Lorsqu’un client accède à un site web, il communique avec le serveur via le protocole HTTP. Initialement textuel, ce protocole est devenu binaire avec HTTP/2, mais son fonctionnement repose toujours sur TCP.

Chaque échange commence par l’établissement d’une connexion entre le client et le serveur. Avec HTTP/1.0, cette connexion était fermée après chaque requête. Mais avec HTTP/1.1, le mode Keep-Alive est devenu la norme, permettant de maintenir la connexion ouverte pour plusieurs échanges successifs.

WebSocket est un protocole de communication bidirectionnel en temps réel, conçu pour un échange efficace de données entre un client (navigateur web, application) et un serveur.

Contrairement aux requêtes HTTP classiques, qui nécessitent d’ouvrir une nouvelle connexion à chaque échange, WebSocket établit une connexion persistante. Une fois activée, elle permet aux deux parties de transmettre des messages en continu, sans interruption.

Le clickjacking est une technique d’attaque discrète mais redoutable. Elle exploite l’interface utilisateur pour piéger les victimes en les poussant à interagir avec des éléments invisibles ou déguisés.

Un simple clic peut ainsi entraîner des actions non souhaitées : modification de paramètres, vol de compte, ou exécution d’un script malveillant.

L’injection d’objet (object injection) est une vulnérabilité applicative qui survient lorsqu’une application désérialise des données non fiables.

Si un attaquant parvient à injecter un objet malveillant, il peut en exploiter les propriétés pour exécuter du code arbitraire, voler des données, modifier le comportement de l’application ou encore manipuler des fichiers à distance. En d’autres termes, cette faille peut entraîner une compromission totale du système ciblé.

Les Blind SQL Injections (injections SQL aveugles) sont une catégorie d’injection SQL.

Contrairement à une injection SQL classique, elles ne fournissent pas directement les résultats des requêtes ou des messages d’erreur détaillés.

Le Kerberoasting est une attaque courante dans les environnements Active Directory. Elle s’appuie sur une faiblesse du protocole Kerberos, mais son exploitation nécessite des configurations spécifiques.

Dans cet article, nous expliquerons le principe et le fonctionnement de l’attaque Kerberoasting. Nous verrons comment identifier et exploiter un environnement vulnérable, ainsi que les méthodes pour s’en protéger.

Le langage XML, bien qu’ancien, reste largement utilisé, notamment dans le secteur bancaire. Si vous êtes pentester ou développeur, il est probable que vous croisiez du XML à un moment donné.

Ce format présente plusieurs vulnérabilités spécifiques, parmi lesquelles les injections XPath.