Résumé – CORS est utilisé pour contrôler les ressources auxquelles les pages extérieures peuvent accéder à partir d’un FQDN spécifique. En cas de mauvaise configuration, un pirate peut créer une page web malveillante qui utilise JavaScript pour accéder à des données sensibles et relayer ces données (via une requête GET) vers le serveur du pirate. Les données sensibles peuvent alors être lues dans les journaux du serveur de l’attaquant.

Objectif(s) :

• Accéder à des données sensibles en construisant une page web malveillante qui envoie une requête utilisant le cookie de la victime à une application vulnérable.
• Exploiter les paramètres CORS laxistes pour lancer des attaques CSRF, en incitant les utilisateurs authentifiés à exécuter des actions non désirées sur un domaine différent.

Résumé – La confusion ou l’abus de dépendances est un problème dans lequel les attaquants exploitent les conventions de dénomination des dépôts de paquets publics et privés pour inciter les développeurs à télécharger à leur insu du code malveillant ou des paquets non autorisés au cours du développement de logiciels. Cela se produit lorsque l’environnement local d’un développeur va chercher une dépendance dans un dépôt public alors qu’il a l’intention d’utiliser un paquetage interne, ce qui peut compromettre la chaîne d’approvisionnement des logiciels.

Objectif(s) :

• Créer un package malveillant portant le même nom qu’une dépendance interne et le télécharger sur un dépôt public pour que les développeurs l’installent à leur insu.
• Créer un package dont le numéro de version ressemble à celui d’un package légitime afin d’exploiter les configurations de la gamme de versions.
• Enregistrer des noms de domaines ou de packages similaires pour exploiter les fautes de frappe des développeurs.
• Créer des packages dont les noms ressemblent à des dépendances légitimes pour tromper les développeurs.
• Développer un package qui semble inoffensif mais qui dépend de packages vulnérables en vue d’attaques futures.
• Utiliser des tactiques d’ingénierie sociale telles que l’hameçonnage pour obtenir des informations sensibles.
• Compromettre un fournisseur de logiciels pour injecter du code malveillant dans des packages largement utilisés.
• Concevoir des packages pour voler des informations d’identification sensibles dans l’environnement d’exécution.
• Concevoir des logiciels pour voler et exfiltrer des données.
• Exploiter les vulnérabilités des pacakges introduits pour exécuter des codes à distance.

Résumé – Le cross-site scripting (XSS) est une vulnérabilité de sécurité web où des scripts malveillants sont injectés dans le stockage permanent d’un site web, comme les bases de données ou les sections de commentaires, qui sont ensuite servis aux utilisateurs, provoquant l’exécution des scripts dans leurs navigateurs. Les attaquants peuvent ainsi voler des données sensibles des utilisateurs, détourner des sessions ou propager des logiciels malveillants par le biais de pages web infectées.

Objectif(s) :

• Voler des cookies de session pour obtenir un accès non autorisé à des comptes ou à des sessions.
• Récupérer des informations sensibles comme les noms d’utilisateur, les mots de passe et les numéros de carte de crédit des victimes.
• Effectuer des actions non autorisées au nom des utilisateurs, telles que modifier les paramètres du compte ou effectuer des achats non autorisés.
• Créer des pages d’hameçonnage convaincantes pour inciter les utilisateurs à révéler leurs identifiants ou leurs informations personnelles.
• Capturer les frappes au clavier des victimes, ce qui peut permettre d’obtenir des données sensibles telles que des mots de passe ou des numéros de carte de crédit.
• Exploiter les vulnérabilités des navigateurs au moyen de scripts injectés pour compromettre les navigateurs ou les appareils des utilisateurs.

Résumé – L’inclusion de fichiers locaux (LFI) est une vulnérabilité web où les attaquants manipulent les entrées pour inclure et exécuter des fichiers locaux sur un serveur web, exposant potentiellement des informations sensibles. Le Path Traversal est une vulnérabilité similaire où les attaquants manipulent les entrées pour traverser les répertoires, et, accédant potentiellement à des fichiers en dehors de la portée prévue, ce qui peut conduire à l’exposition de données non autorisées ou à l’exécution de code.

Objectif(s) :

• Exploiter le Path Traversal pour accéder à des fichiers sensibles en dehors de la racine du site web, tels que les fichiers de configuration ou les journaux du système.
• Manipuler l’inclusion de fichiers pour lire ou exfiltrer des données confidentielles, y compris des comptes d’utilisateurs ou des documents privés.
• Abuser du Path Traversal pour obtenir un accès non autorisé à des zones restreintes, telles que les panneaux d’administration ou les profils d’utilisateurs.
• Rediriger l’inclusion de fichiers pour exécuter des commandes système sur le serveur, compromettant ainsi sa sécurité.
• Exploiter l’inclusion de fichiers pour divulguer le code source, exposant ainsi les vulnérabilités de l’application ou des informations propriétaires.
• Falsifier les requêtes pour inclure des fichiers distants, ce qui peut faciliter les attaques par exécution de code à distance

Résumé – Une vulnérabilité dans le téléchargement de fichiers sans restriction permet aux attaquants de télécharger divers types de fichiers vers une application web sans vérification appropriée, même s’ils ne peuvent pas directement réaliser une exécution de code à distance ou télécharger un shell web. Cela peut néanmoins entraîner des risques de sécurité potentiels tels que le stockage de fichiers infectés par des logiciels malveillants, l’exploitation de mauvaises configurations du serveur ou la possibilité d’autres attaques par le biais d’une utilisation créative du contenu téléchargé.

Objectif(s) :

• Contourner les filtres existants pour télécharger des fichiers en dehors des types, tailles ou conventions de nommage autorisés.
• Télécharger des fichiers dans un répertoire autre que celui prévu.

Résumé – Dans le cas d’une vulnérabilité de téléchargement de fichiers sans restriction, si l’attaquant parvient à télécharger un Webshell ou à exécuter un code malveillant, il peut obtenir un accès à distance non autorisé (RCE) au système ou à l’application Web ciblé(e). Cela peut conduire à un contrôle total du système, à des violations de données et à des failles de sécurité potentiellement graves.

Objectif(s) :

• Exécuter des commandes arbitraires par le biais de Webshell, ce qui peut compromettre l’ensemble du système.
• Utiliser le webshell pour voler des données sensibles sur le serveur ou dans la base de données.
• Obtenir un accès permanent à l’application, ce qui permet une exploitation à long terme.
• Injecter des backdoor ou des logiciels malveillants dans le serveur, facilitant ainsi d’autres attaques.
• Élever les privilèges en exploitant des vulnérabilités ou des configurations erronées.
• Dissimuler les activités malveillantes en modifiant les journaux ou les contrôles d’accès.
• Lancer des attaques sur d’autres systèmes internes ou ressources du réseau à partir du serveur compromis.
• Établir un canal de commande et de contrôle (C2) pour le contrôle et la gestion à distance.
• Exploiter le serveur compromis pour lancer des attaques contre des cibles externes ou des systèmes voisins.
• Télécharger et exécuter un ransomware pour crypter les données et demander une rançon pour le décryptage.

Résumé – L’injection SQL est une vulnérabilité web dans laquelle les attaquants manipulent les données d’entrée pour insérer des requêtes SQL malveillantes dans les instructions de requête de la base de données d’une application web, ce qui leur permet potentiellement d’afficher, de modifier ou de supprimer des données dans la base de données. Cela peut entraîner un accès non autorisé à des informations sensibles, des violations de données, voire la compromission complète du backend de l’application.

Objectif(s) :

• Extraire des données sensibles de la base de données de l’application, telles que les informations d’identification de l’utilisateur ou les données financières.
• Manipuler les mécanismes d’authentification de l’application pour obtenir un accès non autorisé à des comptes d’utilisateurs ou à des zones restreintes.
• Modifier, supprimer ou insérer des données non autorisées dans la base de données, ce qui entraîne une corruption des données ou des changements non autorisés.
• Détourner les sessions des utilisateurs en altérant les identifiants de session, ce qui permet aux attaquants de se faire passer pour des utilisateurs légitimes
• Surcharger le serveur de base de données avec des requêtes gourmandes en ressources, ce qui entraîne un déni de service.
• Exécuter un code arbitraire sur le serveur, ce qui permet de prendre le contrôle total de l’application et de l’infrastructure.
• Exposer les vulnérabilités ou les informations propriétaires stockées dans la base de données, qui peuvent être exploitées pour obtenir un avantage concurrentiel ou pour mener d’autres attaques.
• Injecter des données malveillantes ou des charges utiles de logiciels malveillants dans la base de données, ce qui peut nuire aux utilisateurs ou à l’application.

Résumé – Lors d’une attaque par déni de service (DoS) visant la base de données d’une application web par exemple, un attaquant pourrait inonder la base de données d’un volume écrasant de requêtes malveillantes, telles que des requêtes complexes et gourmandes en ressources ou des téléchargements de données volumineux. Cette charge excessive peut empêcher la base de données de répondre ou la ralentir considérablement, ce qui perturbe le fonctionnement normal de l’application et peut la rendre inaccessible aux utilisateurs légitimes.

Objectif(s) :

• Stocker des quantités inhabituellement importantes de données dans la base de données, en utilisant le comportement et les mécanismes prévus, afin de surcharger la base de données et de perturber les opérations normales.
• Envoyer un nombre anormalement élevé de requêtes à la base de données, en utilisant le comportement et les mécanismes prévus, afin de surcharger la base de données et de perturber le fonctionnement normal.
• Divulgation d’informations.

Résumé – Dans les applications web, les objets sont utilisés pour représenter et manipuler divers éléments, données et fonctionnalités, ce qui permet aux développeurs d’organiser et d’interagir avec des composants tels que les interfaces utilisateur, les bases de données et les requêtes de serveur d’une manière structurée et efficace.

Une référence indirecte à un objet (IDOR) se produit lorsqu’un utilisateur peut manipuler un paramètre, tel qu’une URL ou un champ de formulaire, pour accéder à des données ou à des fonctionnalités auxquelles il n’est pas autorisé, souvent en modifiant un identifiant numérique. Cette vulnérabilité peut conduire à l’exposition de données ou à des actions non autorisées au sein de l’application.

Résumé – Le rebond DNS est une technique par laquelle un pirate incite le navigateur d’une victime à effectuer des requêtes vers le domaine d’un site web malveillant qui se résout d’abord vers l’adresse IP contrôlée par le pirate, puis vers l’adresse du réseau local de la victime. Cela permet à l’attaquant de contourner la politique de même origine du navigateur et d’interagir potentiellement avec les dispositifs ou les services du réseau local.

Objectif(s) :

• Contourner la politique de même origine, ce qui permet à un pirate d’accéder à des ressources sur le réseau local d’une victime ou de les manipuler, ce qui peut compromettre la sécurité et la vie privée.
• Exploiter les vulnérabilités des dispositifs connectés au réseau ou des services fonctionnant sur le réseau de la victime.

Résumé – Les fichiers de configuration sont utilisés par les serveurs pour définir des paramètres et des comportements, ce qui permet aux administrateurs d’adapter les opérations du serveur et d’établir des mesures de sécurité pour l’interface du serveur avec son environnement. Une mauvaise configuration du serveur peut rendre ces fichiers accessibles au public, fournissant ainsi une mine d’informations précieuses aux attaquants.

Objectif(s) :

• Exfiltrer les chaînes de connexion à la base de données ou les informations d’identification des fichiers de configuration de la base de données tels que application.properties.
• Lire des données sensibles stockées dans des fichiers de variables d’environnement tels que env.js ou .env.
• Exploiter les failles logiques pour contourner les contrôles de sécurité mis en œuvre dans le routage du serveur web configuré dans des fichiers tels que httpd.conf ou .htaccess.
• Fichiers contenant des clés de chiffrement, des certificats et des configurations de déchiffrement dans des fichiers tels que keystore.jks ou openssl.cnf.