Ce que tu vas faire
WebGoat est un cours de sécurité web qui tourne comme un site web. Chaque leçon explique une faiblesse, puis te demande de l’utiliser, et se coche toute seule quand tu réussis. Dans cette leçon, tu crées un compte, tu ouvres ta première leçon et tu découvres WebWolf, le deuxième site qui l’accompagne.
La seule règle
Attention
Ce lab fait tourner un site web volontairement vulnérable. Attaque-le, et rien d’autre. C’est ta copie privée, sans aucun accès à Internet, donc personne d’autre ne peut être touché. N’essaie jamais ces choses sur un site qui n’est pas le tien : au Royaume-Uni, c’est une infraction pénale selon le Computer Misuse Act 1990.
Avant de commencer
Remarque
Appuie sur Démarrer le lab dans la barre en haut de cette leçon et attends que la barre indique que le lab tourne. WebGoat est un programme Java, et il continue de démarrer pendant environ une minute après que la barre indique que le lab tourne. Si l’étape 1 affiche 502 pour WebGoat, attends une minute et appuie à nouveau sur Exécuter. Chaque bouton Exécuter ci-dessous tape sa commande dans le terminal de ton lab, l’une après l’autre, dans la même session. Pour les voir passer, ou pour taper tes propres commandes, appuie sur Ouvrir le terminal (nouvel onglet) dans la barre.
1. Vérifie que les deux sites tournent
WebGoat et WebWolf sont deux sites web dans un seul lab. 200 veut dire qu’un site a répondu avec sa page de connexion. 502 veut dire qu’il est encore en train de démarrer.
curl -s -o /dev/null -w "%{http_code}\n" http://web/WebGoat/loginAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
curl -s -o /dev/null -w "%{http_code}\n" http://web:9090/WebWolf/loginAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
2. Crée un compte
Appuie sur le premier lien de la barre du lab, WebGoat. Choisis Register, invente un nom d’utilisateur et un mot de passe (personne d’autre ne voit cette copie, donc n’importe lesquels conviennent), accepte les conditions et valide. La liste des leçons s’ouvre.
3. Ouvre une première leçon
Ouvre Introduction dans le menu de gauche et lis la page WebGoat. Ensuite, ouvre General, puis HTTP Basics. Lis la leçon, tape ton prénom dans la zone et appuie sur Go! : le serveur inverse ton prénom et te le renvoie. C’est une requête HTTP et sa réponse. La leçon continue avec d’autres exercices, et chacun se coche tout seul dans le menu quand tu réussis. La leçon « Les bases de WebGoat 2 » montre comment regarder la requête elle-même.
4. Visite WebWolf
Appuie sur le deuxième lien de la barre du lab, WebWolf, et connecte-toi avec le même nom d’utilisateur et le même mot de passe. WebWolf est un deuxième site qui joue « l’autre personne » dans les leçons qui en ont besoin, par exemple pour recevoir un message ou un fichier. Chaque leçon t’indique quand l’utiliser.
Pour les enseignants
Astuce
Cette leçon est un petit exemple de leçon à faire dans un lab : les étapes et les boutons Exécuter forment la leçon, et le lab est la copie personnelle de chaque élève. WebGoat est un cours entier dans un seul lab, avec une coche pour chaque leçon qu’un élève termine. Le lab ne vous envoie rien : demandez une capture d’écran des leçons cochées et une phrase sur une faiblesse, dans les mots de l’élève. Copiez cette leçon dans votre propre module et modifiez-la, ou créez-en une à partir de zéro avec le menu Lab du créateur de leçons.