Navigation forcée
Qu’est-ce que la navigation forcée ?
La navigation forcée est un type de cyberattaque dans lequel un attaquant tente d’accéder à des répertoires, des fichiers ou d’autres ressources qu’un site web n’a pas vocation à rendre accessibles au public. Au lieu de parcourir les pages et les liens publics, l’attaquant saisit directement une URL dans la barre d’adresse du navigateur afin de rechercher des fichiers ou des répertoires cachés sur le serveur. Les méthodes couramment utilisées pour identifier les chemins non publics comprennent :
- Liste du contenu des répertoires
Si la fonctionnalité d’indexation des répertoires du serveur web est activée, la saisie de l’URL d’un répertoire peut afficher la liste des fichiers qu’il contient. Si des fichiers sensibles se trouvent dans ces répertoires, les attaquants peuvent facilement en identifier les noms. - Commentaires dans les fichiers HTML
Les commentaires intégrés au code HTML peuvent révéler par inadvertance les chemins d’accès à des ressources non publiques. - Déduction d’URL
En examinant les listes de répertoires ou les informations contenues dans les commentaires HTML, les attaquants peuvent déduire les conventions de nommage du site. Ils peuvent ensuite s’appuyer sur ces modèles pour deviner le nom de fichiers non publics situés dans d’autres répertoires.
Mesures de prévention :
Pour prévenir les attaques par navigation forcée :
- Désactivez la fonctionnalité d’affichage du contenu des répertoires (dans Apache, supprimez l’option « Indexes » du fichier http.conf).
- Supprimez les commentaires inutiles des fichiers HTML publics.
- Restreindre la portée des accès autorisés aux applications web.
De plus, la mise en œuvre d’un pare-feu applicatif web (WAF) peut atténuer efficacement ce type d’attaques. F5 propose la solution F5 BIG-IP, qui intègre de solides fonctionnalités WAF pour protéger contre la navigation forcée et d’autres cybermenaces.
