Au-delà du XSS

Magazine
Marque
MISC
HS n°
Numéro
4
Mois de parution
octobre 2011
Auteurs
Par
Bidou Renaud
hb
Spécialité(s)
Exploit
Sécurité réseau
Tag(s)
XSS
botnet
Navigateur
Protocole


Résumé

Le Cross-Site Scripting peut être utilisé à d'autres fins que le vol de cookies. Revoyons rapidement les bases de cette attaque, qui n'est pas toute jeune, et construisons ensemble les bases d'un botnet XSS.


1. Cross-Site Scripting

1.1. XSS ?

Le principe du Cross-Site Scripting est assez compliqué à décrire si l’on se tient à cette dénomination somme toute erronée. Utilisons en revanche un terme plus générique et plus juste à la fois : injection JavaScript. Les caractéristiques de l’attaque deviennent évidentes et le cas particulier du XSS saute aux yeux. Il s’agit donc d’attaques visant à faire exécuter du code JavaScript sur le navigateur du poste client.

1.2. Vecteur et volatilité

Le vecteur de ce type d’attaque est une application web présentant une vulnérabilité dont la conséquence est le renvoi d’un code JavaScript tiers dans la page servie au client. Ainsi, une injection HTML peut être utilisée pour « injecter » également du JavaScript et par conséquent servir de vecteur à ce type d’attaque.

Les injections JavaScript peuvent être classées en deux catégories en fonction de la nature de l’injection.

- Les injections...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
S'abonner à Connect
  • Accédez à tous les contenus de Connect en illimité
  • Découvrez des listes de lecture et des contenus Premium
  • Consultez les nouveaux articles en avant-première
Je m'abonne


Article rédigé par

Bidou Renaud
Bidou Renaud
21 articles
hb
hb
7 articles

Par le(s) même(s) auteur(s)

Les Dénis de Service

Magazine
Marque
MISC
n°
Numéro
72
Mois de parution
mars 2014
Auteurs
Par
Bidou Renaud
Spécialité(s)
Sécurité réseau
Résumé

Les DoS, distribués ou non sont vieux comme Internet. Déjà Morris paralysait le réseau dans les années 80 et ce qui est longtemps apparu comme une légende est (enfin) considéré comme une menace réelle. Cet article ne traitera donc pas d'innovation, mais offre une vue globale sur les techniques utilisées pour « interrompre de manière temporaire ou permanente tout ou partie d'un service ».

Ajouter à une liste de lecture

Les Firewalls

Magazine
Marque
MISC
n°
Numéro
64
Mois de parution
novembre 2012
Auteurs
Par
Bidou Renaud
Spécialité(s)
Sécurité réseau
Résumé

Historiquement, les firewalls ont été les premiers éléments d'infrastructure de sécurité déployés de manière « normalisée ». C'était il y a un peu plus de 15 ans. Historique, nouvelles technologies, fausses bonnes idées et état de l'art, retour sur un dinosaure qui n'est pas près de s'éteindre.

Ajouter à une liste de lecture
Plus d'article de cet auteur

Les derniers articles Premiums

Les derniers articles Premium

Le combo gagnant de la virtualisation : QEMU et KVM

Le combo gagnant de la virtualisation : QEMU et KVM

Magazine
Marque
Contenu Premium
Auteurs
Par
Samhi Jordan
Spécialité(s)
Système
Résumé

C’est un fait : la virtualisation est partout ! Que ce soit pour la flexibilité des systèmes ou bien leur sécurité, l’adoption de la virtualisation augmente dans toutes les organisations depuis des années. Dans cet article, nous allons nous focaliser sur deux technologies : QEMU et KVM. En combinant les deux, il est possible de créer des environnements de virtualisation très robustes.

Ajouter à une liste de lecture
Brève introduction pratique à ZFS

Brève introduction pratique à ZFS

Magazine
Marque
Contenu Premium
Auteurs
Par
Samhi Jordan
Spécialité(s)
Système
Résumé

Il est grand temps de passer à un système de fichiers plus robuste et performant : ZFS. Avec ses fonctionnalités avancées, il assure une intégrité des données inégalée et simplifie la gestion des volumes de stockage. Il permet aussi de faire des snapshots, des clones, et de la déduplication, il est donc la solution idéale pour les environnements de stockage critiques. Découvrons ensemble pourquoi ZFS est LE choix incontournable pour l'avenir du stockage de données.

Ajouter à une liste de lecture
Générez votre serveur JEE sur-mesure avec Wildfly Glow

Générez votre serveur JEE sur-mesure avec Wildfly Glow

Magazine
Marque
Contenu Premium
Auteurs
Par
Pelisse Romain
Spécialité(s)
Système
Résumé

Et, si, en une ligne de commandes, on pouvait reconstruire son serveur JEE pour qu’il soit configuré, sur mesure, pour les besoins des applications qu’il embarque ? Et si on pouvait aller encore plus loin, en distribuant l’ensemble, assemblé sous la forme d’un jar exécutable ? Et si on pouvait même déployer le tout, automatiquement, sur OpenShift ? Grâce à Wildfly Glow [1], c’est possible ! Tout du moins, pour le serveur JEE open source Wildfly [2]. Démonstration dans cet article.

Ajouter à une liste de lecture
Utilisation avancée de SQLPage
Voir les 43 articles premium

Les listes de lecture

Sécurité Windows : Active Directory
11 article(s) - ajoutée le 01/07/2020
Sécurité réseau
Clé de voûte d'une infrastructure Windows, Active Directory est l'une des cibles les plus appréciées des attaquants. Les articles regroupés dans cette liste vous permettront de découvrir l'état de la menace, les attaques et, bien sûr, les contre-mesures.
Sécurité des mobiles
8 article(s) - ajoutée le 13/10/2020
Mobilité Sécurité système
Découvrez les méthodologies d'analyse de la sécurité des terminaux mobiles au travers d'exemples concrets sur Android et iOS.
Cryptographie appliquée
10 article(s) - ajoutée le 13/10/2020
Crypto
Vous retrouverez ici un ensemble d'articles sur les usages contemporains de la cryptographie (whitebox, courbes elliptiques, embarqué, post-quantique), qu'il s'agisse de rechercher des vulnérabilités ou simplement comprendre les fondamentaux du domaine.
Voir les 67 listes de lecture

Abonnez-vous maintenant

et profitez de tous les contenus en illimité

Je découvre les offres

Déjà abonné ? Connectez-vous