Une attaque incite un utilisateur authentifié à cliquer sur un lien malveillant, ce qui force son navigateur à exécuter une action non désirée (par exemple, un virement bancaire) sur une application web où il est déjà connecté. Comment s’appelle ce type d’attaque ?
[A] Cross-Site Request Forgery (CSRF)
[B] Time-of-check to time-of-use (TOCTOU)
[C] Cross-Site Scripting (XSS)
[D] Server-Side Request Forgery (SSRF)
[A] Cross-Site Request Forgery (CSRF)
L’attaque décrite consiste à forcer un utilisateur déjà authentifié sur une application web légitime (par exemple, sa banque en ligne) à exécuter une requête malveillante à son insu, souvent en cliquant sur un lien ou en chargeant une image/pièce jointe falsifiée. Le navigateur de la victime envoie automatiquement les cookies de session valides, donc la requête semble légitime pour le serveur. Résultat : une action non voulue (virement, changement d’adresse, suppression de compte, etc.) est effectuée au nom de la victime. C’est exactement le mécanisme d’une attaque CSRF (Cross-Site Request Forgery).
[B] Time-of-check to time-of-use (TOCTOU)
Vulnérabilité liée à une condition de concurrence (race condition) entre la vérification d’une condition et son utilisation.
→ Rien à voir avec une requête HTTP ni un utilisateur authentifié.
❌ Mauvaise réponse.
[C] Cross-Site Scripting (XSS)
Injection de code JavaScript malveillant dans une page web, exécuté dans le navigateur d’un autre utilisateur.
→ XSS vise à exécuter du code dans le navigateur, pas à forcer une requête authentifiée.
❌ Mauvaise réponse.
[D] Server-Side Request Forgery (SSRF)
L’attaquant trompe un serveur pour qu’il envoie des requêtes HTTP à d’autres ressources internes ou externes.
→ Cela concerne le serveur, pas l’utilisateur ni sa session.
❌ Mauvaise réponse.
✅ La bonne réponse est la proposition [A] Cross-Site Request Forgery (CSRF)
Une attaque CSRF exploite la confiance du serveur envers le navigateur authentifié de la victime, en le poussant à envoyer une requête non désirée avec des identifiants valides.
Pour en savoir plus sur la sécurité applicative, nous vous recommandons de suivre les modules n°20 et 21 de de notre formation CISSP en distanciel.
🏆 Avec nos nouvelles formules Silver et Gold, passez l’examen CISSP en toute sérénité : le passage de l’examen est inclus et vous bénéficiez d’une seconde tentative gratuite en cas d’échec.
🔍 Curieux d’en savoir plus ? 👉 https://www.verisafe.fr/formation-cissp
Questions et réponses rédigées par VERISAFE selon le programme officiel du CISSP actuellement en vigueur
© VERISAFE – Utilisation ou reproduction (même partielle) strictement interdite sans l’accord écrit de VERISAFE
