Web App Penetration Testing - #10 - XSS(Reflected, Stored & DOM)

Web App Penetration Testing - #10 - XSS(Reflected, Stored & DOM)

Tests d'intrusion d'applications web - #10 - XSS (Reflected, Stored & DOM)

par HackerSploit · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité URSécurité informatiqueURHFraude et piratage informatique
🎙 HackerSploit 👥 1.0M 📅 19 juillet 2018 ⏱ 17 min 👁 136K 📄 tutoriel 🧭 2026-10-16
Disponible en : Français (actuel) English

Mots-clés

cross-site scriptingreflected XSSstored XSSDOM XSSweb application security

Résumé

Cette vidéo de la série sur le test de pénétration des applications web se concentre sur les attaques de type Cross-Site Scripting (XSS). L’auteur commence par définir le XSS comme l’injection de scripts dans des paramètres d’URL pour attaquer un utilisateur ou le serveur. Il distingue ensuite les trois principaux types : réfléchi (reflected), stocké (stored) et DOM-based. Pour chaque type, il explique le principe fondamental et le démontre sur les environnements OWASP Broken Web Applications Project (BWAP) et WebGoat. La vidéo insiste sur l’importance de comprendre les mécanismes sous-jacents avant de passer aux niveaux de sécurité élevés. Elle montre comment injecter des scripts JavaScript simples via des formulaires, des commentaires de blog et des requêtes AJAX, illustrant ainsi la manière dont le code malveillant peut être exécuté côté client ou côté serveur. L’auteur souligne que ces attaques sont moins fréquentes sur les sites bien sécurisés mais fondamentales à maîtriser pour un pentesteur. Il mentionne également son intention de couvrir les défenses dans les vidéos suivantes. La vidéo se termine par un récapitulatif des points clés et une invitation à pratiquer.

181 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur principale de cette vidéo réside dans sa clarté pédagogique : chaque concept est expliqué avec des exemples concrets et pas à pas, ce qui facilite la compréhension même pour les débutants. L’argumentation repose sur une distinction nette entre les trois types de XSS, illustrée par des manipulations réelles sur des environnements vulnérables volontairement. L’auteur insiste sur l’importance de la mentalité et de l’expérimentation, ce qui renforce la pédagogie. Cependant, l’argumentation reste relativement basique : elle n’explore ni les techniques de contournement de filtres, ni les conséquences détaillées des attaques, ni les mesures de mitigation avancées. La justification repose sur la démonstration plutôt que sur une analyse théorique approfondie, ce qui limite la portée critique du contenu.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est satisfaisante pour un tutoriel : l’auteur s’appuie sur des outils reconnus comme OWASP BWAP et WebGoat, recommandés par la communauté. Il ne cite pas de sources académiques, mais la démarche est cohérente avec une approche pratique de la cybersécurité. La qualité des sources est correcte car il utilise des projets open source fiables. L’adéquation titre/contenu est totale : le titre annonce précisément les trois types de XSS et ils sont tous traités. En termes de commentaires, les 30 commentaires analysés sont extrêmement positifs, aucun négatif, avec des remerciements et des demandes de suite, ce qui confirme la pertinence pédagogique.

236 mots

Adéquation titre / contenu

Le titre correspond parfaitement au contenu : le vidéo couvre explicitement les trois types de XSS mentionnés.

Qualité & fiabilité

8/10

Explication claire et pédagogique des trois types de XSS, avec démonstrations pratiques sur des environnements légitimes (OWASP BWAP, WebGoat). Cependant, le contenu reste introductif et n'aborde pas les mesures de contournement avancées, ce qui limite légèrement son exhaustivité.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • OWASP Broken Web Applications Project — Environnement de test vulnérable utilisé dans la vidéo pour les démonstrations.
  • HackerSploit Website — Site officiel de la chaîne, mentionné pour un contact supplémentaire.
  • HackerSploit Android App — Application mobile proposée dans la description.

Références externes

Apport & nouveautés

Cette vidéo offre une introduction claire et structurée aux trois types de XSS, avec des démonstrations pratiques immédiatement reproductibles. Son apport principal est de clarifier les différences entre XSS réfléchi, stocké et DOM-based, souvent confondus, en utilisant des exemples concrets sur des environnements dédiés. Elle permet au spectateur de comprendre le fonctionnement fondamental avant d’aborder des techniques plus avancées.

Pour aller plus loin :

  • Cross-site scripting (XSS) - OWASP — Page officielle OWASP présentant les types de XSS et les atténuations.
  • Content Security Policy (CSP) - MDN — Documentation sur le mécanisme de sécurité permettant de prévenir les XSS.
  • OWASP Top 10 — Liste des risques de sécurité les plus critiques pour les applications web, incluant les injections XSS.
  • WebGoat — Projet OWASP d’application vulnérable pour l’apprentissage du test de pénétration.
  • Burp Suite — Outil couramment utilisé pour les tests de sécurité d’applications web, souvent mentionné pour le pentest.

149 mots

Profil radar

Le profil radar montre une forte cohérence entre la quantité d'informations et la qualité pédagogique, avec un niveau technique modéré adapté à un public débutant. La fiabilité est bonne grâce à l'utilisation de ressources officielles comme OWASP, mais l'absence d'approfondissement sur les défenses réduit légèrement la complétude.

Fiabilité 8/10

💬 Très positif. Sur les 30 commentaires analysés, tous sont extrêmement favorables, exprimant des remerciements, des éloges pour la clarté de l'explication et des encouragements pour la suite, sans aucune critique négative.