Discussion :

[Kalun]

Bonjour,

je souhaite trouver quelqu'un qui puisse tester la sécurité de mon site web, libre à lui de tenter n'importe quoi sur ce dernier... cela me permettra de savoir s'il est sécurisé ou non.

Adresse : Http://kakashisensai.free.fr

N'hésitez pas à m'expliquer en détail ce qui ne va pas si jamais vous trouvez une faille.

Cordialement, Marc.

[Jean-Philippe Dubé]

S'est normal qu'il y a juste un archive 7zip sur ton site?

[Neroptik]

Ah j'ai compris ce sont les sources du site...
Tu sais tu est pas obliger de nous les donner
Autant que tu n'est pas obliger de donner les sources aux futurs pirates de ton site.

Met le en ligne et on verra ce que l'on peut faire déjà car je ne vais pas me taper une mise en ligne et une analyse de code complète. Et puis de toute façon on test un site avec la configuration qui va derrière car elle implique souvent des failles.

[Kalun]

ahhh désolé je suis débutant... j'avais zapé ... et pour le filer à un pote je l'ai déposé là ^^

[Neroptik]

Alors pour commencer le cryptage du mot de passe côté client c'est pas super intelligent car tous le monde sais quel chiffrement tu utilise, de plus, si d'une manière ou d'une autre quelqu'un arrive à récupérer les mots de passe cryptés alors il pourra tout simplement bypasser la fonction de cryptage et entrer le Hash dans le champs du mot de passe et ainsi se logger sans même connaitre le mot de passe (en plain text).
Donc ta fonction qui crypte en sha1 doit se trouver coté serveur dans un script php en l'occurrence.
De la même manière le fait que le cryptage soit côté client donne la possibilité de faire de l'injection SQL car j'imagine que tu ne contrôle pas la forme de ton mot de passe côté serveur vu qu'il est censé être crypté.

[Neroptik]

Voila... par exemple...
Je viens de tomber sur ton fichier de configuration de base de donnée qui comme il est nommé .inc ne se trouve pas interprété par le serveur php du coup il m'affiche la source à l'écran. Du coup j'ai les pass de ta base de données j'ai donc pu récupérer les Hash des mots de passes admin et AdminSlp avec lequel j'ai pu me logguer en désactivant la fonction de cryptage et en insérant directement le hash dans ma source html.

Alors effectivement tu va me dire mais si tu a la base tu peut tout faire ta même plus besoin de te logguer sur le site ! Eh bien tu à raison mais on peut très bien imaginer que le pirate utilise une faille d'injection SQL pour récupérer les hash et le tour est joué.

Tout ca pour te démontrer qu'il ne faut pas crypter côté client.
Et aussi pour que tu change l'extension de classeBD.inc (ou alors fait en sorte que php l'interprète et ne le restitue pas tout bêtement à l'écran)

PS : t'inquiète pas j'ai rien cassé dans ton site.

[12monkeys]

Bonsoir

de plus, si d'une manière ou d'une autre quelqu'un arrive à récupérer les mots de passe cryptés alors il pourra tout simplement bypasser la fonction de cryptage et entrer le Hash dans le champs du mot de passe et ainsi se logger sans même connaitre le mot de passe (en plain text).

T'es sur de ça ? Parce qu'il me semble que si tu entre le mot de passe crypté la fonction javascript va de nouveau crypter cette chaine dont la modifier et elle sera différente de celle en base de données ?

[Neroptik]

Suffit de l'enlever puisqu'elle est en js justement!

PS : Je me suis loguer en admin sur son site grace à la méthode que j'ai décrit plus haut.

[12monkeys]

Ah oui bien sur, ça se voit que j'ai pas l'habitude avec javascript

[Kalun]

Merci, je vois que j'ai encore beaucoup de choses à prendre Neroptik.. si tu veux qu'on parle un peu plus de tout ça via msn ou mail ça m'intéresserait bien.

[FoxLeRenard]

Merci, je vois que j'ai encore beaucoup de choses à prendre Neroptik.. si tu veux qu'on parle un peu plus de tout ça via msn ou mail ça m'intéresserait bien.

Oui il faut trés vite faire le tour, on peut t'y aider,
ton site est actuellement plein de trous, rends toi compte que nous pouvons
editer ton menu qui est en flash , c'est incroyable !

http://www.effectgenerator.com/?id=168913

Pour ma part je serais OK pour que ton site soit controlé ,
et ensuite quand ce sera fiable, tu demandera a ton hébergeur
de changer tes mots de passe !

[Kalun]

Oui, en effet le flash est trop facilement éditable. A vrai dire la partie accessible à tous n'a pas été fait par moi, juste par un pote. Donc, je n'avais pas vraiment fait attention à ce genre de "détails" lol

merci pour toute vos aides. Je vais commencer à corriger tout ça mouoiiii.

[FoxLeRenard]

Oui, en effet le flash est trop facilement éditable. A vrai dire la partie accessible à tous n'a pas été fait par moi, juste par un pote. Donc, je n'avais pas vraiment fait attention à ce genre de "détails" lol

merci pour toute vos aides. Je vais commencer à corriger tout ça mouoiiii.

Ok alors on te laisse faire !!
Bon courage

Merci de fermer cette discution en cliquant le bouton