Très rigolo ce petit Proof of Concept sur les serveurs IIS qui permet de trouver des fichiers ou des dossiers cachés simplement en lui passant une URI avec un tilde ~ et un astérisque (*). En faisant cela, le serveur recherchera le pattern parmi les fichiers présents sur le serveur et renverra une réponse positive si ce fichier existe. De quoi permettre à un attaquant de localiser plus facilement et rapidement un dossier ou un fichier caché sur le serveur.
Voici une liste d’exemple de patterns :
Voici ce que ça donne en vidéo :
Le chercheur qui a mis au jour cette faille a aussi trouvé une possibilité d’attaque DoS sur des serveurs .NET grâce à un simple tilde… marrant 😉
Créez votre compte gratuit Azure dès aujourd’hui
Qu’est-ce que j’obtiens ?
Avec votre compte gratuit Azure, vous bénéficiez de tous ces éléments et vous n’êtes facturé que si vous effectuez une mise à niveau.
- 12 mois de services gratuits populaires
- Crédit de 170 €, pour explorer Azure pendant 30 jours
- Toujours gratuits: Plus de 25 services
Créez des applications évolutives et des fonctionnalités de mise en œuvre plus rapidement
Créez des charges de travail qui adaptent leur échelle en fonction de la demande. De plus, fournissez des logiciels plus rapidement et de façon fiable grâce à des solutions de DevOps de bout en bout.