SlideShare une entreprise Scribd logo
1  sur  17
Télécharger pour lire hors ligne
mercredi 18 juillet 2012
Faille de sécurité
                              Mon figaro




mercredi 18 juillet 2012
Faille de sécurité
                              Mon figaro
              Mon figaro - reserve au abonnés
                              Drupal 6 powered




mercredi 18 juillet 2012
CMS Drupal




mercredi 18 juillet 2012
CMS Drupal
                           Over 10 years of development
                           Hundreds of thousands of sites
                               Millions of downloads
                           Over 5000 contributed modules

                           881,780 people in 228 countries
                           speaking 181 languages power Drupal




mercredi 18 juillet 2012
CMS Drupal
                           Over 10 years of development
                           Hundreds of thousands of sites
                               Millions of downloads
                           Over 5000 contributed modules

                           881,780 people in 228 countries
                           speaking 181 languages power Drupal




mercredi 18 juillet 2012
Who use Drupal
                                         Al Jazeera
                                           AT&T
                           Bob Dylan - Britney Spears - M. Jackson
                                         LinkedIn
                                      whitehouse.gov
                                        London.gov.uk
                                           Paypal
                                            Cern
                                           Twitter
                                      lanetscouade


mercredi 18 juillet 2012
Faille de sécurité Mon Figaro :
                                  les explications techniques

                           http://figaro.fr?login=xinhui&commentaire_password=xxxx&page=1

                                             Indexed by google
                                                  Korben




mercredi 18 juillet 2012
Explications techniques


                           http://lanetscouade.com?search=drupal&page=2
                             Données GET : Transite en claire dans l’url




                                     Données POST : Invisible




mercredi 18 juillet 2012
Faille du «Pager» de Drupal
                            http://lanetscouade.com?search=drupal&page=1
                            http://lanetscouade.com?search=drupal&page=2
                            http://lanetscouade.com?search=drupal&page=3



                                      pager_get_querystring()
                              $_REQUEST contient $_GET & $_POST




mercredi 18 juillet 2012
Mon figaro
                                 http://lanetscouade.com?search=drupal&page=1
                                        Step 1 : Envoie des données post




                                                        Step 2 :
                                     Traitement du formulaire & affichage de la page
                            pager_get_querystring() recupe les données post via $_REQUEST




                http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=1
                http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=2
                http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=3




mercredi 18 juillet 2012
Cache & google indexation
                                                    User Request page
                                              Check if content exists in cache

                                   Yes                                            no

                           return cached content                      build content - build cache
                                                                             return content




                      http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=1
                      http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=2
                      http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=3




mercredi 18 juillet 2012
pager_get_querystring()


                            Patched on july 2009




mercredi 18 juillet 2012
The Drupal way of handling forms
                                http://lanetscouade.com?search=drupal&page=1
                                     Step 1 : Envoie des données post




                                                   Step 2 :
                                drupal_process_form() & drupal_redirect_form()




                                       Step 3 : Affichage de la page



                               http://lanetscouade.com?search=drupal&page=1




mercredi 18 juillet 2012
Erreurs du figaro
                              Custom form
                           password field name




mercredi 18 juillet 2012
Reactions sur twitter




mercredi 18 juillet 2012
Conclusion




mercredi 18 juillet 2012

Contenu connexe

Plus de LaNetscouade

Dossier de presse - Personal Democracy Forum France 2015
Dossier de presse - Personal Democracy Forum France 2015Dossier de presse - Personal Democracy Forum France 2015
Dossier de presse - Personal Democracy Forum France 2015LaNetscouade
 
Communiqué de presse - Personal Democracy Forum France 2015
Communiqué de presse - Personal Democracy Forum France 2015Communiqué de presse - Personal Democracy Forum France 2015
Communiqué de presse - Personal Democracy Forum France 2015LaNetscouade
 
Retour de SxSW 2015 - La Netscouade
Retour de SxSW 2015 - La NetscouadeRetour de SxSW 2015 - La Netscouade
Retour de SxSW 2015 - La NetscouadeLaNetscouade
 
Les marques vont elles devenir les premiers médias ?
Les marques vont elles devenir les premiers médias ?Les marques vont elles devenir les premiers médias ?
Les marques vont elles devenir les premiers médias ?LaNetscouade
 
La Netscouade presque en direct de SXSW 2014
La Netscouade presque en direct de SXSW 2014La Netscouade presque en direct de SXSW 2014
La Netscouade presque en direct de SXSW 2014LaNetscouade
 
Mener à bien un projet Drupal (Drupagora 2013)
Mener à bien un projet Drupal (Drupagora 2013)Mener à bien un projet Drupal (Drupagora 2013)
Mener à bien un projet Drupal (Drupagora 2013)LaNetscouade
 
Media & Digital Revolution (Benoit Thieulin, La Netscouade)
Media & Digital Revolution (Benoit Thieulin, La Netscouade)Media & Digital Revolution (Benoit Thieulin, La Netscouade)
Media & Digital Revolution (Benoit Thieulin, La Netscouade)LaNetscouade
 
Présentation de drupal
Présentation de drupalPrésentation de drupal
Présentation de drupalLaNetscouade
 
Ecrire pour le web smw
Ecrire pour le web   smwEcrire pour le web   smw
Ecrire pour le web smwLaNetscouade
 
La Gazette des Plateformes #5
La Gazette des Plateformes #5La Gazette des Plateformes #5
La Gazette des Plateformes #5LaNetscouade
 
La gazette des plateformes #4
La gazette des plateformes #4La gazette des plateformes #4
La gazette des plateformes #4LaNetscouade
 
[Veille] La gazette des plateformes #1
[Veille] La gazette des plateformes #1[Veille] La gazette des plateformes #1
[Veille] La gazette des plateformes #1LaNetscouade
 

Plus de LaNetscouade (12)

Dossier de presse - Personal Democracy Forum France 2015
Dossier de presse - Personal Democracy Forum France 2015Dossier de presse - Personal Democracy Forum France 2015
Dossier de presse - Personal Democracy Forum France 2015
 
Communiqué de presse - Personal Democracy Forum France 2015
Communiqué de presse - Personal Democracy Forum France 2015Communiqué de presse - Personal Democracy Forum France 2015
Communiqué de presse - Personal Democracy Forum France 2015
 
Retour de SxSW 2015 - La Netscouade
Retour de SxSW 2015 - La NetscouadeRetour de SxSW 2015 - La Netscouade
Retour de SxSW 2015 - La Netscouade
 
Les marques vont elles devenir les premiers médias ?
Les marques vont elles devenir les premiers médias ?Les marques vont elles devenir les premiers médias ?
Les marques vont elles devenir les premiers médias ?
 
La Netscouade presque en direct de SXSW 2014
La Netscouade presque en direct de SXSW 2014La Netscouade presque en direct de SXSW 2014
La Netscouade presque en direct de SXSW 2014
 
Mener à bien un projet Drupal (Drupagora 2013)
Mener à bien un projet Drupal (Drupagora 2013)Mener à bien un projet Drupal (Drupagora 2013)
Mener à bien un projet Drupal (Drupagora 2013)
 
Media & Digital Revolution (Benoit Thieulin, La Netscouade)
Media & Digital Revolution (Benoit Thieulin, La Netscouade)Media & Digital Revolution (Benoit Thieulin, La Netscouade)
Media & Digital Revolution (Benoit Thieulin, La Netscouade)
 
Présentation de drupal
Présentation de drupalPrésentation de drupal
Présentation de drupal
 
Ecrire pour le web smw
Ecrire pour le web   smwEcrire pour le web   smw
Ecrire pour le web smw
 
La Gazette des Plateformes #5
La Gazette des Plateformes #5La Gazette des Plateformes #5
La Gazette des Plateformes #5
 
La gazette des plateformes #4
La gazette des plateformes #4La gazette des plateformes #4
La gazette des plateformes #4
 
[Veille] La gazette des plateformes #1
[Veille] La gazette des plateformes #1[Veille] La gazette des plateformes #1
[Veille] La gazette des plateformes #1
 

Explication de la faille du Figaro

  • 2. Faille de sécurité Mon figaro mercredi 18 juillet 2012
  • 3. Faille de sécurité Mon figaro Mon figaro - reserve au abonnés Drupal 6 powered mercredi 18 juillet 2012
  • 4. CMS Drupal mercredi 18 juillet 2012
  • 5. CMS Drupal Over 10 years of development Hundreds of thousands of sites Millions of downloads Over 5000 contributed modules 881,780 people in 228 countries speaking 181 languages power Drupal mercredi 18 juillet 2012
  • 6. CMS Drupal Over 10 years of development Hundreds of thousands of sites Millions of downloads Over 5000 contributed modules 881,780 people in 228 countries speaking 181 languages power Drupal mercredi 18 juillet 2012
  • 7. Who use Drupal Al Jazeera AT&T Bob Dylan - Britney Spears - M. Jackson LinkedIn whitehouse.gov London.gov.uk Paypal Cern Twitter lanetscouade mercredi 18 juillet 2012
  • 8. Faille de sécurité Mon Figaro : les explications techniques http://figaro.fr?login=xinhui&commentaire_password=xxxx&page=1 Indexed by google Korben mercredi 18 juillet 2012
  • 9. Explications techniques http://lanetscouade.com?search=drupal&page=2 Données GET : Transite en claire dans l’url Données POST : Invisible mercredi 18 juillet 2012
  • 10. Faille du «Pager» de Drupal http://lanetscouade.com?search=drupal&page=1 http://lanetscouade.com?search=drupal&page=2 http://lanetscouade.com?search=drupal&page=3 pager_get_querystring() $_REQUEST contient $_GET & $_POST mercredi 18 juillet 2012
  • 11. Mon figaro http://lanetscouade.com?search=drupal&page=1 Step 1 : Envoie des données post Step 2 : Traitement du formulaire & affichage de la page pager_get_querystring() recupe les données post via $_REQUEST http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=1 http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=2 http://lanetscouade.com?login=adminadmin&pass=xxxxxx&search=drupal&page=3 mercredi 18 juillet 2012
  • 12. Cache & google indexation User Request page Check if content exists in cache Yes no return cached content build content - build cache return content http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=1 http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=2 http://lanetscouade.com?login=xinhui&pass=xxxxxx&search=drupal&page=3 mercredi 18 juillet 2012
  • 13. pager_get_querystring() Patched on july 2009 mercredi 18 juillet 2012
  • 14. The Drupal way of handling forms http://lanetscouade.com?search=drupal&page=1 Step 1 : Envoie des données post Step 2 : drupal_process_form() & drupal_redirect_form() Step 3 : Affichage de la page http://lanetscouade.com?search=drupal&page=1 mercredi 18 juillet 2012
  • 15. Erreurs du figaro Custom form password field name mercredi 18 juillet 2012