Audit de CMS, demandez plus que la version

Intervenant(s) : Antoine Cervoise

  • Langue : Anglais
  • Niveau : Confirmé
  • Type d'événement : Conférence
  • Date : Lundi 8 juillet 2013
  • Horaire : 17h00
  • Durée : 40 minutes
  • Lieu : H 2215
Thème : Sécurité
Public cible : GeeksProfessionnels

Résumé

Les CMS sont des outils omniprésents dans le World Wide Web, ainsi que dans de nombreux intranets ; vu le large choix de CMS disponibles sur le marché, beaucoup d’utilisateurs font le choix de CMS libres.

L’utilisation d’un CMS impose les mêmes contraintes que n’importe quel logiciel : bonne configuration, suppression des fonctionnalités inutilisées, mises à jour des logiciels et composants.

Le non respect de ces contraintes au cours des phases d’intégration ou au cours de la vie de l’outil peut causer la compromission des outils. Cette compromission est généralement la première étape de la prise en main d’un serveur. Surveiller zone-h.org pour s’en rendre compte.

De nombreux outils et méthodes permettant de déterminer si un site utilise un CMS spécifique ont vus le jour. Cependant ces outils sont généralement limités ; ils permettent seulement de déterminer le CMS utilisé et d’avoir une idée de la version. D’autres outils, plus spécialisés, sont aussi apparus et permettent d’auditer les CMS les plus utilisés (Drupal, Joomla, WordPress)

Une introduction rappellera l’importance des CMS dans notre World Wide Web ainsi que dans les intranet, quelques moyens permettant de déterminer le CMS utilisé par un site, ainsi que quelques scénarios d’attaque permettant la prise en main d’un serveur avec comme point d’entrée, un CMS.

Cette présentation détaillera les outils intégrés à BackTrack/Kali permettant d’auditer des CMS spécifiques. Dans une première partie, nous détaillerons des scripts visant des CMS spécifiques, qui, lors de leur publication, ont été relayés par la presse en ligne et des blogs. Le but de cette partie est de montrer le fonctionnement de ces PoCs. Cette démonstration sera illustrée par un autre PoC réalisé pour l’occasion.

Les deux parties suivantes présenteront les fonctionnalités apportées par WPScan et Joomscan en comparaison d’outils de prise d’empreinte plus classiques comme whatweb, sedusa ou BlindElephant.

Enfin, la présentation se terminera par un récapitulatif des fonctionnalités apportées par les différents scripts/outils évoqués ainsi que leur utilisation lors d’un audit.

Biographie

Antoine Cervoise, diplômé de l’École des Mines de Douai et consultant en sécurité SI chez Devoteam, actuellement en mission pour un grand compte.

twitter : @acervoise

Documents joints