HTB Certified Web Exploitation Expert
Préparer la CWEE
Exploitation web de haut niveau : revue de code en boîte blanche, vulnérabilités avancées et enchaînements jusqu'à l'exécution de code. La suite logique de la CWES.
Offensif · Web avancéAvancéParcours Senior Web Penetration Tester
L'examen en bref
Durée10 joursLe compte à rebours ne s'arrête pas
Prérequis15 modulesParcours Senior Web Penetration Tester terminé à 100 %
RéussitePoints + rapportSeuil de points et rapport professionnel
RapportEn anglaisDéposé une seule fois, non modifiable
À savoirParticularité : le rapport se rend sous forme de fichiers Markdown bruts (.md) dans une archive ZIP protégée par le mot de passe fourni dans les consignes de l'examen.
Règles valables pour tous les examens (tentatives, délais, IA, Pwnbox) : règles communes.
Page mise à jour le 13 novembre 2026. Les conditions d'examen évoluent : vérifie-les sur le centre d'aide HTB avant de réserver.
Réviser
Fiches de cours, flashcards et quiz. Les cartes maîtrisées et ton meilleur score sont enregistrés dans ce navigateur.
Suivi des modules
Les 15 modules du parcours Senior Web Penetration Tester, regroupés par thème. Coche au fur et à mesure : la progression est enregistrée dans ce navigateur.
Injections avancées
- Injection Attacks
- Introduction to NoSQL Injection
- Blind SQL Injection
- Advanced SQL Injections
Authentification et client
- Attacking Authentication Mechanisms
- Advanced XSS and CSRF Exploitation
Protocole HTTP
- HTTPs/TLS Attacks
- Abusing HTTP Misconfigurations
- HTTP Attacks
Boîte blanche et techniques modernes
- Intro to Whitebox Pentesting
- Modern Web Exploitation Techniques
- Whitebox Attacks
- Parameter Logic Bugs
Désérialisation
- Introduction to Deserialization Attacks
- Advanced Deserialization Attacks
Ce que l'examen évalue
- Lire du code source pour trouver des vulnérabilités qu'aucun scanner ne voit.
- Exploiter injections SQL aveugles, NoSQL et injections plus rares.
- Abuser du protocole HTTP : désynchronisation de requêtes, empoisonnement de cache, mauvaises configurations.
- Exploiter la désérialisation et les failles de logique de paramètres.
- Contourner des authentifications robustes et chaîner XSS et CSRF.
- Chaîner plusieurs failles jusqu'à l'exécution de code à distance.
Planning de révision
Un exemple à adapter à ton rythme. Alterne toujours modules et pratique.
- PrérequisÊtre à l'aise avec le programme de la CWES avant de commencer.
- Sem. 1–3Injections avancées et authentification.
- Sem. 4–6Attaques HTTP et TLS, techniques modernes.
- Sem. 7–9Boîte blanche et désérialisation : lire beaucoup de code.
- Sem. 10Entraînement à la rédaction en Markdown, au format attendu.
Conseils pour l'examen
Spécifiques à la CWEE
- En boîte blanche, commence par les points d'entrée (routes, contrôleurs) et suis les données jusqu'aux fonctions dangereuses.
- Prépare un modèle Markdown à l'avance : le format du rendu est imposé.
- Garde un environnement local pour reproduire l'application et tester tes charges sans risque.
Valables pour tous les examens HTB
- Découpe la durée : garde au moins un tiers du temps pour le rapport.
- Capture d'écran à chaque étape clé, notes horodatées.
- Bloqué depuis deux heures ? Note la piste et passe à autre chose.
- Utilise le modèle officiel ou celui de SysReptor dès l'entraînement.
Réviser sur ce site
Prêt à réserver ?
- Parcours Senior Web Penetration Tester terminé à 100 %
- Voucher d'examen disponible
- Notes personnelles organisées et faciles à consulter
- Modèle de rapport prêt, déjà utilisé au moins une fois
- Au moins un entraînement complet en conditions réelles
- Période de 10 jours bloquée dans l'agenda