Table Of Contente
c
n
e
r
é
f
é Hacking sur le
R
Web 2.0
Vulnérabilité du Web 2.0 et sécurisation
Réseaux
et télécom
Programmation
Génie logiciel
Sécurité
Système
d’exploitation
Rich Cannings
Himanshu Dwivedi
Zane Lackey
Hacking
sur le Web 2.0
Vulnérabilité du Web 2.0 et solutions
Rich Cannings, Himanshu Dwivedi
et Zane Lackey
Pearson Education France a apporté le plus grand soin à la réalisation de ce livre afin de vous four-
nir une information complète et fiable. Cependant, Pearson Education France n’assume de respon-
sabilités, ni pour son utilisation, ni pour les contrefaçons de brevets ou atteintes aux droits de tierces
personnes qui pourraient résulter de cette utilisation.
Les exemples ou les programmes présents dans cet ouvrage sont fournis pour illustrer les descriptions
théoriques. Ils ne sont en aucun cas destinés à une utilisation commerciale ou professionnelle.
Pearson Education France ne pourra en aucun cas être tenu pour responsable des préjudices
ou dommages de quelque nature que ce soit pouvant résulter de l’utilisation de ces exemples ou
programmes.
Tous les noms de produits ou marques cités dans ce livre sont des marques déposées par leurs
propriétaires respectifs.
Publié par Pearson Education France Titre original : Hacking Exposed Web 2.0
47 bis, rue des Vinaigriers
75010 PARIS Traduit de l’américain par Sébastien Blondeel
Tél. : 01 72 74 90 00 et Hervé Soulard
www.pearsonfr
Mise en pages : TyPAO Relecture technique : Paulo Pinto (SYSDREAM)
Collaboration éditoriale : Dominique Buraud ISBN original : 978-0-07-149461-8
Copyright © 2008 by The McGraw-Hill Companies
ISBN : 978-2-7440-4089-4 All rights reserved
Copyright© 2009 Pearson Education France
Tous droits réservés wwwmhprofessional.com
Aucune représentation ou reproduction, même partielle, autre que celles prévues à l’article L. 122-5 2 et 3 a) du code de la
propriété intellectuelle ne peut être faite sans l’autorisation expresse de Pearson Education France ou, le cas échéant, sans
le respect des modalités prévues à l’article L. 122-10 dudit code.
No part of this book may be reproduced or transmitted in any form or by any means, electronic or mechanical, including
photocopying, recording or by any information storage retrieval system, without permission from Pearson Education, Inc.
Table des matières
Avant-propos ..................................................................................................................... VII
À propos des auteurs ........................................................................................................ IX
Introduction ...................................................................................................................... 1
Qu’est-ce que le Web 2.0 ? ........................................................................................ 2
Impact du Web 2.0 sur la sécurité ............................................................................... 4
Tour d’horizon ............................................................................................................ 6
Organisation de l’ouvrage .......................................................................................... 6
Première partie ................................................................................................ 6
Deuxième partie .............................................................................................. 7
Troisième partie ............................................................................................... 7
Quatrième partie .............................................................................................. 8
Méthodologie .............................................................................................................. 9
Autres supports visuels ................................................................................... 10
Ressources et outils disponibles en ligne ................................................................... 10
Un dernier mot ............................................................................................................ 10
Partie I
Attaques contre le Web 2.0
1 Attaques par injection les plus communes ................................................................ 13
Fonctionnement des attaques par injection ................................................................. 13
Choix d’un code approprié d’injection SQL ................................................... 17
Tests de l’exposition à des injections ......................................................................... 28
Tests automatisés avec SecurityQA Toolbar d’iSEC ...................................... 28
Résumé ....................................................................................................................... 30
2 Injection de données arbitraires dans un site web ................................................... 31
Modèles de sécurité des navigateurs web ................................................................... 31
La politique de même origine (ou domaine) .................................................. 32
Le modèle de sécurité des cookies .................................................................. 36
IV Table des matières
Le modèle de sécurité de Flash ....................................................................... 40
Première étape : injection de HTML ............................................................... 44
Deuxième étape : nuire .................................................................................... 55
Troisième étape : attirer la victime .................................................................. 58
Test de la vulnérabilité aux injections de données arbitraires .................................. 62
Tests automatisés avec SecurityQA Toolbar d’iSEC ...................................... 62
Résumé ....................................................................................................................... 64
Bibliographie et références ......................................................................................... 65
Étude de cas : Contexte............................................................................................... 66
Partie II
Nouvelle génération d’attaques contre
les applications web
3 Attaques inter-domaines ............................................................................................. 81
Tisser un Web gordien : le besoin d’agir d’un domaine à l’autre ............................... 81
Emplois des interactions inter-domaines ......................................................... 82
Définition du problème ? ................................................................................. 83
Attaques de domaines pour le plaisir et pour l’argent ..................................... 88
Résumé ....................................................................................................................... 97
4 Codes JavaScript et AJAX malveillants .................................................................... 99
JavaScript malveillant ................................................................................................. 100
Contournement des filtres de saisie ................................................................. 111
AJAX malveillant ....................................................................................................... 116
XMLHttpRequest ........................................................................................ 117
Tests automatisés d’AJAX .......................................................................................... 120
Ver Samy .................................................................................................................... 121
Ver Yamanner .............................................................................................................. 124
Résumé ....................................................................................................................... 125
5 Sécurité de .Net ............................................................................................................ 127
Attaques génériques contre le framework .................................................................. 129
Reversing du framework .Net .......................................................................... 129
Attaques XML ................................................................................................. 130
Manipulation du comportement de l’application par injection de XPath ....... 133
Injection SQL .................................................................................................. 134
Injection de données arbitraires et ASP.Net ............................................................... 137
Validation des saisies ....................................................................................... 137
Validation de page par défaut .......................................................................... 139
Encodage de sortie .......................................................................................... 140
Table des matières V
XSS et les contrôles dans les formulaires web ................................................ 141
En savoir plus sur l’injection de données arbitraires ...................................... 142
Viewstate
Le paramètre d’état de vue ................................................................. 143
Implémentation de Viewstate ........................................................................ 144
Attaques des services web .......................................................................................... 149
Résumé ....................................................................................................................... 151
Étude de cas : Attaques inter-domaines....................................................................... 152
Partie III
AJAX
6 Types, découvertes et manipulation de paramètres pour AJAX ................................ 163
Types d’applications AJAX ........................................................................................ 163
Mandataire client-serveur ................................................................................ 163
Rendu côté client ............................................................................................. 164
AJAX sur le réseau ..................................................................................................... 165
Trafic descendant vers le client ....................................................................... 165
Trafic montant vers le serveur ......................................................................... 168
Récapitulatif sur les boîtes à outils AJAX ....................................................... 170
Découverte des méthodes du framework .................................................................... 170
Microsoft ASP.Net AJAX ............................................................................... 171
Google Web Toolkit ........................................................................................ 171
Direct Web Remoting ...................................................................................... 172
XAJAX ............................................................................................................ 172
SAJAX ............................................................................................................ 173
Exemple d’identification de framework et de découverte de ses méthodes .... 174
Récapitulatif du framework ............................................................................. 176
Manipulation de champs cachés ...................................................................... 177
Manipulation d’URL ....................................................................................... 178
Manipulation d’en-têtes .................................................................................. 178
Exemple ........................................................................................................... 178
Récapitulatif des manipulations ...................................................................... 180
Récapitulatif des expositions ........................................................................... 183
Cookies ....................................................................................................................... 183
Le truand ......................................................................................................... 183
La brute ........................................................................................................... 184
Exemple d’analyse des aléas des cookies de session avec WebScarab ........... 186
Drapeaux de cookies ....................................................................................... 190
Exemple d’analyse des cookies avec SecureCookies ..................................... 191
Récapitulatif des cookies ................................................................................. 193
Résumé ....................................................................................................................... 193
VI Table des matières
7 Expositions de frameworks AJAX ............................................................................. 195
Direct Web Remoting ................................................................................................. 196
Procédure d’installation .................................................................................. 196
Google Web Toolkit .................................................................................................... 199
Procédure d’installation .................................................................................. 199
xajax .......................................................................................................................... 201
Procédure d’installation .................................................................................. 201
SAJAX ........................................................................................................................ 203
Procédure d’installation .................................................................................. 204
Boîte à outils Dojo ..................................................................................................... 205
Sécurité de la sérialisation ............................................................................... 206
jQuery ......................................................................................................................... 206
Sécurité de la sérialisation ............................................................................... 207
Résumé ....................................................................................................................... 207
Étude de cas : Expositions de migrations vers le Web 2.0.......................................... 208
Partie IV
Clients lourds
8 Sécurité d’ActiveX ....................................................................................................... 215
Introduction à ActiveX ............................................................................................... 217
Failles d’ActiveX et contre-mesures .......................................................................... 220
Protection contre les objets ActiveX non sûrs dans IE ............................................... 240
Résumé ....................................................................................................................... 243
9 Attaques sur les applications Flash ............................................................................ 245
Introduction au modèle de sécurité de Flash .............................................................. 245
Outils de hacking pour Flash ...................................................................................... 249
XSS et XSF via des applications Flash ...................................................................... 251
Le DNS en bref ............................................................................................... 261
Résumé ....................................................................................................................... 267
Étude de cas : Modifications de la sécurité dans Internet Explorer 7................................ 268
Index .................................................................................................................................. 273
Avant-propos
De temps en temps, on me rappelle cette malédiction chinoise, apparemment insulte
ultime destinée aux ennemis mortels : "Puissiez-vous vivre en des temps intéressants."
Ce à quoi je ne puis que répondre "C’est bel et bien le cas !".
Cher lecteur, quelque chose a changé récemment. Nous avons assisté à une transition
aussi rapide qu’efficace. Voici encore quelques années, le Web se cantonnait au rôle
d’outil discret délivrant principalement des contenus statiques et produits ailleurs à qui
les réclamait. Ce n’est plus le cas. Dans notre monde, cette même technologie de
l’ancienne école véhicule désormais des interfaces utilisateur dynamiques, complexes,
très réactives – proposant notamment des fonctionnalités jadis réservées aux logiciels
de bureau.
Cette évolution du Web est aussi passionnante qu’effrayante. Aux côtés des progrès
incontestables réalisés sur le front des fonctionnalités offertes, se déroule une classique
course aux armements entre ceux qui écrivent le code et ceux qui tentent de le casser.
Ne vous y trompez pas : il s’agit d’une lutte qui n’a rien de romantique ou poétique ;
elle n’oppose pas chapeaux noirs et chapeaux blancs, bien contre mal. Il s’agit d’une
tension bien plus prosaïque : celle des compromis entre facilité d’usage et sécurité. Jour
après jour, les spécialistes du domaine doivent prendre tour à tour parti pour l’un ou
l’autre camp, sans que cet effort futile ne semble devoir finir, ni des solutions faciles se
dessiner.
D’autre part… on me rappelle aussi que se plaindre ne fait guère progresser les choses.
Ce ne sont là que les dangers – et les nouvelles possibilités – créés par la volonté de
repousser les frontières d’une technologie aussi vieillie qu’indispensable, sans doute
magnifiquement peu adaptée au niveau de sophistication que nous cherchons désormais
à atteindre, mais qui n’en facilite pas moins tout ce qui est utile, sympa et tape-à-l’œil.
Une certitude : un livre exhaustif traitant de la sécurité des applications web contempo-
raines manquait cruellement, et pour faire à nouveau vibrer ma corde sensible fataliste,
il est possible que nous ayons dépassé le point de non-retour et qu’un sinistre généralisé
soit devenu inéluctable.
Plus troublant encore que ce défaitisme : il n’existe aucune synthèse dont un nouvel
arrivant puisse s’imprégner pour mémoriser et mettre en pratique la multitude de petites
VIII Hacking sur le Web 2.0
connaissances éparses qui se rapportent au sujet – pour se maintenir ensuite à flot, dans
un paysage en constante évolution. Dans un chaos global et oppressant, quelques
spécialisations émergent, d’AJAX aux applications Flash, du modèle objet de document
(DOM) au décodage des jeux de caractères – mais il est trop tard et elles sont trop peu
nombreuses.
Peut-on encore rattraper la situation ? Le Web est une maîtresse capricieuse, bien diffi-
cile à dompter. Cet ouvrage ne tente pas de vous conforter à tort dans l’opinion inverse,
pas plus qu’il ne propose de conseils aussi simplistes que douteux. Il vous oriente
simplement sur le long chemin menant à la maîtrise d’un sujet étonnamment complexe,
en vous aidant à organiser les informations pratiques et détaillées glanées en cours de
route.
La révolution du Web prétendu 2.0 accouchera-t-elle comme promis d’un monde
meilleur, ou bien – comme ses détracteurs le prédisent – deviendra-t-elle bientôt folle,
incontrôlable, dégénérant en un cauchemar tant pour la sécurité que pour la confidenti-
alité de la sphère privée, dans un paysage jonché d’épaves de logiciels incompatibles et
cassés ? Je n’en sais rien et me refuse à spéculer inutilement. Il n’en demeure pas moins
qu’il vaut mieux se donner un maximum de chances en prenant toutes les précautions
possibles.
Michal Zalewski
À propos des auteurs
Rich Cannings
Rich Cannings est ingénieur senior en sécurité des systèmes d’information chez
Google. Avant cela, il émargeait comme consultant indépendant et bidouilleur
OpenBSD. L’université de Calgary lui a délivré un diplôme de mathématiques théoriques
et d’informatique.
Himanshu Dwivedi
Himanshu Dwivedi est l’un des fondateurs de l’entreprise de sécurité des systèmes
d’information iSEC Partners ; il compte plus de douze années d’expérience dans le
domaine. Auparavant, il était directeur technique de l’entreprise @stake, dans la baie de
San Francisco.
Il dirige le développement des produits chez iSEC Partners, ce qui comprend tout un
catalogue de produits SecurityQA pour les applications web et les programmes Win32.
Par ailleurs, il gère les clients, les ventes et la recherche technique de prochaine génération.
Outre le présent ouvrage, il a écrit quatre livres traitant de sécurité : Hacking VoIP (No
Starch Press), Hacker’s Challenge 3 (McGraw-Hill), Securing Storage (Addison
Wesley Publishing) et Implementing SSH (Wiley Publishing). Il a également déposé un
brevet portant sur une architecture de stockage en Fibre Channel SANs VoIP.
Zane Lackey
Zane Lackey est consultant de sécurité senior chez iSEC Partners, entreprise de sécu-
rité pour laquelle il mène régulièrement des tests d’intrusion dans les applications ainsi
que des revues de code. Il s’intéresse principalement aux applications web AJAX et à la
sécurité de la voix sur IP. Zane est intervenu dans plusieurs conférences de sécurité de
premier plan, parmi lesquelles BlackHat 2006/2007 et Toorcon. En plus de ce livre, il a
co-écrit Hacking VoIP (No Starch Press). Avant iSEC, Zane travaillait dans la recherche
sur Honeynet à l’université de Californie, au laboratoire de recherche en sécurité infor-
matique et sous la direction du réputé Pr. Matt Bishop.
