Injection et Authentification Défaillante

Name: Injection et Authentification Défaillante
Author: Jay Shafftstall

Ce module couvrira une variété de vulnérabilités d’injection et d’authentification brisée.

Preview the first lesson free — get full access to all 6 lessons.

Cours : à la demande

Bonjour. Dans cette leçon, nous allons envisager de nous ré-authentifier pour les actions sensibles. Même si nous expirons les sessions, les pirates pourraient encore faire beaucoup de dégâts avant l'expiration de la session. Une autre tactique que nous pouvons utiliser pour limiter les dégâts est de forcer l'utilisateur à entrer son mot de passe pour les actions sensibles. Ceci est utilisé par de nombreuses applications de commerce Web. Nous allons traiter l'édition d'un profil comme une action sensible. La première étape consiste à fournir un champ dans l'écran de modification du profil pour que l'utilisateur entre son mot de passe actuel. Nous allons le faire dans le fichier modèle. Nous avons donc ici le fichier modèle pour l'éditeur de profil, et nous pouvons voir que nous avons commenté actuellement espace pour leur mot de passe actuel. Nous décommentons donc cela et le sauvegardons. Maintenant, si nous actualisons cette page, on verra qu'ils ont de la place pour saisir son mot de passe actuel. La deuxième étape consiste à valider le mot de passe dans le script d'édition du profil. Donc, si nous regardons edit profile.php, nous pouvons voir que sur les lignes 23 et 24 nous avons un code qui vérifiera le mot de passe pour voir si c'est pareil comme mot de passe de l'utilisateur. Eh bien, décommentez ça puis enregistrez-le. Maintenant, nous devrions pouvoir partir et réellement tester cela. Donc, si nous modifions le profil puis entrez dans quelque chose d'autre que le mot de passe réel de l'utilisateur, nous pouvons voir que le changement n'a pas été fait. Nous entrons dans le mot de passe réel de l'utilisateur. Nous pouvons voir que le changement a été effectué. Cela empêche un pirate de voler une session puis modifier le profil. Ils peuvent encore faire d'autres choses. Par exemple, en tant qu'administrateur, ils pourraient toujours supprimer des messages. Nous devrions probablement traiter cela aussi une action sensible et demander à nouveau à l'utilisateur son mot de passe. En général, vous ne voulez pas redemander à l'utilisateur son mot de passe pour chaque action, car cela deviendra vite gênant pour l'utilisateur. Limitez donc votre liste d'actions à celles qui sont assez sensibles qu'ils peuvent faire des dégâts si un hacker pouvait les exécuter puis revérifiez juste pour ceux-là. Merci d'avoir regardé. Dans la prochaine leçon nous verrons comment stocker des données sensibles chiffrées.

Débutant Fournisseur : Jay Shafftstall 6 leçons · 16m en Arabe, Allemand, Anglais, Espagnol, Français, Portugais, Chinese

Description du cours

Ce module couvrira une variété de vulnérabilités d’injection et d’authentification brisée. Vous apprendrez à stocker des données utilisateur sensibles chiffrées. Vous apprendrez également l’importance des mots de passe forts pour les utilisateurs.

Objectifs de la formation :

Les compétences :

Ce que vous allez apprendre

Comprendre le fonctionnement des attaques par injection SQL et comment les prévenir
Reconnaître comment les attaques de piratage de session fonctionnent contre une authentification défectueuse
Stocker les données utilisateur sensibles sous forme cryptée
Travailler avec des mots de passe cryptés pour les comptes d'utilisateurs
Appliquer la ré-authentification pour les actions sensibles
Expliquer l'importance de mots de passe d'utilisateur forts

Points clés à retenir

Le module couvre une variété de vulnérabilités d'injection et d'authentification défectueuse.
Les données utilisateur sensibles doivent être stockées sous forme cryptée.
Les mots de passe d'utilisateur forts sont importants pour la protection des comptes.
Le cours explique comment fonctionnent les attaques par injection SQL et comment les prévenir.
Le piratage de session est une forme d'attaque par authentification défectueuse examinée dans le cours.

Foire aux questions

Que couvre ce module ?

Il couvre diverses vulnérabilités d'injection et d'authentification défectueuse, notamment l'injection SQL, le piratage de session, le stockage de données sensibles cryptées et la ré-authentification pour les actions sensibles.

Qu'apprendrai-je sur l'injection SQL ?

Vous apprendrez comment fonctionnent les attaques par injection SQL et comment prévenir l'injection SQL.

Le cours aborde-t-il les mots de passe ?

Oui. Vous apprendrez à travailler avec des mots de passe cryptés et l'importance de mots de passe d'utilisateur forts.

Quelles compétences sont associées à ce cours ?

Les compétences associées incluent l'injection de code, le laboratoire de test de module cryptographique, les modules de sécurité Linux, le module d'authentification enfichable (PAM), le module de sécurité inviolable et la gestion des vulnérabilités.

Quels sujets sont enseignés sur l'authentification ?

Le cours couvre l'authentification défectueuse, les attaques par piratage de session et la ré-authentification pour les actions sensibles.