom, nommez l'analyse Analyse de script intersite.
Dans la section URL de démarrage, le champ URL de démarrage 1 doit être prérempli avec votre adresse IP statique.
Dans la fenêtre SSH dans le navigateur, vous devriez voir les journaux générés pendant que Web Security Scanner teste toutes les URL possibles à la recherche de failles potentielles.
L'onglet Résultats indique les failles intersites détectées, ce qui montre comment Web Security Scanner peut détecter une faille XSS.
Vous pouvez également trouver les failles dans l'onglet Failles de Security Command Center.
Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche.
Dans cette tâche, vous allez corriger la faille XSS de l'application et relancer l'application avec le nouveau correctif.
Afin de corriger les failles actuelles, il est recommandé de procéder à la validation et à l'échappement des données non fiables fournies par l'utilisateur (cela renvoie également aux règles OWASP® correspondantes).
Pour ce faire, vous allez modifier le code de l'application vulnérable afin d'y inclure des lignes de code qui permettent de réaliser la validation et l'échappement des données fournies par l'utilisateur.
Maintenant, vous allez modifier le fichier app.py à l'aide de l'éditeur nano.
Cette commande ouvre l'éditeur de code nano.
Appuyez sur ENTRÉE.
Pour corriger la faille XSS, vous devez valider la variable de chaîne de sortie. La chaîne de sortie est le résultat traité de la saisie effectuée par l'utilisateur dans le formulaire Web.
Assurez-vous que l'application n'accepte pas les entrées utilisateur en tant que code HTML. Elle doit plutôt échapper les caractères spéciaux fournis par les entrées utilisateur. Pour ce faire, repérez les deux lignes qui définissent la chaîne de sortie :
Cette commande réexécute l'application.
Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche.
Dans cette tâche, vous allez analyser à nouveau l'application pour vous assurer qu'elle ne comporte aucune faille.
L'onglet Résultats devrait maintenant indiquer qu'aucune faille n'a été détectée.
Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche. Assurez-vous d'attendre la fin de l'analyse pour que cette tâche soit validée.
Bravo !
Dans cet atelier, vous avez acquis une expérience pratique de l'analyse des failles d'application. Vous avez appris l'importance pour un analyste en sécurité d'être capable de rechercher les failles dans les applications, une aptitude essentielle pour contribuer à identifier et corriger les failles potentielles, gérer les risques, respecter les exigences de conformité et, au bout du compte, maintenir une stratégie de sécurité robuste pour protéger les ressources et la réputation d'une organisation.
En comblant les lacunes de sécurité et en corrigeant les failles, vous pouvez aider à prévenir les exploitations potentielles, à minimiser l'impact des incidents de sécurité et à maintenir la conformité aux réglementations du secteur.
Cet atelier vous a permis d'aborder l'un des aspects fondamentaux des stratégies proactives en matière de cybersécurité.
Avant de terminer l'atelier, assurez-vous d'avoir bien accompli toutes les tâches. Cliquez alors sur Terminer l'atelier, puis sur Envoyer.
Une fois l'atelier terminé, vous n'aurez plus accès à l'environnement de l'atelier ni au travail que vous avez effectué.
Copyright 2026 Google LLC Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms de société et de produit peuvent être des marques des sociétés auxquelles ils sont associés.
Ce contenu n'est pas disponible pour le moment
Nous vous préviendrons par e-mail lorsqu'il sera disponible
Parfait !
Nous vous contacterons par e-mail s'il devient disponible
Un atelier à la fois
Confirmez pour mettre fin à tous les ateliers existants et démarrer celui-ci
