Méthodologie offensive
Exploitation web
Les grandes classes de vulnérabilités web, comment les reconnaître et comment les corriger. Classées d'après l'OWASP Top 10. À tester uniquement sur des applications que tu as le droit d'attaquer.
Démarche
- CartographierPages, paramètres, rôles, technologies, points d'entrée.
- IntercepterBurp Suite en proxy : voir et modifier chaque requête.
- Tester les entréesChaque paramètre, en-tête et cookie est une entrée à éprouver.
- Prouver l'impactMontrer la conséquence réelle, de façon reproductible.
Injections (OWASP A03)
| Vulnérabilité | Principe et correctif |
|---|---|
| Injection SQL | L'entrée modifie la requête SQL (lecture de données, contournement d'authentification). Correctif : requêtes paramétrées. |
| Injection de commandes | L'entrée atteint un shell système. Correctif : ne jamais concaténer, listes blanches, API sûres. |
| Injection NoSQL | Opérateurs injectés dans une requête MongoDB et consorts. Correctif : valider les types, requêtes typées. |
| XSS | Du JavaScript s'exécute dans le navigateur d'une victime (réfléchie, stockée, DOM). Correctif : encodage en sortie, CSP. |
Reconnaître une injection SQLUne apostrophe qui déclenche une erreur SQL, un
' OR 1=1-- - qui change la réponse, un délai avec SLEEP() (injection aveugle). Automatisable avec sqlmap une fois le point d'injection confirmé.Contrôle d'accès (A01)
- IDOR : changer un identifiant dans l'URL ou le corps donne accès aux données d'un autre utilisateur.
- Élévation verticale : atteindre une fonction d'administration sans en avoir le rôle.
- Chemins non protégés : une page sensible accessible sans vérification côté serveur.
- Correctif : vérifier les droits côté serveur à chaque requête, par ressource.
Fichiers et inclusion
Inclusion / traversée
- LFI : lire des fichiers arbitraires via
../ou un chemin contrôlé. - RFI : inclure un fichier distant, parfois jusqu'à l'exécution de code.
- Correctif : listes blanches de fichiers, pas de chemin fourni par l'utilisateur.
Upload de fichiers
- Contrôle insuffisant du type ou de l'extension : dépôt d'un fichier exécutable.
- Correctif : vérifier le contenu réel, renommer, stocker hors de la racine web.
Côté serveur et logique
- SSRF (A10) : forcer le serveur à émettre des requêtes vers des cibles internes.
- Désérialisation non sûre (A08) : un objet contrôlé par l'attaquant exécute du code au chargement.
- Bugs de logique métier : enchaîner des étapes dans un ordre inattendu, prix négatifs, course.
- Authentification cassée (A07) : force brute, réinitialisation faible, jetons prévisibles, absence de MFA.
API et applications modernes
- API REST et GraphQL : énumérer les points de terminaison, tester les droits sur chaque objet (BOLA/IDOR).
- GraphQL : l'introspection révèle tout le schéma ; attention aux requêtes imbriquées coûteuses.
- Applications courantes : rechercher les CVE et les identifiants par défaut (CMS, outils d'admin).
RéférencesFiche OWASP Top 10 pour le détail des catégories. Du côté défense, ces attaques apparaissent dans les journaux du serveur web : voir SOC et SIEM.