Contrôles optionnels du diagnostic : création de comptes, fichiers exécutables, exécution de commandes et import de données

Le diagnostic SPHIOR comprend des contrôles exécutés par défaut et des contrôles exécutés uniquement lorsque vous les autorisez un par un. Ces derniers peuvent détecter des faiblesses plus graves, mais en contrepartie ils peuvent laisser des traces sur la cible pendant la vérification.

Cette page vous permet de comprendre concrètement ce qui se passera avant de cocher chaque élément sur l'écran de consentement.

Contrôles standard, contrôles optionnels et contrôles jamais exécutés

Les quatre éléments optionnels n'envoient pas non plus de méthodes HTTP qui écrivent ou suppriment des données. Les contrôles impliquant une suppression, une réinitialisation ou un écrasement sont exclus à l'avance.

Points communs aux éléments optionnels

• Des traces ne subsistent que si la faiblesse existe. Sur une cible sans la faiblesse, les requêtes sont rejetées et rien n'est créé. Dans tous les cas, les requêtes sont toutefois enregistrées dans les journaux d'accès de la cible.
• Ils démarrent avec le diagnostic du mois suivant votre autorisation. Si vous décochez un élément, il n'est plus exécuté à partir du mois suivant.
• Ils sont consignés dans le rapport. Le chapitre « Périmètre et méthodologie » liste les éléments consentis et le nombre de contrôles ajoutés ; le chapitre « Détail des constats » indique, pour chaque constat issu d'un contrôle optionnel, ce qui peut subsister et comment le nettoyer.
• Les valeurs envoyées sont des valeurs de test inoffensives. Nous n'utilisons jamais d'informations d'utilisateurs réels ni vos données.

Vérifier en créant un compte

Ce que cela vérifie

Une faiblesse qui permet à n'importe qui de créer des comptes utilisateur ou administrateur sans authentification. Elle provient d'une mauvaise configuration de l'inscription publique ou de fonctions d'administration. Exploitée, elle permet à un tiers d'entrer comme utilisateur légitime.

Ce qui est envoyé

Des requêtes qui créent un compte de test. Le nom, l'adresse e-mail et le mot de passe sont soit des valeurs de test fixes propres à chaque contrôle, soit des valeurs aléatoires.

Ce qui peut subsister si la faiblesse existe

• Le compte de test (il peut disposer de privilèges utilisateur ou administrateur)
• Pour certains contrôles, un enregistrement de test autre qu'un compte
• Les notifications déclenchées par la création du compte (e-mails aux administrateurs, e-mails de bienvenue, etc., selon la configuration de votre système)

Comment nettoyer

À partir de l'emplacement indiqué dans le constat, retrouvez le compte de test dans votre console d'administration ou équivalent et supprimez-le. Laissé en place avec des privilèges, il peut lui-même devenir un point d'entrée.

Avant de l'activer

Si vous communiquez le nombre d'utilisateurs à l'extérieur, ou si la création de comptes est liée à d'autres traitements comme la facturation ou les stocks, décidez à l'avance du traitement des comptes de test.

Vérifier en déposant un fichier exécutable

Ce que cela vérifie

Une faiblesse qui permet de déposer, via une fonction de téléversement ou similaire, un fichier exécuté par le serveur (un script, par exemple). Elle ouvre la voie à l'exécution de code arbitraire et fait partie des faiblesses les plus graves.

Ce qui est envoyé

Un fichier de test. Son contenu se contente d'afficher une chaîne fixe, le résultat d'un calcul ou la valeur reçue, ou n'est qu'une chaîne aléatoire ; il ne peut pas exécuter de commandes. Nous accédons ensuite au fichier déposé et confirmons d'après la réponse s'il a été exécuté.

Ce qui peut subsister si la faiblesse existe

• Un fichier de test exécutable sur le serveur cible

Comment nettoyer

À partir de l'emplacement indiqué dans le constat, retrouvez le fichier de test et supprimez-le impérativement. Son contenu ne fait qu'afficher, mais laisser un fichier exécutable dans un emplacement public n'est pas souhaitable en soi. Revoyez aussi la configuration pour que les fichiers téléversés ne puissent pas être exécutés (emplacement de stockage séparé, retrait du droit d'exécution, restriction des extensions).

Avant de l'activer

Si vous utilisez une détection d'altération de fichiers ou une surveillance des modifications de fichiers sur le serveur, le fichier de test peut déclencher une alerte. Prévenir l'équipe responsable à l'avance évite toute confusion.

Vérifier en exécutant une commande

Ce que cela vérifie

Une faiblesse par laquelle une entrée externe provoque l'exécution de commandes du système d'exploitation sur le serveur. C'est une faiblesse grave pouvant mener à la prise de contrôle du serveur.

Ce qui est envoyé

Une commande qui confirme le résultat : afficher l'utilisateur sous lequel tourne le processus, lire un fichier de configuration du système, afficher une chaîne fixe ou effectuer un calcul. Les contrôles impliquant une écriture ou une suppression sont exclus à l'avance. Le contenu de la réponse n'est pas repris dans le rapport ; seule son empreinte (hash) est conservée.

Ce qui peut subsister si la faiblesse existe

• Une trace de l'exécution d'une commande sur le serveur (journaux du système ou de l'application)
• Les commandes ne créent pas de fichiers, mais leur exécution peut être détectée par des outils de surveillance

Comment nettoyer

Aucun fichier ne subsiste. Corrigez le traitement des entrées à l'emplacement indiqué dans le constat et vérifiez, en les comparant aux dates du rapport, si les traces d'exécution dans vos journaux proviennent de ce contrôle.

Avant de l'activer

Si vous utilisez une détection d'intrusion (EDR, IDS, etc.), les commandes de test peuvent déclencher des alertes. Partager le calendrier du diagnostic avec l'équipe responsable évite de les traiter comme une véritable attaque.

Vérifier en important des données

Ce que cela vérifie

Une faiblesse qui permet d'importer des données sans authentification. Un tiers pourrait enregistrer de fausses données ou se servir de la fonction d'import comme tremplin vers d'autres faiblesses.

Ce qui est envoyé

Une petite quantité de données de test inoffensives.

Ce qui peut subsister si la faiblesse existe

• Les données de test importées (elles peuvent apparaître dans des listes ou écrans d'administration)

Comment nettoyer

À partir de l'emplacement indiqué dans le constat, retrouvez les données de test importées et supprimez-les.

Avant de l'activer

Si les données importées alimentent automatiquement d'autres traitements (agrégation, diffusion, intégrations avec des services externes), les données de test peuvent aussi y parvenir.

Consentement et responsabilité

Vous autorisez les éléments optionnels à votre discrétion, après avoir compris les traces et effets décrits ci-dessus. Le texte de consentement précise que vous acceptez ces effets et que le reste est régi par les Conditions d'utilisation (section 10, Limitation de responsabilité).

En cas de doute, vous pouvez commencer par le seul diagnostic standard et ajouter des éléments après avoir consulté le rapport. Les éléments optionnels peuvent être ajoutés ou retirés à tout moment.