DVWA vs Juice Shop vs WebGoat : Comparatif Labs Web

La pratique sur des applications volontairement vulnérables en environnement contrôlé est la seule méthode légale et éthique pour développer des compétences en sécurité web offensive. Les trois applications présentées sont des projets OWASP officiels maintenus par des communautés actives, régulièrement mis à jour pour refléter les vulnérabilités actuelles rencontrées dans les audits de sécurité web professionnels. Leur complémentarité permet de construire un parcours d'entraînement progressif : DVWA pour comprendre les mécanismes fondamentaux des vulnérabilités web, Juice Shop pour pratiquer sur une architecture moderne réaliste, et WebGoat pour approfondir la compréhension théorique avec des leçons structurées. L'intégration de ces labs dans un environnement pentest Proxmox permet de les combiner avec d'autres machines vulnérables pour des scénarios plus complexes. Les vulnérabilités OWASP Top 10 sont la référence de classification des failles que ces labs permettent de pratiquer. Le comparatif des plateformes CTF positionne ces labs locaux par rapport aux plateformes en ligne comme Hack The Box et TryHackMe. Les techniques de fuzzing API avec Burp et Nuclei sont directement applicables sur l'API de Juice Shop. La documentation officielle Juice Shop et le projet WebGoat OWASP fournissent les guides de déploiement et les curriculums de formation détaillés pour les formateurs et les apprenants.

DVWA : les fondamentaux des vulnérabilités web

DVWA (Damn Vulnerable Web Application) est l'application web vulnérable la plus utilisée dans le monde de la formation en cybersécurité. Développée en PHP/MySQL, elle présente 14 modules couvrant les vulnérabilités web classiques : injection SQL, XSS (réfléchi, stocké, DOM), injection de commandes, upload de fichiers, CSRF, inclusion de fichiers (LFI/RFI), et brute force d'authentification. Chaque module propose quatre niveaux de difficulté (Low, Medium, High, Impossible) avec le code source accessible pour comprendre les différences de protection entre chaque niveau.

Le déploiement Docker de DVWA s'effectue en une commande : docker run -d -p 8080:80 vulnerables/web-dvwa. L'interface web est accessible sur le port 8080 avec les credentials admin/password. La force de DVWA est sa simplicité : chaque module isole une vulnérabilité spécifique dans un formulaire dédié, permettant à l'apprenant de se concentrer sur la technique d'exploitation sans être distrait par la complexité de l'application. La progression du niveau Low (aucune protection) au niveau Impossible (protection complète) illustre concrètement les bonnes pratiques de développement sécurisé avec le code source comparatif disponible pour chaque niveau.

Juice Shop : l'application moderne réaliste

OWASP Juice Shop est une application e-commerce complète développée en Angular/Node.js/SQLite qui reproduit une boutique en ligne avec authentification, panier, paiement, évaluations et API REST. Les 100+ challenges sont intégrés dans l'application elle-même et couvrent l'intégralité de l'OWASP Top 10 avec des vulnérabilités réalistes : injection SQL dans la barre de recherche, XSS dans les évaluations produit, IDOR sur les commandes des autres utilisateurs, SSRF via le service de feedback, broken authentication avec JWT forgé, et exposition de données sensibles via l'API.

Le système de scoring gamifié avec un tableau de challenges classés par difficulté (1 à 6 étoiles) et par catégorie OWASP motive la progression. Les hints progressifs guident l'apprenant sans donner la solution directement. Le déploiement Docker (docker run -d -p 3000:3000 bkimminich/juice-shop) est aussi simple que DVWA. La modernité de l'architecture (SPA Angular, API REST, JWT) fait de Juice Shop le lab le plus pertinent pour l'entraînement aux audits d'applications web modernes que les pentesters rencontrent quotidiennement en engagement client.

WebGoat : la formation pédagogique structurée

WebGoat se différencie par son approche pédagogique unique combinant des leçons théoriques et des exercices pratiques dans une interface guidée. Chaque module commence par une explication de la vulnérabilité (mécanisme, impact, code vulnérable), suivie d'exercices progressifs avec validation automatique de la réponse. Cette approche « cours intégré » est idéale pour les formateurs qui peuvent utiliser WebGoat comme support de cours avec une progression structurée et des points de validation à chaque étape de l'apprentissage.

Le module WebWolf complète WebGoat en fournissant un serveur attaquant pour recevoir les callbacks (XSS, SSRF), simulant un environnement d'attaque réaliste. Le déploiement Docker (docker run -d -p 8080:8080 -p 9090:9090 webgoat/webgoat) lance WebGoat et WebWolf simultanément. WebGoat est développé en Java/Spring, ce qui le rend pertinent pour les développeurs Java souhaitant comprendre les vulnérabilités spécifiques à leur écosystème, mais moins représentatif des applications web modernes en JavaScript.

Conclusion

DVWA, Juice Shop et WebGoat sont trois labs complémentaires couvrant l'intégralité des vulnérabilités web de l'OWASP Top 10. Le parcours optimal combine DVWA pour les fondamentaux, Juice Shop pour le réalisme et WebGoat pour la formation structurée. Les trois se déploient en une commande Docker et constituent ensemble la meilleure ressource gratuite pour l'entraînement en sécurité web offensive.