Commentaires sur : Se protéger du hack wordpress 2.8.3 qui réinitialise le mot de passe

Par : Fletcher Heyduck

Fletcher Heyduck — Thu, 30 Jun 2011 07:00:47 +0000

I genuinely enjoy looking at on this website , it has got excellent blog posts.

Par : leon47

leon47 — Thu, 15 Apr 2010 11:28:08 +0000

Bonjour

On est à la version 2.9x depuis pas mal de temps

Par : Albarsark

Albarsark — Wed, 25 Nov 2009 10:07:02 +0000

Fiouu, vous avec pris les devants et été plus vite que wp….joli…
j’ai lu avec intéret l’article
salut

Par : Wordpress : Mise à jour de sécurité 2.8.4 | Le Journal du Blog

Wordpress : Mise à jour de sécurité 2.8.4 | Le Journal du Blog — Wed, 12 Aug 2009 19:48:02 +0000

[...] malveillante. Je vous conseille d’installer la version 2.8.4 ou de mettre en place la solution proposée par Korben. Vous avez aimé cet article : abonnez-vous au flux [...]

Par : Amaury

Amaury — Wed, 12 Aug 2009 10:02:01 +0000

Pour info WP 2.8.4 est sortie et corrige la chose

Pour corriger le bug manuellement :
http://core.trac.wordpress.org/changeset?old_path=%2Ftags%2F2.8.3&old=11806&new_path=%2Ftags%2F2.8.4&new=11806

Par : William

William — Wed, 12 Aug 2009 07:29:36 +0000

Merci Korben de nous avoir fait passé l’info. Sympa, je l’ai mise en place en attendant la mise à jour de WordPress.

PS : Je viens de faire la mise à jour. Corrigé et quel soulagement

Par : ZePRiNCE

ZePRiNCE — Tue, 11 Aug 2009 22:58:00 +0000

http://www.korben.info/wp-login.php?action=rp&key=
Oh zut

Par : fabien

fabien — Tue, 11 Aug 2009 18:51:03 +0000

en fait c’est quand meme plus simple de changer le nom du fichier php

Par : skullpat

skullpat — Tue, 11 Aug 2009 17:40:09 +0000

Plus simple encore, faille corrigée par WP :
http://core.trac.wordpress.org/changeset/11798

Par : Kiwi

Kiwi — Tue, 11 Aug 2009 16:49:10 +0000

Bon j’ai fait la modif du code, pas mal de d’autres sites d’ailleurs xD

Par : WordPress 2.8.3 : correctif du hack de réinitialisation du mot de passe at Shughart’s Technol

Tue, 11 Aug 2009 16:33:51 +0000

[...] “solutions” pour désactiver cette fonction ont été apportées notamment par Korben ou encore par l’équipe de développementde l’outil de [...]

Par : darky

darky — Tue, 11 Aug 2009 15:21:53 +0000

plus simple: $key = (string) $key; avant le preg_replace()

Par : Galdon

Galdon — Tue, 11 Aug 2009 14:31:34 +0000

Des bugs comme ça c’est un peu abusé quand même

Par : Correctif pour la faille WordPress de réinitialisation du mot de passe at Shughart’s Technolo

Tue, 11 Aug 2009 14:14:14 +0000

[...] “solutions” ont été apportées notamment par Korben ou encore par l’équipe de développementde l’outil de [...]

Par : Shughart

Shughart — Tue, 11 Aug 2009 14:06:18 +0000

@piouPiouM: Merci !

Par : piouPiouM

piouPiouM — Tue, 11 Aug 2009 13:36:03 +0000

@Stagueve: ça ne servira à rien, la faille agit sur le premier utilisateur trouvé dans la table des utilisateurs. Ici l'effet pervers est que d'une règle générale ce premier utilisateur est l'adminsitrateur du site.

Par : Une faille sur Wordpress 2.8.3 « Tout simplement moi…

Une faille sur Wordpress 2.8.3 « Tout simplement moi… — Tue, 11 Aug 2009 12:59:21 +0000

[...] : Blog de Korben Aucun [...]

Par : piouPiouM

piouPiouM — Tue, 11 Aug 2009 12:49:07 +0000

C’est d’un crade :-/

Plus proprement : http://bit.ly/wskWZ

Par : Correctif pour la faille WordPress de réinitialisation de mot de passe : correctif pour la faille d

Tue, 11 Aug 2009 12:44:09 +0000

[...] “solutions” ont été apportées notamment par Korben ou encore par l’équipe de développement de l’outil de [...]

Par : Vendeesign

Vendeesign — Tue, 11 Aug 2009 11:38:30 +0000

Thanks

<3 le commentaire de redirection^^

Par : Jeff

Jeff — Tue, 11 Aug 2009 11:34:44 +0000

@Korben: Eh mince! ^^

Par : Shughart

Shughart — Tue, 11 Aug 2009 11:02:31 +0000

Ooooups pardon, je me suis mal réveillé et j’ai mal formulé ma phrase, en fait je voulais « abonder dans ton sens » et non remettre en question ce que tu disais … Sorry :s

Sauf que tu parle de l’admin renommé en disons korben, alors que je parle d’un utilisateur totalement différent, nouveau, là ou l’admin aura été supprimé.

Mais globalement, c’est tout à fait ça :p

Par : keeg

keeg — Tue, 11 Aug 2009 11:02:27 +0000

Merci de l’information, je me garde ça sous le coude au cas où.

Par : geekbay

geekbay — Tue, 11 Aug 2009 10:55:17 +0000

@shugart ce que je dis c’est que meme si on change l’utilisateur admin, l’exploit fonctionne et le mdp de l’utilisateur renomme est quand meme changé, sans meme connaitre le nouveau nom.

Par : Shughart

Shughart — Tue, 11 Aug 2009 10:46:20 +0000

@geekbay: La solution du changement de compte admin n'est que temporaire, une personne malintentionnée qui retrouverai votre nouveau nom d'admin, par exemple Korben, pourra encore réinitialiser votre mot de passe. La méthode sure c'est de désactiver cette fonction.

Par : Moubai

Moubai — Tue, 11 Aug 2009 10:29:12 +0000

merci pour l’infos, blog modifié

Par : filc

filc — Tue, 11 Aug 2009 10:20:55 +0000

aha, n’empêche si jamais le blog est hébergé sur un truc gratos qui ne permet pas à PHP d’envoyer des mails…ça peut être gênant. =)

Ou comme chez free, ou l’utilisation de la fonction mail est limité, suffit de le faire énormément de fois, et hop la, il recevra pas le nouveau mot de passe…

(Ceci dit, au passage, il peut toujours le modifier ensuite manuellement dans la BDD)

Par : geekbay

geekbay — Tue, 11 Aug 2009 10:07:17 +0000

mmm je ne suis pas sur que changer le compte admin, change quelque chose ici, puisque comme on voit

$user = $wpdb->get_row($wpdb->prepare(« SELECT * FROM $wpdb->users
WHERE user_activation_key = %s », $key));

donc il va prendre le premier user qui a user_activation_key = » qui peut avoir n’importe quel nom.
D’ailleur dans l’exploit aussi wp-login.php?action=rp&key[]= , l’utilisateur n’est pas precisé.

Voila j’ai pas encore test pour vérifier ce que je dis mais à la lecture du code, ca a l’air ca.

Quelqu’un peut confirmer ?

Par : Pirhoo

Pirhoo — Tue, 11 Aug 2009 09:58:30 +0000

Merci Korbenichou ! Sinon bravo @Jeff: si t’a fait un script qui mouline le wp-login.php, dans les logs de apache c’est hyper voyant une adresse ip qui apparait 100 fois sur le même fichier… Aha.

Par : Francois

Francois — Tue, 11 Aug 2009 09:24:07 +0000

ça marche au poil ! Merci