En g n ral, le but dun cheval de Troie est de cr er une porte d rob e (backdoor) pour quun pirate informatique puisse ensuite acc der facilement lordinateur ou le r seau informatique. Il peut aussi voler des mots de passe, copier des donn es, ex cuter des actions nuisibles.

3. Ling nierie sociale

Ling nierie sociale (social engineering en anglais) nest pas vraiment une attaque informatique, cest plut t une m thode pour obtenir des informations sur un syst me ou des mots de passe.

Elle consiste surtout se faire passer pour quelquun que lon est pas (en g n ral un des administrateurs du serveur que lon veut pirater) et de demander des informations personnelles (login, mots de passe, acc s, num ros, donn es&) en inventant un quelconque motif (plantage du r seau, modification de celui-ci&). Elle se fait soit au moyen dune simple communication t l phonique ou par courriel.

Exemple

un hacker qui se fait passer pour un technicien du support en appelant une secr taire pour lui demander le mot de passe d'ouverture de session sur son poste. Il s'agit l d'une usurpation d'identit .

<!-- Slide number: 7 -->

#

3. Le craquage des mots de passe

Le craquage consiste faire de nombreux essais jusqu trouver le bon mot de passe.

Il existe deux grandes m thodes :

Lutilisation de dictionnaires : le mot test est pris dans une liste pr d finie contenant les mots de passe les plus courants et aussi des variantes de ceux-ci ( lenvers, avec unchiffre la fin&). Les dictionnaires actuels contiennent dans les 50 000 mots et sont capables de faire une grande partie des variantes.

La m thode brute : toutes les possibilit s sont faites dans lordre jusqu trouver la bonne solution.

<!-- Slide number: 8 -->

Les attaques de modification

Une attaque de type modification consiste, pour un attaquant tenter de modifier des informations. Ce type dattaque est dirig contre lint grit de linformation.

Virus, ver, cheval de Troie

Il existe une grande vari t de virus. On peut cependant d finir un virus comme un programme cach dans un autre qui peut sex cuter et se reproduire en infectant dautres programmes ou dautres ordinateurs.

Les d g ts caus s vont du simple programme qui affiche un message l cran au programme qui formate le disque dur apr s s tre multipli . On ne classe cependant pas les virus dapr s

leurs d g ts mais selon leur mode de propagation et de multiplication :

Les vers capables de se propager dans le r seau;

Les chevaux de Troie cr ant des failles dans un syst me;

Les bombes logiques se lan ant suite un v nement du syst me;

Les canulars envoy s par mail.

<!-- Slide number: 9 -->

Les attaques par saturation

Les attaques par saturation consistent envoyer des milliers de messages depuis des dizaines d'ordinateurs, dans le but de submerger les serveurs d'une soci t , de paralyser pendant plusieurs heures son site Web et d'en bloquer ainsi l'acc s. Ces attaques visent la disponibilit des informations

bloquer l'acc s aux sites, sans en alt rer le contenu.

<!-- Slide number: 10 -->

#

Le flooding: Cette attaque consiste envoyer une machine de nombreux paquets IP de grosse taille. La machine cible ne pourra donc pas traiter tous les paquets et finira par se d connecter du r seau.

2. Le TCP-SYN flooding: variante du flooding qui sappuie sur une faille du protocole TCP .

En effet, on envoie un grand nombre de demande de connexions au serveur (SYN) partir de plusieurs machines. Le serveur va envoyer un grand nombre de paquet SYN-ACK et attendre en r ponse un paquet ACK qui ne viendra jamais. Si on envoie les paquets plus vite que le timeout des demi-connexion (connexions autoris es mais non termin ), le serveur sature et finit par se d connecter.

<!-- Slide number: 11 -->

#

3. Le smurf: sappuie sur le ping et les serveurs de broadcast . On falsifie dabord son adresse IP pour se faire passer pour la machine cible. On envoie alors un ping sur un serveur de broadcast. Il le fera suivre toutes les machines qui sont connect es qui renverront chacune un pong au serveur qui fera suivre la machine cible. Celle-ci sera alors inond e sous les paquets et finira par se d connecter.

<!-- Slide number: 12 -->

#

4. Le d bordement de tampon: Cette attaque se base sur une faille du protocole IP. On envoie la machine cible des donn es dune taille sup rieure la capacit dun paquet. Celui-ci sera alors fractionn pour lenvoi et rassembl par la machine cible. A ce moment, il y aura d bordement des variables internes.

Suite ce d bordement, plusieurs cas se pr sentent : la machine se bloque, red marre ou ce qui est plus grave, crit sur le code en m moire.

<!-- Slide number: 13 -->

Les attaques de r pudiation

La r pudiation est une attaque contre la responsabilit . Autrement dit, la r pudiation consiste tenter de donner de fausses informations ou de nier quun v nement ou une transaction se soient r ellement pass s.

1. Le IP spoofing

Cette attaque consiste se faire passer pour une autre machine en falsifiant son adresse IP. Elle est en fait assez complexe. Il existe des variantes car on peut spoofer aussi des adresses e-mail, des serveurs DNS ou NFS.

2. Le MAC spoofing:

La technique qui consiste usurper l'adresse MAC d'une machine autoris e

<!-- Slide number: 14 -->

Etude de quelques Attaques applicatives

Le Cross Site Scripting (XSS) est une attaque exploitant une faiblesse d'un site web qui valide mal ses param tres en entr e. Le principe de cette faille est dinjecter un code malveillant en langage de script dans un site web vuln rable, par exemple en d posant un message dans un forum qui redirige linternaute vers un faux site (phishing) ou qui vole des informations (cookies).

La faille XSS permet dex cuter des scripts du cot client.

<!-- Slide number: 15 -->

Exemple

Un utilisateur malfaisant envoie un courriel la victime.

Le courriel contient un script javascript

La victime se connecte l'application Webmail en entrant son code utilisateur et mot de passe

La connexion est s curis e par SSL

Le serveur envoie un cookie au client contenant un identificateur unique de session.

La session a une dur e de 20 minutes, pendant ce temps, le cookie est utilis pour authentifier l'utilisateur.

L'utilisateur lit le message malfaisant

Malheureusement, l'application affiche le message tel quel, sans le valider

Comme javascript est n cessaire pour utiliser le webmail, le javascript s'ex cute.

Le javascript acc de au cookie contenant la session, et redirige le client vers un autre serveur en envoyant celui-ci la session en param tre

Le serveur malfaisant re oit la session de la victime et redirige le client vers la page pr c dente

La victime remarque que l'interface utilisateur du webmail est disparue pendant deux secondes, mais ne s'inqui te pas.

L'utilisateur malfaisant a maintenant quelques minutes pour acc der au compte webmail et effectuer un vol d'identit

<!-- Slide number: 16 -->

#


<!-- Slide number: 17 -->

#

Contre mesures

Utiliser la fonction htmlspecialchars(), il convertit les caract res sp ciaux en entit s HTML.

Utiliser la fonction htmlentities() qui est identique htmlspecialchars() sauf quelle filtre tout les caract res equivalents au codage html ou javascript.

Utiliser strip_tags(), cette fonction supprime toutes les balises.

<!-- Slide number: 18 -->

CSRF (Cross Site Request Forgery) Falsification de requ te intersite

permet un attaquant de forcer ses victimes effectuer certaines actions sur un site cible, sans quelles sen aper oivent.

Une attaque CSRF implique toujours trois participants : une victime, un site de confiance et un site malveillant.

Cest une attaque qui exploite la confiance dun serveur envers les client qui sy connectent. La victime maintient une session active avec le site de confiance tandis quelle visite le site malveillant.

Les tapes de lattaque sont les suivantes :

1. la victime sauthentifie (l gitimement) sur le site de confiance et tablit une session;

2. le site de confiance stocke lidentifiant de session dans un cookie du navigateur de la victime;

3. la victime visite le site malveillant;

4. la page web du site malveillant envoie une requ te vers le site de confiance depuis le navigateur de la victime;

5. le navigateur de la victime associe son cookie cette requ te vers le site de confiance quil conna t;

6. le site de confiance ex cute la requ te forg e par lattaquant en pensant quil sagit dune demande normale de la victime.

<!-- Slide number: 19 -->

#


<!-- Slide number: 20 -->

#

Solutions

Demander des confirmations l'utilisateur pour les actions critiques, au risque d'alourdir l'encha nement des formulaires.

Demander une confirmation de l'ancien mot de passe l'utilisateur pour changer celui-ci ou changer l'adresse mail du compte.

Utiliser des jetons de validit dans les formulaires : faire en sorte qu'un formulaire post ne soit accept que s'il a t produit quelques minutes auparavant : le jeton de validit en sera la preuve. Le jeton de validit doit tre transmis en param tre et v rifi c t serveur.

viter d'utiliser des requ tes HTTP GET pour effectuer des actions : cette technique va naturellement liminer des attaques simples bas es sur les images, mais laissera passer les attaques fond es sur JavaScript, lesquelles sont capables tr s simplement de lancer des requ tes HTTP POST.

Effectuer une v rification du r f rent dans les pages sensibles : conna tre la provenance du client permet de s curiser ce genre d'attaques. Ceci consiste bloquer la requ te du client si la valeur de son r f rent est diff rente de la page d'o il doit th oriquement provenir.

<!-- Slide number: 21 -->

#

Injection SQL

consiste modifier une requ te SQL en injectant des morceaux de code non-filtr s, g n ralement par le biais d'un formulaire.

si le concepteur n'effectue aucun contr le sur les param tres pass s dans la requ te SQL, il est possible un pirate de modifier la requ te afin d'acc der l'ensemble de la base de donn es, voire en modifier le contenu.

Exemple: Une requ te SQL classique pour la v rification de mots de passe est SELECT * from admins WHERE login='$login' AND password='$password

Imaginons que nous envoyons comme pseudo ' OR 1=1#

La requ te devient SELECT * from admins WHERE login='' OR 1=1

(ce qui renverra toutes les lignes de la base de donn es)

<!-- Slide number: 22 -->

#

Parades

V rifier le format des donn es saisies et notamment la pr sence de caract res sp ciaux ;

Ne pas afficher de messages d'erreur explicites affichant la requ te ou une partie de la requ te SQL.

Supprimer les comptes utilisateurs non utilis es, notamment les comptes par d faut ;

Eviter les comptes sans mot de passe ;

Restreindre au minimum les privil ges des comptes utilis s ;

Supprimer les proc dures stock es ;