JSF : ViewState dans tous ses états

Magazine
Marque
MISC
Numéro
69
|
Mois de parution
septembre 2013
|
Domaines


Résumé
Les implémentations JSF sont courantes dans les applications J2EE. Les JSF utilisent les ViewState, déjà connus pour les attaques cryptographiques liées à l'utilisation d'un oracle [PADDING] ou pour réaliser des attaques côté client de type Cross-Site Scripting [XSS]. Nous allons voir qu'en réalité, ceux-ci peuvent aussi être utilisés pour mettre à mal la sécurité d'une application côté serveur.

La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

L’authentification par mot de passe unique

Magazine
Marque
Linux Pratique
Numéro
120
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Depuis quelques années, le vol de mot de passe est devenu une industrie. Pour lutter contre le piratage que cela induit, de grands acteurs d’Internet (Google, GitHub…) incitent à utiliser une double authentification : mot de passe classique plus un code temporaire, envoyé par SMS ou généré par une application. Voici comment faire la même chose sur vos machines.

Faites fonctionner plusieurs machines sur un même disque en réseau

Magazine
Marque
Linux Pratique
Numéro
120
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Avoir à répéter la même opération encore et encore demande à avoir les nerfs solides, sinon on abandonne très vite. Comme par exemple préparer les ordinateurs du laboratoire du lycée pour des travaux pratiques. Vous allez découvrir ici une application qui va drastiquement réduire votre temps à la tâche.

Entretien avec Philippe Biondi, figure historique de la scène de la sécurité informatique francophone

Magazine
Marque
MISC
HS n°
Numéro
21
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Philippe Biondi est un expert bien connu du monde de la sécurité informatique, notamment pour la création de l’outil réseau Scapy ainsi que ses divers travaux, comme ceux autour d’Active Directory. Il a accepté de répondre à nos questions afin de revenir sur un parcours de presque 20 ans aujourd’hui dans le secteur de la sécurité des systèmes d’information.

Introduction au dossier : Zero Trust : avenir de la sécurité ou chimère marketing ?

Magazine
Marque
MISC
Numéro
110
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Derrière ce titre modéré, il aurait été trop facile d’être provocateur, se cache une référence que nos lecteurs historiques auront relevée. Il y a plus de dix ans maintenant, au SSTIC 2008, Cédric Blancher donnait une conférence dont le titre était : « Dépérimétrisation : Futur de la sécurité ou pis aller passager ? ». Les constats de l’époque, qui ne doivent pas être loin pour de nombreuses entreprises encore aujourd’hui, sont que les paradigmes de sécurité des réseaux informatiques ont des limites importantes : difficulté à mettre en place du contrôle d’accès ainsi qu’une segmentation et un filtrage réseau efficace.

Sockets, paquets, captures réseau : quelques outils pour les manipuler

Magazine
Marque
MISC
HS n°
Numéro
21
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Qu’il s’agisse d’aller changer un bit dans l’en-tête IP d’un paquet, de faire des statistiques sur une capture réseau, de faire un MITM ou d’aller mettre en écoute un port pour faire un reverse shell pas cher, il convient de s’outiller correctement. Cet article vous présente un tour d’horizon de quelques outils et astuces indispensables pour qui voudrait maîtriser un peu plus ce qui se passe au niveau réseau.

Par le même auteur

CVE-2015-6409 : Downgrade STARTTLS appliqué au client Cisco Jabber

Magazine
Marque
MISC
Numéro
84
|
Mois de parution
mars 2016
|
Domaines
Résumé
La fin de l'année 2015 a été plutôt mouvementée pour Cisco. La société a publié pas moins d'une centaine d'avis de sécurité dans le courant du mois de décembre. Je vous épargne la description de chacun d'entre eux et m'attarderai plus particulièrement sur celui affectant le client Cisco Jabber de la version 9 à la version 11.1. Nous avons signalé la vulnérabilité associée à Cisco le 4 août 2015. Elle a été rendue publique sous l'identifiant CVE-2015-6409 le 24 décembre au soir à 18h30, juste avant l'ouverture du champagne et le début d'un marathon sans fin de toasts de foie gras [1].

Découverte, exploitation et fiabilisation d'une vulnérabilité XXE dans le module Services de Drupal

Magazine
Marque
MISC
Numéro
80
|
Mois de parution
juillet 2015
|
Domaines
Résumé
Il était une fois un consultant en sécurité s'ennuyant tellement lors de son périple pour se rendre à la conférence SSTIC qu'il décida de manière inconsidérée de regarder mille et une lignes de code au sein du module Services du CMS Drupal. Quelle ne fut pas sa surprise de découvrir caché entre deux commentaires, un jeune et innocent chargement de document XML...

JSF : ViewState dans tous ses états

Magazine
Marque
MISC
Numéro
69
|
Mois de parution
septembre 2013
|
Domaines
Résumé
Les implémentations JSF sont courantes dans les applications J2EE. Les JSF utilisent les ViewState, déjà connus pour les attaques cryptographiques liées à l'utilisation d'un oracle [PADDING] ou pour réaliser des attaques côté client de type Cross-Site Scripting [XSS]. Nous allons voir qu'en réalité, ceux-ci peuvent aussi être utilisés pour mettre à mal la sécurité d'une application côté serveur.

Intrusion sur JBoss AS en 2013

Magazine
Marque
MISC
Numéro
67
|
Mois de parution
mai 2013
|
Domaines
Résumé
Il y a 3 ans, je présentais au SSTIC les résultats de mes recherches sur les serveurs JBoss AS. À l'époque, l'intrusion sur ce type de serveur était plutôt simple. Cependant, au cours des trois dernières années, les choses ont évolué : conférences, publications et avis de sécurité en série ont eu raison des failles les plus triviales, rendant l'intrusion sur ces serveurs beaucoup plus complexe. Alors finalement, qu'en est-il en 2013 ? C'est ce que nous allons voir...

Intrusion depuis un environnement Terminal Server avec rdp2tcp

Magazine
Marque
MISC
Numéro
55
|
Mois de parution
mai 2011
|
Domaines
Résumé
« Il était une fois un pentester qui découvrait le mot de passe pour se connecter sur un service Terminal Server lors d'un test d'intrusion. Passé un certain temps, il réussit (ou échoua) à compromettre le système localement avec une élévation de privilèges. Ennuyé, il commença à s'intéresser à la configuration réseau du Terminal Server. Soudain, il constata que ce serveur était connecté à un réseau invisible depuis son ordinateur !Le pentester décida donc d'attaquer le nouveau réseau depuis le Terminal Server. Malheureusement, il se lassa rapidement car il ne disposait pas des outils nécessaires sur le serveur pour attaquer. Aucun moyen de transférer un fichier, pas même un accès à Internet.Sans nouvelle découverte intéressante, le pentester finit par oublier ce serveur... »