![](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2021\/09\/Secuencias-de-comandos-entre-sitios-XSS-%C2%BFQue-es-y-como.png\")
<\/p>\n\n<\/p>\n
En tant que l’une des menaces de cybers\u00e9curit\u00e9 les plus courantes, le cross-site scripting (XSS) a attaqu\u00e9 pr\u00e8s de 75 % des grandes entreprises en 2019. En outre, pr\u00e8s de 40 % de toutes les cyberattaques ont \u00e9t\u00e9 men\u00e9es pour attaquer des vuln\u00e9rabilit\u00e9s XSS.<\/p>\n
Les scripts intersites ont affect\u00e9 les sites Web g\u00e9r\u00e9s par des g\u00e9ants du Web comme eBay, Google, Facebook, et Twitter. Mais les scripts intersites ne sont pas une nouvelle cybermenace. En fait, les attaques XSS existent presque depuis l’aube du Web.<\/p>\n
Pour vous aider \u00e0 pr\u00e9venir les attaques XSS, ce guide se concentre sur tout ce que vous devez savoir sur les scripts intersites. Apr\u00e8s avoir lu ce guide, vous aurez une meilleure id\u00e9e du fonctionnement des scripts intersites et de la fa\u00e7on dont vous pouvez prot\u00e9ger votre site Web WordPress.<\/p>\n
![\"Attaques](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2020\/03\/1584122525_418_Consejos-sencillos-de-seguridad-externa-para-WordPress.png\")
<\/p>\n
Les scripts intersites (XSS) font r\u00e9f\u00e9rence au type de cyberattaques dans lesquelles des scripts malveillants sont inject\u00e9s dans des sites Web par ailleurs cr\u00e9dibles et dignes de confiance.<\/p>\n
Les attaques de scripts intersites sont possibles sur HTML, Flash, ActiveX et CSS. Cependant, JavaScript est la cible la plus courante des cybercriminels car il est au c\u0153ur de la plupart des exp\u00e9riences de navigation.<\/p>\n
JavaScript est un langage de programmation qui vous permet d’impl\u00e9menter des fonctions complexes sur votre site Web. La plupart des sites Web volumineux et interactifs ont \u00e9t\u00e9 cr\u00e9\u00e9s avec JavaScript. “Vous pouvez d\u00e9velopper des fonctionnalit\u00e9s interactives sur le site, des jeux ou ajouter des fonctionnalit\u00e9s suppl\u00e9mentaires pour mieux commercialiser vos produits”, selon Domantas Gudeliauskas, responsable marketing du projet Zyro.<\/p>\n
JavaScript est si populaire aupr\u00e8s de la communaut\u00e9 Web car il vous permet de faire \u00e0 peu pr\u00e8s n’importe quoi sur une page Web. Et c’est l\u00e0 que \u00e7a devient g\u00eanant. Les cybercriminels peuvent utiliser JavaScript pour se connecter \u00e0 l’arri\u00e8re de vos pages Web et ins\u00e9rer des scripts malveillants.<\/p>\n
Les cybercriminels m\u00e8nent des attaques XSS sur les sites Web WordPress de deux mani\u00e8res. Ils peuvent exploiter les entr\u00e9es des utilisateurs ou contourner les politiques de m\u00eame origine. Jetons un coup d’\u0153il aux deux m\u00e9thodes pour mieux comprendre les scripts intersites.<\/p>\n
La mani\u00e8re la plus courante pour les cybercriminels d’effectuer des attaques XSS est d’exploiter les entr\u00e9es des utilisateurs. La plupart des sites Web WordPress ont des champs de saisie utilisateur tels que des barres de recherche, des formulaires de commentaires, des pages de connexion et des formulaires de contact. Le champ de saisie est g\u00e9n\u00e9ralement activ\u00e9 par un plugin JavaScript ou un th\u00e8me WordPress actif sur votre site Web.<\/p>\n
Le probl\u00e8me est que tous les plugins et th\u00e8mes WordPress ne sont pas s\u00e9curis\u00e9s \u00e0 100% et beaucoup d’entre eux, en fait, ont des vuln\u00e9rabilit\u00e9s XSS. Cela signifie pour vous que les cybercriminels peuvent utiliser les vuln\u00e9rabilit\u00e9s de WordPress dans les champs de saisie pour ex\u00e9cuter des activit\u00e9s malveillantes.<\/p>\n
Id\u00e9alement, une barre de recherche de site (ou tout autre champ de saisie utilisateur) ne devrait accepter que du texte brut, et non des commandes, comme entr\u00e9e. Cependant, WordPress a une vuln\u00e9rabilit\u00e9 de saisie utilisateur, qui permet aux pirates de saisir un code ex\u00e9cutif dans le champ de saisie et de le soumettre \u00e0 la base de donn\u00e9es.<\/p>\n
La m\u00eame politique d’origine restreint une page pour r\u00e9cup\u00e9rer des informations \u00e0 partir d’autres pages Web. Par strat\u00e9gie, les navigateurs Web autorisent les scripts de la premi\u00e8re page Web \u00e0 acc\u00e9der aux donn\u00e9es d’une deuxi\u00e8me page Web uniquement s’ils partagent la m\u00eame origine. Cela permet de s’assurer que les demandes intersites ne sont pas effectu\u00e9es.<\/p>\n
La politique stipule que si vous avez votre Facebook et les services bancaires en ligne s’ouvrent dans le m\u00eame navigateur, les deux sites Web ne peuvent pas partager d’informations entre eux. Cependant, si vous avez plusieurs Facebook onglets (partageant la m\u00eame origine) ouverts, ils peuvent \u00e9changer des scripts et d’autres donn\u00e9es entre eux.<\/p>\n
![\"Politiques](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2021\/09\/1631412459_471_Secuencias-de-comandos-entre-sitios-XSS-%C2%BFQue-es-y-como.png\")
<\/p>\n
Malgr\u00e9 la politique de m\u00eame origine et d’autres mesures de s\u00e9curit\u00e9 prises pour emp\u00eacher les demandes intersites, les cybercriminels ont trouv\u00e9 un moyen de contourner la politique en utilisant des cookies de session. Cela fonctionne car chaque fois que vous ouvrez un navigateur, il g\u00e9n\u00e8re un cookie de session pour vous valider en tant qu’utilisateur du site Web et vous aider \u00e0 passer en toute transparence d’une page \u00e0 l’autre.<\/p>\n
Les cookies de session stockent les informations de connexion (y compris pour votre site WordPress), les informations de carte de cr\u00e9dit, les d\u00e9tails d’exp\u00e9dition et d’autres donn\u00e9es sensibles. C’est comme \u00e7a que \u00e7a marche. Imaginons que vous souhaitiez vous connecter \u00e0 votre compte bancaire en ligne. Lorsque vous ouvrez le site Web, un cookie de session est g\u00e9n\u00e9r\u00e9. S’il n’y avait pas les cookies de session, vous devriez vous connecter \u00e0 votre compte bancaire en ligne \u00e0 chaque fois que vous souhaitez changer de page.<\/p>\n
Il n’est pas rare que les navigateurs des utilisateurs pr\u00e9sentent des vuln\u00e9rabilit\u00e9s. Et s’il y en a, les cybercriminels utilisent le code qu’ils ont inject\u00e9 dans la saisie de l’utilisateur pour voler les cookies de session. De cette fa\u00e7on, les pirates peuvent voler les cookies de tous les sites Web ouverts dans le navigateur de l’utilisateur. Ces cookies peuvent ensuite \u00eatre utilis\u00e9s pour se connecter \u00e0 des comptes d’utilisateurs pour se faire passer pour eux et voler des donn\u00e9es financi\u00e8res.<\/p>\n
Les scripts intersites sont l’une des vuln\u00e9rabilit\u00e9s WordPress \u00e0 haut risque les plus courantes. Les attaques XSS sont si courantes car, contrairement \u00e0 d’autres vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9, elles sont si complexes \u00e0 traiter. M\u00eame avec une protection int\u00e9gr\u00e9e, il est tr\u00e8s facile de commettre des erreurs de script intersites. Une simple erreur dans le code HTML ou JavaScript de votre page Web peut rendre votre site Web vuln\u00e9rable aux attaques de scripts intersites.<\/p>\n
Lorsque les attaquants trouvent un moyen d’exploiter les vuln\u00e9rabilit\u00e9s XSS, ils peuvent voler les informations d’identification du compte, les donn\u00e9es financi\u00e8res et faciliter les escroqueries par phishing. Ils peuvent \u00e9galement propager des vers informatiques ou acc\u00e9der \u00e0 distance aux ordinateurs des utilisateurs. De plus, les attaques XSS permettent aux pirates d’effectuer les actions suivantes\u00a0:<\/p>\n
Les attaques XSS sont g\u00e9n\u00e9ralement consid\u00e9r\u00e9es comme moins dangereuses que les injections SQL. Cependant, lorsqu’ils sont combin\u00e9s \u00e0 l’ing\u00e9nierie sociale, les scripts intersites permettent aux cybercriminels d’effectuer des attaques avanc\u00e9es et extr\u00eamement dangereuses, notamment l’installation de chevaux de Troie, l’enregistrement de frappe, le phishing, l’usurpation d’identit\u00e9 et l’usurpation de requ\u00eates entre sites.<\/p>\n
Pour lutter contre les attaques XSS, les grandes soci\u00e9t\u00e9s informatiques lancent des programmes sp\u00e9ciaux de primes aux bogues. Ces programmes sont mis en \u0153uvre par de nombreuses organisations et offrent une compensation ou une reconnaissance aux utilisateurs qui signalent des vuln\u00e9rabilit\u00e9s XSS dans des scripts. De cette fa\u00e7on, les entreprises investissent dans la cybers\u00e9curit\u00e9 en demandant \u00e0 d’autres d\u00e9veloppeurs d’identifier leurs erreurs. Google a m\u00eame sorti un jeu que vous pouvez exercer pour \u00e9liminer les erreurs XSS.<\/p>\n
![\"Jeu](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2021\/09\/Secuencias-de-comandos-entre-sitios-XSS-%C2%BFQue-es-y-como.jpg\")
<\/p>\n
Il existe trois principaux types d’attaques de scripts intersites\u00a0: les XSS en miroir, stock\u00e9s et bas\u00e9s sur DOM. Pour avoir une meilleure perspective sur le fonctionnement de XSS, examinons chaque type de vuln\u00e9rabilit\u00e9 XSS.<\/p>\n
Une vuln\u00e9rabilit\u00e9 XSS stock\u00e9e (\u00e9galement connue sous le nom de persistante ou de type I) se produit lorsque l’entr\u00e9e de l’utilisateur est stock\u00e9e dans une base de donn\u00e9es, un champ de commentaire, un journal des visiteurs ou d’autres serveurs cibles. Et puis une victime peut r\u00e9cup\u00e9rer les donn\u00e9es stock\u00e9es (qui n’ont pas \u00e9t\u00e9 rendues s\u00fbres dans le navigateur) \u00e0 partir de l’application Web. De cette fa\u00e7on, lorsqu’un pirate effectue une attaque, la charge utile n’est pas visible par le filtre XSS du navigateur et les victimes peuvent d\u00e9clencher accidentellement la charge utile si elles visitent la page affect\u00e9e.<\/p>\n
Une vuln\u00e9rabilit\u00e9 XSS refl\u00e9t\u00e9e (\u00e9galement connue sous le nom de non persistante ou de type II) se produit lorsqu’une application Web renvoie imm\u00e9diatement l’entr\u00e9e de l’utilisateur dans un r\u00e9sultat de recherche, un message d’erreur ou toute autre r\u00e9ponse. Dans ce cas, les donn\u00e9es d’entr\u00e9e de l’utilisateur sont mises en miroir sans \u00eatre stock\u00e9es, permettant aux pirates d’injecter des scripts XSS malveillants. Contrairement au XSS stock\u00e9, le XSS r\u00e9fl\u00e9chi cible le site Web lui-m\u00eame plut\u00f4t que les visiteurs du site Web.<\/p>\n
La vuln\u00e9rabilit\u00e9 XSS bas\u00e9e sur le DOM TA (\u00e9galement connue sous le nom de Type 0) se produit dans le DOM (Document Object Model) plut\u00f4t que dans la partie HTML. La source o\u00f9 le code malveillant est lu peut \u00eatre une URL ou un \u00e9l\u00e9ment particulier du code HTML.<\/p>\n
![\"Meilleurs](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2021\/09\/1631412459_631_Secuencias-de-comandos-entre-sitios-XSS-%C2%BFQue-es-y-como.png\")
<\/p>\n
Maintenant que vous avez couvert les bases de XSS, examinons les moyens \u00e9prouv\u00e9s de pr\u00e9venir les attaques XSS.<\/p>\n
Il existe plusieurs fa\u00e7ons de prot\u00e9ger votre site WordPress contre les attaques XSS. Si vous avez une exp\u00e9rience technique avanc\u00e9e, vous pouvez ajouter des extraits de code pour valider et nettoyer les entr\u00e9es des utilisateurs. Cependant, si vous n’\u00eates pas familier avec le c\u00f4t\u00e9 technique de WordPress, il est pr\u00e9f\u00e9rable de d\u00e9l\u00e9guer le travail \u00e0 votre \u00e9quipe technique ou d’embaucher un professionnel qui pourra prendre ces mesures pour vous.<\/p>\n
En attendant, il y a deux choses que vous pouvez faire pour emp\u00eacher les attaques de scripts intersites.<\/p>\n
L’installation d’un plugin de s\u00e9curit\u00e9 WordPress est la premi\u00e8re \u00e9tape vers une s\u00e9curit\u00e9 maximale pour votre site Web WordPress. Lorsque vous choisissez un plug-in de s\u00e9curit\u00e9, utilisez cette liste de contr\u00f4le comme r\u00e9f\u00e9rence pour vous assurer que le plug-in dispose des fonctionnalit\u00e9s n\u00e9cessaires pour assurer la s\u00e9curit\u00e9 de votre site Web.<\/p>\n
L’installation d’un plugin anti-XSS est un autre moyen d’\u00e9viter les scripts intersites. Les plug-ins anti-XSS fonctionnent en bloquant les param\u00e8tres couramment utilis\u00e9s dans les attaques de scripts intersites. Par exemple, ces plugins peuvent prot\u00e9ger les champs de saisie des utilisateurs, tels que les formulaires de commentaires sur votre site Web, les champs de connexion ou les barres de recherche.<\/p>\n
Conclusion\u00a0: 39\u00a0% de toutes les vuln\u00e9rabilit\u00e9s de WordPress sont li\u00e9es \u00e0 des probl\u00e8mes de script intersites. Les entreprises perdent des millions de dollars en essayant de lutter contre les cons\u00e9quences des attaques de scripts intersites. Pour \u00e9viter les attaques XSS ciblant votre site Web, il est important de comprendre ce qu’est le cross-site scripting et de prendre des mesures pr\u00e9ventives.<\/p>\n
Pour prot\u00e9ger votre site Web des scripts intersites, vous devez valider et nettoyer vos champs de saisie. En outre, vous pouvez installer des plugins anti-XSS et de s\u00e9curit\u00e9 d\u00e9di\u00e9s qui vous aideront \u00e0 prot\u00e9ger votre site Web WordPress.<\/p>\n