La sécurité de mon site

[fragueul]

Bonjour,

Je souhaite me pencher sur la réalisation d'un audit sécurité sur mon site web.

Auriez-vous des conseils en terme de logiciel et de méthodologie ?

J'ai quelques compétences générales en informatique et je suis surtout un grand autodidacte, donc avant de faire appel à des spécialistes, je préfère voir ce que je suis capable de faire par moi-même.

Merci d'avance à tous

 

[jcaron]

Tu peux commencer par utiliser les outils de scan de sécurité (en particulier les scans "PCI DSS"). La plupart sont payants mais de mémoire Comodo a une offre de test gratuite limitée (dans le temps essentiellement).

Jacques.

 

[Rod la Kox]

Tu vas sur un site de hacker, tu les traites de tarlouze en omettant pas de laisser ton site en signature.

 

[ortolojf]

Tu vas sur un site de hacker, tu les traites de tarlouze en omettant pas de laisser ton site en signature.

Pardon

Je n'ai pas dictionnaire chez moi...

C'est quoi un tarlouze ?

Bien à vous.

Amicalement.

Jean-François Ortolo

 

[spout]

Tu peux déjà tester une partie avec les injections SQL:
Extension Firefox, SQL Inject Me: https://addons.mozilla.org/fr/firefox/addon/7597

Et le nouvel outil de Google, skipfish: http://code.google.com/p/skipfish/

 

[frez]

Tu vas sur un site de hacker, tu les traites de tarlouze en omettant pas de laisser ton site en signature.

Excellent!

 

[ortolojf]

Bonsoir

Ah, pardon... ;(

J'ai été regarder sur le net, ce que voulait dire ce mot.

Bof, les hackers sont sans pitié...

Bien à vous.

Amicalement.

Jean-François Ortolo

 

[OTP]

Tu vas sur un site de hacker, tu les traites de tarlouze en omettant pas de laisser ton site en signature.

Excellent!

Je pense qu'il faut quand même mieux faire un audit avant le grand test ! :mrgreen:

 

[fragueul]

Tu vas sur un site de hacker, tu les traites de tarlouze en omettant pas de laisser ton site en signature.

merci pour le conseil de kamikaze :mrgreen:

Merci également pour les autres conseils qui seront (je pense) plus utiles.

Je vais tester les extensions firefox.

Pour le logiciel "skipfish", je suppose qu'il faut l'exécuter en invite de commande sur le serveur. Vu que je suis en mutualisé, je sais pas si c'est possible.

Je suis preneur de tout autre conseil (même les truc de fou)

 

[spout]

Pour le logiciel "skipfish", je suppose qu'il faut l'exécuter en invite de commande sur le serveur. Vu que je suis en mutualisé, je sais pas si c'est possible.

Tu peux installer skipfish avec Linux sur ton PC.

 

[fragueul]

Bonne nouvelle. Le seul problème c'est que je tourne sous XP.

Je vais essayer avec une machine virtuelle.

 

[Leonick]

Pour le logiciel "skipfish", je suppose qu'il faut l'exécuter en invite de commande sur le serveur. Vu que je suis en mutualisé, je sais pas si c'est possible.

s'il n'a pas besoin d'être installé sur le serveur, juste copié et que tu as un accès ssh, ça doit être faisable

 

[fragueul]

J'ai effectué le test avec injectMe. Aucune erreur trouvée.

Quelle est la fiabilité d'un tel tests ? Est-ce que cela me garanti qu'aucune injection sql n'est possible ?

 

[medium69]

Rappelle toi bien d'une chose.

Aucun site n'est sécurisé à 100 %. tu peux avoir bien des barrières, mais si un hackeur veut te pirater, il y arrivera

 

[webinyou]

Il faut bien distinguer la sécurité :
- du côté site web, à savoir si son code est robuste, s'il a des failles fonctionnelles, etc...
- du côté serveur, lié essentiellement à sa configuration

 

[jcaron]

J'ai effectué le test avec injectMe. Aucune erreur trouvée.

Quelle est la fiabilité d'un tel tests ? Est-ce que cela me garanti qu'aucune injection sql n'est possible ?

Ca veut dire qu'il n'en a pas trouvé, mais ce genre de test ne trouve pas forcément tous les endroits où il y a des requêtes SQL et tous les paramètres qui peuvent être variés (y compris les cookies et autres paramètres d'environnement), donc non, ça ne garantit rien.

Tu as essayé un scan PCI chez Comodo? http://www.hackerguardian.com/hackerguardian/buy/pci_free_scan.html

Jacques.

 

[cr500]

essaye proweb serenity ( dans google)il ya un scanner et un service de filtrage des attaques