TDM-2 Sécurité des systèmes d'information
Exemples de faille de sécurité
(Master Miage 2 NTDP – Année 2011-2012)
L’objectif de cette séance de travaux pratiques est de mettre en évidence à l'aide d'exemples volontairement très simples certaines failles de sécurité dans les domaines de la messagerie et des interfaces web.
1 . Fausse adresse de courriel
V
ous allez envoyer un courriel à un de vos voisin en utilisant une fausse adresse de courriel.Ceci est un exercice effectué dans le cadre de travaux pratiques pour mettre en évidence les faiblesses du protocole SMTP (Simple Mail Transport Protocol). Ce procédé frauduleux peut permettre de se cacher derrière une adresses inexistante ou pire de se faire passer pour quelqu'un d'autre Il est utilisé par certains pirates et certains spammers. Le cas d'usurpation d'identité est un délit pouvant être sanctionné par 5 ans d'emprisonnement et 75000 euros d'amende (cf article 434-23 du code pénal sur l'usurpation d'état civil). Vous ne devez donc pas l'utiliser même pour plaisanter en dehors du cadre de ce TP.
1.1 Procédure à suivre
● En utilisant telnet connectez-vous au port 25 du serveur de mail sortant de l'université: smtp.unice fr
● Présentez-vous au serveur avec la commande : helo <domaine>
● Indiquez qui est l'émetteur du courriel avec la commande:
mail from : <adresse de l'émetteur> ici mettre la fausse adresse
● Indiquez qui est le destinataire du courriel avec la commande:
rcpt to : <nom du destinataire> ici mettre l'adresse mail de votre voisin
● Écrivez le contenu du message avec : data
● Quittez : quit
1.2 Analyse du courriel reçu
Récupérez dans votre logiciel de messagerie le courriel frauduleux que vous a adressé votre voisin.
Que constatez-vous ?
Modifier l'affichage pour faire apparaître les détails de l'en-tête de ce message.
Pouvez-vous identifiez la supercherie ?
Jean-Pierre Lips Année 2011-2012
2. Injection SQL
Vous allez vous connecter sans en avoir l'autorisation à un site écrit en PHP dont l'accès à la partie administration est réservée à certains utilisateurs. Les informations (en particulier logon et mot de passe) concernant ces utilisateurs sont enregistrées dans une data base MySQL.
2.1 Procédure
Vous allez vous connecter à la page d'entrée sur le site : http://eduinfo02.unice.fr/admin.php
2.1.1 Récupération d'informations
Entrez dans les champs du formulaires des informations erronées (avec des caractères spéciaux par exemple) de façon à provoquer une erreur de la requête SQL.
Comme le site est mal protégé, la requête SQL en erreur est affichée. Quelles informations pouvez-vous en déduire ?
2.1.2 Accès à la page protégée
● Entrez dans les champs du formulaires un nom et un mot de passe qui vont provoquer la validation de la requête SQL que vous avez identifiée à la question précédente de façon à accéder au site.
● On suppose que vous connaissez le logon jpl d'une personne autorisée à accéder au site (mais pas son mot de passe). Entrez cette fois une valeur uniquement dans le champ login de façon à accéder au site (quel que soit le contenu du champ mot de passe) La fin de la requête devra être transformée en
commentaire.
● En utilisant le mot clé fonction LIKE essayer de trouver le mot de passe de l'utilisateur JPL.
(On commencera par déterminer la longueur du mot de passe en utilisant la fonction LENGTH).
2.2 Parades
La faille de sécurité utilisée dans les questions précédentes n'a été rendue possible que parce qu'une option indiquée au niveau du fichier d'initialisation de PHP (php.ini) avait été désactivée. Quelle est cette option ? A quoi sert-elle ?
Malgré tout il aurait été possible au niveau du code PHP de prévenir cette faille. De quelle manière ?
3. Cross Site Scripting (XSS)
Nous allons voir maintenant un exemple trivial mettant en évidence le principe du cross site scripting qui consiste à injecter du HTML ou différents scripts au niveau des zones de saisie d'un formulaire. Cette example est tiré de la page de wikipedia consacré à XSS:
Il consiste dans le cas de notre page web à injecter le code javascript suivant au niveau du formulaire de saisie du logon :
<script>alert('bonjour')</script>
Que constatez-vous ?
Comment peut-on se protéger de ce type de faille ?
Jean-Pierre Lips Année 2011-2012
