Méthodologie Pentest OWASP — Guide Complet OWASP Top 10

L'OWASP Top 10 2021

L'OWASP (Open Web Application Security Project) publie le Top 10 des vulnérabilités web les plus critiques. La version 2021 identifie :

A01 — Broken Access Control • A02 — Cryptographic Failures • A03 — Injection • A04 — Insecure Design • A05 — Security Misconfiguration • A06 — Vulnerable Components • A07 — Authentication Failures • A08 — Integrity Failures • A09 — Logging Failures • A10 — SSRF

Les 6 phases d'un pentest OWASP

Phase 1 — Reconnaissance

Collecte d'informations passives (OSINT) et actives : cartographie des technologies, identification des endpoints, analyse des headers HTTP, découverte de sous-domaines.

Phase 2 — Scan et énumération

Scan des ports et services, fingerprinting des frameworks, découverte des API endpoints, analyse du JavaScript côté client.

Phase 3 — Tests d'authentification (A07)

Brute force des comptes, test de la politique de mots de passe, test du flux OAuth/OIDC, session management (fixation, hijacking).

Phase 4 — Tests d'autorisation (A01)

Tests IDOR, privilege escalation, test des contrôles d'accès par rôle (RBAC), manipulation des tokens JWT.

Phase 5 — Tests d'injection (A03)

SQL injection (manuel + sqlmap), XSS réfléchi/stocké/DOM, XXE, SSTI, command injection, LDAP injection.

Phase 6 — Reporting

Rapport avec score CVSS v3.1, preuve de concept reproductible, impact business, recommandations priorisées.