cyber:owasp6:activite1 [SIO Wiki]

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Premier défi : Inclusion locale de fichiers ======

===== 1	Objectif =====

Le premier défi a pour objectif d’afficher le contenu de plusieurs fichiers locaux au serveur cible. Ces fichiers contiennent des informations de configurations confidentielles. Ces informations pourraient être exploitées de manière malveillante. Les questions suivantes se traitent en utilisant le dossier documentaire.

===== 2	À vous de jouer =====

==== Travail à faire 1	Injection locale ====

Le but de cette première série de questions est de travailler sur des inclusions locales.

  * **Q1**.	Commencer par démarrer les machines nécessaires puis positionner le niveau de sécurité de Mutillidae à 0 (Toggle security).
  * **Q2**.	Vérifier que le serveur web cible accepte les inclusions de fichiers (voir le positionnement à On de allow_url_include dans /etc/php/7.4/apache2/php.ini).
  * **Q3**.	À l’aide de vos recherches, expliquer le rôle des fichiers suivants présents sur le serveur web qui héberge Mutillidae :
    * /etc/passwd	
    * /etc/resolv.conf	
    * /etc/crontab	
    * /etc/sysctl.conf	
    * /etc/group	

  * **Q4**.	À l’aide du dossier documentaire n°1, réaliser les injections locales permettant d’afficher les fichiers de la question Q3.

==== Travail à faire 2	Nouvelle tentative en mode sécurisé et analyse du code source ====

Le but de cette deuxième partie est de tester à nouveau l’attaque après activation du codage sécurisé et de comprendre l’encodage mis en place.

**Test du niveau 1 de sécurité :**
  * **Q1**.	Est-ce que le niveau de sécurité 1 permet d’éviter cette brèche de sécurité ? Pourquoi ?

**Test du niveau 5 de sécurité :**
  * **Q2**.	Est-ce que le niveau de sécurité 5 permet d’éviter cette brèche d’information ?
  * **Q3**.	Expliquer le mécanisme de sécurité mis en œuvre dans le code source de la page index.php.

{{ :cyber:owasp6:dossierdocumentaire1.pdf |}}