Hacking et sécurité avec Node.js

Objectifs

• Comprendre les principales menaces de sécurité dans les applications Node.js


• Maîtriser les bonnes pratiques de développement sécurisé


• Appliquer des techniques de protection contre les vulnérabilités courantes (OWASP)


• Configurer et utiliser des outils pour auditer et renforcer la sécurité des applications

Description

# Jour 1 : Principes fondamentaux et vulnérabilités courantes - **Introduction à la sécurité des applications Node.js**

• Contexte et enjeux de la sécurité des applications web


• Risques spécifiques aux applications Node.js


• Exemples d'attaques et impacts associés


• Architecture Node.js et implications sur la sécurité


• Modèle d'événements et de non-blocking I/O


• Gestion des dépendances et risques liés à npm


• Les bases des failles de sécurité


• Principes d'authentification et d'autorisation


• Introduction aux référentiels de sécurité (OWASP Top 10 et WSTG) -

• - Injection de code et command injection


• Identifier les failles d'injection dans Node.js


• Protection contre les injections SQL/NoSQL et d'autres commandes


• Cross-Site Scripting (XSS)


• Types de XSS et leur détection


• Techniques de prévention


• escape


• Content Security Policy (CSP)


• Gestion des sessions et des tokens


• Sécurisation des cookies et des JWT


• Risques liés au stockage client/serveur


• Autres vulnérabilités courantes


• Injections SQL (et NoSQL)


• Exécution de code distant (RCE)


• Cross-Site Request Forgery (CSRF)


• Exposition des données sensibles

• * _- Analyse d'une application vulnérable (ou de différents codes source) pour identifier des problèmes courants - Identification et correction de vulnérabilités dans une application Node.js préparée_

• Bonnes pratiques pour sécuriser les API REST et GraphQL


• Implémentation d'authentification et d'autorisation robustes


• Limitation des accès


• rate limiting (protection contre brute-force)


• IP whitelisting


• Validation des entrées utilisateurs avec des outils comme Joi ou Zod


• Chiffrement et protection des données


• Utilisation de HTTPS (SSL/TLS) et la gestion des certificats


• Stockage sécurisé des mots de passe (bcrypt, Argon2)


• Chiffrement des données sensibles avec Node.js (crypto module)


• Gestion des erreurs et logs


• Ne pas exposer d'informations sensibles dans les logs


• Centralisation et surveillance des logs pour détecter les attaques -

• - Audit de sécurité des dépendances npm


• Identifier et corriger les dépendances vulnérables avec npm audit, snyk, ou OWASP Dependency-Check


• Tests de sécurité automatisés


• Mise en place de tests de sécurité avec des frameworks comme Mocha ou Chai


• Utilisation de scanners de sécurité pour API et web apps (ZAP, Burp Suite Community)