Xss(2) url injection sur QMG

Oyé, oyé, bonnes et mauvaises gens, voila une nouvelle xss découverte sur QMG par l'une de nos membres, agnes77.

Statut :
~~- Unsecure~~ -Fixed

Risque :
- Vole des s sessions
- Phishing

Url injection, what is it ?

Tout d'abord, une petite notion d'histoire, notre trés chere toile d'areignée mondiale, le world wide web, à sa naissance, ne supporté pas les langages scripts tel que Php et Asp.
Les serveurs webs etaient donc seulement capable de nous retourner des pages statiques en html,
Mais trés vite, ce manque de dynamisme dans nos pages ce vus comblé par l'apparition de langages scripts executés coté serveurs, les plus connus etant Asp dévolleper par Microsoft pour son serveur IIS et Php, créé en 1994 par Rasmus Lerdorf pour son site Web.
Exécuté coté serveurs, cela veut bien dire que lors de la demande d'un page web par votre navigateur, un traitement sera éxecuté par le serveur, lui permettant de génerer dynamiquement le code d'une page html, avant de l'envoyer a votre navigateur.
Se basant sur les protocoles HTTP, HTTPS ou autre ses langages reconnaissent généralement deux type de requêtes permettant l'envoie de données, les requêtes GET ou POST.

Nous nous intéréserons ici au requêtes de type GET, qui sont, dans nos navigateur, des requêtes envoyé dans l'url.

Ainsi, l'appelle de la page http://www.monsite.com/mapage.php, n'est rien d'autre qu'une requêtes de type GET du fichier mapage.php envoyé sur le serveur lier à l'hôte www.monsite.com
En plus de cela, les langages Asp et Php sont capable de récupérer des parametre envoyé au travers d'une url.
Paramétres passés sous la forme http://monsite.com/mapge.php?paramtre1=valeur1&parametre2=valeur2

Examinons cette portion de code :

Code php
<html> <head></head> <body> // Structure de base d'une page html <?php // Balise php, signifiant, le debut de l'execution d'un traitement en php. if (isset($_GET['parametre']) { // Struture conditionelle, isset en php permet de verifier l'existance d'un element. echo $_GET['parametre']; // echo en php permet l'affichage d'une chaine de caractere // $_GET['NOM'] en php, variable contenant la valeur d'un paramétre passer dans l'url "NOM" (Ex : NOM=moi, renverra "moi") } else { echo "Aucun parametre passé dans l'url"; } ?> // fin du traitement php </body> </html>

Si nous appelons la page "http://monsite.com/mapge.php" le serveur lors de son traitement php, entrera dans la struture conditionelle, le parametre nommé "parametre" n'existant pas, php sautera alors à alors directement au code contenu dans la condition else (alors) et nous renverra une page html affichant "Aucun parametre passé dans l'url".

Alors que, à l'appel de la page "http://monsite.com/mapge.php?parametre=Lapin", le parametre "parametre" existant, le serveur nous renverra une page html, contenant la valeur du parametre, donc "Lapin"

L'url injection, et donc l'injection de code html ou au sein de parametres d'une url, on peut alors imaginer, qu'une personne malveillante, utilise une telle faille coupler a de l'ingénierie sociale pour récupérer les session, ou afficher une page de phishing à une personne tiers.
Wiki :

L'ingénierie sociale (social engineering en anglais) est une forme d'escroquerie utilisée en informatique pour obtenir un bien ou une information. Cette pratique exploite l'aspect humain et social de la structure à laquelle est lié le système informatique visé. Utilisant ses connaissances, son charisme, l'imposture ou le culot, le pirate abuse de la confiance, l'ignorance ou la crédulité de personnes possédant ce qu'il tente d'obtenir. Dans son ouvrage L'art de la supercherie, Kevin Mitnick a théorisé et popularisé cette pratique qui vise le facteur humain d'un système informatique pour briser sa sécurité.

Ce terme est surtout utilisé en jargon informatique pour définir les méthodes des pirates informatiques (catégorie des hackers Black hat), qui usent d'ingénierie sociale pour obtenir un accès à unsystème informatique ou simplement pour satisfaire leur curiosité.

De nos jours, un effort de formation et de prévention des utilisateurs de systèmes informatisés sécurisés est fourni. Les départements de gestion informatique font circuler des documents décrivant les règles de sécurité de base : la façon de choisir un mot de passe long et ne se trouvant pas dans le dictionnaire, ne jamais donner son mot de passe à quelqu'un, pas même à un employé du département informatique, etc. Des conférences invitant des spécialistes du renseignement ou de la sécurité informatique sont parfois organisées au sein des plus grandes structures, afin de sensibiliser davantage les utilisateurs à cette menace. Ces formations visent à prévenir les employés de ne pas divulguer accidentellement des informations sensibles, et de donner l'alerte en cas de tentative détectée.

Evidament, il existe en php/asp, des fonctions pour se proteger de ce genre d'injection, tel que htmlentities() en php, qui convertis les carateres passer en parametre en leur equivalence html.

La Faille se situe, dans le formulaire de recherche de QMG.

Commentaires