Bonjour,
Je travaille actuellement sur une faille sur le protocole NTLM quand on utilise Firefox sans définir les hôtes sur lesquels on peut se connecter et que coté serveur on a une implémentation simplifié du genre :
http://svn.apache.org/repos/asf/nutc...t/jsp/ntlm.jsp
FF ouvre une popup pour saisir l'utilisateur et le mot de passe.
il y a deux soucis à ça :
- pas de vérification du mot de passe
- le paquet NTLM envoyé est complet (user, domaine et hôte)
Du coup coté serveur je ne sais pas faire la différence entre un vrai et un mauvais paquet...
Le truc c'est que quand on test sur un sharepoint par exemple, l'authentification est bien faite : la popup ne se ferme pas tant que l'authentification est incorrecte.
Donc ma question est comment ils font sur Sharepoint ???!!!
Partager