Sécurité web - Page 5

Je ne crois pas que ça ait jamais été le cas.
Si ?

Arvi89 (./105) :
A propos de securite web, comment est-ce que vous faites pour bloquer qq'un de venir sur un site ? Bloquer l'IP ne peut pas fonctionner de maniere fiable, pareil pour les cookies, d'autres solutions ?

La seule solution que je vois à première vue est de prendre le problème en sens inverse, par une whitelist. Le forum est réservé en lecture/écriture aux inscrits, l'inscription nécessite une validation de la requête par un admin pour que le compte soit utilisable.
Tu peux toujours laisser par ailleurs l'accès aux robots pour référencer ton forum à la recherche, en revanche cela ne va pas aider les nouveaux venus à vouloir s'inscrire. Tout dépend le but du forum.

Libriste et parano, classique.

Meowcate (./122) :
Tu peux toujours laisser par ailleurs l'accès aux robots pour référencer ton forum à la recherche

Non. On peut configurer son navigateur pour envoyer le User-Agent du Googlebot.

Meowcate (./122) :

Arvi89 (./105) :
A propos de securite web, comment est-ce que vous faites pour bloquer qq'un de venir sur un site ? Bloquer l'IP ne peut pas fonctionner de maniere fiable, pareil pour les cookies, d'autres solutions ?

La seule solution que je vois à première vue est de prendre le problème en sens inverse, par une whitelist. Le forum est réservé en lecture/écriture aux inscrits, l'inscription nécessite une validation de la requête par un admin pour que le compte soit utilisable.
Tu peux toujours laisser par ailleurs l'accès aux robots pour référencer ton forum à la recherche, en revanche cela ne va pas aider les nouveaux venus à vouloir s'inscrire. Tout dépend le but du forum.

Mmm nan, on a trop de traffic pour ça, c'est pour la communauté internationale sur Pékin, plein de gens viennent pour se renseigner, poster des annonces, poser des questions.

Bon, je vais continuer de supprimer tous ces messages ^^

S'il a un style récurrent (genre des mots peu courants), un petit script pourrait te faciliter la tâche

(mais quand même Arvi, faire de la censure en Chine... )

./122> et encore, c'est tellement facile de contacter quelqu'un pour lui demander si tu peux utiliser son compte 5 minutes. T'as pas idée, en demandant gentiment, comment tu obtiens facilement un oui, même d'un parfait inconnu.

Oo

mitnick style

Même si ce n'est pas de la sécurité, TheDailyWTF a deux superbes exemples aujourd'hui :


(regardez l'URL)

Beau comme un listing en hexa a taper.

Le second est un

Bah, "governmentjobs", donc c'est normal, ça vous prépare au métier de fonctionnaire pour lequel ils cherchent des candidats.

Je pense que j'ai un nouveau record. Ça mérite même un peu de pub : la société Shiva qui fait du ménage à domicile et à qui j'ai fait appel une fois pour un gros nettoyage dans un appart, vient de m'envoyer un mail pour que je puisse télécharger une attestation fiscale. Dans le mail se trouve un lien vers leur site, qui ressemble à ça :

http://lesite.com/machin/truc/?id=hb81c654,149eb196,141f185f&p1=email&p2=mdp

En l'occurrence "email" et "mdp" sont bien mon adresse mail et mon mot de passe en clair (et le lien est en HTTP, pas HTTPS, tant qu'à faire)

Pas besoin de HTTPS, la déesse protège tout elle-même avec ses nombreux bras.

Ils font du ménage, pas de la sécurité

C'est lamentable...

Il n'y a rien de honteux à faire le ménage

En terme d'outrage à la profession de femme de ménage, cette faille est plus scandaleuse que l'affaire DSK !
« Coucou, tu veux voir mon mot de passe ? »

OBO (./135) :
Pas besoin de HTTPS, la déesse protège tout elle-même avec ses nombreux bras.

Shiva est un dieu, et il a au maximum 4 bras, tu dois confondre avec Kali, elle a 10 bras armés.
Vu qu'elle est entre autres déesse de la destruction, c'est pas encourageant non plus.

A la rigueur Guanyin aux mille bras, mais c'est du bouddhisme chinois.

La confusion est courante, et il me semble avoir déjà vu un logo de cette société de nettoyage où on voit une femme.

Ils l'ont remplacé par une main gantée (un gant Mapa d'ailleurs visiblement).

Surtout que les Dieux anciens, franchement, je m'en récurre joyeusement la plaque vitrocéramique.

Et pourtant ils nous apprennent parfois plus sur le monde que les mythes modernes.

OBO (./143) :
Surtout que les Dieux anciens, franchement, je m'en récurre joyeusement la plaque vitrocéramique.

Répète après moi :

Ph'nglui mglw'nafh Cthulhu

Puis tu rajoutes juste après :

R'lyeh wgah'nagl fhtagn

Et la societe en question a t elle ete avertie quelle devait faire le nenage sur son site?

Une amie m'a fait partager des photos qu'elle a stocké sur un site de rencontres, tout en les supprimant ensuite avant que la validation ne les affiche sur son profil (certains trouvent cela plus faciles que d'utiliser un hébergeur d'images ou les envoyer par mail).
J'ai remarqué que les fichiers étaient de simples numéros en séquence. 3-4 lignes de PHP plus tard en guise de proof of concept, j'ai récupéré un milliers de photos des membres de ce site, qu'elles soient en public, privé, ou même supprimées apparemment.
Si encore les images étaient enregistrées sous forme de uniqid, il serait terriblement plus long d'en faire le tour, mais là non seulement c'est simple mais en plus je connais la limite haute. "Photos privées", hm ? il semble par ailleurs que les photos supprimées, même de comptes supprimées, sont des fichiers simplement marqués en tant que "On ne l'affiche pas sur le site" plutôt que "Ce fichier a été envoyé dans l'oblivion".

...
C'est grave, quand même. Le pire c'est que ça a l'air courant...

C'est courant :/

Avertis le site.