je en comprend pas le résultat obtenu par Vega

[wass19]

bonjour
j'ai analysé un site avec vega que je suis en train de concevoir et le résultat que j'ai obtenu m'a unpeu choqué

  Screenshot from 2015-03-22 20:09:37.png (Taille : 21.21 Ko / Téléchargements : 52)
je n'ai pas compris le cleartext passwor HTTP et les autres ! et il n y a pas d'indications plus précise (comme la page qui comporte la faille)
quelqu'un peut'il me dire comment auditer mon site ?
et si vous connaissez un meilleur outil pour les applications web en php je suis prenant
je suis sous kali linux je sais qu'il y a plein d'outils mais je ne les connais pas encore
merci

[supersnail]

Bonjour,

Tout d'abord le "cleartext password over HTTP" signifie que tu envoies les mots de passes en clair sans canal sécurisé (https par exemple) sur le réseau ce qui fait que n'importe qui est en mesure de récupérer les données de connexion.

Sinon malheureusement je suis pas trop calé/réellement intéressé en pentesting web, du coup je laisse la main aux connaisseurs (et sinon tu devrais lire la doc de ton tool pour comprendre comment il fonctionne)

[gruik]

on a beau automatiser un certain nombre de choses ça ne dispense pas de comprendre ce qu'on fait d'une part, et l'analyse par un humain est encore pour le moment irremplaçable

les outils d'audit automatique comme ça permettent de dégrossir un peu le boulot mais ne font pas de toi un hacker, il faut le comprendre. reste plus qu'à apprendre l'informatique

[GreenBlood]

En analyseur de trous je connais Nessus / OpenVAS, mais comme l'a dit gruik, zyeuter à la main ça marche vraiment pas mal mine de rien

[otherflow]

Salut wass19,

Tout d'abord le "cleartext password over HTTP" signifie que tu envoies les mots de passes en clair sans canal sécurisé (https par exemple) sur le réseau ce qui fait que n'importe qui est en mesure de récupérer les données de connexion.

Comme l'as dis supersnail, cleartext password over HTTP signifie que tu as des formulaires qui transmettent des données d'authentifications en claire lors de leurs soumissions. Le chiffrement des communications via la configuration de solution comme SSL ou TLS (Article au sujet de TLS sur wikipédia) sur le serveur hébergeant ton site internet peut palier à ce problème.

on a beau automatiser un certain nombre de choses ça ne dispense pas de comprendre ce qu'on fait d'une part, et l'analyse par un humain est encore pour le moment irremplaçable

Les outils d'audit automatique comme ça permettent de dégrossir un peu le boulot mais ne font pas de toi un hacker, il faut le comprendre. reste plus qu'à apprendre l'informatique Big Grin

Afin d'auditer ton site internet, il existe des protocoles d'analyse comme OWASP testing guide (Le site officiel de OWASP). OWASP est un exemple par mis d'autres. Tu pourras trouver des alternatives après une recherche sur google.

Au sujet des logiciels d'audit d'application WEB, il en existe beaucoup. Mais ils ne permette pas de s'imprégner de l'aspect technique à l'origine des vulnérabilités. Une bonne solution, qui ne s'applique pas uniquement au domaine de WEB, est de regarder attentivement les données saisie par les utilisateurs de ton application que tu souhaites auditer et d'étudier attentivement les technologies utiliser pour les traiter. Dans l'exemple du l'audit de ton site internet : Comprendre le mécanisme de traitement de formulaire par le langage de programmation sur lequel repose ton site internet (PHP, ASP, etc...). Pour le cas de PHP comprendre les variables dites super-globales. Ces variables sont le vecteurs de vulnérabilité principal dans le domaine du WEB. Globalement pour l'audit d'une application WEB, il faut que les données contenues dans ses variables soit vérifiées car elles peuvent servir pour détourner le fonctionnement initial de ton application:

• Les caractères pouvant être interprétés comme du code HTML pour palier aux vulnérabilités de type Cross Site Scripting (Par exemple : < > " ').
  
• Les caractères pouvant être interprétés comme du code SQL pour palier aux vulnérabilités de type SQL Injection (Par exemple : ' " ( )).
  
• Les caractères pouvant être interprétés comme des éléments formant un chemin d'accès vers un fichier pour palier aux vulnérabilités de type File Inclusion (Par exemple : . /).
  

Bon courage,

otherflow

[wass19]

Resalut
Merci pour ces precisions ça fait vraiment plaisir
J'avoue que je n'ai pas prevu de certiffcat ssl mais maintenant que jy pense j'en aurais besoin
Oui j'analyse d'habitude mon code tout seul apres je passe par un outil (je pense que c'est une bonne habitude)
Un grand merci a vous tous ( surtout a otherflow pour toutes ses precisions)

---

Resalut
Merci pour ces precisions ça fait vraiment plaisir
J'avoue que je n'ai pas prevu de certiffcat ssl mais maintenant que jy pense j'en aurais besoin
Oui j'analyse d'habitude mon code tout seul apres je passe par un outil (je pense que c'est une bonne habitude)
Un grand merci a vous tous ( surtout a otherflow pour toutes ses precisions)

[0pc0deFR]

Bonjour,

Si tu veux un certificat SSL gratuit: http://www.startssl.com/?lang=fr (voir quel type d'application il y a derrière mais c'est toujours mieux que rien).

Ensuite, les conseils donnés par otherflow sont très bon à prendre.
Le B-A-BA de la sécurité dans le développement c'est de ne jamais faire confiance à l'utilisateur donc comme dit par otherflow, tout ce qui peut être modifié par l'utilisateur DOIT être vérifié.

En terme d'outil de pentest, il en existe un large panel, certains open sources, d'autre non mais il faut savoir plusieurs choses avant de les utiliser:
Première chose, ne surtout par les utiliser sur un site qui est hébergé sur un serveur qui n'est pas le tien (en gros il ne faut pas analyser un site qui est sur un serveur mutualisé de ton hébergeur préféré car c'est légalement répréhensible puisque l'hébergeur pourrait le voir comme une tentative d'intrusion de son système);
Ensuite, c'est bien de faire ce genre d'analyse dans un environnement purement de développement (avec les modes debug ou dev d'activer sur ton serveur web, sql, etc) ça aide parfois à comprendre ce qui ce passe (typiquement PHP qui te renvoi des warning, etc);
Pour finir, c'est bien de lire les logs de ton serveur web, sql, etc, ça peut aider aussi surtout que ce genre d'outil pourris bien les logs en général.

[wass19]

Salut 0pc0defr
Oui je vois l'utilité du certificat ssl et merci pour le conseil car au debut j'analysé mes sites (hebergé en mutualisé ) en me disant que j'ai le droit c'est mon site ! Votre conseil m'évitera des ennuis merci