Formation PHP Sécurité

De par sa nature même, le service dynamique de pages web ouvre de nombreuses portes sur le monde extérieur. Pour le développeur, il est primordial de prendre conscience des types d'attaques auxquelles son code sera potentiellement exposé. Cette formation PHP Sécurité se concentre sur le point de vue du développeur, les aspects "sécurisation serveur" étant abordés dans les cours d'administration. Une approche pratique basée sur des sessions de hacking éthique.

Objectif opérationnel : 

Savoir sécuriser PHP avec de bons réglages.

Objectifs pédagogiques : 

A l'issue de cette formation PHP Sécurité vous aurez acquis les connaissances et compétences nécessaires pour : 

• Connaitre les principes de "cookies" et de "Sessions" en PHP
• Savoir sécuriser PHP .ini avec les bons réglages
• Maitriser PHP Object et PHP7
• Protéger ses formulaires
• Connaitre l’accès au réseau par PHP
• Personnaliser la sécurité dans les Frameworks et briques logicielles
• Savoir Sécuriser l'emploi des extensions en PHP

Public :

Cette formation s'adresse aux développeurs PHP ayant déjà une bonne pratique du langage et désirant développer des applications sécurisées.

Prérequis :

Les participants doivent bien connaître la programmation sous PHP / Sql et avoir de bonnes notions de programmation Client (JavaScript).

Comprendre pour réduire les risques des applications PHP

Les Risques

Destruction de données
Détournement de site
Publication de données confidentielles
Abus de ressources
Vol d'identité

Plan Sécurité

Conception, Développement et  Maintenance

Sécurité et Pages Web

XSS

Principe et méthodes de protection
Moteur de recherche

Atelier

Mise en oeuvre et contrage d'une injection sur le site BDPhilia

CSRF

Principe et contre-mesures
Virus en base de données

Atelier

Mise en oeuvre d'une propagation sur le forum BDPhilia

Formulaires PHP : la grande porte

Les failles

Validation et limitations de l'approche JavaScript HTML5
Cookies de contrôle
Chaînage, attaques HTTP et Ajax
Contre-mesures
Token

Validation des entrées

Tests et principe des listes
Expressions régulières, standards et filtres

Upload de fichier

Api File
Contrôle des fichiers chargés
Failles et contre-mesures

Atelier

Exécution maligne d'un fichier téléchargé via le backoffice de BDPhilia

Sécurité PHP : Cookies et Sessions

Cookies

Principes et risques
Manipulation JavaScript
Tableaux de cookies

Sessions

Mode Cookie vs. Header
Principe du vol de session

Sécuriser PHP : les bons réglages

PHP.ini

Directives sensibles, sessions et erreurs

Protéger les scripts

Protection physique
Exécution de scripts distants ou à la volée

Atelier

Réglage des options sensibles. Discussion sur les conséquences au niveau développement.

Sécurité PHP : Bases de Données

Failles potentielles

Risques : données et administration
Stockage

Injections SQL

Principe et contre-mesure
Requête préparée
Procédures stockées et requêtes paramétrées
Limites

Fichiers d'accès

Organisation et valeurs par défaut
Accès anonymes et protocoles

Atelier

Réécrire ses requêtes sql en les protégeant

Sécurité PHP : PHP Object et PHP7

Ecriture Heredoc
Scope des variables et constantes
Heritage
MVC

Travailler avec des Méthodes et Class protégées

Sécuriser l'emploi des extensions en PHP

Se protéger contre le SPAM

Lire et écrire des fichiers XML
Lire et écrire des fichiers JSON
Les Webservices
Les Webservices securisées
Deserialisation dans des classSpam via un formulaire de contact : Injections et contre-mesures

Atelier

Utiliser un formulaire de contact pour envoyer un mail à 3 adresses différentes

Accès réseau par PHP

Appels séquentiels et récursifs
Attaque furtive

Atelier

Soumettre une url détournée PHP_SELF

DoS

Quotas et gestion des charges

Atelier

Test DDOS

Mots de passe

Renforcement et stockage
Création et rappel

Atelier

Projet de Recap

Chiffrement et Signature

Cryptage / décryptage : Implémentation PHP et MySql

Atelier

Cryptage des données client

Ruses de Sioux (Protection)

Pot de Miel, Obfuscation et Turing inversé

Atelier

Créer un pot de miel pour l'admin du BO, obfusquer les formulaires de recherche en MD5 et appliquer un test de Turing inversé sur le formulaire de contact

Frameworks et briques logicielles

Gestion de la sécurité dans les développements composites
Sur des frameworks PHP (Symphony Laravel…)

Audit de Sécurité

Méthodologie de base, Cross-test et Rapport d'Audit

Atelier

Rédiger un rapport d'audit sur la version de base de BDPhilia et sur les mesures prises pour améliorer la situation.

Des machines équipées de serveurs Apache avec différentes versions de PHP (5 à 7), MySql, Oracle, LDAP et mails sont mises à la disposition des participants.

Cette formation vous prépare au passage de la certification "AVIT by ENI - Développement de sites web dynamiques " (PHP) qui démontre votre compétence à développer un site web dynamique accédant à une base de données dans le respect des bonnes pratiques du développement web.
L’examen de certification se passe en ligne sous forme d’un QCM d’une durée d’1h15. Le résultat s’affiche selon un score de 1000 points. Un score supérieur à 600 indique que les compétences sont acquises.

La certification n’est pas obligatoire. L’inscription à l’examen n’est pas incluse dans le prix de la formation.