École Supérieure en Informatique 08 Mai 1945 · Sidi Bel Abbès

Dépôt institutionnel de l'ESI-SBA

L'archive ouverte de la production académique de l'École : mémoires d'ingénieur et de master, travaux du laboratoire LabRI et publications de ses enseignants-chercheurs, conservés durablement et accessibles à tous.

Parcourir les collections Publications récentes

Photo : Rcherire, CC BY-SA 4.0

Libre accès

Mémoires et publications consultables gratuitement par les étudiants, les chercheurs et le grand public.

Liens pérennes

Chaque document reçoit un identifiant Handle permanent pour une citation fiable.

Indexé et moissonnable

Exposé via OAI-PMH et optimisé pour Google Scholar.

Communautés du dépôt

Sélectionner une communauté pour parcourir les collections sous-jacentes.

Voici les éléments 1 - 2 sur 2

Ecole Supérieure en Informatique 08-MAI-1945 SIDI BEL ABBES
LabRI
laboratoire de recherche en informatique

Dépôts récents

HTTP Method Interchangeability: Detection, Measurement, and Security Implications
(2026)
HANNACHI, SEif ERrahmane
The HTTP specification defines distinct semantics for safe, idempotent methods and unsafe, state-changing methods, yet a substantial fraction of modern web applications accept the same operation over more than one method on the same route. This phenomenon, denoted MI in this work, expands the attack surface of deployed applications. For CSRF, it enables cross-method delivery of payloads that token-validation defences assume are bound to POST: when the same operation is also accepted over GET, those defences can be bypassed because they are anchored to method semantics that the application layer does not enforce. Independently, it can supply the cacheable GET variant that a WCD attack requires. The prevalence of MI in production deployments has, to date, not been measured at scale. This thesis introduces Method-Interchangeability Detection Engine (MIDE), an automated measurement methodology that crawls web applications in a browser, records the POST requests generated by page loads and user-interface interactions, converts supported POST bodies into GET candidates, and compares the replayed responses against the original POST response. To avoid counting generic or parameter-independent responses as interchangeable, MIDE also sends a no-query GET baseline to the same endpoint, and classifies each request into one of four classes by whether the converted GET and the baseline GET reproduce the POST response: strong interchangeability (the converted GET matches but the baseline does not), ambiguous (both match), baseline collision (only the baseline matches), and not interchangeable (neither matches). The approach is implemented as a reproducible capture-and-replay pipeline and is applied to the Tranco top 10k list. Of 14,244 replayed first-party POST requests, 1,228 (8.6%) were classified as strongly interchangeable; this corresponds to a method interchangeability prevalence of 14.9% of eligible sites (407 of 2,734) and 7.8% of replayed routes (646 of 8,291). A targeted CSRF token-replay check over the interchangeable candidates finds cases where an invalid token is rejected for POST but accepted for the equivalent GET, exposing a method-scoped gap in token-validation defences; and a follow-up WCD analysis observes cache-deception conditions and cacheable GET responses for interchangeable request instances. These results provide an empirical basis for discussing the security implications of MI at web scale.*** La spécification HTTP définit des sémantiques distinctes pour les méthodes sûres et idempotentes d’une part, et pour les méthodes non sûres modifiant l’état d’autre part ; pourtant, une fraction substantielle des applications web modernes acceptent une même opération via plusieurs méthodes sur la même route. Ce phénomène, désigné par MI dans ce travail, élargit la surface d’attaque des applications déployées. Pour le CSRF, elle permet l’acheminement, par une autre méthode, de charges utiles que les défenses de validation de jeton supposent liées à POST : lorsque la même opération est aussi acceptée via GET, ces défenses peuvent être contournées, car elles reposent sur des sémantiques de méthode que la couche applicative ne fait pas respecter. Indépendamment, elle peut fournir la variante GET mise en cache qu’une attaque WCD requiert. La prévalence de MI dans les déploiements en production n’a, à ce jour, pas été mesurée à grande échelle. Cette thèse présente Method-Interchangeability Detection Engine (MIDE), une méthodologie de mesure automatisée qui parcourt les applications web dans un navigateur, enregistre les requêtes POST générées par les chargements de pages et les interactions d’interface, convertit les corps POST pris en charge en candidats GET, et compare les réponses rejouées à la réponse POST originale. Pour éviter de compter comme interchangeables des réponses génériques ou indépendantes des paramètres, MIDE envoie également une requête GET de référence sans paramètres (no-query baseline) vers le même point d’accès, et classe chaque requête dans l’une de quatre classes selon que le GET converti et le GET de référence reproduisent la réponse POST : interchangeabilité forte (le GET converti correspond, mais pas la référence), ambiguë (les deux correspondent), collision de référence (seule la référence correspond) et non interchangeable (aucun ne correspond). L’approche est implémentée sous la forme d’un pipeline reproductible de capture et de rejeu, appliqué au top 10k de Tranco. Sur 14,244 requêtes POST de première partie rejouées, 1,228 (8,6%) ont été classées comme fortement interchangeables ; cela correspond à une prévalence de l’interchangeabilité des méthodes de 14,9% des sites éligibles (407 sur 2,734) et de 7,8% des routes rejouées (646 sur 8,291). Une vérification ciblée de rejeu de jeton CSRF sur les candidats interchangeables relève des cas où un jeton invalide est rejeté pour POST mais accepté pour le GET équivalent, révélant une faille liée à la méthode dans les défenses de validation de jeton ; et une analyse WCD de suivi observe des conditions de tromperie de cache ainsi que des réponses GET mises en cache pour des instances de requêtes interchangeables. Ces résultats fournissent une base empirique pour discuter des implications de sécurité de MI à l’échelle du web.
Federated Graph Neural Network for DDoS Detection in IoT Network
(2026)
FELLAHI, AChref GHanem
The rapid expansion of Internet of Things (IoT) networks across critical infrastructure domains has created vast, heterogeneous, and distributed ecosystems that are increasingly vulnerable to sophisticated cyberattacks, particularly Distributed Denial of Service (DDoS) campaigns that exploit the scale and connectivity of IoT deployments to overwhelm network resources and disrupt essential services. Traditional Intrusion Detection Systems (IDS), whether centralized or signature-based, are structurally inadequate for IoT environments: they cannot scale to billions of distributed devices, fail to capture the graph-structural signatures of coordinated attacks, and require the centralization of sensitive traffic data that privacy regulations and operational constraints prohibit. This master’s thesis presents a structured bibliographic review of the evolution of intrusion detection systems for IoT networks, systematically surveying and critically analyzing the state of the art from classical signature-based and anomaly-based approaches, through machine learning and deep learning techniques, to the most recent graph neural network and federated learning frameworks. The review is organized along a clear architectural progression: from centralized graph-based IDS methods that leverage topological features such as centrality measures to enrich detection models, to privacy-preserving federated architectures that distribute model training across heterogeneous IoT clients without sharing raw traffic data. In addition to the bibliographic contribution, this thesis includes a reproduction and adaptation of a federated graph neural network framework for DDoS detection in IoT networks, serving as a practical validation of the concepts identified through the literature review. This work establishes a comprehensive analytical foundation for understanding the current landscape and open challenges of IDS in IoT, and identifies promising research directions at the intersection of graph-structural learning, federated privacy preservation, and real-time deployment in resource-constrained environments*** L’expansion rapide des réseaux de l’Internet des Objets (IoT) dans les domaines des infrastructures critiques a engendré des écosystèmes vastes, hétérogènes et distribués, de plus en plus exposés à des cyberattaques sophistiquées, notamment les attaques par Déni de Service Distribué (DDoS) qui exploitent l’échelle et la connectivité des déploiements IoT pour saturer les ressources réseau et perturber les services essentiels. Les Systèmes de Détection d’Intrusion (IDS) traditionnels, qu’ils soient centralisés ou basés sur des signatures, s’avèrent structurellement inadaptés aux environnements IoT : ils ne peuvent pas s’étendre à des milliards d’appareils distribués, échouent à capturer les signatures structurelles en graphe des attaques coordonnées, et imposent la centralisation de données de trafic sensibles que les réglementations sur la vie privée et les contraintes opérationnelles interdisent. Ce mémoire de master présente une revue bibliographique structurée de l’évolution des systèmes de détection d’intrusion pour les réseaux IoT, en analysant de manière systématique et critique l’état de l’art, depuis les approches classiques basées sur les signatures et les anomalies, en passant par les techniques d’apprentissage automatique et d’apprentissage profond, jusqu’aux cadres les plus récents fondés sur les réseaux de neurones en graphe et l’apprentissage fédéré. La revue est organisée selon une progression architecturale claire : des méthodes IDS centralisées basées sur les graphes, qui exploitent des caractéristiques topologiques telles que les mesures de centralité pour enrichir les modèles de détection, vers des architectures fédérées préservant la confidentialité, qui distribuent l’entraînement des modèles entre des clients IoT hétérogènes sans partage des données de trafic brutes. En complément de la contribution bibliographique, ce mémoire inclut une reproduction et une adaptation d’un cadre de réseau de neurones en graphe fédéré pour la détection des attaques DDoS dans les réseaux IoT, constituant une validation pratique des concepts identifiés lors de la revue de littérature. Ce travail établit une base analytique exhaustive pour comprendre le paysage actuel et les défis ouverts des IDS dans l’IoT, et identifie des pistes de recherche prometteuses à l’intersection de l’apprentissage structurel en graphe, de la préservation de la confidentialité par fédération, et du déploiement en temps réel dans des environnements à ressources limitées.
Red Teaming Large Language Models: A Study Of Jailbreaks, Prompt Injection and Data Leakage
(2026)
AOMAR, MOhamed ABdelillah
Large Language Models (LLMs) are now used in search engines, chat assistants, coding tools, document analysis systems, and autonomous agents. Their use creates new security and safety problems because natural language becomes both the input data and the instruction channel. An attacker can try to bypass safety rules, override system instructions, or extract hidden information from the model context. These risks are usually studied through jailbreak attacks, prompt injection, adversarial prompting, and data leakage. This thesis presents a theoretical study of red teaming for LLMs. It does not implement a complete practical framework. The goal is to review existing research, explain the main attack techniques, compare their assumptions, and discuss the limits of current evaluation methods. The study focuses on techniques such as Greedy Coordinate Gradient (GCG), Prompt Automatic Iterative Refinement (PAIR), AutoDAN, PromptInject, indirect prompt injection, JailbreakBench, and recent reinforcement learning based approaches such as PISmith. The thesis shows that LLM red teaming evolved from manual prompt attacks to automated and optimization-based methods. White-box attacks such as GCG can produce strong adversarial suffixes, but they require model access that is not always available. Black-box methods such as PAIR are more realistic for commercial APIs, but they depend on query budgets and judge quality. Prompt injection attacks create a separate risk because they tar-get the boundary between trusted instructions and untrusted content. Data leakage remains difficult to evaluate because success can be partial and context-dependent. The main finding is that current LLM red teaming still lacks stable evaluation standards. Attack success rates are hard to compare across papers because datasets, judges, threat models, and refusal criteria differ. Future work should focus on reproducible evaluation, clearer threat models, and safer automated testing. The thesis ends by suggesting two possible directions: using PAIR as a lightweight black-box optimization method, and designing a smaller adaptation of PISmith for prompt injection testing.
Security Testing Framework for Large Language Models (LLMs)
(2026)
AOMAR, MOhamed ABdelillah
Large Language Models are now embedded in assistants, coding tools, document analysis systems, and retrieval-based applications. Their adoption has been fast. Their security assessment has not kept the same pace. Most deployments still rely on ad hoc evaluations, scattered jailbreak trials, or provider-side safeguards that are difficult to audit from outside the service boundary. This thesis studies the security of LLM-based systems through the design of a practical testing framework for prompt-driven attacks. The work is not limited to one technique. It examines the technical foundations of LLMs, their deployment patterns, and the attack surfaces introduced by system prompts, retrieval pipelines, external tools, and API-based integration. It then reviews the main threat classes discussed in recent literature, including prompt injection, jailbreak attacks, data leakage, inference attacks, adversarial inputs, denialof- service through prompt abuse, and supply-chain weaknesses. Existing defensive measures are also analyzed, such as input Ąltering, output moderation, alignment methods, prompt hardening, and least-privilege design. The practical contribution of the project is a modular security testing workĆow that supports multiple attack paths. PAIR is implemented as an iterative jailbreak engine that reĄnes adversarial prompts across multiple queries. PISmith is integrated as a prompt-injection component for generating injection payloads through a dedicated model interface. The framework also includes data leakage checks based on system prompt exposure, canary-token detection, and structured evaluator output. This broader design allows jailbreak behavior, prompt injection, and leakage-oriented failures to be tested within the same campaign and persistence model. The study deĄnes evaluation criteria suitable for repeatable testing, including attack success rate, refusal rate, classiĄcation error, robustness, severity scoring, and similaritybased assessment when outputs cannot be judged through a strict binary rule. The outcome is not a Ąnal defense, but a structured method for testing LLM security in a repeatable and comparable way. Applying it across different models, prompts, and attack modules makes it possible to identify where safeguards hold, where they fail, and which parts of the testing workĆow require further improvement.
Towards a Hybrid Multi-Agent System for Autonomous Penetration Testing: A State-of-the-Art Survey
(2026)
HADDAD, Ilyes