Le cross-site scripting (XSS) est un type de vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 couramment rencontr\u00e9 dans les applications Web qui permet aux attaquants d'injecter des scripts malveillants dans les pages Web consult\u00e9es par d'autres utilisateurs. Ces scripts sont ensuite ex\u00e9cut\u00e9s par les navigateurs des utilisateurs sans m\u00e9fiance, entra\u00eenant un acc\u00e8s non autoris\u00e9, un vol de donn\u00e9es ou d'autres actions nuisibles. XSS est consid\u00e9r\u00e9 comme l'une des failles de s\u00e9curit\u00e9 des applications Web les plus r\u00e9pandues et les plus dangereuses, posant des risques importants tant pour les utilisateurs que pour les propri\u00e9taires de sites Web.<\/p>\n
Le concept de Cross-site scripting (XSS) remonte au milieu des ann\u00e9es 1990, lorsque le Web en \u00e9tait encore \u00e0 ses balbutiements. La premi\u00e8re mention de cette vuln\u00e9rabilit\u00e9 remonte \u00e0 une liste de diffusion de s\u00e9curit\u00e9 en 1996, dans laquelle RSnake soulignait les risques li\u00e9s au fait de permettre aux utilisateurs de soumettre des entr\u00e9es non filtr\u00e9es \u00e0 des sites Web, ce qui pourrait entra\u00eener l'ex\u00e9cution de code malveillant sur le navigateur de la victime.<\/p>\n
Les scripts intersites se produisent lorsqu'une application Web ne parvient pas \u00e0 nettoyer et \u00e0 valider correctement les entr\u00e9es des utilisateurs, ce qui permet aux attaquants d'injecter des scripts malveillants dans les pages Web consult\u00e9es par d'autres utilisateurs. Il existe trois principaux types d'attaques XSS\u00a0:<\/p>\n
XSS stock\u00e9\u00a0:<\/strong> Dans ce type d'attaque, le script malveillant est stock\u00e9 en permanence sur le serveur cible, souvent dans une base de donn\u00e9es, et est diffus\u00e9 aux utilisateurs qui acc\u00e8dent \u00e0 la page Web concern\u00e9e.<\/p>\n<\/li>\n XSS r\u00e9fl\u00e9chi\u00a0:<\/strong> Ici, le script malveillant est int\u00e9gr\u00e9 dans une URL ou une autre entr\u00e9e, et l'application Web le renvoie \u00e0 l'utilisateur sans validation appropri\u00e9e. La victime ex\u00e9cute sans le savoir le script en cliquant sur le lien manipul\u00e9.<\/p>\n<\/li>\n XSS bas\u00e9 sur DOM\u00a0:<\/strong> Ce type d'attaque XSS manipule le mod\u00e8le objet de document (DOM) d'une page Web. Le script malveillant n'est pas directement stock\u00e9 sur le serveur ni refl\u00e9t\u00e9 depuis l'application ; au lieu de cela, il est ex\u00e9cut\u00e9 dans le navigateur de la victime en raison d'un script c\u00f4t\u00e9 client d\u00e9fectueux.<\/p>\n<\/li>\n<\/ol>\n Pour comprendre le fonctionnement de XSS, d\u00e9composons la structure interne d'une attaque XSS typique\u00a0:<\/p>\n Point d'injection\u00a0:<\/strong> Les attaquants identifient les points vuln\u00e9rables de l'application Web cible o\u00f9 les entr\u00e9es des utilisateurs ne sont pas correctement nettoy\u00e9es ou valid\u00e9es. Les points d'injection courants incluent les champs de saisie, les URL et les en-t\u00eates HTTP.<\/p>\n<\/li>\n Charge utile malveillante\u00a0:<\/strong> L'attaquant cr\u00e9e un script malveillant, g\u00e9n\u00e9ralement en JavaScript, qui effectue l'action malveillante souhait\u00e9e, comme voler des cookies de session ou rediriger les utilisateurs vers des sites de phishing.<\/p>\n<\/li>\n Ex\u00e9cution:<\/strong> Le script contrefait est ensuite inject\u00e9 dans l'application vuln\u00e9rable via le point d'injection.<\/p>\n<\/li>\n Interaction de l'utilisateur:<\/strong> Lorsqu'un utilisateur sans m\u00e9fiance interagit avec la page Web compromise, le script malveillant est ex\u00e9cut\u00e9 dans son navigateur.<\/p>\n<\/li>\n Objectif de l'attaquant\u00a0:<\/strong> L'objectif de l'attaquant, selon la nature de l'attaque, peut inclure le vol d'informations sensibles, le d\u00e9tournement de sessions utilisateur, la propagation de logiciels malveillants ou la d\u00e9gradation de sites Web.<\/p>\n<\/li>\n<\/ol>\n Les principales fonctionnalit\u00e9s des scripts intersites incluent\u00a0:<\/p>\n Exploitation c\u00f4t\u00e9 client\u00a0:<\/strong> Les attaques XSS ciblent principalement le c\u00f4t\u00e9 client, tirant parti du navigateur Web de l'utilisateur pour ex\u00e9cuter des scripts malveillants.<\/p>\n<\/li>\n Divers vecteurs d\u2019exploitation\u00a0:<\/strong> XSS peut \u00eatre ex\u00e9cut\u00e9 via divers vecteurs, tels que des formulaires, des barres de recherche, des sections de commentaires et des URL.<\/p>\n<\/li>\n Niveaux de gravit\u00e9\u00a0:<\/strong> L\u2019impact des attaques XSS peut aller de pop-ups l\u00e9g\u00e8rement g\u00eanants \u00e0 de graves cons\u00e9quences telles que des violations de donn\u00e9es et des pertes financi\u00e8res.<\/p>\n<\/li>\n D\u00e9pendance \u00e0 la confiance des utilisateurs\u00a0:<\/strong> XSS exploite souvent la confiance que les utilisateurs accordent aux sites Web qu'ils visitent, car le script inject\u00e9 semble provenir d'une source l\u00e9gitime.<\/p>\n<\/li>\n Vuln\u00e9rabilit\u00e9s bas\u00e9es sur le contexte\u00a0:<\/strong> Diff\u00e9rents contextes, tels que HTML, JavaScript et CSS, ont des exigences d'\u00e9chappement uniques, ce qui rend cruciale une validation appropri\u00e9e des entr\u00e9es.<\/p>\n<\/li>\n<\/ol>\n Les attaques XSS sont class\u00e9es en trois types en fonction de leurs m\u00e9thodes d'ex\u00e9cution et de leurs impacts\u00a0:<\/p>\nLa structure interne du Cross-site scripting (XSS). Comment fonctionne le Cross-site scripting (XSS)<\/h2>\n
\n
Analyse des fonctionnalit\u00e9s cl\u00e9s du Cross-site scripting (XSS)<\/h2>\n
\n
Types de scripts intersites (XSS)<\/h2>\n