Manipulation d’URL | Vulnérabilités des applications web

L’URL (Uniform Resource Locator) d’une application web est le vecteur permettant d’indiquer la ressource demandée. Il s’agit d’une chaîne de caractères (ASCII) imprimables qui se décompose en cinq parties :

1. Le nom du protocole : c’est-à-dire en quelque sorte le langage utilisé pour communiquer sur le réseau. Le protocole le plus largement utilisé est le protocole HTTP (HyperText Transfer Protocol), le protocole permettant d’échanger des pages web au format HTML. De nombreux autres protocoles sont toutefois utilisables (FTP , News, Mailto, etc.).

2. Identifiant et mot de passe : permet de spécifier les paramètte d’accès à un serveur sécurisé. Cette option est déconseillée car le mot de passe circule en clair dans l’URL.

3. Le nom du serveur : il s’agit du nom de domaine de l’ordinateur hébergeant la ressource demandée. Notez qu’il est possible
   d’utiliser l’adresse IP du serveur.

4. Le numéro de port : il s’agit d’un numéro associé à un service permettant au serveur de savoir quel type de ressource est demandée. Le port associé par défaut au protocole est le port numéro 80. Ainsi, lorsque le service web du serveur est associé au numéro de port 80, la spécification du numéro de port est facultative.

5. Le chemin d’accès à la ressource : cette dernière partie permet au serveur de connaître l’emplacement auquel la ressource est située, c’est-à-dire de manière générale l’emplacement (répertoire) et le nom du fichier demandé.

L’URL peut permettre de transmettre des paramètres au serveur en faisant suivre le nom de fichier par un point d’interrogation, puis de données au format ASCII. Une URL est ainsi une chaîne de caractères selon le format suivant :
http://www.commentcamarche.net/forum/index.php3?cat=1&page=2

Falsification manuelle

En manipulant certaines parties d’une URL, un pirate peut amener un serveur web à délivrer des pages web auxquelles le pirate n’est pas
censé avoir accès.

En effet, sur les sites web dynamiques les paramètres sont la plupart passés au travers de l’URL de la manière suivante :
http://cible/forum/index.php3?cat=2

Les données présentes dans l’URL sont créées automatiquement par le site et lors d’une navigation normale un utilisateur ne fait que cliquer sur les liens proposés par le site web.

Ainsi, si un utilisateur modifie manuellement le paramètre, il peut essayer différentes valeurs, par exemple :
http://cible/forum/index.php3?cat=6

Si le concepteur n’a pas anticipé cette éventualité, le pirate peut éventuellement obtenir un accès à un espace normalement protégé.

Par ailleurs, le pirate peut amener le site à traiter un cas inattendu, par exemple :
http://cible/forum/index.php3?cat=***********

Dans le cas ci-dessus, si le concepteur du site n’a pas prévu le cas où la donnée n’est pas un chiffre, le site peut entrer dans un état non
prévu et révéler des informations dans un message d’erreur.

Tâtonnement à l’aveugle

Un pirate peut éventuellement tester des répertoires et des extension de fichier à l’aveugle, afin de trouver des informations importantes.

Voici quelques exemples classiques :

Recherche de répertoires permettant d’administrer le site :

http://cible/admin/
http://cible/admin.cgi

Recherche de script permettant de révéler des informations sur le système distant :
http://cible/phpinfo.php3

Recherche de copies de sauvegardes.
L’extension .bak est généralement utilisée et elle n’est pas interprétée par défaut par les serveurs, ce qui peut aboutir à l’affichage d’un script :
http://cible/index.php3.bak

Recherche de fichiers cachés du système distant. Sous les systèmes Unix, lorsque le répertoire racine du site correspond au répertoire d’un utilisateur, il se peut que des fichiers créés par le système soient accessibles par le Web :

http://cible/.bash_history
http://cible/.htaccess

Traversement de répertoires

Les attaques dites « de traversement de répertoires » (directory traversal ou path traversal) consistent à modifier le chemin de l’arborescence dans l’URL afin de forcer le serveur à accéder à des sections du site non autorisées.

Dans un cas classique, l’utilisateur peut être amené à remonter progressivement l’arborescence, notamment dans le cas où la ressource n’est pas accessible, par exemple:

http://cible/base/test/ascii.php3
http://cible/base/test/
http://cible/base/

Sur les serveurs vulnérables, il suffit de remonter le chemin avec plusieurs chaînes du type «../» :
http://cible/../../../../repertoire/fichier

Des attaques plus évoluées consistent à encoder certains caractères :

➤ soit sous la forme d’encodage d’URL :
http://cible/..%2F..%2F..%2Frepertoire/fichier

➤ soit avec une notation Unicode :
http://cible/..%u2216..%u2216repertoire/fichier

De nombreux sites dynamiques passent le nom des pages à afficher en paramètre sous une forme proche de la suivante :
http://cible/cgi-bin/script.cgi?url=index.htm

Pour peu qu’aucun contrôle ne soit réalisé, il est possible pour un pirate de modifier l’URL manuellement afin de demander l’accès à une ressource du site auquel il n’a pas accès directement, par exemple :
http://cible/cgi-bin/script.cgi?url=script.cgi

—-

sécuriser le serveur contre les attaques

Afin de sécuriser un serveur web contre les attaques par manipulation d’URL, il est nécessaire d’effectuer une veille sur les vulnérabilités et d’appliquer régulièrement les correctifs fournis par l’éditeur du serveur web.

Le serveur web doit ainsi être configuré en suivant les consignes suivantes :

• Empêcher le parcours des pages situés en dessous de la racine
  du site web (mécanisme de chroot).
• Désactiver l’affichage des fichiers présents dans un répertoire ne contenant pas de fichier d’index (directory browsing).
• Supprimer les répertoires et fichiers inutiles (dont les fichiers cachés).
• S’assurer que le serveur protège l’accès des répertoires contenant des données sensibles.
• Supprimer les options de configuration superflues.
• S’assurer que le serveur interprète correctement les pages dynamiques, y compris les fichiers de sauvegarde (.bak)
• Supprimer les interpréteurs de scripts superflus.
• Empêcher la consultation en mode HTTP des pages accessibles en HTTPS.

---

2025 @cyberhunter