Salut,

Si vous voyez un lien du style : http://www.noei*shack.fr/premium/

Ne cliquez surtout pas, il vous demande votre pseudo puis exploite une faille de sécurité de type CSRF qui poste un topic de flood de type « W%W%W%W% » avec votre pseudo.

Visiblement le hacker a une astuce que je ne connais pas encore pour contourner la sécurité ajoutée par les hashs dans le formulaire de création de topic.

Il y a déjà pas mal de victimes sur le 15-18 alors que la faille n'existe que depuis quelques minutes.

je me souviens y'avais eu ca y'a pas longtemp

ça me rappelle quelque chose ça.

Si on va dessus sans se connecter on ne risque rien?

Normalement il faut au moins entrer son pseudo puis attendre 1 seconde pour être piraté Emmanuel.

Je vais essayer de comprendre comment ca marche, en effet, il obtient les tokens mais j'ignore comment pour le moment.

En effet j'ai remarqué ce flood sur le 15-18.

Si t'es vraiment le responsable, j'aimerais savoir comment tu obtiens les tokens.
Cependant le pseudo est demandé, c'est pas pour rien, soit la méthode de création des tokens a été cra ckée, soit je sais pas d'ou ca pourrait venir.

https://www.jeuxvideo.com/forums/1-50-144141830-1-0-1-0-qui-a-un-ocr-jvc-en-php.htm

Un OCR en PHP.

Ce truc c'est moche, lent et fait pour les sites web hein

Mais si je met par exemple le pseudo "Avril" (juste une supposition) et que je ne suis pas loggé sa ne fait rien?

+Je crois que je me suis déjà fait avoir par un site similaire

Non c'est pas un OCR.
Et si t'es pas loggé bien sur ca marche pas, sinon y'aurait pas besoin de faire cliquer, mais j'aimerais savoir comment les tokens sont obtenus, mp pls, je balancerais pas.

revelateur L'OCR c'était sans rapport, je réagissais à un de ses vieux topics.

edwado Oui, j'ai vu ce site sur le flood d'hier

Là dernière fois qu'on a vu un truck du genre, c'était avec une xss, PyjamaSam l'avait fait.

revelateur565 Voir le profil de revelateur565
Posté le 18 août 2013 à 03:46:15 Avertir un administrateur
Là dernière fois qu'on a vu un truck du genre, c'était avec une xss, PyjamaSam l'avait fait.

L'avant-dernière fois la XSS... La dernière fois c'était du clickjacking.

edwado_ Voir le profil de edwado_
Posté le 18 août 2013 à 03:46:21 Avertir un administrateur
revelateur565 je ne te dirais rien, c'est beaucoup trop simple.

Moi ma théorie principale ce serait que les hashs ne dépendent simplement pas/plus du pseudo, mais j'ai la flemme de tester.

Comment ça?

Petit_Fanfaron Voir le profil de Petit_Fanfaron
Posté le 18 août 2013 à 03:48:47 Avertir un administrateur
Comment ça?

Go Wikipédia si tu ne comprends pas un terme technique.

Là c'est pas du clickjacking je pense.
Mais justement, comment ca crac*k les hash, fin soit c'est une page visitée qui les donne, soit je vois pas.

edwado_ Voir le profil de edwado_
Posté le 18 août 2013 à 03:50:00 Avertir un administrateur
TroIIeybus c'est à dire?

Je parle des différents hashs présents dans les données POST.

revelateur565 Voir le profil de revelateur565
Posté le 18 août 2013 à 03:50:04 Avertir un administrateur
Là c'est pas du clickjacking je pense.
Mais justement, comment ca crac*k les hash, fin soit c'est une page visitée qui les donne, soit je vois pas.

Là c'est une simple CSRF. Il n'aurait pas pu cr*ck les hashs sans avoir récupéré le code source du site à cause des salts... Il a dit que c'était “très simple” quand même.