La compagnie américaine de sécurité Imperva a publié son rapport « PHP SuperGlobals: Supersized Trouble » dans lequel elle présente une analyse approfondie des attaques contre les applications PHP dont celles qui impliquaient des paramètres superglobaux. Étant donné que PHP est, pour la compagnie, la plateforme de développement d’applications web la plus répandue (l’entreprise estime que 80 % des sites l’utilisent parmi lesquels Facebook ou Wikipédia) l’importance accordée à la résolution des problèmes liés à la sécurité de PHP est capitale. « Parce que les hôtes compromis peuvent être utilisés comme esclaves botnets pour attaquer d’autres serveurs, les exploits contre les applications PHP peuvent affecter la sécurité générale et la bonne santé de tout le Web » explique Amichai Shulman, Directeur de la Technologie chez Imperva.
Le rapport signale que les pirates développent au fil du temps de simples scripts avec des degrés de sophistication plus élevés, et identifient les paramètres superglobaux de PHP comme leur entrée favorite, qui leur octroie un retour sur investissement des plus élevés. Au sein de la communauté des pirates ils gagnent en popularité à cause des nombreux problèmes de sécurité (CVE-2011-2505, CVE-2010-3065 par exemple) qu’ils intègrent et permettent ainsi aux hackers de briser la logique d’une application et compromettre un serveur, ce qui peut entraîner le vol de données ou des transactions frauduleuses.
D’ailleurs, en un mois, l'équipe de recherche d'Imperva a noté une moyenne de 144 attaques par application qui contenaient des vecteurs d'attaque liés à des paramètres superglobaux. En outre, les chercheurs ont assisté à des campagnes d'attaque d'une durée de plus de cinq mois avec des salves d’inondations de requêtes atteignant les 90 coups par minute sur une seule application.
L’une des recommandations du rapport est de bloquer les paramètres superglobaux au niveau des requêtes. Pour eux rien n’explique leur présence à ce niveau et ils doivent donc être bannis.
Source : rapport (au format PDF)
Et vous ?
Qu'en pensez-vous ? 
)