L’Atelier Web App Security représente l’étude et le test des différentes vulnérabilités d’une application Web vulnérable (DWVA) distante ou locale en vue de la sécuriser en suite contre ces failles.

1. DVWAAteliers d’une
application Web
vulnerable
PRÉSENTATEURS:
AYOUB ROUZI – ABDELHAKIM SALAMA
ENCADRÉ PAR:
MR. M. BOUHORMA

2. 1
2
3
4
5
6
Plan
Introduction
Conclusion
Ateliers et vulnérabilities
OWASP's Top 10 Vulnerabilities,
file upload
Étude de la faille et solutions
csrf
Étude de la faille et solutions
xss
Étude de la faille et solutions
2

3. DVWA
Présentation de l’atelier
L’Atelier Web App Security représente l’étude et le test des différentes
vulnérabilités d’une application Web vulnérable (DWVA) distante ou
locale en vue de la sécuriser en suite contre ces failles.
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

4. Ateliers et vulnérabilities
4
OWASP's Top 10 Vulnerabilities,
TOP-10
3
5
8
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

5. 1
File upload
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

6. File Upload
Étapes d’accès a l’outil
6
AuthentificationInstallationConfiguration
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)
une faille de type File Upload est générée lorsqu’un hacker aura la possibilité de charger un fichier sur le serveur pour un but malveillant.

7. File Upload
Types de fichiers autorisés
Après avoir téléchargé un fichier de test, il affichera le chemin du répertoire où votre fichier a été téléchargé avec succès
"hackable/uploads/"
7
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

8. File Upload
Exemple d’exploit de la faille File Upload
Avec la sécurité basse DWVA accepte tout type de fichier, on va voir après
comment corriger cette faille.
8
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

9. File Upload
Scripts Shell C99
A travers ce Shell, on peut tout faire pour un serveur Unix. En d’autres termes il nous permet de prendre le contrôle d’un serveur.
9
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

10. File Upload
Etude de la faille - niveau low :
On remarque bien que ce code ne contient aucun contrôle sur le fichier à uploader !
10
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

11. File Upload
Etude de la faille - niveau medium :
À ce niveau, on remarque le code contient désormais deux contrôles sur le fichier ; un contrôle sur le type et un second sur la taille.
11
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

12. File Upload
Etude de la faille - niveau medium (changement d’extension):
Mais cela reste insuffisant car on peut renommer le fichier et ajouter une extension image
12
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

13. File Upload
Etude de la faille - niveau medium (changement d’extension)
On voit bien que l’application n’accepte pas le fichier Mais si on renomme le fichier comme suit shell.php.jpeg
13
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

14. File Upload
Etude de la faille - niveau medium (changement d’extension)
Script uploadé après le changement d’extension
14
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

15. File Upload
Etude de la faille - niveau high
On remarque ici l’utilisation d’un contrôle sur l’extension
15
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

16. File Upload
Etude de la faille - niveau high
mais ceci reste toujours vulnérable à l’ajout d’une extension que l’application accepte Par exemple shell2.php.jpeg
16
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

17. File Upload
Etude de la faille - niveau high
Pour cela on utilise la fonction php getimagesize()
17
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

18. File Upload
Etude de la faille - niveau high
Faille résolue!
18
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

19. 2
CSRF
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)
• CSRF ?
• Exemple simple
• Prévention (comment éviter ces attaques)

20. CSRF ?
Faire une action à un autre utilisateur.
http://www.sitexe.com/?supprmsg=30 (GET)
Attaque possible aussi avec la méthode POST
=> Exemple avec un forum :
> Faire supprimer un message
=>Exemple avec un site d'achat :
> Faire acheter quelque chose
20
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

21. CSRF ?
Cette attaque fonctionne grâce aux navigateurs.
Ne nécessite que peu de compétences.
la victime est le fautif .
21
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

22. Exemple (1)
Sur un forum S :
A souhaite supprimer un message.
A trouve l'URL type pour supprimer un message.
A prépare un mail à envoyer à V avec une balise image
contenant l'adresse censée supprimer le message sur S.
Mail :
Salut ! Tu connais cette blague ?
C'est un mec il rentre dans un …..
22
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)
Le navigateur de V interprète l'image.
Ce qui exécute la requête et supprime le message.
V ne s'en rend pas compte
Logo d'image non chargé Mais c'est ce
qui permet de charger la requête
censée supprimer le message sur S.

23. Exemple (2)
L’exemple suivant reprend un table « messages » et le script PHP pour l’insertion de
données .
23
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

24. Prévention
Jetons (ou token) aléatoires ou jetons de validités .
 Vérification du Referer Header .
CAPTCHA .
24
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

25. 2
XSS
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)
• XSS ?
• Exemple
• Comment s'en protéger

26. XSS ?
•permettant l'injection de code.
• existe en fait deux types de XSS
• XSS réfléchi (non permanent)
• Le XSS stocké (permanent)
26
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

27. XSS - Exemple
27
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

28. XSS ?
• permettant l'injection de code.
• existe en fait deux types de XSS
• XSS réfléchi (non permanent)
• Le XSS stocké (permanent)
28
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

29. XSS - Exemple
29
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

30. XSS - • Comment s'en protéger
• La fonction htmlspecialchars() :
 remplaçant par leur équivalent en HTML. Par exemple :
• Le symbole & devient &
• Le symbole " devient "
• Le symbole ' devient '
30
1
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

31. Conclusion
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)

32. Merci pour votre attention
Ayoub ROUZI
Abdelhakim SALAMA
Des Questions?
Ayoub ROUZI - Abdelhakim SALAMA | (M2 SIR)