Aller au contenu

Scan Web authentifié

Ce guide fournit une procédure pas à pas sur l'exécution d'un scan Web authentifié à l'aide d'Ostorlab.

1. Cliquez sur l'icône de menu sur la gauche

Click on the menu icon on the left

2. Accédez à la section "Scanning" dans le menu

Navigate to the 'Scanning' section in the menu

3. Cliquez sur l'option "New Scan"

Click on the 'New Scan' option

4. Cliquez sur "Web App"

Choisissez l'option "Web App" parmi les types de scan disponibles.

Click 'Web App'

5. Cliquez sur "Continue"

Click 'Continue'

6. Spécifiez les URL ou les domaines cibles

Spécifiez les URL ou les domaines cibles. Vous pouvez saisir plusieurs URL ou domaines en saisissant chacun sur une nouvelle ligne.

Specify the target URLs or domains

7. Cliquez sur "Continue"

Click 'Continue'

8. Sélectionnez l'option "Full Web Scan"

Select the 'Full Web Scan' option

9. Cliquez sur "Continue"

Click 'Continue'

10. Configurez éventuellement les paramètres de scan avancés

Cette section vous permet de configurer des paramètres de scan avancés optionnels tels que le QPS pour définir le nombre maximum de requêtes par seconde. Vous pouvez définir un proxy et une expression régulière (regex) de filtrage d'URL.

Optionally configure advanced scan settings

11. Cliquez sur "Continue"

Cliquez sur le bouton "Continue" pour procéder à la configuration des identifiants de scan (test credentials).

Click 'Continue'

12. Sélectionnez un ou plusieurs identifiants de test prédéfinis

Cette étape vous permet de sélectionner un ou plusieurs identifiants de test (test credentials) prédéfinis ou d'en ajouter de nouveaux. Les identifiants de test augmentent la couverture de l'analyse dynamique.

Select one or more predefined test credentials

13. Cliquez sur "Test Credentials"

Vous pouvez également ajouter directement des identifiants de test en cliquant sur le bouton "Test Credentials".

Click 'Test Credentials'

14. Ajouter un identifiant de test

Les types pris en charge sont :

  • Login & Password
  • Basic Authentication
  • Email
  • Credit card
  • Phone Number
  • Address
  • Certificates
  • Script : Vous permet de télécharger un script puppeteer. Cela peut être très utile pour activer des flux d'authentification complexes ou des interactions complexes comme le paiement (checkout).
  • Custom credentials : Pour les champs de formulaire personnalisés tels que le nom d'utilisateur, le mot de passe et le nom de domaine.
  • HTTP Header : Vous permet de fournir des en-têtes (headers) tels que Authorization, User-Agent, etc.

Par exemple, pour ajouter un "Login & Password", sélectionnez l'option "Login & Password" dans le menu des identifiants de test.

Click 'Login & Password'

Entrez le nom d'utilisateur, le mot de passe et l'URL

Saisissez le nom d'utilisateur, le mot de passe et l'URL. L'identifiant de test est ensuite ajouté au scan une fois que vous cliquez sur Submit.

Enter the login, password, and URL

15. Fournir un User-Agent personnalisé

L'en-tête de requête HTTP User-Agent permet aux serveurs d'identifier l'application, le fournisseur et/ou la version de l'agent utilisateur qui effectue la requête.

Ostorlab utilise un agent utilisateur lors du scan des applications web. Cependant, les utilisateurs peuvent parfois souhaiter fournir leur propre agent utilisateur pour qu'il soit utilisé pendant le scan. Pour ce faire, il suffit d'ajouter une information d'identification de test de type En-tête HTTP.

  1. Saisissez facultativement une étiquette pour identifier facilement cette information d'identification de test, par exemple "Agent Utilisateur Personnalisé".
  2. Dans le champ name, saisissez User-Agent.
  3. Dans le champ value, saisissez l'agent utilisateur de votre choix, par exemple Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36.

Provide a custom user agent

Lors de l'exécution d'un scan web authentifié, vous pouvez sélectionner cette information d'identification de test à l'étape "Set scan credentials" et l'application web sera scannée en utilisant l'agent utilisateur personnalisé.

16. Cliquez sur "Submit"

Cliquez sur le bouton "Submit" pour créer le scan.

Click 'Submit'

17. Cliquez sur "Show"

Le scan Web sera créé. Vous pouvez cliquer sur "Show" dans l'alerte pour accéder à la liste des scans.

Click 'Show'

Dans ce guide, vous avez appris comment exécuter un scan Web authentifié à l'aide d'Ostorlab. Les instructions couvraient la configuration des paramètres de scan, l'ajout d'URL et de domaines, ainsi que l'authentification avec des identifiants de connexion. En suivant ces étapes, vous pouvez vous assurer d'un scan Web approfondi et sécurisé pour vos applications.