Résumé exécutif

Les applications web volontairement vulnérables constituent le socle de tout apprentissage sérieux en sécurité web offensive. Trois projets soutenus par l'OWASP dominent ce terrain d'entraînement, avec des positionnements complémentaires. DVWA (Damn Vulnerable Web Application), en PHP/MySQL, s'adresse aux débutants : failles classiques — injection SQL, XSS, inclusion de fichiers — et quatre niveaux de difficulté progressifs. Juice Shop, développée en Node.js et Angular, incarne la génération moderne des applications monopages, avec plus de cent défis couvrant l'ensemble du Top 10 OWASP et une progression gamifiée. WebGoat, en Java, privilégie la pédagogie guidée : chaque leçon explique le mécanisme de la vulnérabilité avant de la faire exploiter. Ce DVWA Juice Shop comparatif examine installation, réalisme des scénarios, couverture des failles et courbe d'apprentissage, afin d'orienter le choix de votre laboratoire selon votre niveau et vos objectifs de formation.

  • Identification des vecteurs d'attaque et de la surface d'exposition
  • Stratégies de détection et de réponse aux incidents
  • Recommandations de durcissement et bonnes pratiques opérationnelles
  • Impact sur la conformité réglementaire (NIS2, DORA, RGPD)

La pratique sur des applications volontairement vulnérables en environnement contrôlé est la seule méthode légale et éthique pour développer des compétences en sécurité web offensive. Les trois applications présentées sont des projets OWASP officiels maintenus par des communautés actives, régulièrement mis à jour pour refléter les vulnérabilités actuelles rencontrées dans les audits de sécurité web professionnels. Leur complémentarité permet de construire un parcours d'entraînement progressif : DVWA pour comprendre les mécanismes fondamentaux des vulnérabilités web, Juice Shop pour pratiquer sur une architecture moderne réaliste, et WebGoat pour approfondir la compréhension théorique avec des leçons structurées. L'intégration de ces labs dans un environnement pentest Proxmox permet de les combiner avec d'autres machines vulnérables pour des scénarios plus complexes. Les vulnérabilités OWASP Top 10 sont la référence de classification des failles que ces labs permettent de pratiquer. Le comparatif des plateformes CTF positionne ces labs locaux par rapport aux plateformes en ligne comme Hack The Box et TryHackMe. Les techniques de fuzzing API avec Burp et Nuclei sont directement applicables sur l'API de Juice Shop. La documentation officielle Juice Shop et le projet WebGoat OWASP fournissent les guides de déploiement et les curriculums de formation détaillés pour les formateurs et les apprenants.

  • DVWA est le lab le plus adapté aux débutants absolus avec 4 niveaux de difficulté
  • Juice Shop reproduit une application e-commerce moderne avec 100+ challenges OWASP
  • WebGoat offre des leçons structurées step-by-step avec théorie intégrée
  • Les trois se déploient en une commande Docker pour une mise en route immédiate
  • La combinaison des trois couvre l'intégralité des vulnérabilités web du débutant à l'expert

DVWA : les fondamentaux des vulnérabilités web

DVWA (Damn Vulnerable Web Application) est l'application web vulnérable la plus utilisée dans le monde de la formation en cybersécurité. Développée en PHP/MySQL, elle présente 14 modules couvrant les vulnérabilités web classiques : injection SQL, XSS (réfléchi, stocké, DOM), injection de commandes, upload de fichiers, CSRF, inclusion de fichiers (LFI/RFI), et brute force d'authentification. Chaque module propose quatre niveaux de difficulté (Low, Medium, High, Impossible) avec le code source accessible pour comprendre les différences de protection entre chaque niveau.

Le déploiement Docker de DVWA s'effectue en une commande : docker run -d -p 8080:80 vulnerables/web-dvwa. L'interface web est accessible sur le port 8080 avec les credentials admin/password. La force de DVWA est sa simplicité : chaque module isole une vulnérabilité spécifique dans un formulaire dédié, permettant à l'apprenant de se concentrer sur la technique d'exploitation sans être distrait par la complexité de l'application. La progression du niveau Low (aucune protection) au niveau Impossible (protection complète) illustre concrètement les bonnes pratiques de développement sécurisé avec le code source comparatif disponible pour chaque niveau.

Juice Shop : l'application moderne réaliste

OWASP Juice Shop est une application e-commerce complète développée en Angular/Node.js/SQLite qui reproduit une boutique en ligne avec authentification, panier, paiement, évaluations et API REST. Les 100+ challenges sont intégrés dans l'application elle-même et couvrent l'intégralité de l'OWASP Top 10 avec des vulnérabilités réalistes : injection SQL dans la barre de recherche, XSS dans les évaluations produit, IDOR sur les commandes des autres utilisateurs, SSRF via le service de feedback, broken authentication avec JWT forgé, et exposition de données sensibles via l'API.

⚡

Retour terrain

Dans les projets techniques complexes, j'ai appris à toujours commencer par auditer la documentation existante plutôt que l'infrastructure elle-même. Dans 80 % des cas, le delta entre la documentation et la réalité est la source première de risques. Une infrastructure bien documentée qui ne correspond pas à la réalité est plus dangereuse qu'une infrastructure sans documentation — parce qu'elle induit une fausse confiance.

Le système de scoring gamifié avec un tableau de challenges classés par difficulté (1 à 6 étoiles) et par catégorie OWASP motive la progression. Les hints progressifs guident l'apprenant sans donner la solution directement. Le déploiement Docker (docker run -d -p 3000:3000 bkimminich/juice-shop) est aussi simple que DVWA. La modernité de l'architecture (SPA Angular, API REST, JWT) fait de Juice Shop le lab le plus pertinent pour l'entraînement aux audits d'applications web modernes que les pentesters rencontrent quotidiennement en engagement client.

WebGoat : la formation pédagogique structurée

WebGoat se différencie par son approche pédagogique unique combinant des leçons théoriques et des exercices pratiques dans une interface guidée. Chaque module commence par une explication de la vulnérabilité (mécanisme, impact, code vulnérable), suivie d'exercices progressifs avec validation automatique de la réponse. Cette approche « cours intégré » est idéale pour les formateurs qui peuvent utiliser WebGoat comme support de cours avec une progression structurée et des points de validation à chaque étape de l'apprentissage.

Le module WebWolf complète WebGoat en fournissant un serveur attaquant pour recevoir les callbacks (XSS, SSRF), simulant un environnement d'attaque réaliste. Le déploiement Docker (docker run -d -p 8080:8080 -p 9090:9090 webgoat/webgoat) lance WebGoat et WebWolf simultanément. WebGoat est développé en Java/Spring, ce qui le rend pertinent pour les développeurs Java souhaitant comprendre les vulnérabilités spécifiques à leur écosystème, mais moins représentatif des applications web modernes en JavaScript.

CritèreDVWAJuice ShopWebGoat
Stack techniquePHP / MySQLAngular / Node.jsJava / Spring
Nombre de vulnérabilités14 modules100+ challenges30+ leçons
Niveau cibleDébutantDébutant à avancéDébutant à intermédiaire
Approche pédagogiquePratique libreGamifiée (scoring)Cours + exercices
RéalismeFaible (isolé)Élevé (app complète)Moyen (guidé)
Docker1 commande1 commande1 commande

En tant que formateur en sécurité web, j'utilise les trois applications dans un parcours de formation de 5 jours : jours 1-2 sur DVWA pour les fondamentaux (injection SQL, XSS, command injection avec progression de difficulté), jours 3-4 sur Juice Shop pour la pratique réaliste (challenges en autonomie avec debriefing collectif), et jour 5 sur WebGoat pour les leçons approfondies sur les vulnérabilités avancées (JWT, OAuth, serialization). Cette combinaison couvre l'intégralité de l'OWASP Top 10 avec une progression pédagogique naturelle du simple au complexe.

Mon avis : Juice Shop est le lab web vulnérable le plus complet et le plus réaliste en 2026. Son architecture moderne en JavaScript/Node.js reflète les applications web actuelles que les pentesters auditeront. Mais DVWA reste indispensable pour les débutants absolus qui ont besoin d'isoler chaque vulnérabilité dans un contexte simplifié avant d'affronter la complexité d'une application réelle.

Quel lab web vulnérable choisir pour débuter ?

DVWA pour les débutants absolus avec ses 4 niveaux de difficulté progressifs et ses modules isolés. Juice Shop pour ceux qui ont des bases en développement web et souhaitent pratiquer sur une application moderne réaliste.

Juice Shop est-il plus réaliste que DVWA ?

Oui. Juice Shop reproduit une application e-commerce complète en JavaScript/Node.js avec des vulnérabilités intégrées dans le flux applicatif normal. DVWA isole volontairement chaque vulnérabilité pour la pédagogie.

Comment déployer les trois labs simultanément ?

Utilisez Docker Compose avec un fichier définissant les trois conteneurs sur des ports différents : DVWA sur 8080, Juice Shop sur 3000 et WebGoat sur 8180. La commande docker-compose up démarre tout en 30 secondes.

Conclusion

DVWA, Juice Shop et WebGoat sont trois labs complémentaires couvrant l'intégralité des vulnérabilités web de l'OWASP Top 10. Le parcours optimal combine DVWA pour les fondamentaux, Juice Shop pour le réalisme et WebGoat pour la formation structurée. Les trois se déploient en une commande Docker et constituent ensemble la meilleure ressource gratuite pour l'entraînement en sécurité web offensive.

Déployez les trois labs avec Docker dès maintenant et commencez par les modules d'injection SQL de DVWA en niveau Low. La progression naturelle vers Juice Shop puis WebGoat vous donnera les compétences nécessaires pour auditer des applications web réelles et préparer les certifications de sécurité offensive.

Article suivant recommandé

Kubernetes offensif (RBAC abuse, : Analyse Technique →

Les clusters Kubernetes d Kubernetes offensif (RBAC abuse, admission. Expert en cybersécurité et intelligence artificiel

Surface d'attaque : Ensemble des points d'entrée exploitables par un attaquant pour compromettre un système, incluant les services exposés, les interfaces utilisateur et les API.

Synthèse et points clés

Les éléments présentés dans cet article mettent en évidence l'importance d'une approche structurée et méthodique. La combinaison de contrôles techniques, de processus organisationnels et de formation continue constitue le socle d'une posture de sécurité mature et résiliente face aux menaces actuelles.

Les techniques et outils de sécurité présentés dans cet article sont destinés aux professionnels de la cybersécurité dans un cadre autorisé. Toute utilisation malveillante est interdite et pénalement répréhensible.

Mettez en place un environnement de lab isolé pour pratiquer les techniques décrites. Les plateformes comme HackTheBox, TryHackMe ou un lab Active Directory local sont idéales pour l'apprentissage sécurisé.

Intégration des labs vulnérables dans un programme de formation sécurité d'équipe

Au-delà de l'usage individuel, DVWA, OWASP Juice Shop et WebGoat constituent des ressources pédagogiques puissantes pour structurer des programmes de formation sécurité à l'échelle d'une équipe de développement. L'approche la plus efficace est l'organisation de sessions de "Secure Code Review" gamifiées : les développeurs tentent d'exploiter les vulnérabilités d'une instance partagée, puis analysent collectivement le code source vulnérable pour comprendre comment le corriger. Cette méthode "offensif pour apprendre le défensif" génère une rétention des bonnes pratiques de sécurité 3 à 4 fois supérieure à la formation magistrale selon les études de l'SANS Institute.

Pour un programme de formation structuré sur 6 mois, la progression recommandée est : mois 1-2 sur DVWA (OWASP Top 10 fondamentaux en environnement PHP), mois 3-4 sur OWASP Juice Shop (vulnérabilités modernes — JWT, Angular, GraphQL), mois 5-6 sur WebGoat pour les catégories spécifiques au stack technologique de l'équipe. L'intégration de challenges personnalisés basés sur le code réel de l'organisation maximise le transfert de compétences vers les projets du quotidien. Des outils comme OWASP DefectDojo permettent de tracker la progression de chaque développeur et de générer des métriques de formation pour les rapports RSSI.

Ayi NEDJIMI

Besoin d'un expert cybersécurité ?

Audit, pentest, formation, IA — plus de 25 ans d'expérience, 100+ missions réalisées.

Environnement de test et laboratoire pratique

La maîtrise des techniques de sécurité offensive et défensive requiert un environnement de pratique dédié. L'installation d'un laboratoire virtuel sur votre poste (VMware Workstation, VirtualBox, ou Proxmox pour une infrastructure plus élaborée) permet de tester les concepts présentés dans cet article sans risque pour les systèmes de production.

Configuration recommandée du lab

Pour reproduire les scénarios décrits, une configuration minimale comprend : un hyperviseur disposant d'au moins 16 Go de RAM et 4 cœurs CPU, un réseau virtuel isolé (host-only ou internal network sans accès Internet pour les VMs malveillantes), et un snapshot de base avant chaque manipulation pour faciliter le retour arrière. Les distributions spécialisées Kali Linux (offensive) et Parrot OS Security Edition couvrent l'ensemble des outils nécessaires sans configuration manuelle. Pour l'aspect défensif, Security Onion déploie en une seule VM un stack complet (Zeek, Suricata, Elasticsearch, Kibana) qui permet de visualiser l'impact des techniques testées.

Ressources de formation complémentaires

Les plateformes d'entraînement permettent de consolider la pratique dans des environnements légaux et structurés. HackTheBox et TryHackMe proposent des machines virtuelles sur lesquelles appliquer les techniques décrites, avec des difficultés progressives adaptées aux débutants comme aux experts. Pour les scénarios d'entreprise (Active Directory, Cloud, applications web complexes), les labs Pro de HackTheBox ou les modules DFIR/SOC de Blue Team Labs Online offrent des cas réalistes. Les CTF compétitifs (Hack The Box CTF, DEFCON CTF, PicoCTF) développent la créativité et l'adaptabilité face à des challenges inédits. La régularité de pratique (1-2 heures hebdomadaires minimum) prime sur l'intensité ponctuelle pour développer des réflexes durables.

Indicateurs de maturité et métriques de sécurité

Mesurer l'efficacité des mesures de sécurité implémentées est indispensable pour justifier les investissements et guider les priorités. Les métriques suivantes constituent un tableau de bord de sécurité applicable aux organisations de toutes tailles.

Métriques de couverture et de détection

Les indicateurs clés à suivre mensuellement : taux de couverture MITRE ATT&CK (pourcentage des techniques adversariales couvertes par des règles de détection actives) ; Mean Time To Detect (MTTD) pour les incidents de sécurité confirmés ; Mean Time To Respond (MTTR) depuis l'alerte jusqu'à la résolution ; taux de faux positifs sur les alertes SIEM (objectif : moins de 5% pour les règles de haute priorité) ; pourcentage de systèmes avec agents EDR installés et actifs (objectif : 100% des endpoints gérés). Ces métriques, compilées dans un rapport mensuel pour la direction, permettent de démontrer la valeur des investissements sécurité et d'identifier les domaines nécessitant des ressources supplémentaires.

Amélioration continue par les exercices

Les organisations les plus matures en matière de cybersécurité organisent régulièrement des exercices pour tester et améliorer leurs capacités. Les exercices tabletop (simulation de crise sur table, sans activation des systèmes techniques) développent la coordination des équipes et valident les procédures de communication de crise. Les tests de pénétration (pentest) annuels fournissent une évaluation objective de la résistance technique de l'infrastructure. Les exercices Red/Blue/Purple Team (1-2 fois par an pour les organisations matures) permettent d'aligner les équipes offensive et défensive autour d'objectifs communs d'amélioration. Chaque exercice doit donner lieu à un plan d'action formalisé avec des jalons de correction mesurables, intégré dans la feuille de route sécurité de l'organisation.

Checklist de mise en œuvre et points de contrôle

La mise en pratique des recommandations de cet article nécessite une approche structurée. Cette checklist synthétise les points de contrôle essentiels pour évaluer l'état d'avancement de votre déploiement et identifier les actions prioritaires.

Phase de préparation et d'inventaire

Avant toute action technique, constituer un inventaire précis est indispensable. Les éléments à recenser : cartographie exhaustive des actifs concernés (systèmes, applications, flux de données) avec leur criticité métier associée ; identification des propriétaires techniques et fonctionnels pour chaque actif ; évaluation du niveau de maturité actuel à partir des référentiels reconnus (CIS Controls, ISO 27001, NIST CSF) ; et documentation des dépendances entre composants pour anticiper les impacts des modifications. Un inventaire incomplet génère des angles morts qui deviennent des vecteurs d'attaque exploitables par des acteurs malveillants disposant d'informations accessibles publiquement (OSINT, Shodan, LinkedIn).

Phase de déploiement et validation

Le déploiement progressif réduit les risques d'interruption de service et facilite la détection des régressions. Adopter un modèle de déploiement par vagues (wave deployment) : d'abord les environnements de développement et de test pour valider les configurations, ensuite les systèmes non-critiques en production, enfin les systèmes critiques lors de fenêtres de maintenance planifiées. Chaque vague s'accompagne d'une validation fonctionnelle complète et d'une période d'observation des métriques de performance et de sécurité. Un plan de retour arrière documenté et testé est obligatoire avant toute opération sur un système critique. Les critères de succès doivent être définis avant le déploiement, non après — un taux de faux positifs inférieur à 5% pour les alertes de sécurité, une disponibilité maintenue au niveau SLA contractuel, et l'absence d'incidents de sécurité liés aux modifications.

Phase de supervision et d'amélioration continue

La mise en place d'indicateurs de suivi permet de mesurer l'efficacité des mesures déployées et de justifier leur maintien auprès de la direction. Tableau de bord mensuel recommandé : nombre d'alertes générées par catégorie (critique, majeur, mineur) avec tendance sur 6 mois ; taux de couverture des actifs critiques par les contrôles de sécurité ; délai moyen de remédiation des vulnérabilités par sévérité CVSS ; et résultats des tests de régression mensuels sur les règles de détection. Ce tableau de bord, présenté en comité de sécurité, constitue la base d'un dialogue constructif entre les équipes techniques et le management sur les priorités d'investissement en cybersécurité.

Ressources, outils et veille spécialisée

L'efficacité opérationnelle des équipes de sécurité repose sur la maîtrise des outils adaptés et sur une veille continue sur les évolutions techniques et réglementaires du domaine. Ce panorama recense les ressources incontournables pour approfondir les sujets abordés dans cet article.

Outils open source recommandés

L'écosystème open source de la cybersécurité offre des outils de qualité professionnelle, souvent comparables voire supérieurs aux solutions commerciales sur des cas d'usage spécifiques. Pour la détection et la réponse à incident : OSSEC/Wazuh (HIDS/XDR open source déployé sur plus de 500 000 systèmes), TheHive et Cortex (orchestration et automatisation de la réponse à incident), MISP (partage de threat intelligence, utilisé par plus de 6 000 organisations mondiales). Pour l'analyse forensique : Autopsy (interface graphique pour Sleuth Kit, analyse disque), Volatility 3 (analyse mémoire vive), YARA (création de règles de détection de malwares). Pour l'audit d'infrastructure : OpenSCAP (compliance scanning automatisé), Lynis (audit de durcissement Linux), BloodHound (cartographie des chemins d'attaque Active Directory). Ces outils, maintenus par des communautés actives et adoptés par les grandes entreprises et agences gouvernementales, constituent le socle technique des équipes SOC modernes.

Sources de veille et formation continue

La cybersécurité évolue à un rythme qui impose une veille structurée pour maintenir l'efficacité des défenses. Les sources primaires à surveiller : CERT-FR (bulletins d'alerte et de sensibilisation de l'ANSSI, à intégrer dans les flux de veille en priorité) ; NVD et CISA KEV (catalogue des CVE et des vulnérabilités activement exploitées) ; Microsoft MSRC, Google Project Zero et Cisco Talos (recherche offensive et advisories éditeurs) ; et les publications académiques des conférences SSTIC (France), USENIX Security, IEEE S&P et CCS. Pour la montée en compétences des équipes, les certifications SANS GIAC (GCIH, GPEN, GCFA) offrent le meilleur équilibre entre reconnaissance professionnelle et valeur pratique. Les plateformes d'entraînement TryHackMe et HackTheBox permettent une pratique régulière sur des scénarios réalistes sans risque légal, avec des modules spécifiques adaptés aux profils défensifs (Blue Team Labs) et offensifs (HTB Pro Labs).

Sources et références

Pour aller plus loin : Mise en Pratique

La maîtrise technique s'acquiert par la pratique régulière dans des environnements contrôlés. Ces ressources complémentaires permettent d'approfondir les concepts et de les expérimenter de manière sécurisée.

Environnements de practice

  • HackTheBox — Plateforme de challenges et machines virtuelles vulnérables couvrant tous les domaines techniques : web, réseau, Active Directory, reversing, cryptographie.
  • TryHackMe — Parcours guidés adapatés aux débutants et intermédiaires, avec des salles thématiques sur les techniques décrites dans cet article.
  • VulnHub — Machines virtuelles téléchargeables pour pratiquer en local, sans connexion internet requise.

Documentation technique de référence

  • MITRE ATT&CK Enterprise Matrix — Base de données des techniques adversariales classées par tactique
  • OWASP Testing Guide — Méthodologie complète pour les tests d'intrusion applicatifs
  • PayloadsAllTheThings — Compilation collaborative de payloads et techniques offensives

Veille technique

Pour maintenir une veille efficace dans un domaine qui évolue rapidement, privilégiez les sources primaires : bulletins du CERT-FR, CVE/NVD pour les vulnérabilités, et les blogs techniques des chercheurs spécialisés (NCC Group, Pentest Partners, MDSec). Les conférences DEF CON et Black Hat publient leurs présentations gratuitement après l'événement.