Annonce

**rayliegh** · 10 novembre 2012, 07h47

Bonsoir je risque fort de dire de grosse bêtise j'en suis désolé mais je commence à aprendre mon niveau en hacking est quasi nul alors soyez indulgent même si vous risquez encore de sauter au plafond en lisant mon mail

Je voudrais savoir qu'entends tu par être effectué en l'état?tu veux dire sans être hébergé?directement sur le site?

Si c'est dans ce sens là tu parle de la méthode GET non?, vu que j'ai cru voir que pour la méthode post il fallait que l'admin soit connecté et exécute le script java+html mais pour cela il faut qu'il soit sur une page html contenant le code.

Et le poster dans un forum ne servirait à rien non?, d'autant plus que ce serait visible à moins de le cacher dans une iframe mais à ce moment là quand le code serait exécuté, quand l'admin se connecte?

Sinon j'avais pensé aux cookies mais je sais pas si c'est possible d'injecter un code html dans un cookie ni même comment le faire (même si de toute manière je n’ai pas vraiment l'intention de m'en servir, car bien que ce soit tentant et bien que j'ai vu de nombreux scripts et tenté d'en faire un moi même (ou plutôt d'en inventé un en m'inspirant de ceux des autres, vu que je ne connais pas le java, ni même le html même si il est plus simple à comprendre), il faut d'abord et avant tout que j'apprenne les langages).

Et aussi je voudrais savoir deux choses pourquoi un site web ouvre automatiquement un lien quand on insère une balise image?

Et aussi est il possible de réaliser une incrémentation avec une csrf?Je ne demande pas le code simplement de savoir si cela reste possible ou non?

Bonne soirée à tous.

Cordialement rayliegh.

ps: désolé de polluer le forum du moins le topic les prochaines fois j'enverrais des mp si vous préférez

**Beru** · 12 novembre 2012, 11h09

Effectivement, il semble que tu n'as pas totalement compris le but de la faille CSRF. Mais tu es là pour apprendre, pas de souci.

Quand je parle d'exploitation "en l'état", je parle d'exploiter la faille de façon directe, c'est à dire (par exemple) avec l'astuce de <img src="url" /> ou autre.

Ce que je disais, c'est que même si le serveur n'est pas vulnérable à une attaque CSRF, si tu trouves une faille XSS, tu as moyen d'utiliser la session admin comme proxy pour faire passer des requêtes en ajax. Du coup tu peux faire passer des requêtes GET ou POST, peu importe.

Mais bon là tu as quand même de grosses lacunes, je te conseille déjà d'apprendre le fonctionnement de HTTP, d'un navigateur et du HTML avant d'aller plus loin.

**rayliegh** · 12 novembre 2012, 19h47

Bonsoir justement la requête GET ne peut marcher étant donné qu'il y a une protection xss il affiche directement l'url et aucun moyen de la dissimuler ce n'est pas une messagerie habituel le message ne s'ouvre pas il apparait sur une page appellée messages reçus, mais c'est totalement différent d'une boite mail habituel.

Même avec la fonction display:none admettons que tu tape :
<div style="display:none;">
<img src=″http://blablabla″ />
</div>
sur la page de l'utilisateur il recevra ce que tu as tapé le code en l'état soit :

<div style="display:none;">
<img src=″http://blablabla″ />
</div>

Donc je ne pense pas (du moins avec ce que je sais) que ce soit exploitable en l'état.

Même sur le forum il y a une protection XSS qui fait que si tu tapes <script> ça affichera cript> de même avec <body onload aucun script n'est possible d'être exploiter, sauf avec la méthode post via un site web dans le cas où l'admin serait connecté à son pannel admin (en tout cas avec mes connaissances je ne connais que cette solution).

En tout cas merci d'avoir répondu à mes question je retourne apprendre.

Bonne soirée à tous.

Cordialement rayliegh

**Beru** · 12 novembre 2012, 20h46

Là en fait tu es parti sur une exploitation XSS. Apparemment le site en question n'y est pas vulnérable.

Tu peux commencer par essayer des vecteurs d'attaque "exotiques", genre <img src="dummy" onerror="alert(String.fromCharCode(65))" />, mais bon, le site a l'air de remplacer les < et > par < > donc ça me paraît difficile, il faut trouver d'autres input.

Le CSRF c'est différent. L'exploitation consiste à faire appeler une URL à l'utilisateur à son insu. Genre http://site.com/admin/adduser.php?userid=123 pour qu'il te fasse passer admin (c'est un exemple bidon). Un moyen simple est effectivement de définir cette URL comme étant la source d'une image. Por que ça soit discret, je te conseille de définir un attribut alt à ton image. Cette URL doit être appelée depuis le même browser que celui avec lequel l'admin est connecté à son site. Il n'est pas nécessaire que cette URL soit appelée depuis le site. Ca signifie que tu peux l'inciter à ouvrir une URL qui pointe vers une page avec un image dont l'URL est malicieuse. Je ne sais pas si je suis clair.

Ceci étant, si ce site est un forum par exemple, tu peux tout à fait poster un message en incluant une image en BBCode qui pointe vers l'URL malicieuse.

Donc bon, là la première chose à faire pour toi c'est de bien comprendre la différence entre XSS et CSRF, car il y a confusion je pense.

**Beru** · 12 novembre 2012, 20h51

Envoyé par rayliegh Voir le message

...sauf avec la méthode post via un site web dans le cas où l'admin serait connecté à son pannel admin...

Une faille CSRF est exploitable en POST. Un exemple possible: une page avec une iframe invisible qui auto-soumet une copie du formulaire en question. Puisqu'on parle de ça, si tu héberges cette page, tu peux utiliser une astuce pour que ta page ne fasse pas louche. Tu configures tes types MIME pour que l'extension jpg soit interprétée comme PHP. Du coup tu peux envoyer une URL à visiter qui paraît être une image (genre http://site.com/upload/image.jpg), qui ressemble à une image quand on l'ouvre, mais qui exécutera du code quand elle sera ouverte. Assez malin comme truc, je m'en suis servi une fois, c'est très efficace.

**DreAmuS** · 28 août 2013, 12h47

Merci beaucoup vos tutoriels sont géants et surtout très bien expliquer cela m'a permis de faire des progrès rapide en terme de sécurité web et de pouvoir deceler et proteger un site grace a cela.C'est pas évident car il y a tellement de possibilités d'attaque ou de défense et surtout un plantage est rapide surtout qu'il faut tenir compte des capacités des serveurs en mutualisé et je ne cache pas que les error 500 external j'en ai eu quelques uns mais j'ai reussis à rétablir et configurer grace au connaissances accumulées ici.

Surtout je commence à comprendre pas mal de truc qui ne me semblait pas evident avant alors encore merci beaucoup à tous et je vais continuer à faire vos tutoriels et apprendre car j'en ai besoin.

Annonce

La faille CSRF – Exploitation et sécurisation

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire