Objectif :

Ce test vise à qualifier la résistance d'un environnement par la simulation d'attaques qui porteront sur la couche applicative du portail.

Le spectre du test couvre les éléments suivants :

·         recherche de pages d'administration ou de test à l'aide d'outils,

·         collecte de l'ensemble des pages et extraction des pages contenant des formulaires,

·         étude du procédé de génération des identifiants de session,

·         test de vulnérabilité sur les mécanismes d'authentification (contournement par injection de code, compte par défaut, etc.), contournement de contrôle d'accès via des failles spécifiques liées aux applicatifs (exemple : IIS Webdav Unicode),

·         analyse de la robustesse des identifiants de sessions (cookie jsessionid), ces éléments sont analysés en récupérant plusieurs  milliers de valeurs (analyse statistique),

·         tentative de décryptage des données d'authentification (cookie, etc.) ;

·         détection de faille applicatives liées à la gestion des identifiants de sessions, cookie, mauvaise manipulation de paramètres, informations erronées (format de date incorrect, données typées, etc.) ;

·         rejeu et mélange d'éléments spécifiques (assertions, requêtes, etc.) ;

·         injection de code (XSS, SQL, LDAP, XML et HTML) dans l'interface Web ou dans les requêtes de type Web Services ;

·         manipulations de paramètres GET et POST ;

·         test du comportement de l'application (web services, paramètres spécifiques, cookies, requêtes applicatives) face à des cas de fonctionnement aux limites et non nominaux (fuzzing) ;

·         modification de signature de flux (si signature utilisée dans les flux) ;

·         identification des différentes entités utilisées mettant en œuvre les mécanismes d'interopérabilité ou de fédération ;

·         falsification des signatures de messages entre les entités (assertions, jetons d'authentification, etc.) ;

·         vérification de l'authentification forte bilatérale entre toutes les entités critiques.

Personne(s) concernée(s) :

Administrateur système, administrateur applicatif

Pré-requis :

Comptes applicatifs pour la réalisation des tests de vulnérabilités applicatives.

Périmètre (pour chaque test) :

Cette étude est dimensionnée pour un site web.

Méthodologie :

Cette prestation est composée de trois phases :

·         reconnaissance : récupération d'informations (optionnelle si cette partie se fait en boite blanche) ;

·         identification des failles présentes sur la cible testée ;

·         exploitation des failles.

Les tests sont réalisés à partir du référentiel suivant : « Testing Guide v3 » Testing Guide V3 de l'OWASP.

Résultats attendus :

Un rapport de synthèse décrivant :

·         l'analyse de la visibilité de l'application Web,

·         le recensement des vulnérabilités et leur classement,

·         les recommandations associées aux vulnérabilités découvertes avec :

·         les versions des outils utilisés,

·         les traces des attaques effectuées (fichier de sortie des outils utilisés, captures d'écrans, commandes utilisés, pages et code spécifique d'attaques, code source des exploits utilisés, vidéo flash, etc.)

·         la facilité d'exploitation des vulnérabilités.