Question sécurité, phishing

Version imprimable

20/05/2011, 15h25
Warluck

Question sécurité, phishing

Bonjour à tous, j'ai une question qui me turlupine depuis un bout de temps et je crois que vous, professionnel du Web, pourrez me répondre correctement.

Est-il possible qu'en cliquant sur un lien, le distinataire (site au bout du lien) puisse acquérir des données sensibles contenue dans ma session active.

Je donne un exemple, je suis sur un forum où j'ai du me connecter en utilisant un nom d'usager et un mot de passe. Dans l'un des fils de discussion un utilisateur met un lien vers un site malveillant. Est-il possible pour se site malveillant d'obtenir des données sensibles comme mon nom d'utilisateur, mot de passe ou autre me concernant (concernant plutôt ma connexion actuelle et celles utilisées dans le site de départ), évidemment sans que j'aie à les entrées?

Merci de m'éclairer sur ce point.
20/05/2011, 15h32
Nheo_

Je ne crois pas que se soit possible, tout du moins j'espère. Je ne vois pas comment il pourrait récupérer ton login et mdp.

Enfin, propos à confirmer, je ne suis absolument pas certains de ce que j'avance.
24/05/2011, 11h28
tho.feron

Bonjour,

Quand on s'identifie sur un site web, on récupère un ID de session et c'est la seule chose qui reste stockée sur son ordinateur (dans un cookie). Les cookies ne sont accessibles SEULEMENT par les domaines les ayant créés (et leurs sous-domaines sauf si le champ domain ou path est activé, ce qui est le cas pour les sessions de PHP ou encore de Rails).

Donc aucun risque que ce site malveillant accède à quoi que ce soit.

Par contre, certains sites renvoient l'ID de session dans l'URL (par exemple /page.php?PHPSESSID=54dsd56sdsds96dssd56sq, ce qui (je suppose) est renvoyé dans le header HTTP Referer vers le "site de destination". Dans ce cas-ci, le site malveillant pourrait utiliser la session tant qu'elle est encore active.

Néanmoins, peu de sites utilisent les sessions de la sorte et il faudrait vérifier que les navigateurs renvoient ces valeurs dans le Referer. Peut-être existent-ils des protections pour des noms connus tels que PHPSESSID.

Pas trop de soucis à se faire donc. :ccool:

Cordialement,
Thomas Feron de Backsmash.
24/05/2011, 19h23
Warluck

Je te remercie beaucoup pour cette réponse qui correspond pas mal à ce que je cherchais. En fait, je voulais savoir si le simple fait de clicker sur lien qui mène à un site du genre "phishing" pouvait te compromettre. Il semble que ce ne soit pas le cas et j'en suis bien heureux.

Merci encore.
27/05/2011, 11h11
fallais

Ce sujet a déja été traité à cette adresse : http://www.developez.net/forums/d108...urite/hacking/

Merci de publier vos demandes/réponses sur celui-ci :)

Voici un exemple de phishing qui peut réellement arriver, puisque comme dit plus haut, non le site ne pourra pas récupérer ton couple login/mdp.
En revanche en cliquant sur ce lien (bon là il ne doit pas marcher) tu arrives sur un faux site (il manque un p à developpez.net).

Tu veux publier un commentaire, bizarrement tu dois te connecter, et hop !
27/05/2011, 11h58
Nheo_

Citation:

Envoyé par Elwyn

(bon là il ne doit pas marcher)!

Si il marche :aie:.
27/05/2011, 15h41
fallais

Citation:

Envoyé par Nheo_

Si il marche :aie:.

Damn it ! :aie:
29/05/2011, 09h59
10_GOTO_10

Citation:

Envoyé par Nheo_

Je ne crois pas que se soit possible, tout du moins j'espère. Je ne vois pas comment il pourrait récupérer ton login et mdp.

Il est parfois possible (avec JavaScript) de récupérer les cookies, donc le login et le mot de passe s'il est stocké en clair dedans, ou au moins assez d'informations pour continuer une session ouverte.

Voir explications ici: http://fr.wikipedia.org/wiki/Cookie_...#Vol_de_cookie
29/05/2011, 17h55
tho.feron

Citation:

Envoyé par 10_GOTO_10

Il est parfois possible (avec JavaScript) de récupérer les cookies, donc le login et le mot de passe s'il est stocké en clair dedans, ou au moins assez d'informations pour continuer une session ouverte.

Voir explications ici: http://fr.wikipedia.org/wiki/Cookie_...#Vol_de_cookie

Encore faut-il qu'il y ait une faille XSS ou CSRF sur le site en question, ce qui peut aller beaucoup plus loin qu'un simple vol de session d'ailleurs.

Cordialement,
Thomas Feron de Backsmash.