Comprendre comment le web fonctionne pour comprendre comment il casse. Le cours part du protocole lui même : résolution DNS, puis requêtes HTTP écrites à la main avec netcat et curl. Il parcourt ensuite les grandes familles de failles applicatives : manipulation du client (cookies, sessions, entêtes), injection SQL, injection de commande, traversée de chemin, SSRF, JWT mal formé et XSS.

Les TP se font intégralement sous forme de CTF, sur une plateforme CTFd dédiée (https://ctf.isen-cyber.ovh) : chaque notion vue en cours est immédiatement mise en pratique en capturant un flag sur un challenge vulnérable. Chaque challenge résolu se termine par un retour sur la défense : d'où vient la faille, et pourquoi le correctif tient. Le temps se répartit entre environ 1 h 15 de théorie par séance et le reste de pratique au terminal, selon un principe simple : un outil avant une interface, pour voir que HTTP est du texte avant qu'un logiciel ne le masque.

Prérequis : shell Linux de base, notions de SQL, notions de HTML et de JavaScript. Aucune connaissance en sécurité requise.