Liste des classes de menaces
La classification des menaces par le consortium WASC est un travail coopératif visant à classifier les failles et les attaques pouvant rendre vulnérable un site Web, ses données ou ses utilisateurs. Vous trouverez plus de détails sur la classification des menaces par le consortium WASC sur le site suivant :http://projects.webappsec.org/w/page/13246978/Threat%20Classification
Dans AppScan Standard, les classifications de menaces WASC ne sont pas toutes utilisées, et il existe des classifications supplémentaires (par exemple, falsification de requête côté serveur), qui n'ont pas de classification WASC.
Classe de menace | Description |
---|---|
catAbuseOfFunctionality | Technique d'attaque qui utilise les caractéristiques et fonctionnalités d'un site Web pour se servir des mécanismes de contrôle d'accès, les utiliser de façon frauduleuse ou les faire échouer. |
catApplicationMisconfiguration | Ces attaques tirent parti des failles de configuration détectées dans les applications Web. |
catPrivacy | Informations sensibles stockées sur le disque en texte en clair. |
catQuality | Les erreurs de configuration ou les failles d'un mécanisme de sécurité peuvent provoquer des conséquences désastreuses. |
catBruteForce | Processus automatique par tâtonnement pour deviner le nom d'utilisateur, le mot de passe, le numéro de carte de crédit ou une clé cryptographique. |
catBufferOverflow | Attaques qui altèrent le flux d'une application en écrasant des parties de la mémoire avec des données dépassant la taille allouée à la mémoire tampon. |
catContentSpoofing | Technique d'attaque utilisée pour tromper un utilisateur et lui faire croire que le contenu qui apparaît sur un site Web est légitime et ne provient pas d'une source externe. |
catCredentialSessionPrediction | Méthode de détournement ou d'usurpation d'identité pratiquée à l'encontre d'un utilisateur de site Web en déduisant ou devinant la valeur unique qui identifie une session ou un utilisateur spécifiques. |
catCrossSiteRequestForgery | Attaque qui consiste à forcer une victime à envoyer une requête HTTP vers une destination cible, sans qu'elle n'en aie ni connaissance ni intention, afin d'effectuer une action en se faisant passer pour la victime. |
catCrossSiteScripting | Technique d'attaque qui force un site Web à relayer le code exécutable fourni par le pirate, qui se charge dans le navigateur de l'utilisateur. |
catDenialOfService | Technique d'attaque destinée à empêcher un site Web de fournir le service normal aux utilisateurs. |
catDirectoryIndexing | L'indexation automatique de répertoire est une fonction de serveur Web qui liste tous les fichiers du répertoire demandé si le fichier de base normal (index.html/home.html/default.htm) n'est pas présent. Des vulnérabilités logicielles combinées à une demande Web spécifique peuvent occasionner un listage involontaire des répertoires. |
catFingerprinting | La méthodologie la plus couramment utilisée par les pirates consiste d'abord à observer la présence internet de la cible et de rassembler le plus d'informations possible. Avec ces informations, l'agresseur peut développer un scénario d'attaque précis, qui exploitera efficacement une vulnérabilité du type ou de la version du logiciel utilisé par l'hôte cible. |
catFormatStringAttack | Attaques qui altèrent le flux d'une application en utilisant des fonctions de bibliothèque de formatage de chaîne pour accéder à davantage d'espace mémoire. |
catHTTPRequestSmuggling | Technique d'attaque qui utilise les incohérences dans l'analyse des demandes HTTP non conformes à RFC entre deux périphériques HTTP pour faire passer une demande au deuxième périphérique "au travers" du premier. |
catHTTPRequestSplitting | Le fractionnement de demande HTTP est une attaque qui force le navigateur à envoyer des demandes HTTP arbitraires, ce qui met en oeuvre la technique cross-site scripting (XSS) et empoisonne le cache du navigateur. |
catHTTPResponseSmuggling | La dissimulation de réponses HTTP est une technique permettant de "faire passer" 2 réponses HTTP d'un serveur à un client, via un périphérique HTTP intermédiaire qui attend (ou permet) une réponse unique du serveur. |
catHTTPResponseSplitting | Le fractionnement de réponse HTTP est la capacité du pirate à envoyer une seule demande HTTP qui force le serveur Web à former un flux de sortie qui est ensuite interprété par la cible comme étant deux réponses HTTP au lieu d'une. |
catImproperFilesystemPermissions | Menace pour la confidentialité, l'intégrité et la disponibilité d'une application Web. Le problème survient lorsque des droits d'accès incorrects au système de fichiers sont définis sur des fichiers, dossiers et liens symboliques. |
catImproperInputHandling | L'une des failles les plus courantes identifiées à l'heure actuelle parmi les applications. Une entrée mal gérée est la principale cause responsable de vulnérabilités critiques existant dans les systèmes et les applications. |
catImproperOutputHandling | Si une application dispose d'un traitement incorrect des sorties, les données sortantes peuvent conduire à des vulnérabilités et des actions que le développeur de l'application n'avait pas prévues. |
catInformationLeakage | Faille d'une application dans laquelle cette dernière révèle des données sensibles, telles que des détails techniques de l'application Web, des informations sur l'environnement ou des données spécifiques à l'utilisateur. |
catInsecureIndexing | Menace pour la confidentialité des données du site Web. L'indexation de contenus de site Web par un processus ayant accès à des fichiers qui ne sont pas censés être accessibles publiquement constitue une fuite potentielle d'informations concernant l'existence de tels fichiers et leur contenu. Dans le processus d'indexation, ces informations sont recueillies et stockées par le processus d'indexation, et peuvent être récupérées plus tard par un agresseur déterminé, généralement au moyen d'une série de requêtes sur le moteur de recherche. |
catInsufficientAntiAutomation | Lorsqu'un site Web permet à un pirate d'automatiser un processus qui devrait uniquement être exécuté manuellement. |
catInsufficientAuthentication | Un site Web autorise un pirate à accéder à un contenu ou à une fonctionnalité sensible sans avoir à s'authentifier correctement. |
catInsufficientAuthorization | Se produit lorsqu'un site Web autorise l'accès à du contenu ou à une fonctionnalité sensible qui nécessite un contrôle d'accès accru. |
catWeakPasswordRecoveryValidation | Lorsqu'un site Web permet à un pirate d'obtenir, de modifier ou de récupérer illégalement le mot de passe d'un autre utilisateur. |
catInsufficientProcessValidation | Se produit lorsqu'un site Web autorise un pirate à contourner ou à faire échouer le contrôle du débit prévu d'une application. |
catInsufficientSessionExpiration | Se produit lorsqu'un site Web autorise un pirate à réutiliser d'anciens ID session ou données d'identification de session comme autorisation. |
catInsufficientTransLayerProtection | Expose la communication à des tiers qui ne sont pas dignes de confiance. |
catIntegerOverflow | Condition qui survient lorsque le résultat d'une opération arithmétique, comme une multiplication ou une addition, dépasse la taille maximale du type d'entier utilisé pour le stocker. |
catLDAPInjection | Technique d'attaque utilisée pour exploiter les sites Web qui créent des instructions LDAP à partir des entrées utilisateur. |
catMailCommandInjection | Technique d'attaque utilisée pour exploiter les serveurs de messagerie et les applications de courrier Web qui construisent des déclarations IMAP/SMTP à partir d'entrées fournies par l'utilisateur qui ne sont pas correctement assainies. |
catMaliciousContent | L'application contient du code qui semble malveillant. |
catNullByteInjection | Technique d'exploitation active utilisée pour contourner les filtres de contrôle d'exactitude dans l'infrastructure Web en ajoutant des caractères de type octet nul codé dans l'URL aux données fournies par l'utilisateur. |
catOSCommanding | Technique d'attaque utilisée pour exploiter les sites Web en exécutant les commandes du système d'exploitation via la manipulation des entrées de l'application. |
catPathTraversal | Technique d'attaque qui force l'accès aux fichiers, répertoires et commandes résidant potentiellement en dehors du répertoire racine des documents Web. |
catPredictableResourceLocation | Technique d'attaque destinée à découvrir, par suppositions, les fonctionnalités et le contenu masqués d'un site Web. |
catRemoteFileInclusion | Technique d'attaque utilisée pour exploiter les mécanismes d'inclusion de fichier dynamique (dynamic file include) dans les applications Web pour inciter l'application à inclure des fichiers distants comportant du code malveillant. |
catRoutingDetour | Attaque de type "Man in the Middle" dans laquelle des intermédiaires peuvent être injectés ou "détournés" dans le but de router des messages sensibles vers un emplacement extérieur. |
catServerMisconfiguration | Exploite les failles de configuration détectées sur les serveurs Web et les serveurs d'applications. |
catServerSideRequestForgery | Traitement, assainissement ou validation incorrect des entrées utilisateur contenant des éléments joints ultérieurement à l'URI. |
catSessionFixation | Technique d'attaque qui impose une valeur explicite à un ID session utilisateur. Une fois l'identificateur de session utilisateur fixé, le pirate attend qu'il se connecte. Lorsque l'utilisateur est connecté, le pirate utilise la valeur d'ID session prédéfinie pour découvrir leur identité en ligne. |
catSOAPArrayAbuse | Un service Web qui attend un tableau peut être la cible d'une attaque par saturation XML en forçant le serveur SOAP à générer un tableau énorme dans la mémoire de la machine, infligeant ainsi une condition DoS sur la machine à cause de la préallocation de mémoire. |
catSQLInjection | Technique d'attaque utilisée pour exploiter les sites Web qui créent des instructions SQL à partir des entrées utilisateur. |
catSSIInjection | Technique d'exploitation côté serveur qui autorise un pirate à envoyer du code dans une application Web, qui sera exécuté ultérieurement localement par le serveur Web. |
catURLRedirectoryAbuse | La redirection d'URL représente une fonctionnalité communément employée par les sites internet pour transmettre une requête entrante vers une autre ressource. Elle peut être utilisée pour des attaques par hameçonnage. |
catUserDefined | Test créé par l'utilisateur. |
catXMLAttributeBlowup | Attaque par saturation visant les analyseurs XML. |
catXMLEntityExpansion | Elle exploite une capacité des DTD XML qui permet la création de macros personnalisées, appelées entités, qui peuvent être utilisées dans un document. En définissant récursivement un ensemble d'entités personnalisées en tête d'un document, un agresseur peut submerger les analyseurs qui tentent de résoudre complètement les entités en les obligeant à parcourir presque indéfiniment ces définitions récursives. |
catXMLExternalEntities | Cette technique tire parti d'une fonctionnalité du langage XML pour générer dynamiquement des documents au moment du traitement. Un message XML peut fournir des données de manière explicite ou pointer vers un URI où les données sont disponibles. Dans cette technique d'attaque, des entités externes peuvent remplacer la valeur de l'entité par des donnés malveillantes ou des renvois alternatifs, ou peuvent compromettre la sécurité des données auxquelles le serveur ou l'application XML a accès. |
catXMLInjection | L'injection XML est une technique d'attaque utilisée pour manipuler ou compromettre la logique d'un service ou d'une application XML. L'injection de contenu et/ou de structures XML accidentels dans un message XML peut modifier la logique prévue de l'application. De plus, l'injection XML peut provoquer l'insertion de contenu malveillant dans le message ou document résultant. |
catXPathInjection | Technique d'attaque utilisée pour exploiter les sites Web qui construisent des requêtes XPath à partir des entrées utilisateur. |
catXQueryInjection | L'injection XQuery est une variante de l'attaque par injection SQL classique, contre le langage XQuery de XML. Elle utilise des données incorrectement validées, qui sont passées aux commandes XQuery. |