NPDS : Gestion de contenu et de communauté
Content & Community Management System (CCMS) robuste, sécurisé, complet, performant, parlant vraiment français, libre (Open-Source) et gratuit.
32 visiteur(s) et 0 membre(s) en ligne.
Autres infos
Activité du Site
Pages vues depuis 25/05/2001 : 108 403 618
- Nb. de membres 8 693
- Nb. d'articles 1 695
- Nb. de forums 26
- Nb. de sujets 8
- Nb. de critiques 92
Index du forum »» Sécurité »» [Résolu] - test de hack sur npds avec un pote hacker
[Résolu] - test de hack sur npds avec un pote hacker#1607
17Contributeur(s)
3 Modérateur(s)
developpeur
Je déploie la fonction remove_hack sur les power_packs dans le P2. cela rendra le cross-S quasi impossible.
A+
A+
clembobo
bon voila ce que mon hébergeur m'a écrit :
> il se sont servit de la faille d'include du portail c'est à dire qu'il
> on inclus un de leur script dans une de mes pages, qui modifie la base
> de données.
Je ne vois pas en quoi ces hackers sont si forts, puisque d'après vos
informations ils exploitent un bug très connu de PHP, à savoir
l'activation de l'option register_globals.
Je vous invite à mettre à jour votre application pour pouvoir opérer de
manière sécurisée, même avec register_globals à On. Vérifiez si ce bug
a été corrigé dans les dernières versions. D'autre part donnez-nous
l'URL qui permet de pirater votre portail pour que l'on puisse chercher
dans les logs.
Etant donné le nombre incalculable de scripts écrits avec
register_globals à On sur les sites hébergés par xxxx, nous
n'envisageons pas de passer cette option à Off comme le préconise
l'équipe de développement de PHP.
donc en fait je voulais savoir si ce serait possible d'avoir plus d'informations sur cette var et comment remedier a ce probleme ?
Merci.
> il se sont servit de la faille d'include du portail c'est à dire qu'il
> on inclus un de leur script dans une de mes pages, qui modifie la base
> de données.
Je ne vois pas en quoi ces hackers sont si forts, puisque d'après vos
informations ils exploitent un bug très connu de PHP, à savoir
l'activation de l'option register_globals.
Je vous invite à mettre à jour votre application pour pouvoir opérer de
manière sécurisée, même avec register_globals à On. Vérifiez si ce bug
a été corrigé dans les dernières versions. D'autre part donnez-nous
l'URL qui permet de pirater votre portail pour que l'on puisse chercher
dans les logs.
Etant donné le nombre incalculable de scripts écrits avec
register_globals à On sur les sites hébergés par xxxx, nous
n'envisageons pas de passer cette option à Off comme le préconise
l'équipe de développement de PHP.
donc en fait je voulais savoir si ce serait possible d'avoir plus d'informations sur cette var et comment remedier a ce probleme ?
Merci.
maitreya
bah ca serait sympa de nous la donner aussi l'url (du moins le nom de fichier sur lequel repose le probleme)
le register_globals est à off par défaut dans la 4.2
@ +
[ Message édité par : maitreya : 13-06-2002 08:49 ]
le register_globals est à off par défaut dans la 4.2
@ +
[ Message édité par : maitreya : 13-06-2002 08:49 ]
Achel_Jay
dis si t as si souvent des attaques de ce mec première chose a faire serait de le tracer... pour savoir si il est spoofé... si pas tu contre attaques c'est pas le nombre de prog pour lamers qui manque en ce bas monde... tu prends le plus bourrin de tous: divinintervention ou alors tu la joues subtile... tu checks ses ports et tu cherches ses failles... un script kiddy applique ce qui connait sur les failles mais ne sais pas necessairement les coriger.
et
Dev disait:
Je déploie la fonction remove_hack sur les power_packs dans le P2. cela rendra le cross-S quasi impossible.
J'ai pas trouvé :-D
Je déploie la fonction remove_hack sur les power_packs dans le P2. cela rendra le cross-S quasi impossible.
J'ai pas trouvé :-D
Anonyme
Citation : "12-06-2002 14:42, clembobo a écrit :
bonjour
j'ai plusieurs potes hackers a ki g demandé de faire des tests sur le portail et celui ci s'est avéré plein de trous de sécurité.
on commence les détails :
- nimporte qui, par exemple peux écrire des messages sur le chat box avec nimporte quel pseudo (dans ce cas précis il a utilisé celui de l'admin)
- nimporte qui peut connaitre le chemin ou est le portail sur le disque dur du server en mettant des ' dans les liens par exemple script?action='principal
-> Warning: mysql_fetch_row(): supplied argument is not a valid MySQL result resource in /usr/local/www/data.users/monsiteee/www/sdv.php on line 92
- nimporte qui, peut rajouter des news et plein dautre trucs
bon bref je vous ai cité que ca mais yen a plein dautre par exemple il a modifier mon fichier config.php sans avoir AUCUN mot de passe (admin, mysql, ftp) c'est bien que c'est une défaillance du portail.
plusieurs de ces actions ont été faites grace à la faille d'!include!, en effet il a inclut un fichier php qui été sur son site sur free.fr à un fichier de mon portail, et cela ajouter des données dans la base mysql.
Je te remercie de me répondre le + rapidement et de faire les patchs assez rapidement ou alors de sortir une nouvelle version completement sécurisée parce que de ce que j'ai vu ... c'est vraiment fiasco de failles (j'en veut pas a ton travail, je dit ca dans lintention de sécuriser le portail au plus vite pour que tout le monde soit - inquiet)
Aller a++ (et au passage tu pourrai détailler avec exactititude les CHMOD a appliquer sur tel ou tel fichier ? je pense que ce serait pas mal)
[ Message édité par : clembobo : 12-06-2002 14:43 ]"
----------
:-( :-? :D :b ;-)
bonjour
j'ai plusieurs potes hackers a ki g demandé de faire des tests sur le portail et celui ci s'est avéré plein de trous de sécurité.
on commence les détails :
- nimporte qui, par exemple peux écrire des messages sur le chat box avec nimporte quel pseudo (dans ce cas précis il a utilisé celui de l'admin)
- nimporte qui peut connaitre le chemin ou est le portail sur le disque dur du server en mettant des ' dans les liens par exemple script?action='principal
-> Warning: mysql_fetch_row(): supplied argument is not a valid MySQL result resource in /usr/local/www/data.users/monsiteee/www/sdv.php on line 92
- nimporte qui, peut rajouter des news et plein dautre trucs
bon bref je vous ai cité que ca mais yen a plein dautre par exemple il a modifier mon fichier config.php sans avoir AUCUN mot de passe (admin, mysql, ftp) c'est bien que c'est une défaillance du portail.
plusieurs de ces actions ont été faites grace à la faille d'!include!, en effet il a inclut un fichier php qui été sur son site sur free.fr à un fichier de mon portail, et cela ajouter des données dans la base mysql.
Je te remercie de me répondre le + rapidement et de faire les patchs assez rapidement ou alors de sortir une nouvelle version completement sécurisée parce que de ce que j'ai vu ... c'est vraiment fiasco de failles (j'en veut pas a ton travail, je dit ca dans lintention de sécuriser le portail au plus vite pour que tout le monde soit - inquiet)
Aller a++ (et au passage tu pourrai détailler avec exactititude les CHMOD a appliquer sur tel ou tel fichier ? je pense que ce serait pas mal)
[ Message édité par : clembobo : 12-06-2002 14:43 ]"
----------
:-( :-? :D :b ;-)
snipe
pour le chat
tu peut passer pour l admin oui, mais tua pas le lien sur ton speudo, et donc sa sertifie que c un guest.
pour les erreur de script, qui montre les rep, tu a raison mais faut quand meme exploité deriere.
Pour les news.
Tu avait quoi comme moderation des news??
admin, moderateur, ou n import qui (Dans le troisieme cas c un peu normal)
Pour la faille de l !include!. Tu pourait nous dire, ou aumoin a dev par quel fichier il est passée? Parceque normalement avec la p3 c reiglé, sauf peut etre pour des modules. mais la depend qui a crée le modules.
pour le chmod, la je doit dire que c dans les faq du site.
entous cas merci pour les information en esperant avoir plus de detail plus tard.
tu peut passer pour l admin oui, mais tua pas le lien sur ton speudo, et donc sa sertifie que c un guest.
pour les erreur de script, qui montre les rep, tu a raison mais faut quand meme exploité deriere.
Pour les news.
Tu avait quoi comme moderation des news??
admin, moderateur, ou n import qui (Dans le troisieme cas c un peu normal)
Pour la faille de l !include!. Tu pourait nous dire, ou aumoin a dev par quel fichier il est passée? Parceque normalement avec la p3 c reiglé, sauf peut etre pour des modules. mais la depend qui a crée le modules.
pour le chmod, la je doit dire que c dans les faq du site.
entous cas merci pour les information en esperant avoir plus de detail plus tard.
darknighted
Pour changer un fichié Php, soit il a hacké ton compte ftp et donc il connait le mot de passe pour y rentrer. Soit tu as laissé trop de droit dans ton CHMOD...
Anonyme
Et si vous essayiez de hacker 62.4.71.36, puisque vous y êtes autorisé :-D
http://kernel.sysdoor.com
On en reparle, hein ?!
http://kernel.sysdoor.com
On en reparle, hein ?!
Anonyme
ça me fera toujours marrer ces petits soit disants 'hackers'... qui ne font que reproduire bêtement quelques lignes de codes trouvées ici et là sur la toile... en criant haut et fort "Je suis hacker" !
Ces pauvres petits nains qui ne comprennent pas un mot de ce qu'ils mettent en oeuvre... perso, j'appelle ça de tous les noms possibles, mais pas de hacker.
Le jour ou vous avez un hacker, un vrai, qui s'attaque à votre système, vous comprendrez de quoi je parle.
Ces pauvres petits nains qui ne comprennent pas un mot de ce qu'ils mettent en oeuvre... perso, j'appelle ça de tous les noms possibles, mais pas de hacker.
Le jour ou vous avez un hacker, un vrai, qui s'attaque à votre système, vous comprendrez de quoi je parle.
Anonyme
Au passage... tu disais que ce 'pote' passait par son espace Free...
Tu peux donner l'url de son site qu'on puisse s'amuser juste un peu...
Free, c'est bien... mais... c'est bien :-D
Tu peux donner l'url de son site qu'on puisse s'amuser juste un peu...
Free, c'est bien... mais... c'est bien :-D
Anonyme
salut a tous, j'en ai mere de ces mecs qui ce font passer pour des hacker!
les copains de cette anonyme n'ont rien d'un hacker ils ce contante de tester des failles.
Pour les developeur de npds je trouve ca super (un peu de leche au passage).
Et pour les eventuel failles sacher qu'il existe des scanneur de failles php et cgi.
Le site http://www.php.net/manual/fr/security.php expliques les failles les plus importante lier a php et les CGI et en plus c en français.
Le meilleur moyen pour trouver des failles d'apres moi est d'instaler npds sur un compte free par exemple et d'en faire un defi pour hacker.
les copains de cette anonyme n'ont rien d'un hacker ils ce contante de tester des failles.
Pour les developeur de npds je trouve ca super (un peu de leche au passage).
Et pour les eventuel failles sacher qu'il existe des scanneur de failles php et cgi.
Le site http://www.php.net/manual/fr/security.php expliques les failles les plus importante lier a php et les CGI et en plus c en français.
Le meilleur moyen pour trouver des failles d'apres moi est d'instaler npds sur un compte free par exemple et d'en faire un defi pour hacker.
Anonyme
Besoin d'expert pour bousiller la plus grande balance française de la toile
Bousiller moi ce putain de site et vous serez vénéré par tout le monde warez
http://212.43.218.210 :-D
Bousiller moi ce putain de site et vous serez vénéré par tout le monde warez
http://212.43.218.210 :-D