Quiz
Securité dans les developpements
Questions in this quiz (17)
1Comment s'appelle la série de PowerPoint du CSP Proximité & Deco présentant les failles de sécurité de l'OWASP ?
- ADans ta... faille
- BTop 10 OWASP
- CQuel PowerPoint?
- DLes failles de sécurité pour les Nuls
- ELes petites annonces de Jean Philippe
2Quelles failles ont étaient présentées jusque maintenant?
- AAuthentification et Session
- BRéférence directe à un objet
- CMauvaises configurations
- DCSRF
- EACL
3A quoi correspond la faille XSS ?
- ACross-site Scripting
- BCross-Site Request Forgery
- CAccess Control List
- DExceSS
- EeXtra Small Security
4A quel type de faille l'attaque ci dessous correspond-t-elle?
https://monapplication.groupeadeo.com/login/username[$gt]=- AXSS
- BNoSQL
- CSQL
- DRATP
- ERéférence directe a un objet
5A quel type de faille, l'attaque ci-dessous correspond-t-elle?
https://mabanque.com/compte/1000101010- ARéférence directe a un objet
- BXSS
- CSNCF
- DNoSQL
- ESQL
6Quel code est le mieux prémuni contre les attaques SQL?
- AString sql = “select * from product where cat=? and price > ?”;
PreparedStatement pstmt = con.prepare(sql);
pstmt.setString(1, ma_categrorie);
pstmt.setString(2, mon_prix)); - BString sql = “select * from product where cat='" . ma_categrorie . "' and price > " . mon_prix; PreparedStatement pstmt = con.prepare(sql);
- AString sql = “select * from product where cat=? and price > ?”;
7Chez ADEO, quelle(s) solution(s) faut-il privilégier pour prémunir une applications des failles d'authentification ?
- AUtiliser un service d'authentification ADEO (OAuth2, CAS,...)
- BStocker les mots de passe avec un cryptage fort et un hashage
- CStocker les mots de passe dans une base de donnée cryptée hébergé en Zone S
- DUtiliser un service d'authentification Tier (Facebook, Google,...)
8Qui est visé par les attaques XSS?
- ALes données du serveur
- BL’hébergeur
- CLes utilisateurs du site
- DLe R.A.
- ELes logs applicatifs
9Sachant que "message_postee" contient une message saisie par un utilisateur, quel code gère le mieux les attaques XSS?
- A<?php
if ( typeof $message_postee !== "string" ){
throw new Error("titre must be a string"); }
?>
<html> ...
<body>
...<?php echo $message_postee ?> ...
</body>
</html> - B<html> ...
<body>
... <?php echo htmlspecialchars($message_postee) ?> ...
</body>
</html>
- A<?php
10Qui est visé par les attaques SQL/NoSQL?
- ALes données du serveur
- BL’hébergeur
- CL'utilisateur du site
- DLe R.A.
- ELes logs applicatifs
11Qui est visé par les attaques de session?
- ALe serveur
- BL’hébergeur
- CL'utilisateur du site
- DLe R.A.
- ELes logs applicatifs
12De manière générale, comment prémunir mon application des failles de sécurité?
- AChaque développeur doit être sensibilisé aux failles de sécurité les plus courantes dans les applications
- BTenir à jour la stack technique de l'application
- CNe pas installer/utiliser/activer/... de composants/librairies/compte admin/.... inutiles
- DIndustrialiser un maximum les applications
- EInterdire à Jj Goldman de développer
- FNe pas mettre l'application en production
- GToujours vérifier les droits d'accès du user qui consulte/crée/supprime une donné
- HEn cas de doute, utiliser le joker "Appel à notre ami Jean Philippe"
13Qu'est-ce qu'une attaque par injection ?
- AAnesthésier sa victime afin de lui dérober son matériel pour lui voler ses données
- BAjouter du code dans des requêtes via des champs accessibles afin de contourner un blocage faible et récupérer de la donnée
- CIntroduire un malware sur le serveur de la victime pour que l'attaquant reçoive automatiquement des données protégées.
- DAjouter du code dans des pages HTML afin de récupérer des données utilisateurs
14Quel(s) est/sont le(s) meilleur(s) moyen(s) de protéger se protéger de la saisie d'utilisateurs mal intentionnés qui voudraient faire de l'injection?
- AContrôler que le type de la donnée (numérique par exemple) saisie soit cohérente avec ce que l'on s'attend à recevoir.
- BNe pas afficher de champs
- C"Nettoyer" les données reçus des utilisateurs
- DVérifier la cohérence de la donnée (un age est, à priori, entre 0 et 150 ans)
- EAfficher une couleur spécifique pour chaque type de champs
15Je suis un méchant pirate. J'arrive à accéder au réseau Adeo via un PC dont la session n'a pas été fermée. Une page younity est ouverte. Je poste un message dans lequel j'indique un lien. Le lien redirige vers une image qui en fait n'existe pas. Dans le lien, j'ai inséré un code pour récupérer un cookie de session.
Que suis-je en train de faire ?- ADe l'injection SQL
- BDe l'injection noSQL
- CDu hacking par Cross-site scripting
- DDu hacking par XSS
- EPréparer mon licenciement
16Si je fais passer des informations type login et mot de passe via un appel GET en HTTPS, qu'est-ce que je risque ?
- AD'être victime de sniffing (un individu "écoute" le réseau via un software piratage)
- BAucun risque, Chuck Norris s'occupe de ma sécurité
- CLe message est crypté donc le risque est très limité
17Est-ce que je me mets en risque si :
- AMon mot de passe est complexe et changé régulièrement
- BJe laisse le niveau de log à Debug en prod
- CJ'utilise un mot de passe standard du CSP infra/prod
- DDès qu'une mise à jour est possible, j'update mon framework ou mon système
- EUn service httpd me permet de lister l'arborescence de mon serveur de prod
- FPour que mon script s'exécute, je fais un chmod 777
Information
- Description
- Securité dans les developpements
- Author
- Remi Lebret
- Language
- English
- Views
- 29
- History
- Created on 19 Oct 2016 · updated on 21 Oct 2016
- Tags
- Rating
- No ratings yet Rate this quiz