edwado_ Voir le profil de edwado_
Posté le 18 août 2013 à 03:53:38 Avertir un administrateur
TroIIeybus et le pire c'est que mon script est mal codé (certaines choses apparaissent en clair), nan mais voyons comment fait-tu pour ne pas trouver \ /

Flemme de tester des choses maintenant (j'ai un autre projet actuellement), en voyant vite fait le code source j'ai simplement l'impression que le formulaire est récupéré directement depuis JVC étant donné la disposition aléatoire des variables input et de leurs paramètres.

J'ai été voir le script.php mais j'ai juste vu le formulaire de post d'un message et un autosumbit, seulement je sais pas d'où viennent les tokens j'ai bien inspecté pourtant, peut etre suis-je aveugle.

D'après la présence du "Cliquez ici pour vous inscrire !" etc., ils viennent sûrement d'un formulaire en mode déconnecté, mais dans ce cas c'est étonnant que ça fonctionne.

L'auteur a utilisé une faille de type CSRF et a couplé ça avec du code PHP bien dégueulasse, il a récupérer le tokens via les hash codé avec les pieds de JVC, une faille qu'un débutant en PHP aurait pu exploiter ça prouve à quel point JVC a une protection en carton

Ah oui possible, ca marche vraiment avec un formulaire déconnecté? bordel c'est si mal codé.

| https://www.jeuxvideo.com/forums/1-1000021-1891328-1-0-1-0-alerte-risque-de-hack-de-pseudo.htm#message_1891347
| Ecrit par « edwado_ », 18 août 2013 à 03:39:50
| « je suis le responsable, des questions ? »

Toi, tu vas avoir des problèmes

edwado C'est exactement ce que j'avais suggéré quand j'avais dit que les hashs étaient peut-être indépendants du pseudo.

Pourtant ça m'étonne, il y a quelques mois j'avais fait des tests qui semblaient montrer le contraire mais il y avait peut-être un problème.

http://www.intelce*leron.powa.fr/premium/

Ce lien aussi est à éviter.

Je clique pas sur les liens louches perso'

Dites voir, le lien sur drakens, c'est quoi ?
j'ai cliqué mais la page n'a pas été affichée, bizarrement, merci à abblock...

bon, j'ai de toute façon dl antimalwaresbytes, j'ai fait un scan, rien..

J'ai compris maintenant, lorsqu'on est pas connecté et qu'on met un pseudo pour poster, meme si le mdp est faux, jvc ne le détecte pas tout de suite et demande un captcha à la place, et comme ce n'est pas détecté, les tokens pour le pseudo sont générés, que le mdp soit bon, ou pas, après, suffit que directement après un mec visite la page en étant connecté avec son cookie pour autosubmit et alors que jvc devrait normalement détecter la seconde fois que le mdp était pas bon, là le cookie étant bon, le message est posté, et les tokens sont bons aussi.
L'erreur vient de la procédure de jvc pour faire poster un pseudo.

Voleur de NDd

C'est ce que je dis tout le temps, faudrait mieux bien vérifier l'URL avant de cliquer. ^^

[JV]Aigle Voir le profil de [JV]Aigle
Posté via mobile le 18 août 2013 à 09:32:41 Avertir un administrateur
Je me fait aussi avoir via mobile?

Ça dépend de ton navigateur mobile et de si tu as entré ton pseudo.

Bizzarement ça me rappelle quelque chose ...

Pas mal

Tiens y'avait déjà eu ça

Ça me rappelle un jeu en rapport avec si je me souviens bien, il suffisait de cliquer sur "Jouer" sans même à avoir rentrer notre pseudo ni notre pass pour que notre pseudo floode le +35, même Padi s'était fait avoir