Discussion :

[Sarawyn]

Bonjour à tous.

Y a un petit moment de ça (mais je ne retrouve plus ), j'avais vu des photos de mecs qui pour rigoler se fesaient flasher par des radars avec de fausses plaques sur lequelles était inscrit : ";DROP ALL TABLES"

Immaginez le délire si vous recevez une prune avec un SQLERROR code pour vous aider à débugger vos plaques ...

L'idée m'a fait sourrir et on s'immaginais avec les potes toutes situations du genre.

-A un Exament mettre à son matricule : UPDATE NOTE SET MATHS = 20 WHERE MATRICULE = 'votre matricule'


Avez vous vous aussi des idées folles qui pourrait faire que les devs pourront un jour contrôler toutes les données et la société ? Laissez libre court à votre immagination

[thelvin]

Référence obligatoire :



Enfin, on se marre, mais il m'est arrivé plus d'une fois de montrer à un client que M. Brian O';Drop Database;-- va détruire toutes leurs données rien qu'en s'enregistrant chez eux. Parfois rien qu'en remplissant un formulaire ou en envoyant un SMS.

[10_GOTO_10]

Dans la même veine (je ne sais pas si l'histoire est vraie):

Une démo d'un logiciel de reconnaissance vocale, l'animateur montre comment ouvrir une fenêtre DOS rien qu'avec la voix. Quelqu'un dans le public dit:

FORMAT C: ENTER YES ENTER

[ManusDei]

Il me semble que le truc est corrigé. Sur les radars il y avait (a toujours ?) également l'adresse IP du radar, ils étaient accessible par internet, protégés par login et mot de passe (admin - admin).

Certains ont dû beaucoup rigoler à une époque en regardant les photos des "voitures" flashées.

[TNT89]

Personne n'a essayé de le faire avec un chèque (au lieu d'écrire la somme en lettre)...
ça peut être marrant ...

[10_GOTO_10]

Personne n'a essayé de le faire avec un chèque (au lieu d'écrire la somme en lettre)...
ça peut être marrant ...

Ou dans l'identifiant du badge de ton entreprise, dans les codes-barres des magasins, dans ta carte vitale (et hop, le trou de la sécu), dans la puce RFID de ton passeport que les RG lisent à ton insu (on a un problème, chef !). Les possibilités doivent êtres infinies, je doute que toutes les chaînes traitées par SQL sont contrôlées avant, déjà que sur internet elle ne le sont pas toujours...

[spawntux]

Dans les codes barres des magasins tu peux facilement taper des injec

Testé et approuvé par mes soins

[Doksuri]

haha, le coup des radars peut etre drole... =)

un truc qui peut etre chiant aussi c'est de drop les constraintes

[Satch]

Dans les codes barres des magasins tu peux facilement taper des injec

Testé et approuvé par mes soins

Et qu'as-tu testé comme injection si ce n'est pas indiscret ?

[10_GOTO_10]

Ce n'est pas du SQL, mais c'est en quelque sorte une histoire d'injection qui vient de m'arriver à l'instant:

Depuis un moment, j'avais un bug d'affichage lorsque je regardais les propriétés d'un fichier: il y avait des petits carrés dans la taille. Après avoir cherché un moment, je me suis aperçu que ces caractères étaient dans la valeur du symbole de séparateur des décimales (options régionales).

Outre le fait que je n'apprécie pas trop que ma base de registre se modifie sans que je sache pourquoi, ça m'a permis de voir qu'on peut mettre absolument n'importe quoi dans cette valeur, ce n'est pas contrôlé...

Par exemple, amusons-nous un peu: j'ai mis "000000," dans les clés HKCU\Control Panel\International\sDecimal et HKCU\Control Panel\International\sMonDecimalSep (c'est "Current User", donc pas besoin des droits admin). Ensuite, quand je fait "Propriétés" d'un fichier dans l'explorateur, j'ai des trucs marrant comme ça:



Les propriétés du disque sont aussi modifiées, et la calculatrice affiche des résultats fantaisistes. Je suppose que les logiciels francisés tels que Microsoft Office doivent aussi afficher des trucs bizarres (je n'ai pas essayé, je n'ai pas Office), et j'ose à peine imaginer le comportement d'un logiciel de compta, de facturation ou de paye.

[nuke_y]

Hu hu ça donne des idées pour des blagues au boulot si un collègue a pas verrouillé son poste ^^