Les développeurs conquièrent la sécurité : Série Partage & Apprentissage - Injection de code

Les attaques par injection de code comptent parmi les menaces les plus courantes et les plus dangereuses auxquelles les sites web et les applications sont confrontés. Elles varient considérablement en termes de sophistication et de risques, mais presque tout site ou application acceptant des saisies utilisateur peut s'avérer vulnérable. En réalité, ce type d'attaque est une menace à laquelle presque tout expert en cybersécurité devra faire face à un moment ou à un autre de sa carrière, et probablement à plusieurs reprises.

Une attaque par injection de code peut survenir dès qu'une application ou un site web accepte des données saisies par les utilisateurs. Cela peut être aussi simple qu'une fonction de recherche ou un champ demandant à l'utilisateur de saisir ses informations d'identification. L'attaque se produit lorsqu'un utilisateur malveillant insère du code dans le champ ouvert au lieu du texte attendu. Son objectif est que le serveur interprète cette saisie comme du code valide, puis exécute les fonctions souhaitées par l'attaquant.

Bien que les attaques par injection de code soient extrêmement fréquentes, il existe également de nombreuses défenses pour les contrer. Dans cet épisode, nous aborderons :

• Leur fonctionnement
• Pourquoi ils sont si dangereux
• Comment mettre en place des défenses pour les contrer.

Comment les attaquants utilisent-ils l'injection de code ?

Bien que les détails spécifiques des attaques par injection de code varient selon le langage de programmation utilisé, toute application ou tout site web peut être vulnérable dès lors qu'il permet à un utilisateur de saisir des données. Des attaques par injection de code ont été observées sur SQL, HTML, XML, CSS et tous les autres langages de programmation courants.

Tout d'abord, un attaquant doit localiser du code vulnérable au sein d'une application, généralement à un endroit où les utilisateurs sont autorisés à saisir leurs propres données. Par exemple, ce code utilise la fonction PHP eval() et la transmet à un utilisateur pour modification, sans aucune validation de la chaîne renvoyée.

$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");

Un attaquant astucieux pourrait facilement ajouter sa propre chaîne à la fonction eval, allant jusqu'à exécuter des commandes système s'il le souhaite.

/index.php?arg=1; system(id)

Il est important de noter que si les attaques par injection de code peuvent impliquer l'envoi de commandes système, elles ne s'y limitent pas. En fait, avec les attaques par injection de code, les pirates ne sont limités que par les fonctionnalités du langage lui-même. Dans notre exemple, un attaquant pourrait programmer le système ciblé pour effectuer presque n'importe quelle action autorisée par le framework PHP.

Pourquoi les attaques par injection de code sont-elles si dangereuses ?

Les attaques par injection de code sont potentiellement extrêmement dangereuses selon les compétences de l'attaquant. Elles permettent d'exécuter tout ce que le langage de programmation autorise, ce qui place l'attaquant sur un pied d'égalité avec les développeurs de l'application. Un attaquant pourrait pratiquement écrire sa propre application et l'exécuter au sein de l'environnement cible.

Même les attaquants moins qualifiés peuvent être dangereux. Au lieu d'écrire leur propre application ou leurs propres chaînes de code, ils peuvent simplement ordonner au système ciblé d'accepter et d'installer des logiciels malveillants préprogrammés. Cela peut conduire au défigurement de sites, à des attaques par rançongiciel ou même servir de base à une campagne de phishing visant les utilisateurs du site.

La plupart du temps, les attaques par injection de code sont utilisées pour dérober des éléments tels que des listes d'utilisateurs et des mots de passe, ou pour obtenir des renseignements précieux sur un système en vue d'une compromission ultérieure. Mais attention, un développeur qualifié peut faire presque tout ce qu'il veut avec une attaque par injection de code ; c'est pourquoi il est crucial que chaque instance potentielle soit découverte et éliminée de votre environnement.

Ne faites confiance à personne ! (Ou du moins, pas aux utilisateurs)

Pour éliminer les vulnérabilités liées aux attaques par injection de code, la première chose à faire est d'examiner tous les points qui demandent ou autorisent une saisie utilisateur. Rien de ce qui est saisi par un utilisateur ne doit être considéré comme fiable, en aucune circonstance. Si vous autorisez la saisie utilisateur sans filtrage ni examen, vous invitez essentiellement les attaquants à tenter de compromettre votre système, voire votre réseau.

Bien que cela ne soit pas toujours possible, la meilleure façon de contrer les attaques par injection de code est d'empêcher les fonctions d'exécuter ou d'interpréter directement les saisies utilisateur. Il est peut-être possible de proposer aux utilisateurs des options statiques plutôt que de leur laisser toute liberté pour saisir leurs propres requêtes, l'application étant programmée pour n'accepter que ces choix limités comme valides. Ce n'est pas toujours approprié, mais l'utiliser là où c'est possible peut éliminer les injections de code avant même qu'elles ne surviennent.

Dans les zones où les utilisateurs doivent saisir leurs propres données, des contrôles stricts doivent être mis en place. Partir du principe que tout est une attaque potentielle est un bon point de départ. L'application de politiques de moindre privilège, comme l'accès utilisateur en lecture seule, tant côté client que côté serveur, peut empêcher l'exécution de la plupart des codes.

L'autre bonne défense consiste à mettre en œuvre des filtres et une désinfection à l'échelle de l'application sur toutes les saisies utilisateur. Les développeurs connaissent les attaques par injection de code depuis des années, et des bibliothèques de filtres éprouvés existent pour chaque framework et langage. Lors de l'application de ces filtres, veillez à ne pas vous limiter aux zones de saisie évidentes ou aux paramètres courants comme les commandes Get et Post, mais à les appliquer également aux cookies et aux en-têtes HTTP.

Appliquer une correction pour l'injection de code

Supprimer les zones de saisie utilisateur inutiles, appliquer les principes de moindre privilège et utiliser les outils de filtrage et de désinfection les plus récents pour inspecter et détecter les attaques potentielles peut fermer la porte à cette vulnérabilité dangereuse. Adopter une mentalité de méfiance systématique envers les saisies utilisateur vous sera également utile à l'avenir. En faisant tout cela, vous garderez une longueur d'avance sur ce type d'attaque dangereux.

Pour aller plus loin, vous pouvez consulter l'article de l'OWASP sur l'injection de code. Vous pouvez également mettre vos nouvelles connaissances défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la lutte contre cette vulnérabilité et une galerie d'autres menaces, visitez le blog de Secure Code Warrior.

Affrontez l'injection de code dès maintenant. Relevez le défi sur notre plateforme de formation ludique : [Commencer ici]