Faille de logique métier

Contrairement à l’injection SQL : définition ou au XSS : définition, une faille de logique métier ne dépend pas d’une technique d’attaque connue mais d’une règle de gestion mal pensée ou mal appliquée. Cumuler deux remises qui devaient s’exclure, sauter une étape de validation en appelant directement l’étape suivante, demander un remboursement supérieur au montant payé, modifier un prix côté client : chaque action est autorisée prise isolément, c’est l’enchaînement qui pose problème.

Aucun scanner ne la détecte, parce qu’aucun outil ne sait ce que l’application est censée faire. Il faut comprendre le métier, lister les hypothèses que le développeur a faites (« l’utilisateur passera forcément par cette page », « ce champ ne peut pas être négatif ») et chercher comment les violer. Un analyste compare le comportement attendu, décrit dans la spécification, au comportement permis par les requêtes. La prévention se joue dès la conception : formaliser les règles et leurs exceptions, valider chaque règle côté serveur à chaque étape plutôt que seulement dans l’interface, et prévoir des tests qui tentent explicitement de contourner le parcours nominal. Les revues de conception avec un regard adverse, avant le développement, coûtent bien moins cher que la correction d’un abus déjà exploité.