Faille XSS / CSRF
76
0
0
Texte intégral
(2) Cours disponible ici : https://xsslearner.herokuapp.com/slides#/.
(3) XSS.
(4) Cross-Site Scripting.
(5) Cross-Site Scripting CSS.
(6) Cross-Site Scripting Faille CSS ?.
(7) Cross-Site Scripting Faille CSS ? =>.
(8) Théorie.
(9) XSS Sites web.
(10) XSS Sites web 7/10 sur OWASP.
(11) XSS Sites web 7/10 sur OWASP 2005.
(12) Comment ça marche ?.
(13) Le principe Injecter un script dans un site web dans le but qu'il soit éxécuté côté client.
(14) Exemple.
(15)
(16)
(17)
(18)
(19)
(20)
(21)
(22)
(23) Exemple Source medium.com.
(24)
(25)
(26) Les applications.
(27) Redirection.
(28) Redirection hameçonnage.
(29) Vol d'informations.
(30) Vol d'informations Sessions et les Cookies.
(31) Vol d'informations Sessions et les Cookies KeyLogger en JS.
(32) Rendre indisponible le service.
(33) Rendre indisponible le service Boucle in nie d'alertes.
(34) Rendre indisponible le service Boucle in nie d'alertes Refresh de la page.
(35) Code XSS connu source : https://apcpedagogie.com/les-injectionshtml-xss/.
(36) Code XSS connu.
(37) Code XSS connu.
(38) Se protéger face au XSS (Au niveau du code).
(39) Se protéger face au XSS (Au niveau du code) Changer les "<" en "<<".
(40) Se protéger face au XSS (Au niveau du code) Changer les "<" en "<<" Supprimer les balises "<script>".
(41) Se protéger face au XSS (Au niveau du code) Changer les "<" en "<<" Supprimer les balises "<script>" Sécuriser les entrées de l'application Faire des audits de sécurité.
(42) Contourner les protections.
(43) Changer les "<" en "<<" Il est possible de representer les chevrons par leurs versions encodés <script>alert(document.cookie)</script>.
(44) Changer les "<" en "<<" Il est possible de representer les chevrons par leurs versions encodés <script>alert(document.cookie)</script> = %3cscript%3ealert(document.cookie)%3c/script%3e.
(45) Supprimer les balises " <script>" <script>alert(document.cookie)</script> => alert(document.cookie).
(46) Supprimer les balises " <script>" <script>alert(document.cookie)</script> => alert(document.cookie) Il su t d'imbriquer les balises <script>.
(47) Supprimer les balises " <script>" <script>alert(document.cookie)</script> => alert(document.cookie) Il su t d'imbriquer les balises <script> <sc<script>ript>alert(document.cookie) </sc</script>ript> => <script>alert(document.cookie)</script>.
(48) Supprimer les balises " <script>" (2) <script>alert(document.cookie)</script> => alert(document.cookie).
(49) Supprimer les balises " <script>" (2) <script>alert(document.cookie)</script> => alert(document.cookie) on peut essayer avec des des majuscules.
(50) Supprimer les balises " <script>" (2) <script>alert(document.cookie)</script> => alert(document.cookie) on peut essayer avec des des majuscules <sCript>alert(document.cookie)</sCRIpt> => <sCript>alert(document.cookie)</sCRIpt>.
(51) Supprimer les balises " <script>" (3) Ne pas passer par une balise <script> <img src='zzz.jpg' onerror= alert('xss') ></img>.
(52) Une video qui résume bien Tout SAVOIR sur la faille XSS - La faille la plus EXPLOITÉE par les PIRATES ! [Sécurité Web].
(53) CSRF.
(54) Cross-Site Request Forgery.
(55) Cross-Site Request Forgery Aussi appelée sea surf.
(56) Idée.
(57) Idée Exécuter une/des action(s) à l’insu de l’utilisateur.
(58) Idée Exécuter une/des action(s) à l’insu de l’utilisateur Cela peut se faire au travers d'une image ou d'un site qui soumet un formulaire.
(59) CSRF.
(60) CSRF Top 7/10 sur OWASP 2010 => 2013.
(61) CSRF Top 7/10 sur OWASP 2010 => 2013 Attention tout de même.
(62) Exemple 1 Attaque CSRF avec éxécution de formulaire.
(63) <form action="http://example.com/account/remove" method="POST" id="form-doing-bad-things"> <input type="hidden" name="account" value="X"/> </form> <script> document.getElementById("form-doing-bad-things").submit(); </script>.
(64) Solutions Content-Type Header Accept Header.
(65) fetch(url, { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(data) });.
(66) Solutions CORS : Access-Control-Allow-Origin CORS : Access-Control-Allow-Header.
(67) Exemple 2 Attaque CSRF avec chargement d'image.
(68) <img src="http://example.com/account/remove?account=X">.
(69) Solutions Desactiver le load automatique du HTML Mettre des guards sur les actions sensibles de l'application.
(70) CSRF Token.
(71) CSRF Token Généré aléatoirement.
(72) CSRF Token Généré aléatoirement Sécurise les requêtes ex : ?id=27&token=45421587d1s548s.
(73) CSRF Token Généré aléatoirement Sécurise les requêtes ex : ?id=27&token=45421587d1s548s L'attaquant ne peut donc jamais le connaître.
(74) Plus de références : OWASP CSRF page Cross Origin Request Policy from the web bible.
(75) Une video qui résume bien Sécurité Web : Faille CSRF et image piégée.
(76) Merci pour votre attention ! Des questions ?. via GIPHY.
(77)
Documents relatifs
3- Ne cessant d’améliorer notre commande, nous avons constaté qu’un phénomène d’oscillation de l’eau autour d’un niveau provoque de nombreux démarrage et arrêt
GUI doit permettre de spécifier le nom du fichier de données à analyser dans une zone éditable, puis la lecture et le tracé de la réponse indicielle se feront en réponse à un
Ils sont ensuite émis sans vitesse par la source S, puis accélérés par un champ électrostatique uniforme qui règne entre S et P tel que.. U sp
marge brute – remise – prix d’achat net – prix de vente hors taxe – coût d’achat prix de vente toute taxe comprise – prix d’achat net – frais d’achat – prix
En traction, torsion ou flexion il est possible de résoudre un système qui est hyperstatique et d’en déterminer sa déformation, ou la contrainte. Pour cela la même méthode pour
Le soumissionnaire remet, comme pièce constitutive de son offre, un document par lequel il marque son engagement à mettre en œuvre
Pour répondre à ce type de besoin, nous avons développé un système qui permet à l'étudiant de simuler l'exécution de son programme Prolog, mais qui lui offre aussi
Les réactifs sont les ions Ag + et le cuivre métallique car les courbes correspondantes ont un coefficient directeur négatif.. Les produits sont le métal Ag et les ions Cu 2+ car
