IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Actualités Discussion :

Des hackers exploitent les commentaires de YouTube par injection HTML

  1. #21
    Futur Membre du Club
    Homme Profil pro
    Administrateur SI
    Inscrit en
    Juin 2010
    Messages
    7
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 37
    Localisation : France, Nord (Nord Pas de Calais)

    Informations professionnelles :
    Activité : Administrateur SI

    Informations forums :
    Inscription : Juin 2010
    Messages : 7
    Points : 9
    Points
    9
    Par défaut
    Citation Envoyé par xamtheone Voir le message
    En l'occurrence c'est plus vicieux. En temps normal les < et > sont échappés des commentaires youtube. L'attaque a juste exploité un bug: mettre 2 balises script faisait sauter l'échappement de la deuxième. La première était bien échappé en &lt;script&gt; mais la deuxième restait <script>.

    Curieux, non?
    Oui en effet, c'est louche. Parce qu'un simple htmlentities convertit toutes les entités HTML, mais eux, il n'y a que la première balise et sa balise fermante apparemment

  2. #22
    Membre éclairé Avatar de homeostasie
    Homme Profil pro
    Inscrit en
    Mai 2005
    Messages
    939
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 43
    Localisation : France

    Informations forums :
    Inscription : Mai 2005
    Messages : 939
    Points : 862
    Points
    862
    Par défaut
    Citation Envoyé par Katleen Erna
    Les webmasters sous-estiment-ils trop les failles de type XSS ?
    Citation Envoyé par dissert
    En ce qui concerne le XSS, et le problème de Youtube, je suis à 100% d'accord : c'est la faute du développeur (ou, plus certainement, celle de ses profs qui ne lui ont pas appris ce qu'était un XSS et pas dit que c'était à lui de s'en occupper).
    Pour moi ici, il n'y a pas eu sous-estimation ou méconnaissance de la faille XSS puisse que l'on constate que la première balise "script" est échappé mais il y a bien un mauvais filtrage en l'occurrence, qui est bel et bien une erreur de développement.

    Citation Envoyé par xamtheone
    L'attaque à juste exploité un bug: mettre 2 balises script faisait sauter l'échappement de la deuxième. La première était bien échappé en &lt;script&gt; mais la deuxième restait <script>.
    Curieux, non?
    Ça peut être le pattern d'une expression régulière mal réalisée pour filtrer correctement la saisie utilisateur.

    Citation Envoyé par Katleen Erna
    Sont-elles vraiment inoffensives ?
    Qui a osé dire cela?! ;-)

  3. #23
    Futur Membre du Club
    Profil pro
    Inscrit en
    Mars 2010
    Messages
    3
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : Mars 2010
    Messages : 3
    Points : 6
    Points
    6
    Par défaut
    Citation Envoyé par homeostasie Voir le message
    Ça peut être le pattern d'une expression régulière mal réalisée pour filtrer correctement la saisie utilisateur.
    Ya des chances. En y réfléchissant, je devrais même préciser qu'ayant pu tester avant que le bug soit corrigé, tout ce qui suivait la balise script échappée n'était pas échappé (dans le commentaire). Le petit jeu du jour: deviner la regexp pourrie de youtube avant correction ^^'

  4. #24
    Membre du Club
    Profil pro
    Inscrit en
    Décembre 2004
    Messages
    49
    Détails du profil
    Informations personnelles :
    Localisation : France, Isère (Rhône Alpes)

    Informations forums :
    Inscription : Décembre 2004
    Messages : 49
    Points : 60
    Points
    60
    Par défaut
    Citation Envoyé par Katleen Erna Voir le message

    Les Web Application Filters n'ont pas su détecter cet incident. Comment s'en protéger efficacement ?
    Un bon firewall IPS avec inspection protocolaire jusqu'a la couche 7 saura très bien bloquer ce genre d'attaque. Pour dire .. même des produits français le font !!

Discussions similaires

  1. Des hackers défigurent les sites web de cours du MIT
    Par Michael Guilloux dans le forum Actualités
    Réponses: 9
    Dernier message: 07/01/2015, 15h16
  2. Réponses: 14
    Dernier message: 23/07/2012, 10h46
  3. Réponses: 2
    Dernier message: 02/12/2006, 22h58
  4. Sauter des lignes dans les commentaires pour Javadoc ?
    Par Pépé Lélé dans le forum Langage
    Réponses: 2
    Dernier message: 08/12/2005, 18h43

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo