Sécurité d’un site Internet Joomla!

Joomla! est une plateforme très utilisée pour la création de sites dynamiques. Néanmoins, l’utilisation d’un outil “packagé” ne met pas à l’abri des risques de piratage et d’intrusion dans le système. Voici quelques failles à surveiller et à corriger pour assurer une protection de votre site Joomla!

La première (et plus simple) faille du produit est l’URL d’accès à son interface d’administration bien connue des administrateurs du site mais également des pirates potentiels. Il est donc primordial d’avoir un mot de passe fort pour l’administrateur car les pirates vont essayer les mots de passe classiques, les plus utilisés par les internautes peu soucieux de la sécurité.

Ensuite, les pirates vont utiliser les failles des composants, plus que celles du noyau de joomla! Vous devez donc veiller à toujours utiliser la dernière version stable du noyau afin de garantir une prise en compte des dernières failles de sécurité. La dernière version stable est la 1.5.15.

Le piratage se fait donc le plus souvent via une vulnérabilité dans un composant ou un module et en utilisant des méthodes classiques :
- Injection SQL, technique qui consiste à modifier une requête SQL existante pour afficher des données cachées, ou pour écraser des valeurs importantes, ou encore exécuter des commandes dangereuses pour la base.
- Injection de fichier, technique qui consiste à introduire un fichier étranger sur le serveur.
- Vulnérabilité du type cross-site scripting (XSS) et cross-site request forgery (XSRF), autorisant des utilisateurs à effectuer certaines actions par le biais de requêtes HTTP sans vérification de celles-ci. Ces erreurs peuvent être exploitées pour, par exemple, ajouter un nouvel super administrateur de Joomla!.

Donc, pensez à utliser des modules et des composants fiables, testés et n’hésitez pas à consulter la liste des failles répertoriées sur le site http://docs.joomla.org/Vulnerable_Extensions_List

En revanche, sachez qu’il existe également des composants Joomla! qui peuvent sécuriser votre site et même détecter toutes tentatives d’injection !…

Cet article a été posté le 13.1.2010 à 23:43 et est classé sous Web Développement, Sécurité. Vous pouvez consulter toutes les réponses à cet article via le flux RSS 2.0. Vous pouvez laisser une réponse ou effectuer un trackback à partir de votre propre site.