le réseau thenetwork regroupe des personnes ayant suivi des formations d'excellence, dispensées par le réseau thenetwork lui-même. thenetwork a ainsi bâti au fil des années un réseau d'experts efficaces et loyaux les uns envers les autres.
thenetwork est un réseau extrêment fermé, qui se préoccupe beaucoup de la confientialité de ses données et de celles de ses utilisateurs. Rien est accessible sans un compte utilisateur hormis la page d'accueil.
thenetwork possède une partie privée permettant à chaque membre
- de laisser ses contacts
- d'afficher les formations thenetwork qu'il a suivi
- de rechercher parmis les autres membres du réseau
- de se mettre sur liste rouge afin de disparaître complètement du moteur de recherche publique
- de mettre un ou plusieurs contacts sur liste rouge pour les réserver à la seule équipe du réseau thenetwork
thenetwork possède une interface d'adminstration permettant
- d'accéder à toutes les fiches des membres
- de saisir les résultats aux formations
Vous avez été missionné pour effectuer une série de recommandations techniques sur la sécurité du service thenetwork. Ce document est à destination de la direction de thenetwork, et de l'équipe technique qui maintient l'appli.
L'équipe technique a mis à votre disposition
- une machine virtuelle VirtualBox
- une archive et une procédure de déploiement manuel
- Téléchargez la VM
- Paramétrez le réseau comme indiqué ici
- choisissez une des deux méthodes
### FYI
- La VM est en dhcp vous pouvez obtenir son ip avec la commande
bash sudo ifconfig - Vous pouvez ensuite mettre à jour votre fichier /etc/hosts
- phpmyadmin est disponible sur la machine (http://hostname/phpmyadmin). le mot de passe de root est "pipo".
- Vous pouvez vous connecter en SSH à la vm avec l'utilisateur student et le mot de passe student pour explorer le code
-
si vous n'avez pas de plateforme de développement php préférée, sachez que l'équipe de développement utilise de the network XAMPP
-
Copiez tous les fichiers de l'archive à la racine du serveur (ou d'un vhost que vous créerez)
-
FYI le logout et probablement quelques autres fonctionnalités ne marcheront pas si vous accédez aux fichiers à partir d'un répertoire
- http://localhost/thenetwork -> PAS BIEN!
- http://localhost -> BIEN
- http://thenetwork -> U ROCK!
- Créez une base de données "thenetwork"
- via phphmyadmin
- via la ligne de commande
mysql -u root -e "create database thenetwork"- Importez la structure et les données
- via phphmyadmin en important thenetwork.sql
- via la ligne de commande
mysql -u root thenetwork < thenetwork.sql- Ajustez éventuellement les paramètres bases de données dans _LIB/init.php
- Mettez les permissions sur le répertoire photo
sudo chmod -R 777 PHOTOS- Connectez vous à http://localhost (ou à votre vhost)
-
Vous êtes en boîte blanche, on vous donne donc le code et 3 comptes valides
- admin:pipo -> super utilisateur
- cwally:pipo -> simple utilisateur
- mwally:pipo -> simple utilisateur
-
La première mesure de sécurité qui est demandée est de chiffrer les échanges entre les clients et le serveur. L'équipe de développement, peu sensibilisée à la sécurité et à la configuration de serveur web (apache dans leur cas), réclame:
-
un scénario d'attaque exploitant le non chiffrement des communications entre clients et serveur, afin de motiver la direction à investir dans ce sens
-
une procédure claire et des actions à mener pour mettre en place le chiffrement des échanges entre les clients et le serveur.
-
L'équipe de développement à remarqué des changements intempestifs dans la base, sans qu'ils puissent l'attribuer à un utilisateur connu. Ils soupçonnent donc qu'il est possible d'interagir avec la base sans avoir aucun compte valide. Ils attendent de vous que
-
vous décriviez le scénario d'attaque qui permet d'effectuer cette action
-
que vous fassiez des recommandations précises sur les actions curatives à mener sur le code pour corriger cette faille
-
Plusieurs membres se plaignent régulièrement d'arriver sur des sites de jeu en ligne après avoir consulté une page de thenetwork. L'équipe souhaiterait
-
vous décriviez le scénario d'attaque qui permet d'effectuer cette action
-
que vous fassiez des recommandations précises sur les actions curatives à mener sur le code pour corriger cette faille
Vous devez rendre un rapport répondant aux 3 questions ci-dessus
chaque questions est notée sur 6 points (18 points au total)
-
la compréhension et l'identification de la problématique (2 points)
-
reproductibilité du scénario d'attaque (1 point)
-
pertinence des mesures à prendre (1 point)
-
exhaustivité des mesures à prendre (1 point)
-
reproductibilité des mesures à prendre (1 point)
-
appréciation globals du rapport tant sur le fond que dans la forme (2 points)
- les données ont été générées avec faker
Amusez vous bien :-*