QCM Protéger ses pages web

Sommaire

1- Objectifs
1.1.1- Sommaire du cours Administration et sécurité des sites web

QCM Protéger ses pages web

Objectifs

Connaitre l’internet.

Protéger ses pages web

Veuillez attendre la fin du chargement de l'activité.
Si l'activité se ne charge pas, essayez de rafraîchir votre navigateur. Cette page nécessite aussi Javascript. Veuillez la visiter avec Javascript activé.

Si le chargement échoue, cliquez ici pour ré-essayer

Départ

Félicitation - vous avez complété Protéger ses pages web.

Vous avez obtenu %%SCORE%% sur %%TOTAL%%.

Votre performance a été évaluée à %%RATING%%

Vos réponses sont surlignées ci-dessous.

Question 1

Dans le cas des pages web, il faut neutraliser les caractères spéciaux HTML. Il y a deux fonctions de protection fournies par PHP :

A	htmlentities() et htmlspecialchar()
B	htmlentities() et htmlspecialchars()
C	htmlenteties() et htmlspecialchars()
D	htmlenteties() et htmlspecialchar()

Question 2

Lequel des énoncés suivants décrit une attaque par injection de LDAP ?

A	Envoi de débordement de tampon pour le service de requête LDAP.
B	Création d'une copie des informations d'identification de l'utilisateur au cours de la session d'authentification LDAP.
C	Utiliser XSS pour diriger l'utilisateur vers un serveur LDAP falsifié.
D	Manipuler les requêtes LDAP pour obtenir ou modifier les droits d'accès.

Explication pour la question 2:

En sécurité informatique , l' injection LDAP est une technique d' injection de code utilisée pour exploiter des applications Web qui pourraient révéler des informations utilisateur sensibles ou modifier des informations représentées dans les magasins de données LDAP (Lightweight Directory Access Protocol).

Question 3

il est possible d’établir une connexion HTTP asynchrone entre le navigateur web et un serveur web en JavaScript, grâce à l’objet

A	XMLHttpRequet.
B	XMLHttpRequest.
C	HTMLHttpRequet.
D	HTMLHttpRequest.

Question 4

htmlspecialchars() remplace tous les caractères qui ont une signification spéciale en HTML par leur entité HTML

A	Oui
B	Non

Question 5

Quel protocole d'authentification peut être sécurisé à l'aide de protocole SSL ?

A	Kerberos.
B	LDAP.
C	Raduis.
D	TACACS+

Question 6

L'Injection LDAP : injecte

A	dans l’en-tête HTTP de l’hôte pour empoisonner la fonctionnalité de réinitialisation du mot de passe et le cache Web parfois toxique.
B	les instructions LDAP (Lightweight Directory Access Protocol) pour exécuter des commandes LDAP, y compris l’octroi d’autorisations et la modification du contenu d’un arbre LDAP. Impact : contournement d’authentification, escalade des privilèges de divulgation d’information.
C	une séquence de caractères CRLF (Carriage Return and Line Feed) imprévue utilisée pour diviser une en-tête de réponse HTTP et écrire des contenus arbitraires dans le corps de la réponse. Impact : Cross-site Scripting (XSS)
D	JavaScript arbitraire dans un site Web ou une application Web qui est ensuite exécuté dans le navigateur d’une victime. Impact : Imputation de compte, dégradation.

Question 7

Le WASC établie dans son rapport "WASC Threat Classification " une liste exhaustive des menaces qui pèsent sur la sécurité des applications Web. Elles sont regroupées dans six catégories définies dans la version 2004 de ce rapport. (cocher la réponse fausse)

A	La catégorie "exécution de commandes " englobe toutes les attaques qui permettent d’exécuter des commandes sur un des composants de l’architecture du site Web.
B	La catégorie " web attaque " regroupe les attaques de sites Web dont la cible est le système de validation de l’identité d’un utilisateur, d’un service ou d’une application.
C	La catégorie "attaques côté client" rassemble les attaques visant l’utilisateur pendant qu’il utilise l’application.
D	La catégorie "attaques logiques " caractérise les attaques qui utilisent les processus applicatifs (système de changement de mot de passe, système de création de compte, …) à des fins hostiles.
E	La catégorie "révélation d’informations " définit l’ensemble des attaques permettant de découvrir des informations ou des fonctionnalités cachées.
F	La catégorie "autorisation" couvre l’ensemble des attaques de sites Web dont la cible est le système de vérification des droits d’un utilisateur, d’un service ou d’une application pour effectuer une action dans l’application.

Question 8

Injection CRLF : injecte

A	une séquence de caractères CRLF (Carriage Return and Line Feed) imprévue utilisée pour diviser une en-tête de réponse HTTP et écrire des contenus arbitraires dans le corps de la réponse. Impact : Cross-site Scripting (XSS)
B	JavaScript arbitraire dans un site Web ou une application Web qui est ensuite exécuté dans le navigateur d’une victime. Impact : Imputation de compte, dégradation.
C	les instructions IMAP / SMTP vers un serveur de messagerie qui n’est pas directement disponible via une application Web. Impact : Relais de spam, divulgation d’information.
D	dans l’en-tête HTTP de l’hôte pour empoisonner la fonctionnalité de réinitialisation du mot de passe et le cache Web parfois toxique.

Question 9

A	La catégorie "révélation d’informations " définit l’ensemble des attaques permettant de découvrir des informations ou des fonctionnalités cachées.
B	La catégorie " authentification " regroupe les attaques de sites Web dont la cible est le système de validation de l’identité d’un utilisateur, d’un service ou d’une application.
C	La catégorie "exécution de commandes " englobe toutes les attaques qui permettent d’exécuter des commandes sur un des composants de l’architecture du site Web.
D	La catégorie "attaques côté client" rassemble les attaques visant l’utilisateur pendant qu’il utilise l’application.
E	La catégorie "attaques logiques " caractérise les attaques qui utilisent les processus applicatifs (système de changement de mot de passe, système de création de compte, …) à des fins hostiles.
F	La catégorie "synchronisation" couvre l’ensemble des attaques de sites Web dont la cible est le système de vérification des droits d’un utilisateur, d’un service ou d’une application pour effectuer une action dans l’application.

Question 10

Lequel des services suivants doit être désactivé pour empêcher les hackers d'utiliser un serveur Web comme un relais de messagerie ?

A	IMAP
B	SNMP
C	SMTP
D	POP3

Question 11

Les tableaux super-globaux $_GET, $_POST, $_REQUEST et $_COOKIE sont couramment identifiés comme des points d’entrée pour les injections

A	JavaScript
B	MySql
C	HTML
D	XHTML

Question 12

Pour empêcher les attaques par injection et les attaques XSS, il faut configurer une application en partant du principe que toutes les données, qu'elles proviennent d'un formulaire, d'une URL, d'un cookie voire de la base de données de l'application, proviennent d'une source

A	fiable.
B	très fiable.
C	non fiable.
D	peut être fiable

Question 13

A	La catégorie "exécution de commandes " englobe toutes les attaques qui permettent d’exécuter des commandes sur un des composants de l’architecture du site Web.
B	La catégorie "attaques côté client" rassemble les attaques visant l’utilisateur pendant qu’il utilise l’application.
C	La catégorie " authentification " regroupe les attaques de sites Web dont la cible est le système de validation de l’identité d’un utilisateur, d’un service ou d’une application.
D	La catégorie "autorisation" couvre l’ensemble des attaques de sites Web dont la cible est le système de vérification des droits d’un utilisateur, d’un service ou d’une application pour effectuer une action dans l’application.
E	La catégorie "attaques binaires " caractérise les attaques qui utilisent les processus applicatifs (système de changement de mot de passe, système de création de compte, …) à des fins hostiles.
F	La catégorie "révélation d’informations " définit l’ensemble des attaques permettant de découvrir des informations ou des fonctionnalités cachées.

Question 14

L’extension CGI (Common Gateway Interface) permet

A	l’exécution d’un programme interne appelé « gateway » dont la sortie standard d’affichage sera renvoyée au client par le serveur http.
B	l’exécution d’un programme interne appelé « gateway » dont la sortie standard d’affichage sera renvoyée au serveur par le client http.
C	l’exécution d’un programme extérieure appelé « gateway » dont la sortie standard d’affichage sera renvoyée au client par le serveur http.
D	l’exécution d’un programme extérieure appelé « gateway » dont la sortie standard d’affichage sera renvoyée au serveur par le client http.

Question 15

Cross-site Scripting (XSS) : injecte un code

A	dans l’en-tête HTTP de l’hôte pour empoisonner la fonctionnalité de réinitialisation du mot de passe et le cache Web parfois toxique.
B	une séquence de caractères CRLF (Carriage Return and Line Feed) imprévue utilisée pour diviser une en-tête de réponse HTTP et écrire des contenus arbitraires dans le corps de la réponse. Impact : Cross-site Scripting (XSS)
C	les instructions IMAP / SMTP vers un serveur de messagerie qui n’est pas directement disponible via une application Web. Impact : Relais de spam, divulgation d’information.
D	JavaScript arbitraire dans un site Web ou une application Web qui est ensuite exécuté dans le navigateur d’une victime. Impact : Imputation de compte, dégradation.

Question 16

Les applications Web doivent gérer l'authentification des utilisateurs et établir des sessions pour suivre les demandes, car

A	le protocole HTTPS ne dispose pas de cette fonction.
B	le protocole HTTPS dispose cette fonction.
C	le protocole HTTP dispose cette fonction.
D	le protocole HTTP ne dispose pas de cette fonction.

Question 17

A	La catégorie "révélation d’informations " définit l’ensemble des attaques permettant de découvrir des informations ou des fonctionnalités cachées.
B	La catégorie " authentification " regroupe les attaques de sites Web dont la cible est le système de validation de l’identité d’un utilisateur, d’un service ou d’une application.
C	La catégorie "attaques logiques " caractérise les attaques qui utilisent les processus applicatifs (système de changement de mot de passe, système de création de compte, …) à des fins hostiles.
D	La catégorie "autorisation" couvre l’ensemble des attaques de sites Web dont la cible est le système de vérification des droits d’un utilisateur, d’un service ou d’une application pour effectuer une action dans l’application.
E	La catégorie "attaques côté serveur" rassemble les attaques visant l’utilisateur pendant qu’il utilise l’application.
F	La catégorie "exécution de commandes " englobe toutes les attaques qui permettent d’exécuter des commandes sur un des composants de l’architecture du site Web.

Explication pour la question 17:

Attaque coté client et non serveur

Question 18

Le Host header injection : injecte un code

A	les instructions IMAP / SMTP vers un serveur de messagerie qui n’est pas directement disponible via une application Web. Impact : Relais de spam, divulgation d’information.
B	une séquence de caractères CRLF (Carriage Return and Line Feed) imprévue utilisée pour diviser une en-tête de réponse HTTP et écrire des contenus arbitraires dans le corps de la réponse. Impact : Cross-site Scripting (XSS)
C	dans l’en-tête HTTP de l’hôte pour empoisonner la fonctionnalité de réinitialisation du mot de passe et le cache Web parfois toxique.
D	JavaScript arbitraire dans un site Web ou une application Web qui est ensuite exécuté dans le navigateur d’une victime. Impact : Imputation de compte, dégradation.

Question 19

La fonction htmlentities() (plus qu'une réponses justes)

A	est identique à la fonction htmlspecialchars(), sauf que tous les caractères qui ont des équivalents en entités HTML sont effectivement traduits.
B	Convertit tous les caractères éligibles en entités HTML
C	htmlentities() est une version moins complète de htmlspecialchars()
D	htmlentities() est une fonction similaire de la fonction htmlspecialchars()

Question 20

Pour désactiver l’interprétation de caractères spéciaux dans une page PHP

A	Entre simple quotes (" ‘ ")
B	Entre double quotes (" " ")

Une fois terminé, cliquez sur le bouton ci-dessous. Toutes les questions que vous n'avez pas complétées sont marquées comme incorrectes. Obtenir les résultats

Il y a 20 questions à compléter.

←

→

Les cours

Introduction aux Systèmes d’Information Décisionnels

Les cours

Introduction aux Systèmes d’Information Décisionnels

ASW

QCM Protéger ses pages web

QCM Protéger ses pages web

Objectifs

Protéger ses pages web

Sommaire du cours Administration et sécurité des sites web

Protéger ses pages web

Menaces et risques applicatifs

Cours informatique à domicile et à distance
Nous sommes là pour vous aider

Les cours

Introduction aux Systèmes d’Information Décisionnels

Les cours

Introduction aux Systèmes d’Information Décisionnels

ASW

QCM Protéger ses pages web

Objectifs

Protéger ses pages web

Sommaire du cours Administration et sécurité des sites web

Protéger ses pages web

Menaces et risques applicatifs

Ces articles pourraient aussi vous intéresser

Attaques par débordement de tampon

Attaques par déni de service

Usurpation d’adresse IP