Ce que tu vas faire
Presque chaque leçon de WebGoat te demande de regarder ce que ton navigateur envoie et reçoit. L’outil pour ça est déjà dans ton navigateur : les outils de développement. Dans cette leçon, tu les découvres, et tu vois la même requête depuis ton terminal.
La seule règle
Attention
Ce lab fait tourner un site web fragile exprès. Attaque celui-là, et rien d’autre. C’est ta copie privée, sans accès à internet, donc personne d’autre ne peut être touché. N’essaie jamais ces attaques sur un site qui n’est pas le tien : au Royaume-Uni, c’est un délit selon le Computer Misuse Act 1990.
Avant de commencer
Remarque
Appuie sur Démarrer le lab dans la barre en haut de la leçon et attends qu’elle indique que le lab tourne. WebGoat est un programme Java : il continue de démarrer environ une minute après que la barre indique que le lab tourne. Si sa page ne s’ouvre pas encore, attends une minute et réessaie. Chaque bouton Exécuter ci-dessous tape sa commande dans le terminal de ton lab, l’une après l’autre, dans la même session. Pour les voir passer, ou pour taper les tiennes, appuie sur Ouvrir le terminal (nouvel onglet) dans la barre.
1. Ouvrir la leçon sur les outils de développement
Appuie sur le premier lien de la barre du lab, WebGoat, et connecte-toi (ou inscris-toi, si tu ne l’as pas fait dans « Les bases de WebGoat »). Ouvre General dans le menu de gauche, puis Developer Tools. Lis la première page : elle explique comment ouvrir les outils.
2. Ouvrir les outils
Fais un clic droit n’importe où sur la page et choisis Inspecter, ou appuie sur Ctrl + Shift + I (Cmd + Option + I sur un Mac). Les outils s’ouvrent à côté de la page. L’onglet Éléments (Elements) montre le HTML de la page : survole une ligne et la partie de la page qu’elle dessine devient bleue. La leçon continue avec les autres onglets, et chaque exercice se coche tout seul quand tu réussis.
3. Voir une réponse depuis le terminal
L’onglet Réseau (Network) liste toutes les requêtes du navigateur, et ce qui est revenu. Le terminal sait aussi demander une page. -I n’affiche que la première partie de la réponse, les en-têtes : la première ligne dit 200, « voilà », et le reste dit de quelle sorte de page il s’agit. C’est ce que l’onglet Réseau montre sous une requête.
curl -s -I http://web/WebGoat/loginAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Pour les enseignants
Astuce
Cette leçon est un petit exemple de leçon travaillée dans un lab : les étapes et les boutons Exécuter sont la leçon, et le lab est la copie personnelle de chaque élève. Les outils de développement sont le premier outil qu’apprend un élève en sécurité web, et WebGoat les enseigne dans le lab. Le lab ne vous envoie rien : demandez une capture d’écran de l’onglet Réseau avec une requête ouverte. Copiez-la dans votre propre module et modifiez-la, ou créez-en une de zéro avec le menu Lab du créateur de leçons.