Les tests d’intrusion web commencent bien avant d’ouvrir Burp Suite. Voici comment je structure mes premiers engagements :

Reconnaissance

Recon passive d’abord — sous-domaines, stack technique, en-têtes et infos publiques. Puis scan actif ciblé avec Nmap et brute-force de répertoires avec Gobuster.

Cartographie de la surface d’attaque

Je documente chaque endpoint, paramètre et flux d’authentification. C’est là que l’OWASP Top 10 devient une checklist plutôt qu’une théorie :

• Injection (SQLi, injection de commandes)
• Authentification et gestion de session défaillantes
• XSS et CSRF

Exploitation et reporting

Les constats sont validés, reproduits et notés en CVSS. Un bon rapport sépare ce qui a été trouvé de ce qui compte pour le métier.

Le but n’est pas seulement d’obtenir un shell — c’est de fournir des recommandations de remédiation actionnables.