Le site web est la vitrine de toutes les entreprises sur internet. Il a pour rôle d’informer et participe à la construction de l’image de l’entreprise. Les sites web ont toujours été des éléments particulièrement sensibles en matière de sécurité. Un site web reste un serveur public, tout le monde peut y accéder, vos clients et fournisseurs, mais également les hackers. Les failles sont nombreuses sur tous les logiciels applicatifs et certains passent leur journée à tenter de les détecter.

Pourquoi les sites internet sont-ils piratés ?

Par plaisir

Les hackers ont des motivations précises et n’auraient certainement pas le temps de s’amuser à pirater un site juste pour le plaisir, à moins que ce soient des gamins qui tentent de se faire la main. En tous cas, cette notion est à oublier très vite, à moins de n’avoir vraiment pas de chance !

Pour des rançons

C’est une pratique de plus en plus en vogue et mieux connue sous le nom Ransomware. Des petits malins vont prendre le contrôle du site et demander une rançon, en général, une belle somme d’argent.

Ce type d’attaque dure en moyenne une dizaine de jours. En refusant de payer, combien pourrait perdre financièrement le propriétaire du site pendant tout ce laps de temps ? Tout dépend du CA quotidien dégagé.

Lire aussi :  Antivirus gratuits : Quel est le meilleur pour protéger son PC ?

Pour utiliser le serveur à d’autres fins

Cette fois, cette option est plus crédible et une attaque offre de multiples possibilités pour les pirates.

  • Le spam SEO : les hackers vont utiliser le SEO à leur avantage et contrôler à distance vos mots-clés et contenus pour rediriger les internautes vers leur propre site.
  • Le cross-Site Scripting : pour usurper les identités des utilisateurs et des données financières.
  • Site Request Forgery : utilisation des droits d’un utilisateur authentifié pour lui faire exécuter des actions (modifications, suppressions…).
  • Defacing : le pirate peut alors défigurer votre site et inclure sur les pages des insultes, des revendications, etc.
  • Attaque par injection SQL : va permettre au pirate de prendre le contrôle total du site.
  • Le Phishing : pour récupérer les informations sensibles des internautes.
  • Remote Code & Remote File Inclusion : les pirates vont accéder au serveur pour lancer différentes attaques (spam, Phishing, etc.).

Comment pirate-t-on un site internet ?

Repérer les technologies utilisées

Les pirates ont besoin de savoir quelles technologies sont utilisées sur les sites web, en effet certaines présentent plus de failles que d’autres et elles sont connues, une aubaine pour programmer une attaque millimétrée.

Les CMS

  • Site institutionnel : WordPress, Joomla, Drupal, SPIP…
  • Blog : WordPress, PluXml, DotClear…
  • Site marketing : Drupal, eZ Publish, WordPress, HippoCMS…
  • Réseau social : Drupal, WordPress
  • Intranet/portail d’entreprise : Drupal, eZ Publish
  • eCommerce : Prestashop, Magento, osCommerce, virtueMart et couple à WooCommerce WordPress…
  • Forum : PhpBB, PunBB, vBulletin, Simples machines forum…

Les serveurs

  • Apache
  • Oracle
  • SQL Server
  • DB2
  • Sybase
  • MySQL

Définir les failles connues

WordPress est le CMS le plus utilisé et de loin, avec plus de 43% des sites actuels. C’est aussi le CMS qui présente le plus de failles et cela s’explique par l’augmentation toujours croissante du nombre d’extensions et des thèmes mis à disposition. 97,2% des failles de sécurité sur WordPress proviennent des extensions.

Lire aussi :  Ramsay : ESET découvre un nouvel environnement de cyberespionnage

 Vient ensuite Magento, un CMS dédié au e-commerce avec 4,6 % de parts des sites piratés, suivi de Joomla ainsi que Drupal.

Les failles lorsqu’elles sont connues devraient normalement être patchées (correction virtuelle), mais un grand nombre de propriétaires de sites ne prennent pas le temps de le faire, laissant ainsi la porte grande ouverte pour l’exploitation de toutes ces failles connues.

Faire de l’injection de code

C’est l’une des meilleures vulnérabilités du web et les conséquences d’une faille SQL peuvent être multiples, du contournement de formulaires d’authentification au dump complet de la base de données en passant par l’exécution arbitraire de code…

Et encore une fois si le propriétaire du site n’a pas pris soin de placer des systèmes défensifs, il est alors possible d’injecter du code et d’en exécuter un pour prendre le contrôle du site.

Ressources

Recourir à une solution de test d’intrusion peut s’avérer pratique pour évaluer le niveau de sécurité d’un service, application, ou système informatique :

  1. Kali Linux
  2. nmap
  3. Metasploit
  4. Wireshark
  5. John the Ripper
  6. Hydra
  7. Zed Attack Proxy
  8. sqlmap
  9. aircrack-ng