Un extranet en ligne de mire
L’objectif de ce test d’intrusion était d’examiner en profondeur un extranet conçu pour répondre aux besoins spécifiques d’une agence immobilière. Le calendrier prévoyait une journée d’exploration en mode “black box” suivi de trois jours en mode “grey box”. L’extranet, dédié au suivi des loyers, au partage de documents administratifs et à l’échange de pièces jointes, se devait d’être robuste et sécurisé. Cette démarche visait à identifier toute vulnérabilité potentielle et à renforcer la résilience de la plateforme face aux menaces pouvant venir aussi bien d’internet que d’un locataire avec des compétences avancées en cybersécurité.
Un jour en black-box sans trop
La journée en mode “black-box” a révélé quelques défauts de configuration mineurs, témoignant de pratiques d’administration perfectibles sans impacter directement la sécurité de l’application.
Une partie grey-box bien plus intéressante
Le passage en mode “grey-box” avec des accès utilisateurs a ouvert une boîte de Pandore. Dès la première connexion, quelque chose a attiré notre attention : un cookie avec un nom assez exhaustif avec une valeur composé de 6 caractères numériques. La manipulation de celui-ci a mis en lumière une vulnérabilité permettant le listing complet des utilisateurs et une menace de session highjacking . Ces failles nous ont permis d’accéder aux informations personnelles de tous les utilisateurs, ainsi qu’à leurs documents administratifs, y compris les contrats de location et cartes d’identité.
Une fonction d’upload présente sur le site, destinée au partage de documents entre clients et service administratif, a également dévoilé des lacunes en matière de sécurité. La découverte d’une vulnérabilité liée à la protection des fichiers envoyés a permis le contournement des mécanismes en place, résultant d’une exécution de code sur le serveur.
Un accompagnement, de l’intrusion à la correction
Au final, c’est une 15aine de vulnérabilités, dont 3 critiques, qui ont pu être identifiées. Ces vulnérabilités ont déclenché automatiquement un appel auprès du client pour l’avertir de nos découvertes, afin de mettre en place un plan de correction au plus tôt avec les premiers élements collectés. Une demie-journée a également été réservée par le client pour vérifier l’efficacité des correctifs appliqués et garantir la sécurité de l’applicatif.