Quels sont les types les plus courants d`attaque sur les serveurs web?

Un attaquant malveillant a de nombreuses méthodes à sa disposition pour compromettre les serveurs Web. Les applications Web nécessitent un certain nombre d`applications entrecroisées pour fonctionner correctement. Cela signifie que l`administrateur du serveur Web doit surveiller les bases de données, langages de balisage étendues, les interprètes de script et bien plus encore. Chaque site Web en cours d`exécution sur un serveur Web a le potentiel, par le codage, pour compromettre le serveur. Les attaques sont larges et nombreux, mais ils tombent tous dans des catégories similaires.

Cross-Site Scripting

Cross-site scripting, selon la sécurité White Hat, est le problème le plus courant sur les sites Web, avec plus de 80 pour cent des sites étant vulnérables. XSS permet aux pirates d`exécuter du code arbitraire sur un autre client ou le serveur, selon la disposition de l`attaque. Le problème de XSS se pose lorsque les chaînes d`entrée, dans des boîtes de recherche ou formes, ne sont pas correctement filtrées pour éliminer les caractères illégaux. Sur présentation d`un formulaire, une chaîne nonsanitized peut échapper au code de la forme et exécuter son propre code, hébergé sur un autre site, d`exploiter la machine cliente.

injection SQL

SQL est le langage de base de données la plus couramment utilisée conjointement avec les serveurs Web. les bases de données SQL magasin et servent de grandes quantités d`informations sur les utilisateurs, y compris les noms d`utilisateur, mots de passe et des informations financières. Comme XSS, une attaque par injection SQL repose sur des chaînes non assainies pour injecter une requête SQL dans la base de données, soit l`insertion d`une nouvelle demande d`information ou de courant. Cela peut conduire à des dizaines de noms d`utilisateurs énumérés, la première étape pour compromettre un compte d`utilisateur.

Les attaques Brute Force

L`attaque de force brute, qui ne nécessite pas beaucoup de connaissances techniques pour accomplir, est la raison pour laquelle la plupart des sites sont conçus pour verrouiller un nom d`utilisateur avec cinq ou plusieurs tentatives de mot de passe a échoué. Dans une attaque de force brute, un attaquant passe par une liste de mots de passe pour un nom d`utilisateur donné, essayant de deviner la bonne. Cela se fait souvent avec un fichier dictionnaire, traiteur au vecteur d`attaque du hacker, qui peut deviner plus rapidement les mots de passe de l`utilisateur. Un autre angle d`attaque de force brute est la devinette de la réponse à la question de la sécurité d`un utilisateur. Cela se produit quand un attaquant rassemble suffisamment d`informations sur l`utilisateur qu`elle peut deviner avec précision une ou plusieurs des réponses aux questions de sécurité de l`utilisateur et changer le mot de passe de compte.

Débordement de tampon

Un dépassement de mémoire tampon est un problème d`application et de programmation qui peuvent conduire à des violations de sécurité. Buffer débordements se produisent lorsque les dépassements de tampon de mémoire d`une application, l`entrée d`écriture dans la mémoire en dehors des limites de la mémoire tampon. Cela provoque des applications à se détraquer, ce qui permet souvent l`exécution de code arbitraire sur le système et parfois, si elle est exécutée correctement, laissant tomber les attaquants directement dans une console système. Les dépassements de tampons sont en grande partie un problème de serveur et moins d`une application Web un, ce qui signifie des mises à jour régulières éliminera en grande partie le problème.

Les références

• lien Web Application Security Microsoft- Fundamentals- Meier et J.D. al.- Juin 2003
• lien Symantec- Cinq applications Web commun Sumit Siddharth et vulnérabilités, Pratiksha Doshi- Avril 2006
• lien White Hat Site Sécurité- Sécurité Whitepaper- Jérémie Grossman- Juin 2007

A propos de l`auteur

Chad Anderson a commencé à écrire professionnellement en 2009. Il contribue principalement des articles sur la technologie et les sujets en plein air pour les différents sites. Ses domaines d`intérêt comprennent Linux et des logiciels libres ainsi que le cyclisme et d`autres sports de plein air. Anderson est titulaire d`un baccalauréat ès arts en littérature anglaise de l`Université du Nevada à Reno.