Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Un header HTTP pour les contrôler tous

Roh le truc con…

Certains services web aux WAF (firewalls logiciels) mal configurés se laissent berner par certaines entêtes HTTP. Il suffit par exemple de forcer le passage d’un « x-forwarded-for » avec l’IP du serveur cache pour faire croire au serveur que vous êtes le cache. Pourquoi pas utiliser aussi « x-remote-IP » pour vous faire passer pour le proxy, ou encore « x-remote-addr » pour faire croire au firewall que vous êtes en local… (192.168.1.x).

Ah non, encore mieux… Faire croire au serveur que vous êtes lui, tout simplement en passant un « x-originating-IP » à 127.0.0.1

headers.png

Ainsi, il est possible d’avoir accès à des fonctionnalités, des pages ou des versions d’un site, qui sont normalement réservées aux équipes de dev ou à l’admin. C’est tellement n00b que j’ai du mal à croire que ça fonctionne encore. En tout cas, ça doit être déjà connu depuis un bail mais ça n’empêche pas Jason Haddix, expert en sécurité, de revenir dessus dans un petit article bien détaillé sur le site d’HP.

wafreq.png 

Ce qui est rigolo, c’est que pour modifier ces entêtes, il suffit d’une simple extension Firefox comme Modify Headers.

modifygeaders

Source

 


Découvrez kDrive Le Cloud sécurisé pour PME et particuliers

Vos données sont chiffrées et kDrive est exclusivement développé et hébergé en Suisse – pas de Cloud Act avec nous

kDrive dispose de sa propre suite bureautique complète (kSuite) qui est totalement compatible avec les outils les plus répandus : Office 365 (Word, Excel, PowerPoint), Libre Office, Open Office, Google Docs, les fichiers PDF ou HTML … Et comme vous pouvez aussi y migrer vos documents Dropbox, Google Drive et OneDrive, il est possible de tout centraliser et travailler en temps réel avec votre équipe au sein d’un seul et même écosystème unifié … et éventuellement économiser le prix de certaines licences au passage. Une alternative aux GAFAM c’est toujours bon à prendre.

Outil de révision, chat intégré, protection et chiffrage de vos données (vous pourrez bientôt chiffrer via votre propre clé privée), sauvegardes (sur 3 supports physiques différents), numérisation de documents, moteur de recherche … sont aussi de la partie

Testez kDrive