Geckozone

Salut tout le monde,

La question du jour : quelqu'un connaît-il une liste des failles de sécurité que l'on peut introduire (comme programmeur) dans un site web ? Avec si possible une petite description non seulement de la faille mais aussi de pourquoi elle pose un problème (concrètement), comment tester si elle existe sur son site et finalement comment la corriger ? Je parle ici en terme de programmation : une liste d'applications ayant des vulnérabilités connues n'est pas très intéressante dans ce contexte. Je sais, je suis assez exigeant

Je demande ça parce que j'ai récemment bouché une faille CSRF (cross-site request forgery) dans plusieurs des applications que j'ai programmées. Précédemment j'avais aussi découvert qu'un XSS (cross-site scripting) bien conçu permettait de réaliser un magnifique "Session hijacking" (j'étais au courant du XSS que je considérais comme une "feature", mais pas des conséquences fâcheuses que celui-ci pouvait avoir).

Alors évidemment il y a les classiques, injections SQL ou les "directory traversal". Mais j'imagine que la liste est longue, et qu'il y a en a plein que j'ignore… Quelqu'un a-t-il fait ce genre de choses ou vu cela quelque part ?

Merci !

Le serveur web mal configuré et pas mis à jour aussi, c'est un classique et même chez les prestataires qui offrent des hébergements où parfois les serveurs sont livrés avec aucune mise à jour et des systèmes de config défaillants.

Je n'en doute pas, mais le but de ma question était justement d'être un peu plus concret (et axé programmation) qu'une déclaration vague et générale sur l'importance de tenir à jour ses programmes (qui évidemment est importante mais ne constitue finalement qu'une partie très mineure du problème)

https://www.whitehatsec.com/resource/glossary.html
http://google-gruyere.appspot.com/part1