Porte dérobée dans les serveurs d'applications JavaEE

Lors de notre présentation au SSTIC en juin, nous avons démontré qu'il était possible d'injecter une porte dérobée à une application JavaEE, par la simple présence d'une archive JAR. Nous avons baptisé ces attaques « Macaron ». Une démonstration est disponible en ligne, sur le site du projet : http://macaron.googlecode.com.Le numéro 45 de MISC décrit les techniques d'attaques utilisées. Cet article décrit les outils proposés pour apporter des solutions contre ces menaces. Pour résumer, il existe différentes techniques de pièges, permettant d'exécuter du code sans que l'application ne le demande explicitement. Une fois un piège déclenché, il existe plusieurs approches pour s'injecter dans le flux de traitement de chaque requête HTTP. Il est alors possible d'analyser chaque requête HTTP pour identifier une valeur particulière dans la valeur d'un paramètre. Cela permet d'ouvrir la porte dérobée et donne accès au serveur. La démonstration propose différents agents, dont un agent permettant d'exécuter un shell sur le serveur, contrôlé par le navigateur. La communication entre le navigateur et la porte dérobée est quasi indiscernable d'un flux légitime de l'application.