Url redirect.... Attention Danger...

La vie du site, boîte à idées, feedback

Modérateur: Modérateurs et Modératrices

Url redirect.... Attention Danger...

Messagede SecuManiac » 04 Mar 2006, 05:34

Salut à tous,

Je viens de tomber (aïe, ça fait mal...) sur votre site....

Euh.... vous parler de sécurité informatique mais y'a des p'tits soucis de sécu quand même...
- http://assiste.com.free.fr/assiste.com. ... .perdu.com

Entre Fan de la sécurité, faut bien s'entraider.... mais bon... faite gaffe.... un coup de phishing est si vite arrivé....

A+ les gens !

--
SecuManiac
SecuManiac
 

Messagede SecuManiac » 04 Mar 2006, 05:39

Dsl, je peux pas éditer mon post ...

Je voulais juste ajouter que votre PhpBB ne doit pas être à jour non plus.....
Du moins... il me semble....

Faites gaffe.... y'a pas mal de robot qui tourne en ce moment.... et qui adore Free et PhpBB...

Ca serai dommage qu'un site "parlant" de sécurité se fasse défigurer, noan ?

Votre ami

--
SecuManiac
SecuManiac
 

Re: Url redirect.... Attention Danger...

Messagede césar » 04 Mar 2006, 16:26

SecuManiac a écrit:Salut à tous,

Je viens de tomber (aïe, ça fait mal...) sur votre site....

Euh.... vous parler de sécurité informatique mais y'a des p'tits soucis de sécu quand même...
- http://assiste.com.free.fr/assiste.com. ... .perdu.com


Mouaaarrrrffffffff, pas mal.
Mais... C'est quoi le but de la démonstration ?
césar
 
Messages: 2467
Inscription: 21 Déc 2003, 18:54

Messagede shl » 04 Mar 2006, 19:48

Bonsoir,

http://assiste.com.free.fr/assiste.com. ... .perdu.com est une redirection, le site http://www.perdu.com s'affiche dans le frame central de http://assiste.com.free.fr/assiste.com.html . Mais l'administrateur est justement en train de supprimer les frames du site.

En tous cas c'est l'occasion de vérifier que l'extension Redirect remover pour Firefox fonctionne parfaitement : grâce à elle c'est http://www.perdu.com qui s'ouvre et non http://assiste.com.free.fr/assiste.com. ... .perdu.com .

a + :wink:
La vie privée n'est pas réservée à ceux qui ont des choses à se reprocher.
Ma config détaillée
Assiste.com
Avatar de l’utilisateur
shl
Développeur
 
Messages: 3568
Inscription: 30 Oct 2004, 23:06
Localisation: Suivez mon regard...

Messagede césar » 04 Mar 2006, 19:58

re-bonsoir,

Ce ne sont pas les sites qui sont victimes de spoofing mais les navigateurs.
Mais ici, aucun danger pour l'utilisateur puisque l'adresse apparaît clairement comme étant une redirection (deux fois http://) et dans le lien que vous donnez et dans la barre d'adresse du navigateur.
Je ne vois donc pas comment ça pourrait être exploitable.
Je peux faire un spoofing encore plus terrifiant, regardez : http://assiste.free.fr :wink:
césar
 
Messages: 2467
Inscription: 21 Déc 2003, 18:54

Messagede shl » 04 Mar 2006, 20:12

Re,

Mais ici, aucun danger pour l'utilisateur puisque l'adresse apparaît clairement comme étant une redirection

C'est toujours le même problème : aucun danger... à condition de savoir ce qu'est une redirection. Quelqu'un qui voit l'adresse commencer par "assiste.free.fr" croira être sur le site non-truqué et ne tiendra pas compte de la suite de l'adresse.
Je ne suis pas webmaster mais je pense que c'est dû à la présence de frames dans le site... non ?

a + :wink:
La vie privée n'est pas réservée à ceux qui ont des choses à se reprocher.
Ma config détaillée
Assiste.com
Avatar de l’utilisateur
shl
Développeur
 
Messages: 3568
Inscription: 30 Oct 2004, 23:06
Localisation: Suivez mon regard...

Messagede césar » 04 Mar 2006, 22:00

Rere-bons',

Les frames, de toute façon, c'est dég... pas très jolie et je me réjouis que Pierre fasse une refonte complète du site, conforme au W3C (et peut-être avec quelques feuilles de styles, Pierre ? :wink: )
Mais je le répète : en quoi peut-on considérer qu'il y a une faille de sécurité ?
En quoi cette redirection est-elle exploitable par un site malveillant ?

- La plupart des gens qui connaissent assiste l'ont dans leur favoris, ils n'ont donc aucune chance de tomber sur l'adresse http://assiste.com.free.fr/assiste.com. ... .perdu.com en passant par les liens du site.
- Ceux qui ne connaissent pas n'iront pas chercher "assiste", sur google, ils chercheront les mots : "sécurité informatique", par exemple. Et là, il n'y a pas besoin de spoofer il suffit de créer un site malveillant securiteinformatique.com et de faire un peu de google bombing.
- Enfin, sur un forum, par exemple, quelqu'un qui voudrait berner une personne en la dirigeant vers un faux-site de sécurité. Pourquoi prendre le risque de mettre une adresse aussi voyante que http://assiste.com.free.fr/assiste.com. ... .perdu.com quand il y a plus de chances en créant un site du genre securiteinformatique.com ou assssiste.com ou ce que vous voulez ?
Ou encore, en spoofant de cette manière : "allez donc sur le meilleur site de sécurité informatique : http://assiste.free.fr ?"

Vous voyez que mon dernier exemple est plus convainquant, mais là encore, si un malheureux se faisait piégé, comment pourrait-ce être la faute de Pierre ?
Si je décidais de créer un site malveillant asssiste.com, contenant des spywares, ce site aurait bien plus de chances d'être confondu avec assiste.free.fr, mais pourrait-on reprocher à Pierre de ne pas avoir acheter tous les nom de domaines ressemblant de près ou de loin à assiste ?
La plupart des failles de spoofing qui avaient été découvertes dans Firefox ou Opera sont été considérées comme corrigées dès qu'elles ont cessé d'afficher l'adresse du site imité, pour afficher celle du site imitant. Pourtant un utilisateur peut continuer à croire qu'il se trouve sur le site imité, s'il n'est pas attentif. Mais là, il ne pourra pas accuser son navigateur de ne pas avoir fait son travail. :wink:
césar
 
Messages: 2467
Inscription: 21 Déc 2003, 18:54

Messagede SecuManiac » 04 Mar 2006, 22:50

césar a écrit:re-bonsoir,

Ce ne sont pas les sites qui sont victimes de spoofing mais les navigateurs.
Mais ici, aucun danger pour l'utilisateur puisque l'adresse apparaît clairement comme étant une redirection (deux fois http://) et dans le lien que vous donnez et dans la barre d'adresse du navigateur.
Je ne vois donc pas comment ça pourrait être exploitable.
Je peux faire un spoofing encore plus terrifiant, regardez : http://assiste.free.fr :wink:


Aucun danger ? euh.... On parle de sécurité ici ?
SecuManiac
 

Messagede Invité » 04 Mar 2006, 22:53

césar a écrit:Vous voyez que mon dernier exemple est plus convainquant, mais là encore, si un malheureux se faisait piégé, comment pourrait-ce être la faute de Pierre ?

C'est un défaut de conception et de sécurité... donc oui... c'est au webmaster d'en assumé la responsabilité.... pour garantir la sécurité et l'intégrité des systèmes de ces membres....

Qu'en pense Pierre ?
Invité
 

Messagede SecuManiac » 05 Mar 2006, 06:49

Rebonjour,

C'est pourtant une jolie faille qui pourrait être exploité pour un scam ou un phishing, nan ?

Ma démonstration n'a rien d'hostile... ne vous méprenez pas.... Vous connaissez le topo, on se balade sur le net, sans rien chercher et on test des truc.... comme ça..... j'ai n'ai pas résister à ce petit test...

Il y a eu, il y a peu, un cas similaire sur le portail MSN... certains avaient crier au scandale... le cas échéant, je ne viens pas donner un cours magistrale de sécurité, je trouve just cela important qu'un site sérieux comme le votre résolve ce souci -aussi mineur soit il- de sécurité...

Shl => Il est possible que Redirect remover fonctionne bien et qu'il affiche QUE perdu.com (URL de mon exemple) mais combien de quidam l'utilise ?
SecuManiac
 

Suivante

Retourner vers Mises à jour du site

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 2 invités