Quel est le principe de cette attaque
Quels dommages, etc.
Comment lancer votre démo minimale de l'attaque
php -S localhost:8990 -t srcRemarque : l'option
-tpermet de servir le contenu du dossiersrc
Scénario/Fonctionnement attendu (comportement normal)
Soumettre le formulaire avec les credentials de notre user :
- login :
jdoe - password :
password
Ou avec cURL (sans utiliser le formulaire) :
curl -X POST -d "login=jdoe&password=password" localhost:8990/login.phpScénario/Fonctionnement d'attaque (comportement d'attaque). Exploitation de la faille
./attack.shDécrire les dommages causés dans cette expérience minimale
Inspecter le fichier de log (login_attempts.txt) pour déceler une activité inhabituelle.
Réfléchir à des solutions mais surtout lire la documentation publiée par l'OWASP (par exemple). Difficile de penser à toutes les implications d'une stratégie de défense, utiliser l'expérience commune et partagée par les autres !
Étudier quelques mécanismes de défense
Lister les avantages et inconvénients de cette défense
Implémenter une solution minimale pour se prémunir de l'attaque (fixer la faille de sécurité de votre démo)
- Brute Force Attack, document de référence sur ce type d'attaque publié par l'Open Worldwide Application Security Project (OWASP)
- Blocking Brute Force Attacks, stratégies pour se défendre d'une attaque brute force, publié par l'OWASP
- OWASP Cheat Sheet Series, des synthèses sur les moyens de se protéger des attaques principales
- Force brute (attaque informatique), publié par la CNIL
- hydra, Hydra est un programme de craquage de mot de passe parallélisé qui supporte de nombreux protocoles pour attaquer. Un outil beaucoup plus perfectionné et puissant que notre petit script de démo d'attaque par dictionnaire