Les failles
de
sécurité Web
Sommaire :
– Définition
– Faille XSS
– ClickJacking
– Faille CSRF
– Injection SQL
Qu'est-ce qu'une faille ?
Dans le domaine de la sécurité informatique, une vulnérabilité ou faille
est une faiblesse dans un système informatique permettant à un
attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à
son fonctionnement normal, à la confidentialité ou à l'intégrité des
données qu'il contient.
0.1
La faille XSS
Le cross-site scripting (abrégé XSS) est un type de faille de sécurité
des sites web permettant d'injecter du contenu dans une page,
provoquant ainsi des actions sur les navigateurs web visitant la page.
Les possibilités des XSS sont très larges puisque l'attaquant peut utiliser
tous les langages pris en charge par le navigateur (JavaScript, Java...)
et de nouvelles possibilités sont régulièrement découvertes notamment
avec l'arrivée de nouvelles technologies comme HTML5. Il est par
exemple possible de rediriger vers un autre site pour de l' hameçonnage
ou encore de voler la session en récupérant les .cookies
Le cross-site scripting est abrégé XSS pour ne pas être confondu avec
le CSS (feuilles de style), X se lisant «cross» (croix) en anglais.
Exemple :
La détection de la présence d'une faille XSS peut se faire par exemple
en entrant un script Javascript dans un champ de formulaire ou dans
une URL :
<script>alert('bonjour')</script>
Si une boîte de dialogue apparaît, on peut en conclure que l'application Web est sensible aux attaques
de type XSS.
Plus d'information : [Link]
Vidéo : [Link]
BIENTOT . . .
Le ClickJacking
Le clickjacking est une technique malveillante visant à pousser un
internaute à fournir des informations confidentielles ou à prendre le
contrôle de son ordinateur en le poussant à cliquer sur des pages
apparemment sûres.
Plus d'information : [Link]
Vidéo : [Link]
Injection SQL
La faille SQLi, abréviation de SQL Injection, soit injection SQL en français, est un groupe de méthodes
d'exploitation de faille de sécurité d'une application interagissant avec une base de données . Elle
permet d'injecter dans la requête SQL en cours un morceau de requête non prévu par le système et
pouvant en compromettre la sécurité.
Plus d'information : [Link]
Vidéo : [Link]
La faille CSRF
CSRF : Cross-Site Request Forgery
Ce type d'attaque consiste simplement à faire exécuter à une victime
une requête HTTP à son insu. Le but est de faire aller notre victime sur
une page pour qu'il exécute les actions de la page, avec ses privilèges
(généralement plus élevés que les nôtres).
Plus d'information : [Link]
Vidéo : [Link]
BIENTOT . . .