💣 Labo – Attaque XSS!

Dans ce labo, vous continuerez à appliquer les meilleures pratiques pour sécuriser un serveur web nginx sur serveurprof.com. Commencez par vous familiariser avec nginx en lisant ce court tutoriel.

Vous êtes prêts? Allons-y! Pour ce labo, vous n’aurez pas besoin de machine virtuelle. Le serveur nginx est déjà installé sur serveurprof.com et vous ferez toutes les manipulations directement sur le serveur. Vous pouvez ouvrir un terminal avec la combinaison des touches CTRL+ALT+T. Attention, il y aura des manipulations semblables à effectuer pour l’examen pratique de la semaine 14 et vous n'aurez pas droit à Internet. Notez toutes vos manipulations et commandes et faites la remise sur Moodle. Assurez-vous de bien comprendre ce que vous faites.

Connectez-vous maintenant en SSH à serveurprof.com avec vos identifiants.

Voici aussi un rappel des commandes disponibles pour contrôler nginx dans le conteneur Podman :

Si vous obtenez un message d’erreur 403 Forbidden lorsque vous ouvrez la page web, c’est que vous devez modifier les permissions du répertoire public_html pour permettre la lecture et l’exécution du répertoire et les sous-répertoires pour tout le monde.

Dans votre répertoire home, vous trouverez les fichiers login.html et recherche.php. Copiez ces deux fichiers dans le répertoire public_html. Attention de bien régler les permissions des fichiers.

Étape 1 – Attaque XSS

Le script PHP qui permet d’effectuer une recherche n’est pas sécurisé. Ouvrez la page dans votre navigateur et effectuez une attaque XSS en injectant le script suivant dans le champ de recherche :

<script>alert("hacked!")</script>

Appuyez le bouton Rechercher et assurez-vous que la fenêtre contextuelle d'alerte s'affiche bien.

De quel type d’attaque XSS s’agit-il?

Modifiez maintenant le fichier recherche.php pour que la requête soumise par l’utilisateur soit «nettoyée» avant d’être affichée.

Une fois vos modifications effectuées, vérifiez qu'il n'est plus possible d'effectuer cette même attaque.

Modifiez également la configuration nginx pour que seuls les scripts provenant du même hôte puissent être exécutés à l'aide d'un Content Security Policy. De cette façon, un attaquant ne pourra pas injecter un script provenant d’un domaine autre que serveurprof.com.

Étape 2 – Attaque clickjacking

Ouvrez maintenant le fichier login.html dans votre navigateur. Inspectez la source de la page en cliquant droit avec la souris et en sélectionnant Code Source de la page dans le menu contextuel. Regardez de plus près le code html du formulaire de connexion.

Comment un attaquant récupère-t-il vos informations de login?

Modifiez la configuration du serveur pour que seuls les iframe provenant du même domaine puissent être chargés. Ajoutez la règle au Content Security Policy créé à l'étape 1.

Étape 3 - Masquer la version de nginx

Lorsque votre serveur répond à une requête HTTP, il expose la version de nginx installée sur le serveur. Cela donne des informations précieuses à un éventuel attaquant. Il pourrait exploiter une faille de sécurité connue dans la version de votre serveur, surtout si celui-ci n'a pas été mis à jour depuis un certain temps.

Dans un premier temps, identifiez la version de votre serveur nginx. Pour se faire, ouvrez d'abord l'URL suivant (n'importe quel URL valide de votre site fera l'affaire) :

https://serveurprof.com:<no de port>/

Cliquez droit avec la souris n'importe où sur la page et sélectionnez l'option Inspecter du menu déroulant. Cela ouvrira les outils de développeur. Cliquez l'onglet Réseau. Rechargez maintenant la page. Cliquez le premier élément affichant / comme fichier. À droite se trouve une fenêtre donnant les informations sur la requête effectuée. Trouvez les en-têtes de réponse. L'étiquette Server: expose la version de votre serveur nginx.

Quelle est la version du serveur?

Vous devez maintenant trouver la bonne directive à ajouter à votre configuration nginx afin de masquer la version du serveur. Une fois que vous aurez effectué la modification et rechargé le serveur, consultez à nouveau la page et trouvez l'étiquette Server:. Si vous avez réussi, la version de nginx ne s'affiche plus.

Bravo! Vous avez terminé le labo!