Professional Documents
Culture Documents
LICAR
A1
Injection SQL
mysql_real_escape_string()
mysql_real_escape_string() doit toujours tre utilise pour protger vos donnes avant d'envoyer une requte MySQL. mysql_real_escape_string() sert principalement protger les donnes rcupres depuis un formulaire avant de les entrer dans la BDD et donc d'viter les attaques par injection MYSQL. Si magic_quotes_gpc est active, appliquez d'abord la fonction stripslashes() vos donnes. Utiliser cette fonction sur des donnes qui ont dj t protges, les protgera une deuxime fois.
Exercice
Crer une fonction PHP permettant de scuris vos formulaires contre les attaque de type Injection SQL. Vous devez traiter le cas o le magic_quotes_gpc est active ou non.
Correction
A2
Regroupe les vulnrabilits permettant un attaquant de sapproprier lidentit dun utilisateur. Objectifs :
- Accder des fonctionnalits rserves certaines personnes. - Accder des donnes confidentielles.
Parades :
- Gnrer une nouvelle session priodiquement. - Empcher le dtournement de Session avec jeton stock. - Fermeture automatique dune session aprs une priode d'inactivit.
9
A2
Vol de session
10
Exercice
Crer une fonction permettant de gnrer une nouvelle session priodiquement. Crer une fonction permettant dempcher le dtournement de session avec le mcanisme dun jeton stock. Crer une fonction permettant de fermer automatiquement une session aprs une priode d'inactivit.
11
Correction
12
A3
Attaque par injection, consistant insrer du code au sein dune application rpute fiable, pour quil sexcute sur le poste client.
Objectifs :
- Dfiguration / blocage de site. - Redirection dutilisateurs vers un autre site. - Vol de session.
Parades :
- Vrifier les donnes en entre. - Retraiter les donnes issues de la base de donnes avant de les afficher.
14
A3
15
Exercice
Crer une fonction permettant dvitez les failles XSS sur votre site.
16
Correction
17
A4
Faille permettant un attaquant daccder directement des objets (fichiers, rpertoires, enregistrements de base de donnes) sans autorisation.
Objectifs :
- Accder des informations confidentielles. - Prendre le contrle dun serveur.
Parades :
- Vrifier les accs chaque ressources. - Remplacer par une valeur temporaire alatoire les rfrences directes aux objets (ID, noms de fichiers).
19
A4
20
A5
Cette faille regroupe toutes les vulnrabilits lies des problmes de configuration, sur tous les lments de la couche applicative (serveurs, langage, framework, composants).
Objectifs :
- Accder des informations confidentielles. - Prendre le contrle dun serveur.
Parades :
- Ne pas attribuer aux composants plus de droits que ncessaire. - Etudier rigoureusement la configuration.
22
A5
23
Apache - fichier .htaccess Les principales raisons d'utilisation des fichiers .htaccess sont :
Grer l'accs certains fichiers. Ajouter un mime-type. Protger l'accs un rpertoire par un mot de passe. Protger l'accs un fichier par un mot de passe. Dfinir des pages d'erreurs personnalises.
24
25
27
Configuration de php.ini
safe_mode=On
Option de PHP qui permet de scuriser le systme , afin d'viter les interactions entre PHP et le systme. En cas d'activation , PHP n'autorisera pas les excutions de programmes externe , ou l'accs des fichiers d'autres utilisateurs.
display_errors = Off
Cette directive dtermine si les erreurs doivent tre affiches l'cran ou non.
log_errors = On
activer le log des erreurs.
register_globals = Off
dsactiver les variables globales.
28
Configuration de php.ini
magic_quotes_gpc = Off
Paramtre qui filtre les paramtres HTTP GET et POST et ajoute des / devant les apostrophes guillemets et caractre null.
disable_functions=exec,passthru,shell_exec,system,proc_open,po pen,curl_exec,curl_multi_exec,parse_ini_file,show_source
dsactiver les fonctions dangereux.
allow_url_fopen = Off
file_uploads = Off
dsactiver l'upload de fichiers via HTTP
29
?>
30
Configuration de php.ini
Remarque:
si la configuration est tablie plusieurs applications gnrent des erreurs comme Joomla, PHPBB, PHPNUKE, Drupal, WORDPRESS etcessayer de faire modifier les applications et pas l'inverse.
31
Configuration de php.ini
Vrification de la configuration
Security Information: PhpSecInfo
32
A6
Cette faille regroupe toutes les vulnrabilits lies la protection des donnes sensibles Objectifs :
- Accder des donnes confidentielles. - Usurpation didentit.
Parades :
Utiliser des algorithmes de chiffrement forts. Ne pas stocker dinformations inutiles. Utiliser le protocole TLS sur toute la chaine. Les cls de dcryptage doivent tre stockes sparment des donnes.
34
A6
35
A7
Cette faille permet un attaquant daccder des pages ou fonctions dune application Web sans y avoir droit. Objectifs :
- Excuter des fonctionnalits sans en avoir les droits. - Accder des donnes confidentielles.
Parades :
- Vrifier les droits daccs sur chaque page de linterface et avant dexcuter chaque fonctions (logique mtier). - Par dfaut, refuser les accs.
37
A7
38