Cross-site scripting

directe par la publicité négative faite autour d'une sécurité insuffisante (cas du hameçonnage par exemple) ou perte indirecte par la baisse de confiance du public dans une société. Par exemple, les techniques répandues de defacing (une refonte d'un site web) permettent à une personne mal intentionnée de mettre en évidence des failles de sécurité sur un serveur web. Ces personnes peuvent aussi profiter de ces vulnérabilités pour diffuser de fausses informations sur son propriétaire (on parle alors

Titre du rapportTITRE DU RAPPORT Confidentiel – public – interne v1 A l’attention de : PRENOM NOM Titre du client SOCIETE CLIENT Votre interlocuteur : Prenom NOM <Role> Mail Tel Sommaire Maitriste documentaire DESCRIPTION Document RA – Rapport Audit CLIENT Objet Document de synthèse des résultats de l’audit Titre CLIENT-Audit Révision 1.0 Auteur Prénom NOM Etat Valide Diffusion Limité Liste de diffusion Nom Société Fonction Coordonnées NOM Prénom Exemple

domestique ou d’entreprise. De nombreux aspects concernant les grands systèmes informatiques ne sont pas abordés ici. Si le lecteur souhaite se faire une vision plus complète, il peut se référer à la méthode EBIOS, disponible gratuitement à partir du site de la DCSSI. Toutefois, le simple suivi des recommandations listées ci-après évitera bon nombre de catastrophes. © Groupe Eyrolles, 2005 Sans taboo - Sécuriser enfin son PC Erreurs d’utilisation Voir le chapitre 1. Comportement à risque

Trier par date d'ajout Trier par catégorie 2. Visualiser les différents produits Voir les informations sur le produit Ajouter le produit en panier Vérifier la disponibilité Ajouter un commentaire / une note 3. Gérer son panier Accéder au panier du site Modifier la quantité d'un produit Retirer un article du panier 4. Gérer ses commandes Accéder à la liste de ses commandes Supprimer une commande Effectuer une commande La maquette doit permettre au gestionnaire de : 1.Gérer les produits Ajouter

Juin 2005: Firewall (1) 15 mai 2005 Diapositive N°25 /27 MINISTÈRE DE LA DÉFENSE Les dangers Attaques applicatives: Man-in-the-Middle (DNS ou éventuellement ARP) DOS (Exploitation d'un BOF) DDOS (Pareil mais à plusieurs) SQL Injection Cross-Site Scripting Avez-vous de l'imagination ? CFI – Juin 2005: Firewall (1) 15 mai 2005 Diapositive N°26 /27 MINISTÈRE DE LA DÉFENSE Rappels Réseau Questions ? CFI – Juin 2005: Firewall (1) 15 mai 2005 Diapositive N°27 /27

pilotage. Le chiffrement des données qui transitent sur les réseaux est un élément essentiel de la sécurité. - Interface Web non sécurisée : 6 objets sur 10 présentaient des problèmes de sécurité quant à leur interface utilisateur tels que cross-site scripting, une mauvaise gestion de session, un niveau d’autorisation défaillant et/ou des données d’autorisation transmises en clair. - Protection du logiciel insuffisante : 60 % des objets n’utilisent pas de chiffrement à l’occasion de mise à jour

Mitnick [Protection contre le vol de session] Rootix [JAVA Remote Download and execute] t0fx [Balade avec la mémoire virtuelle] Homeostasie [Etude sur l'indetectabilité du serveur Bifrost] tr00ps [Visite guidée du kernel land] KPCR [Exploration in the cross territory] Xylitol [Remote internal phishing and location bar + ssl indicator falsification] 599eme Man [RTLO can be used into multiples spoofing cases] Jordi Chancel [Man Of the WiFi] Sh0ck [Firefox Maxlength patching],[protocols exploration],[mobile

sorties, ou presque, sont des entrées d'un autre programme Confiance mutuelle ? 15 / 31 Copyright Hervé Schauer Consultants 2000-2005 - Reproduction Interdite A.10.2.4 Output data validation Exemple typique dans les applications Web : le Cross Site Scripting (XSS ou exécution croisée de code) Un attaquant arrive à injecter du code JavaScript dans une page web qui sera renvoyée à la victime A partir d'un formulaire Typiquement « vos informations personnelles » Dans un forum Directement dans

Le logiciel se libère du PC et va vers les objets nomades… 3. Les technologies du web 2.0 Le Web 2.0 s’accompagne et est porté par le développement de nouvelles technologie comme le RSS (Really simple syndication ou Rich site summary) qui permet d’extraire d'un site web ou d’un blog du contenu régulièrement mis à jour ou encore l’AJAX (Asynchronous JavaScript And XML) méthode permettant d'économiser de la bande passante, en ne rechargeant pas une page entière mais en ne rafraîchissant que ces

CHAP I – GENERALITES SUR L’AUDIT ET LA SECURITE INotions sur les systèmes d’information Pour comprendre la notion de système d’information, nous allons prendre comme point de départ un site web. Des sites tels que celui de la présidence, le site d’informations d’un pays ou d’une institution bien organisée. En fait, ces sites web ne sont que la partie visible de l'iceberg. L'iceberg, ici, c'est le système d'information. Ce système reçoit et centralise des informations provenant de différentes sources