Le jeton CSRF est une protection qui requiert l’insertion d’une valeur aléatoire et dynamique dans une requête. Cette valeur est ensuite analysée par le serveur pour déterminer si la requête est légitime. Lors de vos tests d’intrusion, il vous est surement déjà arrivé de tomber sur une application utilisant ces jetons CSRF. Dans ce cas, vous avez sans doute constaté à quel point il est déroutant d’analyser une telle application avec Burp.
La sécurité des serveurs est un enjeu majeur pour les entreprises. En effet, étant un élément central dans le fonctionnement de toutes les composantes d’un système d’information (applications, réseau, infrastructure, collaborateurs, etc.), les serveurs sont souvent les cibles privilégiées d’attaques.
La plupart des applications web utilisent une ou plusieurs base(s) de données pour stocker et traiter les informations en temps réel.
En effet, lorsqu’un utilisateur envoie des requêtes, l’application web interroge la base de données afin de construire la réponse. Cependant, lorsque les informations fournies par l’utilisateur sont utilisées pour forger la requête à la base de données, un attaquant peut altérer cette dernière en l’utilisant à d’autres fins que celles prévues par le développeur d’origine. Ainsi, cela permet à un attaquant d’interroger la base de données via une injection SQL, abrégé en SQLi.
Les attaques CSRF sont souvent utilisées pour compromettre les données et fonctionnalités d’une application web.
Principes, impacts, exploitations possibles, nous vous présentons dans cet article une vue d’ensemble de la vulnérabilité CSRF ainsi que les bonnes pratiques et mesures à implémenter pour prévenir les risques d’attaques.
Au fil des années, les attaques d’ingénierie sociale sont devenues une réalité pour toutes les entreprises, quel que soit leur secteur d’activité ou leur taille.
En effet, au-delà des vulnérabilités techniques souvent exploitées pour obtenir un accès non autorisé aux données et aux systèmes, la porte d’entrée favorite des attaquants reste les collaborateurs d’une entreprise et ce, la plupart du temps via des attaques de phishing.
La sécurité des réseaux est un enjeu majeur pour les entreprises. En effet, l’importance croissante des actifs informatiques, l’interconnexion des systèmes d’information et leur exposition, ont multiplié les risques d’attaques. Dans le même temps, l’information (les données) est produite, traitée, échangée et exploitée par des systèmes et sur des réseaux qui peuvent présenter des vulnérabilités au niveau de tous les composants ou de la configuration : serveurs, postes de travail, segmentation, Wi-Fi, accès utilisateurs, applications, etc.
Les APIs sont partout. Dans la plupart des systèmes informatiques (applications mobiles, plateformes web, infrastructures cloud, etc.) et dans tous les secteurs d’activité, ces interfaces de programmation facilitent les échanges de données et leur mise à disposition à un public large, qu’il s’agisse de clients, de partenaires ou de collaborateurs. Les APIs sont également le moteur de développement et de croissance des objets connectés car elles constituent le socle des canaux de communication des systèmes IoT.
Encore un article sur la sécurité de Node.js ? Mais dans celui-là, nous nous concentrons sur les failles rencontrées le plus fréquemment lors de tests d’intrusion.
Les vulnérabilités liées à Node ont des conséquences sur l’ensemble de votre application web. Il est donc essentiel de les détecter et de les corriger. Certaines de ces failles ne sont pas spécifiques à Node et existent également dans d’autres langages et frameworks. C’est pour cela que nous nous sommes attachés à citer des bonnes pratiques générales et des outils propres à Node.js.
Entrons dans le vif du sujet.
Lors des tests d’intrusion que nous menons, nous sommes régulièrement confrontés à des vulnérabilités qui permettent d’exécuter des commandes sur un système. Celles-ci peuvent prendre différentes formes en fonction du type d’application et des fonctionnalités impactées. Vous trouverez dans cet article un exemple de vulnérabilité RCE rencontrée lors d’un audit d’une application web codée en PHP.
La sécurité des sites web (sites e-commerce, sites vitrines, plateformes SaaS et autres applications web) est un enjeu majeur pour les entreprises. Étant exposés au public, tous ces systèmes sont naturellement des cibles de choix pour des attaquants, qui profitent de nombreuses vulnérabilités au niveau des fonctionnalités et autres composantes des sites web : serveurs, données, composants tiers et autres fonctionnalités critiques tels que l’authentification, la gestion des sessions ou le contrôle d’accès.
Dans quelles situations peut se produire une vulnérabilité path traversal ? Comment détecter cette faille et s’en protéger ?
C’est ce que nous allons détailler dans cet article.
Les failles server-side template injection (SSTI) restent moins recherchées que d’autres types de vulnérabilités. Pourtant, leur impact est important et mène souvent à de l’exécution de code à distance (RCE). Ce sont donc des failles à ne pas sous-estimer.
Dans quels contextes se produisent les vulnérabilités SSTI ? Comment détecter ces failles et comment s’en protéger ?
C’est ce que nous allons détailler dans cet article.
Les entreprises du secteur logistique font face au défi de s’appuyer sur les nouvelles solutions digitales sans risquer leur sécurité.
Dans un marché en plein essor, les nouvelles technologies sont effet devenues un véritable levier de performance. Mais leur adoption s’accompagne d’une hausse des risques de cybersécurité. La préoccupation est désormais de profiter des avantages de ces outils tout en protégeant leurs systèmes d’information.
C’est là qu’un test d’intrusion va aider à renforcer le niveau de sécurité, car il permet de vérifier le risque posé par des attaquants sur une cible donnée. Pour une entreprise logistique, il évaluera la sécurité des solutions web, des logiciels de contrôles, des capteurs intelligents, etc. face à des cyberattaques.
Quelles sont les priorités lors d’un test d’intrusion pour une entreprise du secteur logistique ?
Voici un panorama des enjeux de cybersécurité que nous rencontrons fréquemment et qui peuvent être des points d’attention spécifiques.