Pentest web : trouver et corriger les failles des applications Quiz

Quiz : injections

Réussite à partir de 70%. Vous pouvez recommencer autant de fois que nécessaire.

Connectez-vous pour passer ce quiz et enregistrer votre score. Se connecter

1 Quelle est la cause racine d’une injection SQL ? Une seule réponse Le serveur n’utilise pas HTTPS Une donnée de l’utilisateur est mélangée au texte de la requête sans séparation Les mots de passe des utilisateurs sont trop courts La base de données est trop ancienne

2 En laboratoire, quel est le comportement attendu d’un testeur qui a confirmé une injection SQL ? Une seule réponse Il extrait la totalité de la base pour mesurer l’impact Il s’arrête à la preuve minimale, documente le constat et propose une correction Il essaie la même faille sur d’autres sites pour confirmer qu’elle est répandue Il modifie des données pour vérifier qu’il en a le droit

3 Quelles défenses sont efficaces contre l’injection SQL (plusieurs réponses) ? Plusieurs réponses possibles Les requêtes préparées (paramétrées) Supprimer quelques mots SQL jugés dangereux dans les saisies Un compte de base de données aux droits minimaux Une liste blanche pour les noms de colonnes ou les tris choisis par l’utilisateur

4 Une application exécute une commande système en y insérant directement une valeur saisie par l’utilisateur. De quel type de faille s’agit-il, et quelle est la meilleure défense ? Une seule réponse Une injection LDAP ; chiffrer les données de l’annuaire Une fixation de session ; régénérer le cookie Une faille de clickjacking ; ajouter un en-tête de sécurité Une injection de commande ; éviter le shell et valider les valeurs par liste blanche

5 Pourquoi la validation des saisies côté navigateur ne suffit-elle pas à protéger une application (plusieurs réponses) ? Plusieurs réponses possibles Un proxy permet d’envoyer des requêtes sans passer par les contrôles du formulaire Les navigateurs récents ne savent plus valider des champs Le client contrôle les données qu’il envoie : seul le serveur peut leur faire confiance ou non Une validation côté serveur rend le formulaire plus lent à afficher