Qu'est-ce que la navigation forcée ?
La navigation forcée est une cyberattaque où un attaquant cherche à accéder à des répertoires, fichiers ou autres ressources qu’un site web ne veut pas rendre publics. Plutôt que de parcourir les pages et liens publics, l’attaquant saisit directement une URL dans la barre d’adresse du navigateur pour détecter des fichiers ou répertoires cachés sur le serveur. Voici les méthodes courantes pour repérer ces chemins non publics :
Liste des annuaires
Si la fonction d'index de répertoire du serveur Web est activée, la spécification de l'URL d'un répertoire peut afficher une liste de fichiers qu'il contient. Si des fichiers sensibles se trouvent dans ces répertoires, les attaquants peuvent facilement identifier leurs noms.
Commentaires sur les fichiers HTML
Les commentaires intégrés dans le code HTML peuvent révéler par inadvertance des chemins vers des ressources non publiques.
Deviner l'URL
En examinant les listes de répertoires ou les informations des commentaires HTML, les attaquants peuvent déduire les conventions de dénomination du site. Ils peuvent ensuite utiliser ces modèles pour spéculer sur les noms de fichiers non publics dans d’autres répertoires.
Pour éviter les attaques de navigation forcée :
De plus, la mise en œuvre d’un pare-feu application Web (WAF) peut atténuer efficacement ces attaques. F5 propose le F5 BIG-IP, qui intègre des fonctionnalités WAF robustes pour se protéger contre la navigation forcée et d'autres cybermenaces.