En tant que l’une des menaces de cybersécurité les plus courantes, le cross-site scripting (XSS) a attaqué près de 75 % des grandes entreprises en 2019. En outre, près de 40 % de toutes les cyberattaques ont été menées pour attaquer des vulnérabilités XSS.
Les scripts intersites ont affecté les sites Web gérés par des géants du Web comme eBay, Google, Facebook, et Twitter. Mais les scripts intersites ne sont pas une nouvelle cybermenace. En fait, les attaques XSS existent presque depuis l’aube du Web.
Pour vous aider à prévenir les attaques XSS, ce guide se concentre sur tout ce que vous devez savoir sur les scripts intersites. Après avoir lu ce guide, vous aurez une meilleure idée du fonctionnement des scripts intersites et de la façon dont vous pouvez protéger votre site Web WordPress.
Qu’est-ce que le script intersites (XSS) ?
Les scripts intersites (XSS) font référence au type de cyberattaques dans lesquelles des scripts malveillants sont injectés dans des sites Web par ailleurs crédibles et dignes de confiance.
Les attaques de scripts intersites sont possibles sur HTML, Flash, ActiveX et CSS. Cependant, JavaScript est la cible la plus courante des cybercriminels car il est au cœur de la plupart des expériences de navigation.
JavaScript est un langage de programmation qui vous permet d’implémenter des fonctions complexes sur votre site Web. La plupart des sites Web volumineux et interactifs ont été créés avec JavaScript. “Vous pouvez développer des fonctionnalités interactives sur le site, des jeux ou ajouter des fonctionnalités supplémentaires pour mieux commercialiser vos produits”, selon Domantas Gudeliauskas, responsable marketing du projet Zyro.
JavaScript est si populaire auprès de la communauté Web car il vous permet de faire à peu près n’importe quoi sur une page Web. Et c’est là que ça devient gênant. Les cybercriminels peuvent utiliser JavaScript pour se connecter à l’arrière de vos pages Web et insérer des scripts malveillants.
Comment fonctionnent les scripts intersites ?
Les cybercriminels mènent des attaques XSS sur les sites Web WordPress de deux manières. Ils peuvent exploiter les entrées des utilisateurs ou contourner les politiques de même origine. Jetons un coup d’œil aux deux méthodes pour mieux comprendre les scripts intersites.
Manipulation de la saisie de l’utilisateur
La manière la plus courante pour les cybercriminels d’effectuer des attaques XSS est d’exploiter les entrées des utilisateurs. La plupart des sites Web WordPress ont des champs de saisie utilisateur tels que des barres de recherche, des formulaires de commentaires, des pages de connexion et des formulaires de contact. Le champ de saisie est généralement activé par un plugin JavaScript ou un thème WordPress actif sur votre site Web.
Le problème est que tous les plugins et thèmes WordPress ne sont pas sécurisés à 100% et beaucoup d’entre eux, en fait, ont des vulnérabilités XSS. Cela signifie pour vous que les cybercriminels peuvent utiliser les vulnérabilités de WordPress dans les champs de saisie pour exécuter des activités malveillantes.
Idéalement, une barre de recherche de site (ou tout autre champ de saisie utilisateur) ne devrait accepter que du texte brut, et non des commandes, comme entrée. Cependant, WordPress a une vulnérabilité de saisie utilisateur, qui permet aux pirates de saisir un code exécutif dans le champ de saisie et de le soumettre à la base de données.
Contourner les politiques de même origine
La même politique d’origine restreint une page pour récupérer des informations à partir d’autres pages Web. Par stratégie, les navigateurs Web autorisent les scripts de la première page Web à accéder aux données d’une deuxième page Web uniquement s’ils partagent la même origine. Cela permet de s’assurer que les demandes intersites ne sont pas effectuées.
La politique stipule que si vous avez votre Facebook et les services bancaires en ligne s’ouvrent dans le même navigateur, les deux sites Web ne peuvent pas partager d’informations entre eux. Cependant, si vous avez plusieurs Facebook onglets (partageant la même origine) ouverts, ils peuvent échanger des scripts et d’autres données entre eux.
Malgré la politique de même origine et d’autres mesures de sécurité prises pour empêcher les demandes intersites, les cybercriminels ont trouvé un moyen de contourner la politique en utilisant des cookies de session. Cela fonctionne car chaque fois que vous ouvrez un navigateur, il génère un cookie de session pour vous valider en tant qu’utilisateur du site Web et vous aider à passer en toute transparence d’une page à l’autre.
Les cookies de session stockent les informations de connexion (y compris pour votre site WordPress), les informations de carte de crédit, les détails d’expédition et d’autres données sensibles. C’est comme ça que ça marche. Imaginons que vous souhaitiez vous connecter à votre compte bancaire en ligne. Lorsque vous ouvrez le site Web, un cookie de session est généré. S’il n’y avait pas les cookies de session, vous devriez vous connecter à votre compte bancaire en ligne à chaque fois que vous souhaitez changer de page.
Il n’est pas rare que les navigateurs des utilisateurs présentent des vulnérabilités. Et s’il y en a, les cybercriminels utilisent le code qu’ils ont injecté dans la saisie de l’utilisateur pour voler les cookies de session. De cette façon, les pirates peuvent voler les cookies de tous les sites Web ouverts dans le navigateur de l’utilisateur. Ces cookies peuvent ensuite être utilisés pour se connecter à des comptes d’utilisateurs pour se faire passer pour eux et voler des données financières.
Pourquoi les scripts intersites sont-ils dangereux ?
Les scripts intersites sont l’une des vulnérabilités WordPress à haut risque les plus courantes. Les attaques XSS sont si courantes car, contrairement à d’autres vulnérabilités de sécurité, elles sont si complexes à traiter. Même avec une protection intégrée, il est très facile de commettre des erreurs de script intersites. Une simple erreur dans le code HTML ou JavaScript de votre page Web peut rendre votre site Web vulnérable aux attaques de scripts intersites.
Lorsque les attaquants trouvent un moyen d’exploiter les vulnérabilités XSS, ils peuvent voler les informations d’identification du compte, les données financières et faciliter les escroqueries par phishing. Ils peuvent également propager des vers informatiques ou accéder à distance aux ordinateurs des utilisateurs. De plus, les attaques XSS permettent aux pirates d’effectuer les actions suivantes :
- Pirater des comptes d’utilisateurs
- Diffuser des logiciels malveillants
- Contrôler l’ordinateur de l’utilisateur à distance
- Analyser et exploiter les applications intranet
Les attaques XSS sont généralement considérées comme moins dangereuses que les injections SQL. Cependant, lorsqu’ils sont combinés à l’ingénierie sociale, les scripts intersites permettent aux cybercriminels d’effectuer des attaques avancées et extrêmement dangereuses, notamment l’installation de chevaux de Troie, l’enregistrement de frappe, le phishing, l’usurpation d’identité et l’usurpation de requêtes entre sites.
Pour lutter contre les attaques XSS, les grandes sociétés informatiques lancent des programmes spéciaux de primes aux bogues. Ces programmes sont mis en œuvre par de nombreuses organisations et offrent une compensation ou une reconnaissance aux utilisateurs qui signalent des vulnérabilités XSS dans des scripts. De cette façon, les entreprises investissent dans la cybersécurité en demandant à d’autres développeurs d’identifier leurs erreurs. Google a même sorti un jeu que vous pouvez exercer pour éliminer les erreurs XSS.
Types d’attaques XSS
Il existe trois principaux types d’attaques de scripts intersites : les XSS en miroir, stockés et basés sur DOM. Pour avoir une meilleure perspective sur le fonctionnement de XSS, examinons chaque type de vulnérabilité XSS.
Script inter-sites stocké
Une vulnérabilité XSS stockée (également connue sous le nom de persistante ou de type I) se produit lorsque l’entrée de l’utilisateur est stockée dans une base de données, un champ de commentaire, un journal des visiteurs ou d’autres serveurs cibles. Et puis une victime peut récupérer les données stockées (qui n’ont pas été rendues sûres dans le navigateur) à partir de l’application Web. De cette façon, lorsqu’un pirate effectue une attaque, la charge utile n’est pas visible par le filtre XSS du navigateur et les victimes peuvent déclencher accidentellement la charge utile si elles visitent la page affectée.
Scripts intersites en miroir
Une vulnérabilité XSS reflétée (également connue sous le nom de non persistante ou de type II) se produit lorsqu’une application Web renvoie immédiatement l’entrée de l’utilisateur dans un résultat de recherche, un message d’erreur ou toute autre réponse. Dans ce cas, les données d’entrée de l’utilisateur sont mises en miroir sans être stockées, permettant aux pirates d’injecter des scripts XSS malveillants. Contrairement au XSS stocké, le XSS réfléchi cible le site Web lui-même plutôt que les visiteurs du site Web.
XSS basé sur DOM
La vulnérabilité XSS basée sur le DOM TA (également connue sous le nom de Type 0) se produit dans le DOM (Document Object Model) plutôt que dans la partie HTML. La source où le code malveillant est lu peut être une URL ou un élément particulier du code HTML.
Comment empêcher les attaques de scripts intersites ?
Maintenant que vous avez couvert les bases de XSS, examinons les moyens éprouvés de prévenir les attaques XSS.
Il existe plusieurs façons de protéger votre site WordPress contre les attaques XSS. Si vous avez une expérience technique avancée, vous pouvez ajouter des extraits de code pour valider et nettoyer les entrées des utilisateurs. Cependant, si vous n’êtes pas familier avec le côté technique de WordPress, il est préférable de déléguer le travail à votre équipe technique ou d’embaucher un professionnel qui pourra prendre ces mesures pour vous.
En attendant, il y a deux choses que vous pouvez faire pour empêcher les attaques de scripts intersites.
Installer un plugin de sécurité
L’installation d’un plugin de sécurité WordPress est la première étape vers une sécurité maximale pour votre site Web WordPress. Lorsque vous choisissez un plug-in de sécurité, utilisez cette liste de contrôle comme référence pour vous assurer que le plug-in dispose des fonctionnalités nécessaires pour assurer la sécurité de votre site Web.
- Un plugin analyse régulièrement votre site Web à la recherche de logiciels malveillants.
- Un plugin utilise des pare-feu pour bloquer tout trafic qui semble malveillant.
- Un plugin est capable de mettre en œuvre des mesures de durcissement WordPress.
- Un plugin vous permet de gérer toutes les mises à jour de WordPress.
- Un plugin sauvegarde votre site WordPress, donc en cas d’attaque, vous pouvez restaurer votre site.
Installer un plugin dédié
L’installation d’un plugin anti-XSS est un autre moyen d’éviter les scripts intersites. Les plug-ins anti-XSS fonctionnent en bloquant les paramètres couramment utilisés dans les attaques de scripts intersites. Par exemple, ces plugins peuvent protéger les champs de saisie des utilisateurs, tels que les formulaires de commentaires sur votre site Web, les champs de connexion ou les barres de recherche.
Conclusion : 39 % de toutes les vulnérabilités de WordPress sont liées à des problèmes de script intersites. Les entreprises perdent des millions de dollars en essayant de lutter contre les conséquences des attaques de scripts intersites. Pour éviter les attaques XSS ciblant votre site Web, il est important de comprendre ce qu’est le cross-site scripting et de prendre des mesures préventives.
Pour protéger votre site Web des scripts intersites, vous devez valider et nettoyer vos champs de saisie. En outre, vous pouvez installer des plugins anti-XSS et de sécurité dédiés qui vous aideront à protéger votre site Web WordPress.
