La sécurité web
Les attaques que tout service web doit savoir repousser : injection SQL, XSS, CSRF, vol de session, mots de passe mal stockés, et les protections qui marchent vraiment. Mécanismes, mises en situation et parades, chaque réponse expliquée.
- 34 cartes
- 4 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Injections
- XSS
- CSRF et sessions
- Mots de passe et droits
Quelques cartes du deck
Que désigne « injection SQL » ?
Voir la réponse
Une attaque où des données envoyées par l'utilisateur sont interprétées comme du code SQL
Elle survient quand une requête est construite en collant du texte venu de l'extérieur : l'attaquant peut alors lire, modifier ou supprimer des données.
Quelle est la vraie parade contre l'injection SQL ?
- Les requêtes paramétrées, où les données sont transmises à part du code SQL
- Supprimer les apostrophes des champs
- Cacher les messages d'erreur
- Limiter la longueur des champs
Voir la réponse
Les requêtes paramétrées, où les données sont transmises à part du code SQL
Avec des paramètres, la base sait que la valeur est une donnée et jamais du code, quoi qu'elle contienne. Filtrer des caractères à la main laisse toujours passer un cas.
Une attaque où des données envoyées par l'utilisateur sont interprétées comme du code SQL : comment s'appelle cette notion ?
Voir la réponse
injection SQL
Elle survient quand une requête est construite en collant du texte venu de l'extérieur : l'attaquant peut alors lire, modifier ou supprimer des données.
Un champ de recherche construit sa requête en collant le texte saisi. Un attaquant tape « ' OR '1'='1 ». Que risque-t-il de se passer ?
- La condition devient toujours vraie et la requête renvoie toutes les lignes
- La recherche ne renvoie rien
- Le serveur se met à jour
- Le navigateur se ferme
Voir la réponse
La condition devient toujours vraie et la requête renvoie toutes les lignes
Le texte ferme la chaîne et ajoute une condition toujours vraie : la requête ne filtre plus rien. Des variantes permettent de lire d'autres tables.