Σύνταξη της αναφοράς — έναρξη του TP3

Δεν επιτίθεστε πλέον. Παραδίδετε. Το TP3 ξεκινά εδώ και παραδίδεται την εβδομάδα 14: ένα PDF 20 έως 30 σελίδων, τουλάχιστον έξι διαπιστώσεις, ένα σχέδιο σε 3, 6 και 12 μήνες. Αυτό το μάθημα σας δίνει την προσομοιωμένη αποστολή, τον σκελετό προς συμπλήρωση, και τη γρίλια που θα χρησιμοποιήσει ο βαθμολογητής — χρησιμοποιήστε την πριν στείλετε.

Μέτρηση. 8 έως 12 ώρες σύνταξης, κατανεμημένες σε δύο εβδομάδες. Η πρώτη συνεδρία (σήμερα) παγιώνει το σχέδιο, τους έξι τίτλους και τις προτεραιότητες. Η δεύτερη συντάσσει. Η τρίτη ξαναδιαβάζει δυνατά την περίληψη.

Παραδοτέο. rapport-nordik-commerce.pdf, 20 έως 30 σελίδες, συν έναν φάκελο preuves/ ονομασμένο σύμφωνα με Cxx-AAAA-MM-JJ-….

Καμία νέα επίθεση

Η προσομοιωμένη αποστολή παρακάτω και οι σημειώσεις σας από το εργαστήριο αρκούν. Δεν στέλνετε κανένα πακέτο σε τρίτο στόχο. Δεν ανοίγετε ένα πεδίο εφαρμογής «για να εμπλουτίσετε την αναφορά». Η σύνταξη ενός εφευρημένου P1, ή η επανεκμετάλλευση εκτός lab, είναι μηδέν — και, εκτός lab, αδίκημα.

Τι θα ξέρετε να κάνετε μετά από αυτό το εργαστήριο

• Να συναρμολογείτε μια αναφορά που διαβάζεται από τη διοίκηση και από την τεχνική ομάδα.
• Να αποφασίζετε έξι συνεπείς προτεραιότητες (2 P1, 2 P2, 2 P3 ή περισσότερα) από ακατέργαστες σημειώσεις.
• Να συμπληρώνετε το πρότυπο διαπίστωσης χωρίς να ξεχάσετε κανένα πεδίο.
• Να προτείνετε ένα αξιόπιστο σχέδιο αποκατάστασης σε τρεις ορίζοντες.
• Να αυτοαξιολογείστε με τη γρίλια του TP3 πριν την παράδοση.

---

1. Τι χρειάζεστε

• Τα μαθήματα 12.1 και 12.2 διαβασμένα. Η φόρμα C-01 της επίδειξης είναι το επίπεδο, όχι μια διαπίστωση προς αντιγραφή αυτούσια (εκτός αν την κάνετε μία από τις έξι, προσαρμόζοντάς την στον πελάτη Nordik).
• Τις σημειώσεις σας από τις ενότητες 3 έως 11, αν θέλετε να αγκυρώσετε μια απόδειξη σε ένα lab που πραγματικά παίξατε (Juice Shop 10.10.10.50:3000, DVWA, AD των ενοτήτων 9–10).
• Έναν επεξεργαστή κειμένου ή Markdown → PDF (Pandoc, Typora, Word, LibreOffice). Ευανάγνωστη γραμματοσειρά, αριθμημένοι τίτλοι, πίνακας περιεχομένων.
• Το σημειωματάριο της ενότητας 3. Είναι η ύλη της προσομοιωμένης αποστολής.

---

2. Προσομοιωμένη αποστολή — Nordik Commerce inc.

Συντάσσετε σαν να είχατε διεξάγει την αποστολή. Τα παρακάτω γεγονότα θεωρούνται αληθή. Δεν προσθέτετε άλλα, εκτός από απόδειξη προερχόμενη από το δικό σας lab και σαφώς επισημασμένη «απεικόνιση εργαστηρίου, ίδια κατηγορία ελαττώματος».

Client        : Nordik Commerce inc. (boutique en ligne, Montréal)
Commanditaire : Direction TI, Marie Tremblay
Type          : grey-box, applicatif + périphérie d'identité
Dates         : 14–18 avril 2026, 09:00–18:00 America/Toronto
Cible incluse : shop.nordik.example (lab : 10.10.10.50:3000)
                vpn.nordik.example (port 443)
                mail (Google Workspace, domaine nordik.example)
Cible exclue  : prestataire Stripe, Atlassian Cloud, DoS, phishing
Comptes       : un compte client `acheteur@nordik.example`
Extraction    : au plus 5 lignes par table, pas de PII réelle hors lab
Méthode       : OWASP Testing Guide v4.2 + contrôles identité (M05, M06)

2.1. Σημειωματάριο αποστολής — οκτώ ακατέργαστες σημειώσεις

Πρέπει να παράγετε έξι διαπιστώσεις. Το σημειωματάριο περιέχει οκτώ. Δύο σημειώσεις είναι παγίδες: πολύ αδύναμες, διπλότυπο, ή εκτός πεδίου εφαρμογής. Σε εσάς να τις αποκλείσετε ή να τις υποβαθμίσετε σε P4 στην επισκόπηση, χωρίς να κάνετε από αυτές ένα P1 συμπλήρωσης.

Σημείωση A — Αναζήτηση καταλόγου

shop GET /rest/products/search?q=
q=apple' -> 500 SQLITE_ERROR
UNION -> table Users  (3 lignes, RoE)
admin@juice-sh.op  hash MD5 0192023a7bbd73250516f069df18b500 -> admin123
voir démonstration 12.2  /  module 7 étape 3

Σημείωση B — Άμεσο αντικείμενο (IDOR)

GET /rest/basket/1  avec le cookie de acheteur@...
GET /rest/basket/2  même cookie -> 200, panier d'un autre client
lignes de commande, email, adresse
module 7, A01

Σημείωση C — Αποθηκευμένο XSS, κριτική προϊόντος

commentaire produit : <img src=x onerror="…">
l'admin qui ouvre Modération exécute le JS
cookie de session admin visible (HttpOnly absent sur le cookie de lab)
module 7 étape 4

Σημείωση D — Πολιτική DMARC

_dmarc.nordik.example  TXT  v=DMARC1; p=none; rua=mailto:dmarc@nordik.example
SPF présent  include:_spf.google.com
phishing non autorisé par le RoE : on n'a PAS envoyé d'email
module 3 / module 6

Σημείωση E — Λίστα /assets/backups

GET /assets/backups/  -> 200  index of
dump-2023-11.sql  (on n'a PAS téléchargé, RoE extraction)
dernier-modif 2023-11-02

Σημείωση F — Banner διακομιστή

Server: nginx/1.18.0
X-Powered-By: Express
pas d'exploit lancé

Σημείωση G — VPN : πιστοποιητικό και πύλη

vpn.nordik.example  TLS 1.2 OK
portail Forti-like,  pas de MFA sur le compte de test fourni
password spraying NON fait (hors fenêtre)
compte test `vpn-invite` / `Nordik2024!`  encore valide le 18 avril

Σημείωση H — Ticket Jira που αναφέρεται σε σχόλιο HTML

<!-- fix NORDIK-1842 voir jira.nordik.example -->
jira.nordik.example  -> Atlassian Cloud  HORS PERIMETRE
on n'a pas authentifié

2.2. Τι περιμένει ο βαθμολογητής ως κατανομή

Προτεραιότητα	Ποσόστωση	Σημειώσεις που μπορούν να πάνε εκεί	Σημειώσεις που δεν πάνε εκεί
P1	2	A (SQLi admin), B (IDOR καλάθια) ή C αν αποδειχθεί κλοπή συνεδρίας admin	F, H
P2	2	C (αν όχι ήδη P1), G (αδύναμος λογαριασμός VPN χωρίς MFA), ενδεχομένως E αν το dump είναι τεκμηριωμένο	F
P3+	2	D (DMARC p=none χωρίς πραγματικό phishing), E (λίστα), G αν έχετε ήδη δύο ισχυρότερα P2	A υποβαθμισμένο «επειδή είναι lab»

Η σημείωση F δεν είναι διαπίστωση P2. Μπορεί να εμφανιστεί ως P4 ή στην επισκόπηση («εκτεθειμένες εκδόσεις»). Η σημείωση H δεν είναι διαπίστωση εισβολής Atlassian: εκτός πεδίου εφαρμογής. Την αναφέρετε ως όριο: αναφορά στον πελάτη, καμία δοκιμή.

Μπορείτε να αντικαταστήσετε μια σημείωση με μια ισοδύναμη διαπίστωση από το δικό σας lab (EternalBlue της ενότητας 5, Kerberoast της ενότητας 9) υπό τον όρο να διατηρήσετε την κατανομή 2 / 2 / 2 και το πρότυπο.

---

3. Προϋπολογισμός σελίδων — στόχος 24, όχι 19 ούτε 41

Μέρος	Σελίδες	Τι προκαλεί εκτροχιασμό
Σελίδα εξωφύλλου + διανομή	1	Λογότυπα, μνείες NDA
Περίληψη για τη διοίκηση	1–2	Ορολογία, ιστορικό μέρα προς μέρα
Πεδίο εφαρμογής και μέθοδος	2	Αντιγραφή-επικόλληση ολόκληρου του RoE στο σώμα
Επισκόπηση	2	Μυθιστόρημα επίθεσης έξι σελίδων
Έξι διαπιστώσεις	10–14	Πλήρες JSON σε κάθε φόρμα
Συστάσεις 3 / 6 / 12 μηνών	2–3	Επανάληψη των φορμών λέξη προς λέξη
Παραρτήματα	3–6	Export Nmap 40 σελίδων

Λιγότερο από 20 σελίδες: λείπει είτε μια φόρμα, είτε οι αποδείξεις, είτε το σχέδιο. Περισσότερο από 30: επικολλήσατε εργαλεία. Κόψτε τα παραρτήματα, όχι τις αιτιολογήσεις P1.

---

4. Σκελετός αναφοράς — προς αντιγραφή και συμπλήρωση

Το εξωτερικό πλαίσιο χρησιμοποιεί τέσσερα backtick: ο σκελετός περιέχει ο ίδιος μπλοκ απόδειξης. Αντιγράψτε στο ~/mission/rapport-nordik.md, μετά εξάγετε σε PDF.

# Rapport de test d'intrusion
## Nordik Commerce inc. — boutique `shop.nordik.example`

| Champ | Valeur |
| --- | --- |
| Référence | NORDIK-PT-2026-04 |
| Classification | Confidentiel — diffusion limitée |
| Version | 1.0 |
| Dates de test | 14–18 avril 2026 |
| Date du rapport | 22 avril 2026 |
| Rédacteur | `votre-nom` |
| Destinataire | Marie Tremblay, Direction TI |

Liste de diffusion : commanditaire, RSSI, responsable applicatif.
Pas de transfert hors NDA.

---

## 1. Résumé exécutif

*(Rédiger EN DERNIER. 1 à 2 pages. Conclusion dès la première phrase.)*

**Posture.** `insuffisante | acceptable avec réserves | maîtrisée` —
`une phrase qui cite le nombre de P1`.

**Périmètre en une phrase.** Grey-box, boutique et portail VPN, hors Stripe
et Atlassian, hors déni de service et hors hameçonnage.

**Comptage.**

| P1 | P2 | P3 | P4 |
| --- | --- | --- | --- |
| 2 | 2 | 2 | `n` |

**Trois risques que la direction peut répéter.**

1. `phrase métier` (C-0x)
2. `phrase métier` (C-0x)
3. `phrase métier` (C-0x)

**Décisions de la semaine.**

1. `rotation, fermeture, mise hors ligne`
2. `…`
3. `…`

Pas d'outil, pas de CVE, pas de capture ici.

---

## 2. Périmètre et méthodologie

### 2.1. Inclus / exclu

| Inclus | Exclu |
| --- | --- |
| `shop.nordik.example` (lab 10.10.10.50:3000) | Stripe, Jira Cloud |
| `vpn.nordik.example` | DoS, phishing actif |
| Compte client fourni | Filiales, wifi, physique |

### 2.2. Rules of Engagement

Fenêtres 09:00–18:00 America/Toronto. Extraction ≤ 5 lignes.
Pas de modification de commandes réelles. Escalade : Marie Tremblay.

### 2.3. Méthode et outils

OWASP Testing Guide v4.2. Burp Suite (Repeater), `curl`, `sqlmap`
(confirmation, `--stop=3`), `dig` (DMARC). Chaque outil a un rôle ;
aucun export brut n'est un constat.

### 2.4. Limites

`ce qui n'a pas été testé : API admin sans compte, phishing, Atlassian.`
Ces limites **réduisent** la confiance : une absence de P1 ailleurs
n'est pas une attestation de sécurité.

---

## 3. Vue d'ensemble

### 3.1. Carte de chaleur

| Thème | P1 | P2 | P3 | P4 |
| --- | --- | --- | --- | --- |
| Applicatif | `n` | `n` | `n` | `n` |
| Identité | `n` | `n` | `n` | `n` |
| Réseau / VPN | `n` | `n` | `n` | `n` |
| Messagerie | `n` | `n` | `n` | `n` |

### 3.2. Indicateur de posture

`Une phrase. Ex. : insuffisante — deux P1 depuis Internet sans privilège.`

### 3.3. Chemin d'attaque (un paragraphe)

Relier les fiches : recherche publique → compte admin → session ;
ou panier IDOR → données d'un tiers. Ne pas inventer un pivot AD
si vous n'avez pas les notes.

---

## 4. Constats détaillés

Chaque fiche : titre, sévérité (P + CVSS + justification), contexte,
preuve, impact métier, remédiation (action, test, effort), références.

### C-01 — `titre action + surface`

**Sévérité.** P`x`. CVSS 3.1 : `score` — `vecteur`.
Justification métier : `une phrase`.

**Contexte.** `une phrase fonctionnelle`.

**Preuve.** Date, cible, limite d'extraction.

```bash
curl -sS -G 'http://10.10.10.50:3000/rest/products/search' \
  --data-urlencode "q=…"
```

```http
HTTP/1.1 200 OK
Content-Type: application/json
```

Capture : `C01-2026-04-16-….png` (annexe A).

**Impact métier.** `déjà démontré, pas un scénario`.

**Remédiation.**
1. Immédiat :
2. Correctif :
3. Compensation :
4. Test de clôture : `la même preuve, résultat attendu différent`.
Effort : `jours-personnes, rôle`.

**Références.** CWE-…, OWASP …, CVE si elle existe.

### C-02 — `…`

*(même gabarit)*

### C-03 — `…`

### C-04 — `…`

### C-05 — `…`

### C-06 — `…`

---

## 5. Recommandations priorisées

Regrouper par thème, pas par numéro de fiche. Une action peut fermer
deux constats (toutes les requêtes SQL paramétrées = C-01 et un éventuel
login injectable).

### 5.1. Identité
### 5.2. Applicatif
### 5.3. Réseau et VPN
### 5.4. Messagerie

### 5.5. Plan à trois horizons

| Horizon | Objectif | Actions (réf. constats) | Effort | Propriétaire suggéré |
| --- | --- | --- | --- | --- |
| 0–3 mois | Couper l'exposition | P1 + rotations + MFA VPN | `j/p` | Dev + Ops + IdO |
| 3–6 mois | Durcir le métier | IDOR, XSS, revues d'accès | `j/p` | Dev + RSSI |
| 6–12 mois | Tenir | CI sécurité, DMARC reject, inventaire | `j/p` | RSSI + DevOps |

Détail narratif : un paragraphe par horizon — ce qui change pour le
client s'il ne le fait pas, pas une leçon sur OWASP.

---

## 6. Annexes

### A. Preuves par constat
Index des fichiers `Cxx-AAAA-MM-JJ-*`.

### B. Requêtes complètes
Fichiers Burp / `curl` `-D`.

### C. Journaux d'outils
`sqlmap` limité, `dig` DMARC. Pas de scan intégral.

### D. Captures d'écran
Horodatage visible. Zones personnelles masquées.

---

5. Πώς να συμπληρώσετε χωρίς να αντιγράψετε την επίδειξη

Η φόρμα C-01 του μαθήματος 12.2 είναι ένα πρότυπο ποιότητας. Αν κρατήσετε τη σημείωση A, αναδιατυπώνετε για τη Nordik: ο τίτλος μπορεί να γίνει Έγχυση SQL στην αναζήτηση καταλόγου, η περίληψη μιλά για Nordik Commerce, όχι για Juice Shop. Οι εντολές του lab παραμένουν 10.10.10.50:3000: το λέτε στο πεδίο εφαρμογής (περιβάλλον αναπαραγωγής).

Για τη σημείωση B (IDOR), η ελάχιστη απόδειξη μοιάζει με αυτό — να προσαρμοστεί στο δικό σας cookie lab, ποτέ ένα cookie παραγωγής:

# deux paniers, un seul compte
curl -sS -H "Cookie: token=VOTRE_JETON_LAB" \
  http://10.10.10.50:3000/rest/basket/1 | jq '{id,UserId}'
curl -sS -H "Cookie: token=VOTRE_JETON_LAB" \
  http://10.10.10.50:3000/rest/basket/2 | jq '{id,UserId}'

Παιδαγωγικά αναμενόμενο: η δεύτερη κλήση αποδίδει ένα UserId που δεν είναι δικό σας. Αντίκτυπος: ανάγνωση παραγγελιών τρίτου. Πιθανή προτεραιότητα: P1 αν δεδομένα τρίτου χωρίς εμπόδιο, P2 αν το lab αποδίδει μόνο σύνολα.

Για τη σημείωση D, δεν στείλατε email. Ο αντίκτυπος γράφεται: η πολιτική δεν εμποδίζει έναν τρίτο να εκδώσει μήνυμα στο όνομα του τομέα· καμία αποστολή δεν πραγματοποιήθηκε (εκτός RoE). Δεν είναι P1.

Για τη σημείωση G, ο κωδικός επίδειξης καλύπτεται στο σώμα (Nord***!) και τοποθετείται στο παράρτημα.

---

6. Σχέδιο 3 / 6 / 12 μηνών — τι είναι αξιόπιστο

Ένα σχέδιο δεν είναι η λίστα των αποκαταστάσεων αντιγραμμένη τρεις φορές. Κάθε ορίζοντας έχει μια πρόθεση.

0 έως 3 μήνες — σταματήστε την αιμορραγία. Ό,τι είναι P1, συν τις αντισταθμίσεις που μειώνουν την επιφάνεια όσο διαρκεί το διορθωτικό. Εναλλαγή των εκτεθειμένων μυστικών. MFA στο VPN. Κλείσιμο της λίστας /assets/backups ή αφαίρεση του αρχείου. Μια εβδομαδιαία επιτροπή μέχρι το κλείσιμο των P1. Τυπική προσπάθεια για ένα κατάστημα αυτού του μεγέθους: 15 έως 30 ανθρωπο-ημέρες, κυρίως εφαρμοστική ανάπτυξη.

3 έως 6 μήνες — διορθώστε το επιχειρηματικό. Συστηματικός έλεγχος πρόσβασης στους πόρους με αναγνωριστικό (ένα IDOR τη φορά, αλλά συνολικά). Κωδικοποίηση εξόδου σε όλες τις κριτικές. Επανεξέταση των λογαριασμών πρόσκλησης. Μετάβαση του DMARC σε quarantine (όχι ακόμα reject αν οι νόμιμες ροές δεν είναι ευθυγραμμισμένες). Δοκιμές κλεισίματος επαναλαμβανόμενες από κάποιον άλλο εκτός από τον συγγραφέα του διορθωτικού.

6 έως 12 μήνες — κρατήστε το. reject DMARC μόλις τα SPF/DKIM είναι καθαρά. Pipeline CI: δοκιμή έγχυσης και δοκιμή IDOR στα νέα endpoints. Απογραφή των πυλών (VPN, admin, παλιά backups). Δοκιμαστική άσκηση ειδοποίησης Νόμου 25. Το P4 (banner nginx) αντιμετωπίζεται εδώ, όχι την πρώτη εβδομάδα.

Ένας ορίζοντας χωρίς ιδιοκτήτη δεν υπάρχει

«Η ομάδα» δεν είναι ιδιοκτήτης. Βάλτε έναν ρόλο: υπεύθυνος εφαρμοστικού, ops, ταυτότητα, CISO. Ο πελάτης θα διορθώσει το όνομα· δεν μπορεί να διορθώσει μια κενή γραμμή.

---

7. Γρίλια αυτοαξιολόγησης — 100 πόντοι, ίδια με το TP3

Τσεκάρετε πριν την εξαγωγή PDF. Κάθε μη τσεκαρισμένο κουτί είναι επιστροφή στη σύνταξη, όχι νοητική σημείωση.

7.1. Περίληψη για τη διοίκηση — 15 πόντοι

• Η πρώτη φράση δίνει τη στάση ασφαλείας και τον αριθμό των P1.
• Ένας διευθυντής καταλαβαίνει χωρίς γλωσσάρι.
• Τρεις επιχειρηματικοί κίνδυνοι, καθένας συνδεδεμένος με ένα C-0x.
• Αποφάσεις της εβδομάδας, όχι μια λίστα εργαλείων.
• Η περίληψη στέκεται χωρίς να διαβάσετε τις διαπιστώσεις.

7.2. Έξι διαπιστώσεις στο πρότυπο — 30 πόντοι

• Τουλάχιστον έξι φόρμες, επτά πεδία η καθεμία (τίτλος, σοβαρότητα, πλαίσιο, απόδειξη, αντίκτυπος, αποκατάσταση, αναφορές).
• Τίτλοι = ενέργεια + επιφάνεια, εκμεταλλεύσιμοι ως ticket.
• Μία αναπαραγώγιμη απόδειξη (curl ή HTTP) ανά φόρμα, χρονοσημασμένη.
• Μία δοκιμάσιμη αποκατάσταση ανά φόρμα (η δοκιμή κλεισίματος είναι γραμμένη).
• Καμία διαπίστωση = επικολλημένο export εργαλείου.
• Μυστικά καλυμμένα στο σώμα, πλήρη μόνο στο παράρτημα.

7.3. Κατανομή και συνέπεια — 10 πόντοι

• Τουλάχιστον 2 P1, 2 P2, 2 P3 ή περισσότερα.
• Καμία σημείωση F ή H προαχθείσα σε P1/P2.
• Κάθε απόκλιση CVSS → προτεραιότητα δικαιολογημένη σε μία φράση.
• Δύο επιφάνειες = δύο φόρμες (όχι ένα «γενικό SQLi»).

7.4. Σχέδιο αποκατάστασης σε τρεις ορίζοντες — 20 πόντοι

• Πίνακας 3 / 6 / 12 μηνών συμπληρωμένος (ενέργειες, προσπάθεια, ιδιοκτήτης).
• Τα P1 ζουν στους 3 μήνες, όχι στους 12.
• Τουλάχιστον μία δομική ενέργεια (παραμετροποίηση SQL παντού, γενικός έλεγχος πρόσβασης).
• Μία παράγραφος ανά ορίζοντα, συνέπειες σε περίπτωση αναβολής.

7.5. Αποδείξεις στα παραρτήματα — 10 πόντοι

• Ευρετήριο Cxx-AAAA-MM-JJ-….
• Χρονοσημασμένα στιγμιότυπα, καλυμμένες περιοχές.
• Κανένα Nmap 40 σελίδων.
• Ορατό RoE εξαγωγής (π.χ. --stop=3).

7.6. Υπερασπίσιμη ιεράρχηση — 10 πόντοι

• Ξέρετε να πείτε κάθε P1 δυνατά σε δεκαπέντε δευτερόλεπτα.
• Καμία απειλή ταινίας («μια ομάδα θα…»).
• Τα όρια του πεδίου εφαρμογής εμφανίζονται (τι δεν δοκιμάστηκε).

7.7. Σαφήνεια και παρουσίαση — 5 πόντοι

• 20 έως 30 σελίδες.
• Πίνακας περιεχομένων, σταθεροί αριθμοί φόρμας.
• Μία μόνο φωνή, τονισμένα ελληνικά ή γαλλικά ανάλογα με τη γλώσσα εργασίας, χωρίς «!!!».
• Σελίδα εξωφύλλου, ταξινόμηση, λίστα διανομής.

Όριο παράδοσης. 80 / 100 στην αυτοαξιολόγηση, αλλιώς δεν εξάγετε. Ο βαθμολογητής χρησιμοποιεί την ίδια γρίλια.

---

8. Τρεις συνεδρίες, μετά παράδοση

1. Διαιτησία (2 ώ). Έξι τίτλοι, έξι προτεραιότητες. Αν τα P1 είναι «nginx» και «σχόλιο Jira», ξαναρχίστε.
2. Σύνταξη (5 ώ). Σειρά: διαπιστώσεις → επισκόπηση → σχέδιο → πεδίο εφαρμογής → περίληψη. Παραρτήματα ταυτόχρονα με κάθε φόρμα.
3. Επανάγνωση (2 ώ). Περίληψη διαβασμένη σε κάποιον εκτός μαθήματος. Αιτιολογήσεις P1 χρονομετρημένες. PDF 20–30 σελίδες.

Παγίδες. Ένα PDF 18 σελίδων χωρίς φόρμες· έξι P1 «για να φαίνεται σοβαρό»· περίληψη γραμμένη πρώτη· στιγμιότυπο χωρίς curl· σχέδιο που επαναλαμβάνει «διορθώστε τις ευπάθειες»· σημειώσεις από πραγματικό bug bounty.

Εξαγωγή PDF

pandoc rapport-nordik.md -o rapport-nordik-commerce.pdf --toc. Μια γραμμή curl κομμένη στη μέση ενός quote γίνεται ψευδής απόδειξη.

[ ] PDF 20–30 pages, nommage rapport-nordik-commerce.pdf
[ ] Dossier preuves/ (un fichier par constat)
[ ] Auto-évaluation ≥ 80
[ ] Aucune cible hors lab / hors mission simulée
[ ] Aucun secret en clair dans le courriel de remise

Το TP3 της εβδομάδας 14 βαθμολογεί αυτό το παραδοτέο. Αυτό που ξεκινάτε σήμερα είναι ήδη το αντικείμενο του βαθμού.

---

Τι κερδίζετε από αυτό το εργαστήριο

Έναν σκελετό που θα ξαναχρησιμοποιήσετε σε πραγματική αποστολή — τα έξι μέρη δεν αλλάζουν, μόνο τα γεγονότα αλλάζουν. Μια πειθαρχία προτεραιότητας: δύο υπερασπίσιμα P1, όχι μια σειρήνα. Ένα σχέδιο που κάποιος μπορεί να τηρήσει ένα χρόνο. Η γρίλια του βαθμολογητή, χρησιμοποιημένη αρκετά νωρίς ώστε το PDF να μην είναι έκπληξη. Η αναφορά είναι το προϊόν· μόλις το κατασκευάσατε.