Très intéressant techniquement les présentations que j’ai pus suivre, et ce qu’on m’a fait remarquer (je n’avais pas tilté), mais à part la prés générique de Zuckerberg, aucune autre présentation (je dis bien aucune autre) ne parlait de Facebook, mais de technologie développé (ou racheté) par Facebook …
Bon évidemment, je ne suis pas complètement stupide, ils ont un intérêt à ce qu’on utilise leur techno, mais leur façon de présenter “à l’américaine” (gros story-telling) et réussir à te faire oublier jusqu’au nom de l’entreprise qui organise l’event, c’est quand même super fort
Edit: les goodies :ane:
Grand sac à dos pour document + ordinateur portable
J’ai trouvé une faille sur le site de rolland garros ? Vous pensez que je peut monayer ça contre un billet pour la finale en les contactant ? J’ajouterais bien ce genre de “connerie” de manière officielle sur mon cv
c’est pas automatique non plus avec Google et Facebook :neutre:
et en France, on n’a pas cette culture de la prime façon Far-West :neutre:
après, rien ne t’empêche de leur envoyer un mail pour leur signaler la faille, sans conditionner tes infos à une récompense, mais que cette dernière serait la bienvenue :oui: …
Disons que même si c’est pas automatique chez google et fb au moins ont ne risque pas sa “peau” à le faire. N’empèche à un moment donner je trouve cela quand même contre productif…
Les mecs ils sont payés des fortunes pour monter toute l’infrastructure et le site et pourtant le “hack” est digne de la page 1 de n’importe quel site de hacking.
M’enfin vu que j’ai déja été chez les flics pour ça et qu’ils m’ont pris la tête je vais la jouer soft. Un mail comme quoi il y a une faille sur le site, avec comme kisscool à dit, si ils veulent me rémunérer avec un pti billet pour la finale ils ont le droit
C’est quand même bien chimique d’être un white hat… Après les sociétée elle rale parce qu’elle ce font haxoriser de partout. Mais franchement filer un pti billet au white ça coute largement moins cher que ce taper un gros epic fail sur le net…
Ça dépend quand même: si tu leur demandes 1 milliards de dollars ou sinon tu fais tout péter, je doute de leur coopération :ane:
Je ne connais pas ton cas, mais dans l’esprit français, on attend d’un white hat que ce soit une entreprise volontairement démarchée pour ça qui te remonte les failles, pas un mec spontanément :neutre: … Chez nous, on est plutôt réceptif à ce genre de remonté utilisateur, mais on est une boîte récente et ancré dans la culture numérique et internet :neutre:
Edité le 28/05/2014 à 13:36
En France, on a surtout la culture de ne pas savoir reconnaître ses torts. Du coup, la boite risque de pas être contente que tu leur montre qu’ils ont fait de la merde, et te le faire payer
Après faut aussi que ta faille soit exploitable. A mon avis tu parles du XSS sur le champ de recherche, je ne vois pas bien ce que tu pourrais faire avec :
De ce que je vois, il n’y a pas de fonctionnalité nécessitant un compte utilisateur sur rolandgarros.com (ou alors c’est bien caché), donc pas de session à détourner
La boutique est sur un domaine différent (storerolandgarros.com), donc pas moyen de propager l’attaque dessus
La billetterie est sur un domaine différent (fft-tickets.com), toujours pas moyen de propager l’attaque
Donc pour le coup je ne vois pas bien ce que tu espères faire avec. A moins qu’il y ait une interface d’administration hébergée sur rolandgarros.com, mais j’ai tenté les URL les plus courantes sans succès.
Après, je suis d’accord que ce n’est pas une raison de ne pas corriger la faille : suffit que demain la boutique change d’adresse et arrive sur rolandgarros.com pour qu’il y ait moyen de faire des dégâts. Seulement, si tu n’as aucun proof of concept pour ta faille, n’espère pas en tirer la moindre récompense
Edité le 29/05/2014 à 09:54
. Foutre une image d’une nana à poil avec une raquette dans les fesses et ensuite la diffuser sur un twitter officiel style france tv ou alors rollang garros accompagné d’un petit texte. Attaque complètement pueril et merdique, mais ça peut faire quand même de sacré dégats auprès de leur images.
. Même chose en rajoutant un “trou noir” via facebook via du clickjacking. Par exemple je met deux photo de nana côte à côte et il faut cliquer sur celle qu’ont pense la plus belle. A chaque clic partage automatique sur facebook, en modifiant ce qui va bien à la volée en js… Du gros ça générerai un énorme spamm avec comme titre “j’aime avoir une raquette dans les fesses”.
. Vol de session pour avoir le cookie, comme tu le dit l’url d’admin est cachée mais il en a obligatoirement une. Donc à moins que ça soit sur un autre domaine, c’est exploitable. Des plus gros sont tombés comme ça, suffit d’un admin / modérateur clic sur un lien.
La démarche que je pense la meilleurs :
Envoyer un mail comme quoi il y a une faille sans info précise dans le but de récup un mail d’admin
Envoyer un email à un admin, avec un lien caché sur mon site, qui explique la faille avec quelques pop ( inclusion image + texte ) et infos sur ce type de faille.
Oui et non. Une simple page web ayant une visibilité mondiale fera obligatoirement des dégats. J’aurai donc tendance à dire, plus t’est connus et plus la faille est noob et plus c’est la honte. La preuve je suis pas expert en sécu et j’ai trouvé cette faille en 10 secondes
