IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Attaque d'un site sur un GET manuel


Sujet :

Sécurité

  1. #1
    Membre du Club
    Profil pro
    Inscrit en
    Mai 2007
    Messages
    94
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : Mai 2007
    Messages : 94
    Points : 47
    Points
    47
    Par défaut Attaque d'un site sur un GET manuel
    Bonjour à tous,
    Un de mes sites vient d'être victime d'une tentative d'intrusion que j'aimerais comprendre.
    Pour passer des données d'une page vers d'autres, j'ai utilisé des adresses contenant des GET créées manuellement du genre <a href="mapage.php?nom="toto">. Bien entendu, j'ai pris quelques précautions en réception en contrôlant strictement la variable nom qui est reçue.

    Il y a quelques jours, un utilisateur provenant de torservers.net a remplacé "toto" par

    999999.9 union all select 0x31303235343830303536, 0x31303235343830303536,0x31303235343830303536"
    le pattern 0x31303235343830303536 étant répété 1, 2, 3.... fois.

    Ensuite, on a essayé successivement des variables du genre
    toto union all select null,null,null,nul
    null étant répété 1, 2, 3.... fois

    toto and if(1=1,BENCHMARK(27404000,MD5(0x41)),0) and 'x'='x
    toto if (1=1) waitfor delay '00:00:16
    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    toto or 1=convert(int,chr(114)||chr(51)||chr(100)||chr(109)||chr(48)||chr(118)||chr(51)||chr(95)||chr(104)||chr(118)||chr(106)||chr(95)||chr(105)||chr(110)||chr(106)||chr(101)||chr(99)||chr(116)||chr(105)||chr(111)||chr(110))
    et d'autres patterns du même genre.
    Je comprends bien que l'on puisse tenter d'ajouter du code ou des include par un get mais je n'arrive pas à traduire ce que ce méchant a tenté de faire à ce site, sans succès selon les analyses que j'ai faites. Cependant,s'agissant d'un site de ecommerce avec paiement par carte bancaire, j'aimerais comprendre pour d'évidentes raisons de sécurité. Alors, si quelqu'un pouvait m'aider à traduire ces patterns, ce serait bien

  2. #2
    Membre du Club

    Homme Profil pro
    Expert sécurité informatique
    Inscrit en
    Août 2006
    Messages
    33
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 39
    Localisation : France

    Informations professionnelles :
    Activité : Expert sécurité informatique

    Informations forums :
    Inscription : Août 2006
    Messages : 33
    Points : 64
    Points
    64
    Par défaut
    Ce sont des tentatives d'injection SQL (en "union" et en "time based blind")

    Si ta variable "nom" n'est pas utilisée pour faire des requêtes en base de données tu n'a rien à craindre; dans le cas contraire il faut espérer que ça a été bien codé et que tu n'as pas de vulnérabilité

  3. #3
    Membre du Club
    Profil pro
    Inscrit en
    Mai 2007
    Messages
    94
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : Mai 2007
    Messages : 94
    Points : 47
    Points
    47
    Par défaut
    Merci pour cette réponse, je ne connaissais pas ces possibilités d'injection. Je vais y regarder de plus près car il y a réellement des méchants.
    Comme je l'ai dit précédemment, mon code a bien résisté, j'avais heureusement pris quelques précautions, mais je vais regarder très attentivement le logiciel de chacun de mes sites.

  4. #4
    Rédacteur
    Avatar de imikado
    Homme Profil pro
    Développeur informatique
    Inscrit en
    Décembre 2006
    Messages
    5 239
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 42
    Localisation : France, Val de Marne (Île de France)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Finance

    Informations forums :
    Inscription : Décembre 2006
    Messages : 5 239
    Points : 19 100
    Points
    19 100
    Billets dans le blog
    17
    Par défaut
    Citation Envoyé par tim1789 Voir le message
    Merci pour cette réponse, je ne connaissais pas ces possibilités d'injection. Je vais y regarder de plus près car il y a réellement des méchants.
    Comme je l'ai dit précédemment, mon code a bien résisté, j'avais heureusement pris quelques précautions, mais je vais regarder très attentivement le logiciel de chacun de mes sites.
    Note: pour vous prévenir des injections sql, passez par des requêtes préparées (pdo en php)
    Framework php sécurisé et simple à prendre en main avec générateur web http://mkframework.com/ (hebergé sur developpez.com)
    Mes cours/tutoriaux

Discussions similaires

  1. Réponses: 4
    Dernier message: 17/02/2009, 10h36
  2. Site sur CD - javascript bloqué par SP2
    Par loutente dans le forum Général Conception Web
    Réponses: 16
    Dernier message: 17/05/2005, 15h22
  3. Réponses: 4
    Dernier message: 18/06/2004, 17h58
  4. Un site sur DirectX
    Par Lemage dans le forum DirectX
    Réponses: 23
    Dernier message: 17/09/2003, 16h33

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo