Attaques par manipulation d'URL

Introduction aux URL

L'URL (Uniform Resource Locator) d'une application web est le vecteur permettant d'indiquer la ressource demandée. Il s'agit d'une chaîne de caractères ASCII imprimables qui se décompose en cinq parties :

• Le nom du protocole : c'est-à-dire en quelque sorte le langage utilisé pour communiquer sur le réseau. Le protocole le plus largement utilisé est le protocole HTTP (HyperText Transfer Protocol), le protocole permettant d'échanger des pages Web au format HTML. De nombreux autres protocoles sont toutefois utilisables (FTP, News, Mailto, etc.)
• Identifiant et mot de passe : permet de spécifier les paramètres d'accès à un serveur sécurisé. Cette option est déconseillée car le mot de passe circule en clair dans l'URL
• Le nom du serveur : Il s'agit du nom de domaine de l'ordinateur hébergeant la ressource demandée. Notez qu'il est possible d'utiliser l'adresse IP du serveur.
• Le numéro de port : il s'agit d'un numéro associé à un service permettant au serveur de savoir quel type de ressource est demandée. Le port associé par défaut au protocole est le port numéro 80. Ainsi, lorsque le service Web du serveur est associé au numéro de port 80, la spécification du numéro de port est facultative.
• Le chemin d'accès à la ressource : Cette dernière partie permet au serveur de connaître l'emplacement auquel la ressource est située, c'est-à-dire de manière générale l'emplacement (répertoire) et le nom du fichier demandé.

Une URL possède la structure suivante :

Protocole	Mot de passe (facultatif)	Nom du serveur	Port (facultatif si 80)	Chemin
http://	user:password@	www.commentcamarche.net	:80	/glossair/glossair.php3

L'URL peut permettre de transmettre des paramètres au serveur en faisant suivre le nom de fichier par un point d'interrogation, puis de données au format ASCII. Une URL est ainsi une chaîne de caractères selon le format suivant :

http://www.commentcamarche.net/forum/index.php3?cat=1&page=2

Manipulation d'URL

En manipulant certaines parties d'une URL, un pirate peut amener un serveur web à délivrer des pages web auxquelles il n'est pas censé avoir accès.

En effet, sur les sites web dynamiques les paramètres sont la plupart passés au travers de l'URL de la manière suivante :

http://cible/forum/index.php3?cat=2

Les données présentes dans l'URL sont créées automatiquement par le site et lors d'une navigation normale un utilisateur ne fait que cliquer sur les liens proposés par le site web. Ainsi, si un utilisateur modifie manuellement le paramètre, il peut essayer différentes valeurs, par exemple :

http://cible/forum/index.php3?cat=6

Si le concepteur n'a pas anticipé cette éventualité, le pirate peut éventuellement obtenir un accès à un espace normalement protégé.

Par ailleurs, le pirate peut amener le site à traiter un cas inattendu, par exemple :

http://cible/forum/index.php3?cat=***********

Dans le cas ci-dessus, si le concepteur du site n'a pas prévu le cas où la donnée n'est pas un chiffre, le site peut entrer dans un état non prévu et révéler des informations dans un message d'erreur.

Tâtonnement à l'aveugle

Un pirate peut éventuellement tester des répertoires et des extensions de fichier à l'aveugle, afin de trouver des informations importantes. Voici quelques exemples classiques :

• Recherche de répertoires permettant d'administrer le site :

  http://cible/admin/
  http://cible/admin.cgi

• Recherche de script permettant de révéler des informations sur le système distant :

  http://cible/phpinfo.php3

• Recherche de copies de sauvegardes. L'extension .bak est généralement utilisée et elle n'est pas interprétée par défaut par les serveurs, ce qui peut aboutir à l'affichage d'un script :

  http://cible/index.php3.bak

• Recherche de fichiers cachés du système distant. Sous les systèmes UNIX, lorsque le répertoire racine du site correspond au répertoire d'un utilisateur, il se peut que des fichiers créés par le système soit accessibles par le web :

  http://cible/.bash_history
  http://cible/.htaccess

Traversement de répertoires

Les attaques dites « de traversement de répertoires » (en anglais directory traversal ou path traversal) consistent à modifier le chemin de l'arborescence dans l'URL afin de forcer le serveur à accéder à des sections du site non autorisées.

Dans un cas classique, l'utilisateur peut être amené à remonter progressivement l'arborescence, notamment dans le cas où la ressource n'est pas accessible, par exemple :

http://cible/base/test/ascii.php3
http://cible/base/test/
http://cible/base/

Sur les serveurs vulnérables, il suffit de remonter le chemin avec plusieurs chaînes du type « ../ » :

http://cible/../../../../repertoire/fichier

Des attaques plus évoluées consistent à encoder certains caractères :

• soit sous la forme d'encodage d'URL :

  http://cible/..%2F..%2F..%2Frepertoire/fichier

• soit avec une notation Unicode :

  http://cible/..%u2216..%u2216repertoire/fichier

De nombreux sites dynamiques passent le nom des pages à afficher en paramètre sous une forme proche de la suivante :

http://cible/cgi-bin/script.cgi?url=index.htm

Pour peu qu'aucun contrôle ne soit réalisé, il est possible pour un pirate de modifier l'URL manuellement afin de demander l'accès à une ressource du site auquel il n'a pas accès directement, par exemple :

http://cible/cgi-bin/script.cgi?url=script.cgi

Parades

Afin de sécuriser un serveur web contre les attaques par manipulation d'URL, il est nécessaire d'effectuer une veille sur les vulnérabilités et d'appliquer régulièrement les correctifs fournis par l'éditeur du serveur web.

Par ailleurs, une configuration minutieuse du serveur web permet d'éviter à un utilisateur de naviguer sur des pages auxquelles il n'est pas censé avoir accès. Le serveur web doit ainsi être configuré en suivant les consignes suivantes :

• Empêcher le parcours des pages situés en dessous de la racine du site web (mécanisme de chroot) ;
• Désactiver l'affichage des fichiers présents dans un répertoire ne contenant pas de fichier d'index (« Directory Browsing ») ;
• Supprimer les répertoires et fichiers inutiles (dont les fichiers cachés) ;
• S'assurer que le serveur protège l'accès des répertoires contenant des données sensibles ;
• Supprimer les options de configuration superflues ;
• S'assurer que le serveur interprète correctement les pages dynamiques, y compris les fichiers de sauvegarde (.bak) ;
• Supprimer les interpréteurs de scripts superflus ;
• Empêcher la consultation en mode HTTP des pages accessibles en HTTPS.