OWASP Top 10 for LLM Applications
Les dix risques des applications LLM, de l'injection de prompt à l'agentivité excessive. La carte de chaque vidéo IA.
Licence : CC BY-SA 4.0
Ressources
Le kit à l'écran, et où s'entraîner.
Référentiels, labs d'entraînement légaux, outils et wordlists, chacun avec sa licence. La liste courte : celle qui sert vraiment dans les vidéos.
Référentiels et cheat sheets
Les référentiels que suivent les vidéos, et les pages qu'on garde ouvertes pendant un test.
OWASP Top 10 for LLM Applications
Les dix risques des applications LLM, de l'injection de prompt à l'agentivité excessive. La carte de chaque vidéo IA.
Licence : CC BY-SA 4.0
OWASP MASVS & MASTG
Le standard de sécurité mobile et son guide de test, avec applications de test et techniques pour Android et iOS.
Licence : CC BY-SA 4.0
OWASP MASVS & MASTG
Le standard de sécurité mobile et son guide de test, avec applications de test et techniques pour Android et iOS.
Licence : CC BY-SA 4.0
OWASP MASVS & MASTG
Le standard de sécurité mobile et son guide de test, avec applications de test et techniques pour Android et iOS.
Licence : CC BY-SA 4.0
OWASP API Security Top 10
BOLA, authentification cassée, consommation de ressources illimitée : la liste 2023 que suivent les vidéos API.
Licence : CC BY-SA 4.0
OWASP Web Security Testing Guide
La méthodologie de référence pour tester une application web, étape par étape.
Licence : CC BY-SA 4.0
OWASP Web Security Testing Guide
La méthodologie de référence pour tester une application web, étape par étape.
Licence : CC BY-SA 4.0
Labs d'entraînement
Des cibles faites pour être cassées. Le seul endroit où s'entraîner à une attaque qu'on n'est pas autorisé à lancer ailleurs.
PortSwigger Web Security Academy
Des centaines de labs gratuits, de l'injection SQL au request smuggling, avec la théorie à côté de chacun.
Licence : Free, proprietary
OWASP Juice Shop
Une boutique web volontairement vulnérable, lancée en local en une commande Docker. Idéale pour tourner.
Licence : MIT
OWASP Juice Shop
Une boutique web volontairement vulnérable, lancée en local en une commande Docker. Idéale pour tourner.
Licence : MIT
OWASP crAPI
Une plateforme d'API vulnérable qui couvre le Top 10 API de l'OWASP, avec microservices et client façon mobile.
Licence : Apache-2.0
Damn Vulnerable DeFi
Des challenges DeFi sur les flash loans, les oracles, la gouvernance et le reste. Résolus sur un fork local, jamais sur le mainnet.
Licence : MIT
Damn Vulnerable DeFi
Des challenges DeFi sur les flash loans, les oracles, la gouvernance et le reste. Résolus sur un fork local, jamais sur le mainnet.
Licence : MIT
Ethernaut
Le wargame Solidity d'OpenZeppelin. Chaque niveau est un contrat vulnérable à prendre en main sur un testnet.
Licence : MIT
flAWS.cloud
Une série d'erreurs AWS à exploiter, niveau par niveau, sur une infrastructure prévue pour.
Licence : Free, no licence stated
CloudGoat
Des scénarios AWS vulnérables par conception, déployés dans votre propre compte avec Terraform. À détruire après usage.
Licence : BSD-3-Clause
OWASP IoTGoat
Un firmware volontairement vulnérable basé sur OpenWrt, pour s'entraîner au Top 10 IoT sans acheter de matériel.
Licence : MIT
Outils
Les logiciels à l'écran dans les vidéos. Vérifiez la licence sur la page source avant un usage commercial : elle peut changer.
Burp Suite Community Edition
Le proxy d'interception utilisé dans la plupart des vidéos web et API.
Licence : Free, proprietary
Burp Suite Community Edition
Le proxy d'interception utilisé dans la plupart des vidéos web et API.
Licence : Free, proprietary
ZAP
L'alternative open source à Burp, scriptable et facile à lancer en CI.
Licence : Apache-2.0
Frida
Instrumentation dynamique pour Android et iOS : accrocher une fonction, contourner le pinning, lire ce que l'app cache.
Licence : wxWindows Library Licence 3.1
Frida
Instrumentation dynamique pour Android et iOS : accrocher une fonction, contourner le pinning, lire ce que l'app cache.
Licence : wxWindows Library Licence 3.1
Nuclei
Un scanner à base de templates. Utile en reconnaissance sur un périmètre autorisé, dangereux partout ailleurs.
Licence : MIT
Foundry
La boîte à outils Solidity pour forker une chaîne en local et écrire l'exploit sous forme de test.
Licence : MIT or Apache-2.0
Foundry
La boîte à outils Solidity pour forker une chaîne en local et écrire l'exploit sous forme de test.
Licence : MIT or Apache-2.0
binwalk
Trouve et extrait ce qui est empaqueté dans une image de firmware.
Licence : MIT
garak
Un scanner de vulnérabilités pour LLM : sondes d'injection de prompt, de jailbreak et de fuite de données.
Licence : Apache-2.0
Wordlists et payloads
Des collections pour fuzzer et tester, sur des cibles que vous avez le droit de toucher.
SecLists
Des wordlists pour la découverte, le fuzzing, les identifiants et les payloads. La première chose installée sur une nouvelle machine.
Licence : MIT
SecLists
Des wordlists pour la découverte, le fuzzing, les identifiants et les payloads. La première chose installée sur une nouvelle machine.
Licence : MIT
PayloadsAllTheThings
Payloads et contournements classés par type de faille, avec le contexte pour les comprendre.
Licence : MIT
PayloadsAllTheThings
Payloads et contournements classés par type de faille, avec le contexte pour les comprendre.
Licence : MIT
PayloadsAllTheThings
Payloads et contournements classés par type de faille, avec le contexte pour les comprendre.
Licence : MIT