Skip to main content
KAIZER ONION

Month: July 2010

Changement d’hébergement

Voilà , ça c’est fait √. Après de longs mois de réflexion, et surtout à  quelques jours de l’expiration de mon contrat, je me suis finalement décidé à  changer de type d’hébergement pour mon blog. Jusqu’à  présent, j’utilisais l’offre mutualisé illimité de online.net. L’offre comprends un nom de domaine et un hébergement de 10Go pour un trafic illimité. Bien que l’offre soit intéressante, le fait que le serveur soit mutualisé impacte sérieusement les performances de distribution. En effet, si par malheur chance deux ou trois personnes se connectés en simultané, l’impact était direct, le site devenait indisponible. C’est ce qui ma motivé à  franchir le pas, de plus, mon offre arrivait à  expiration donc c’était le bon créneau. Pour info, voici un récapitulatif des trois offres proposé par Online en ce qui concerne les serveurs mutualisés.

Content du service et support fournit par Online (très bon support), je me suis naturellement tourné vers leur offre de serveur dédié afin de prendre mon envol pour la liberté. Résultat des courses, j’ai un serveur ubuntu 10.04 à  jour sécurisé par mes soins, et surtout un gain indiscutable de performance. Depuis hier, mon serveur dédié est complétement opérationnel et je pense que vous avez remarqué la différence. Concernant l’offre, j’ai choisi la dedibox V3 qui offre un processeur Nano de 1.6Ghz pour 2 Go de RAM et 160 Go de disque. Le plus important, c’est que le serveur a une connexion giga.

Ce changement va me permettre de développer de nouveau projet que j’avais en tête depuis quelques temps, je ne vous en dit pas plus pour le moment, mais restez connecté car ca va bouger.

Je serais fortement intéressé par vos retour d’expérience concernant les performances du blog. à‰galement si vous rencontrez des difficultés d’affichage ou autre, n’hésitez pas de laisser un commentaire ou de me contacter par mail.

Hakuna Matata

Pour ceux qui me suivent sur Twitter ce n’est pas une surprise, pour les autres, je vais essayer de vous emmener au pays du roi lion à  travers le récit de notre voyage de noces. Ce voyage aura été sans aucun doute notre périple le plus dépaysant. Bien entendu quelques préparatifs s’imposaient. Nous avons commencé par faire une petite visite à  l’hôpital Legouest afin de se mettre à  jour avec les différents vaccins (Fièvre jaune, Hépatite A).  Contrainte supplémentaire : un traitement contre le paludisme pendant toute la durée du séjour et sept jours après. Ensuite, c’est bien beau d’aller faire un safari mais si on a rien pour prendre des photos c’est pas terrible. Par chance, on nous avait prêté un zoom optique canon 70-200 F4 L USM monté sur mon boîtier EOS 350D et également une paire de jumelle 9×50 qui s’est avérée très utile. Mais comparé à  certains on était très peu équipé …

Continue reading

Les failles XSS de la brise à  l’Ouragan

Parfois anodine et peu connu des internautes, ces failles permettent bien souvent d’accéder à  des données personnels de l’utilisateur dans des scenario aboutis. Pour autant cette vulnérabilité n’est pas récente, c’est là  que le paradoxe prends son sens.

Mais qu’est ce que le XSS ?
Le XSS, de l’anglais cross site scripting, consiste à  injecter et faire interpréter ou mieux, faire exécuter du code non attendu à  un navigateur web. De cette définition, on peut en déduire que l’attaque ne se situe pas du côté du serveur mais plus plutôt du côté client, en d’autres termes une action du client final est nécessaire. Donc nous avons un aspect ingénierie sociale. De plus, ce genre d’attaque ne se limite pas à  un langage. Tout langage reconnu par votre navigateur peut être exploité. C’est pourquoi les failles XSS sont souvent basées sur de l’HTML et du Javascript. Pour finir la première partie de sensibilisation, la vulnérabilité XSS figurait à  la première place du top ten de l’OWASP en 2007. En 2010 il occupe la seconde place.

Prenons un exemple concret, vous recevez un mail de votre banque qui vous indique que de nouveaux documents sont disponibles à  partir de votre compte et ils vous donnent un lien pour accéder aux ressources. En tant qu’utilisateur vous ne fait pas attention à  l’url caché derrière le nom du lien et vous cliquez pour accéder à  vos documents. A ce moment précis le mal est fait ! Vous ne vous êtes rendu compte de rien du tout mais votre requête à  été intercepté par un autre site qui a volé vos identifiant de votre banque. Vous n’avez rien remarqué car vous avez été redirigé. Ce scenario semble sortir tout droit d’un James Bond, malheureusement, il est bien plus probable qu’un des scénarios de James Bond. Bien entendu, il y a quelques conditions. Ce scénario considère que le site de votre banque contient un champ vulnérable aux attaques XSS, que l’attaquant connaisse votre adresse mail, et qu’il ait un serveur distant ou il pourra stocker vos identifiants de connexion. Il est considéré également pour acquis que vos identifiants soit stockés dans un cookie. Vous me direz que cela fait beaucoup de conditions, même si la dernière est peu répandu (surtout pour un site bancaire) les autres conditions sont facilement réalisables.

Voici une schématisation du scénario énoncé.

Alors comment fonctionne concrètement cross site scripting, et bien la syntaxe la plus connue est l’exécution dans un champ non validé du code suivant :

Il a pour but une fois interprété par votre navigateur, d’afficher la pop up suivante :

C’est exemple est souvent utilisé comme PoC (Proof of Concept). Mais il existe beaucoup plus de combinaison possible. Ce billet n’a pas pour vocation de faire une liste exhaustive des éléments à  parser dans vos champs. Il existe de très bonnes sources si vous cherchez ce genre d’information, comme par exemple le site ha.ckers.org. Cependant il faut comprendre que ce genre d’attaque est bien plus dangereuse pour l’utilisateur final que pour les serveurs. Grâce à  l’utilisation de champ ou de paramètre non validé, il est possible également de ré-écrire une page web (via l’API DOM). Je vous invite à  lire l’article de Pierre Gardenat qui a été publié récemment dans le magazine français MISC (édition Mai/Juin 2010). L’article est très bien détaillé. Je me suis permis de reprendre son titre que j’aime beaucoup. J’espère qu’il ne m’en voudra pas.


source
Pierre Gardenat – XSS : de la brise à  l’ouragan

  • 1
  • 2