Punkspider, ça décoiffe…

En lisant le document de l'OWASP intitulé OWASP Testing Guide 4.0 (https://www.owasp.org/index.php/OWASP_Testing_Guide_v4_Table_of_Contents), dans la catégorie "Information Gathering" j'ai eu la surprise de découvrir PunkSpider.
Si vous installez le plug-in dans votre browser Firefox ou Chrome, PunkSpider vous permet de savoir en temps-réel si des vulnérabilités sont présentes.
Dans l’exemple ci-dessous on voit en haut à droite une croix rouge (dans le plug-in de Punkspider) qui indique la présence de vulnérabilités. C'est plutôt bien fait!

Par contre si vous utilisez PunkSpider pour tester vos propres sites et que ces sites sont vulnérables alors il y a une forte chance que ces sites se retrouvent dans la “Blacklist” de PunkSpider (cette liste, qui énumère tous les sites vulnérables est téléchargeable sur le site de Punkspider).

Et dans ce cas votre site devient visible pour tous les script-kiddies du monde! A bon entendeur!
Par contre, encore une fois, cet outil peut être utilisé avantageusement pour la sensibilisation à la sécurité des applications web!

Vous expliquez le XSS et hop vous montrez l’existence de failles en "live" sur des sites existants, comme sur le site ci-dessous !

Attention restez dans la légalité! Gaffe aux dérives!

Damn Vulnerable Web App…

Au cours de mes ballades dans le web profond, ma route a croisé une vielle VM qui semblait avoir eu un certain succès en son temps! C’était bien avant l’arrivée de Backtrack, enfin je crois!

Cette vielle VM c’est celle de Web Security Dojo de chez Maven Security (http://www.mavensecurity.com/web_security_dojo/)! Et j’ai découvert quelques applications intéressantes que je ne connaissais pas comme par exemple Google’s Gruyere, Hacme Casino et Damn Vulnerable Web App.

A l’instar de Webgoat, ces applications permettent d’apprendre en trouvant et corrigeant les failles de sécurité parsemées çà et là au travers de ces applications web.

Nous allons nous intéresser plus particulièrement à Damn Vulnerable Web App (DVWA) au travers de l’injection SQL à l’aveugle proposée (Blind SQL Injection ou Blind SQLi).

Certains puristes disent qu’une “Blind SQL Injection” se base uniquement sur le temps de traitement de la requête qui indique une réponse positive (e.g. le traitement est plus long) ou négative. Mais certains parlent aussi de “Blind SQLi” lorsque l’affichage change en fonction des résultats. Avec DVWA nous sommes dans ce deuxième cas de figure.

La vidéo ci-dessous détaille la démarche que l’on peut suivre pour ce type d’injection:



C’est fini! Mais nous devrions retrouver les applications de Web Security Dojo dans de prochains articles!

Quelques statistiques pour mieux comprendre le contexte de la sécurité !

Vous trouverez ci-dessous quelques statistiques qui donnent un éclairage édifiant sur des failles que l'on considère souvent à tort comme obsolètes.


Dans le graphe ci-dessous on observe la part des vulnérabilités qui affectent les applications web comparé au volume globale des vulnérabilités. On constate que la part prise par les vulnérabilités des applications web est en augmentation.





Parmi ces vulnérabilités des applications web on trouve l'injection SQL dont le but est d'injecter un contenu malicieux dans le site web pour attaquer les visiteurs.

On trouve également le XSS parmi ces vulnérabilités. Le nombre de vulnérabilités de type XSS reporté en 2008 est de 12.885 (en 2007 on avait reporté 17.697 vulnérabilités). La raison de cette baisse est que de nombreuses vulnérabilités de type XSS ont été corrigées en 2007. Malgré tout les failles XSS reste une des préoccupations majeures des administrateurs de site web.





Les failles sont également très présentes sur les postes des utilisateurs (au travers des browsers par exemple).

En 2008, 99 vulnérabilités ont affectés Mozilla (40 sont considérés comme peu sévère et 59 comme étant moyennement sévère). En 2007, 122 vulnérabilités avaient été documentées pour Mozilla.
En 2008, 47 vulnérabilités ont affectés Internet Explorer (16 sont considérés comme peu sévère et 31 comme étant moyennement sévère). En 2007, 57 vulnérabilités avaient été documentées pour Internet Explorer.

On constate que les browsers restent une cible attractive pour les attaquants (ainsi que les plug-ins des browsers). On observe une augmentation en 2008 du nombre de vulnérabilités autour des plug-ins Java (on passe de 4% en 2007 à 11% en 2008), et Adobe (on passe de 1% en 2007 à 4% en 2008)

On observe une confirmation de la tendance qui consiste à privilégier l'attaque du côté du poste du client.
En 2008, 7% des attaques utilisaient des vulnérabilités du côté du serveur. En 2007, 5% des attaques se basent sur des vulnérabilités côté serveur.

Il faut noter que le volume correspondant au "Top 50" des malwares en 2008 est plus du double du volume de 2007.
Il faut également noter qu'une diminution du pourcentage d'un malware d'une année sur l'autre n'indique pas forcément un déclin de ce malware.

Il est bon de redonner quelques définitions:

• Trojan ou cheval de troie: un cheval de Troie est un malware qui permet de réaliser une fonction non souhaitée par l'utilisateur comme par exemple faciliter un accès non autorisé à l'ordinateur de l'utilisateur. A la différence des ver et des virus il ne se réplique généralement pas. Habituellement il requière une intervention du hacker pour réaliser leur fonction.
  
• Worm ou ver: un ver est un programme qui peut se copier lui-même et infecter un ordinateur. Le ver peut se répandre d'un ordinateur vers un autre. A la différence du virus qui est nécessite un support, le ver est totalement autonome.
  
• Virus: un virus est un programme qui peut se copier lui-même et infecter un ordinateur. Le virus peut se répandre d'un ordinateur vers un autre. A la différence du ver qui est totalement autonome le virus a besoin d'un support (un fichier, une application,..) pour se propager.
  
• Back-door ou porte dérobée: une porte dérobée est un malware qui permet de contourner l'authentification normale qui sécurise l'accès "remote" à un ordinateur. La porte dérobée peut être un programme à part entière ou une modification d'un programme existant.
  

Source: Symantec (Avril 2009)

Challenge Webgoat 5.2: la solution en vidéo

Vous connaissez tous Webgoat, le site web permettant de faire des tests de pénétration fournit par l'OWASP.

Et vous savez également tous que les solutions des exercices de pénétration proposés par Webgoat se trouvent à l'adresse suivante: http://yehg.net/lab/pr0js/training/webgoat.php

Et comme moi, il ne vous a pas échappé que certains exercices n'étaient pas corrigés. C'est en particulier le cas du challenge proposé par Webgoat 5.2.

C'est pourquoi je vous propose de vous donner la solution du challenge avec l'aide d'une vidéo (que vous pouvez visualiser ICI).

La solution est composée de 3 étapes:

- la découverte d'une fonctionnalité de visualisation du code Java n'apparaissant pas dans la barre de menu mais malgré tout disponible
- une injection SQL classique
- et enfin une injection de commande DOS

Bien entendu, nous utilisons Webscarab pour observer et modifier les requêtes HTTP.

Bon film!