Attaques XSS sur WordPress : comment s’en prémunir ?

Le Cross-site scripting (XSS) est l'une des vulnérabilités web les plus courantes pouvant conduire à des attaques de phishing, au détournement de session, à la défiguration de sites web et à l'installation de logiciels malveillants sur l'ordinateur d'une victime.

Du fait de leur nature furtive, les attaques XSS passent souvent inaperçues pendant longtemps. Les forums et les blogs sont particulièrement souvent piratés.

Vous pouvez vous protéger, ainsi que votre serveur, contre cette vulnérabilité grâce à quelques méthodes simples. Par exemple, bloquez les courriels provenant d'expéditeurs anonymes et, en tant qu'administrateur du site web, restreignez strictement la fonction de commentaires.

Que peut faire le Cross-Site Scripting (XSS) ?

Une composante courante d'une attaque XSS consiste à récupérer des données de connexion. Par exemple, les attaquants peuvent accéder à votre boîte mail ou à votre compte bancaire. Ces données sont ensuite utilisées à des fins illégales.

Une autre raison est de vouloir intégrer votre ordinateur à un réseau de zombies (botnet). Dans ce cas, de nombreux ordinateurs sont interconnectés par l'attaquant afin de paralyser un ou plusieurs serveurs grâce à une attaque DDoS ciblée.

Les vulnérabilités des serveurs facilitent les attaques de script intersite.

Les vulnérabilités des serveurs sont la cause la plus fréquente des attaques de type cross-site scripting (XSS). Les experts s'emploient constamment à identifier ces failles et à les signaler. Cela attire, par ricochet, les attaquants désireux de prendre le contrôle du site web.

Il doit exister un moyen d'interagir avec votre ordinateur ou votre site web pour y injecter le code nécessaire à une attaque. La méthode la plus courante consiste à utiliser un champ de commentaires sur un blog ou un forum. Supposons qu'un code malveillant soit inséré dans ce commentaire ou cette publication. Dans ce cas, un script est lancé, permettant la transmission de données supplémentaires ou ouvrant une porte dérobée pour l'attaquant.

Différents types de scripts intersites

Voici les trois types de cross-site scripting les plus courants :

XSS local

Il s'agit de la méthode de cross-site scripting la plus ancienne et la plus efficace : le visiteur clique sur un lien qui le redirige vers un site web piégé. Le code malveillant est alors chargé dans son navigateur et le script s'exécute. Le lien est généralement reçu par courriel. Bien que les logiciels de messagerie et de sécurité actuels filtrent la plupart de ces attaques, de nombreux utilisateurs cliquent encore sur les liens provenant d'expéditeurs inconnus, contournant ainsi d'importants mécanismes de sécurité. 

XSS persistant

Cela nécessite une faille de sécurité sur le serveur. L'attaquant manipule un lien dans la base de données, qui est ensuite enregistré de manière permanente. Cette manipulation est quasiment imperceptible, mais les visiteurs sont redirigés vers d'autres sites web par cette nouvelle entrée. Ces sites ressemblent souvent aux pages originales. C'est ainsi que les données de connexion des utilisateurs sont interceptées. 

XSS par réflexion

L'utilisateur accède à une URL manipulée. Le serveur accepte cette URL malveillante car son contenu exact n'est pas vérifié. Une page web dynamique, très similaire à la page attendue, est alors générée. Contrairement aux attaques XSS persistantes, aucune base de données n'est manipulée et aucun site web statique n'est créé.

Comment se protéger contre les attaques XSS ?

Il existe plusieurs façons de se protéger contre les attaques XSS :

Utilisez les mesures de sécurité au lieu de les contourner.

Ne cliquez pas à la légère sur des liens aux noms alléchants, comme ceux proposant des concours ou des questions de sécurité inquiétantes. Courriel, navigateurs et logiciels de sécurité fonctionnent de concert pour assurer votre sécurité.

Si vous recevez des liens, vérifiez d'abord la source. Si vous ne reconnaissez pas l'expéditeur, bloquez le courriel.

Installer un pare-feu d'application Web

Dans un monde où les menaces évoluent sans cesse, les pare-feu constituent un outil de défense précieux. Ils appliquent des règles de sécurité basées sur la signature qui bloquent les requêtes anormales, typiques des attaques XSS. 

Installez un bon plugin de sécurité WordPress

Si l'utilisateur ciblé est un administrateur, les attaques XSS sont dangereuses pour les propriétaires de sites web. Elles permettent de récupérer les identifiants de connexion et d'infecter le site avec un logiciel malveillant. Un bon plugin de sécurité vous aidera à surveiller les activités inhabituelles des utilisateurs, et les analyses quotidiennes permettront de détecter rapidement tout logiciel malveillant. 

En tant qu'exploitant de site web, que puis-je faire contre les attaques de type cross-site scripting (XSS) ?

En principe, protéger son site web est simple. Cependant, ces mesures requièrent votre attention et ne doivent pas être négligées.

Activez uniquement les fonctions de commentaire nécessaires

Si vous tenez un blog, vous devriez envisager d'y intégrer un système de commentaires. Bien que cela simplifie les interactions et dynamise votre site web, cela comporte également un risque spécifique.

Suppression automatique des URL et du code.

Pour compliquer la gestion des commentaires XSS, certaines précautions de sécurité s'appliquent à WordPress, Joomla et autres plateformes similaires. Des extensions supplémentaires permettent de se prémunir efficacement contre ces attaques. La plupart de ces extensions suppriment les URL et autres codes exécutables des commentaires et affichent une notification de suppression. Si votre site web est de taille modeste, vous pouvez également activer la modération des commentaires et les examiner manuellement.

Mettez toujours vos logiciels à jour

Tous les logiciels doivent être constamment à jour. Cela concerne à la fois le système d'exploitation, les logiciels utilisateurs et les logiciels serveur. Les logiciels destinés à un usage productif sont souvent identifiés comme appartenant à une « branche stable ». Bien que les versions bêta séduisent par leurs nouvelles fonctionnalités et souvent par une conception plus aboutie, ces fonctionnalités ne sont ajoutées que temporairement et les problèmes ne sont corrigés qu'après coup. Les failles de sécurité peuvent ainsi passer inaperçues au départ.

Remarque : Il est recommandé de tester initialement les logiciels bêta uniquement dans un environnement fermé, sans accès à Internet, afin d'éviter tout accès externe.

Conclusion

Les attaques de type Cross-Site Scripting (XSS) sont fréquentes sur WordPress et permettent de voler des données aux visiteurs du site web. Il est de la responsabilité de l'administrateur du site de prévenir les violations de données des utilisateurs. Un pare-feu WordPress peut être utilisé pour éviter des actions potentiellement dangereuses pour vos utilisateurs. Ces extensions peuvent contrer les effets néfastes des vulnérabilités liées aux logiciels malveillants.

Les suggestions de cet article vous aideront sans aucun doute à protéger vos données numériques contre toute faille de sécurité. Si vous avez encore des questions ou des doutes, n'hésitez pas à nous contacter !