XSS Test Driver et les navigateurs web mobile

Erwan Abgrall (1) , Yves Le Traon (2) , Sylvain Gombault (3) , Alain Ribault (1)

1 KEREVAL
2 S'nT - Security, Reliability and Trust Interdisciplibary Research Centre
3 RSM - Département Réseaux, Sécurité et Multimédia

Les attaques de type Cross Site-Scripting, XSS, constituent l'une des principales menaces pour les applications web en pouvant se propager au travers des différents composants web : le site web, les composants de sécurité internes et externes, pour finir par l'exécution par le navigateur. Tester le degré d'exposition des applications comme évaluer la nocivité d'un XSS donné n'est pas chose aisée dans la mesure où tout dépend du navigateur et des vecteurs XSS utilisés pour l'exploiter. Les vecteurs d'attaque doivent par ailleurs être considérés dans l'environnement de test pour ne pas biaiser la tâche de diagnostic. En effet, il est crucial des tester les différentes couches de l'application (navigateur, application externe, firewall, code de sécurité interne) pour rendre un diagnostic précis. Il convient d'identifier précisément la sensibilité de chaque couche à une attaque spécifique. Dans ce papier, les vecteurs d'attaques XSS sont présentés comme des cas de tests unitaires intégrés dans une méthode, basée sur un outil dédié, en observant particulièrement l'impact sur les navigateurs web. L'étude a consisté à déployer l'outil sur un large panel de navigateurs, incluant les navigateurs Mobile. Le résultat de l'étude démontre la pertinence de tester chaque version d'un navigateur, dans la mesure où une nouvelle version peut présenter des vulnérabilités XSS absentes de la version précédente.

Mots clés: XSS Web mobile navigateurs

Domaines: Cryptographie et sécurité [cs.CR]

Erwan Abgrall, Yves Le Traon, Sylvain Gombault, Alain Ribault. XSS Test Driver et les navigateurs web mobile. C&ESAR 2011: Computer &Electronics Security Applications- Mobilité et sécurité, Nov 2011, Rennes, France. ⟨hal-00725550⟩