Salut à tous d'un débutant.
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une
applet java je suppose ?)
Cette possibilité peut-elle constituer un risque, sachant que la
machine en question est un futur serveur web (Apache win32 sur Win2K
server) situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Salut à tous d'un débutant.
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une
applet java je suppose ?)
Cette possibilité peut-elle constituer un risque, sachant que la
machine en question est un futur serveur web (Apache win32 sur Win2K
server) situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Salut à tous d'un débutant.
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une
applet java je suppose ?)
Cette possibilité peut-elle constituer un risque, sachant que la
machine en question est un futur serveur web (Apache win32 sur Win2K
server) situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une applet
java je suppose ?)
Un bout de javascript en unicode, qui une fois decode donne:
Cette possibilité peut-elle constituer un risque, sachant que la machine
en question est un futur serveur web (Apache win32 sur Win2K server)
situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Et si oui, comment remédier à cette faiblesse ?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une applet
java je suppose ?)
Un bout de javascript en unicode, qui une fois decode donne:
Cette possibilité peut-elle constituer un risque, sachant que la machine
en question est un futur serveur web (Apache win32 sur Win2K server)
situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Et si oui, comment remédier à cette faiblesse ?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Suite à une visite sur le site Auditmypc.com pour un test de sécurité,
ce dernier parvient à détecter l'IP privée de la machine (par une applet
java je suppose ?)
Un bout de javascript en unicode, qui une fois decode donne:
Cette possibilité peut-elle constituer un risque, sachant que la machine
en question est un futur serveur web (Apache win32 sur Win2K server)
situé dans une dmz (via IPCOP sur une autre machine-firewall) ?
Et si oui, comment remédier à cette faiblesse ?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Vous utilisez quoi derriere pour exploiter ce qui suit?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Vous utilisez quoi derriere pour exploiter ce qui suit?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Vous utilisez quoi derriere pour exploiter ce qui suit?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Euh, en soi, non, sauf qu'on ne sait pas vraiment ce qui est installe
dans le "programme magique"....
Le plus simple sera surement de retourner voir les threads passes sur
le sujet......
Euh, en soi, non, sauf qu'on ne sait pas vraiment ce qui est installe
dans le "programme magique"....
Le plus simple sera surement de retourner voir les threads passes sur
le sujet......
Euh, en soi, non, sauf qu'on ne sait pas vraiment ce qui est installe
dans le "programme magique"....
Le plus simple sera surement de retourner voir les threads passes sur
le sujet......
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète
pas trop, j'y suis allé de mon plein gré. Et cette machine n'est pas
destinée à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à
la machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de
la DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète
pas trop, j'y suis allé de mon plein gré. Et cette machine n'est pas
destinée à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à
la machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de
la DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète
pas trop, j'y suis allé de mon plein gré. Et cette machine n'est pas
destinée à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à
la machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de
la DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Normal c'est du bytecode java (le class doit te mettre sur la voie).
Ca paraissait evident.
Vous utilisez quoi derriere pour exploiter ce qui suit?
Ben au hazard un decompiler java.
15s de moteur de recherche donne par exemple :
http://kpdus.tripod.com/jad.html [1]
bon, je vais voir.
Ensuite tu fais ./jad auditmypc.class ce qui donne :
biiiiiiiiip! vu le contexte actuel tu le fais toi! :)
Mais non, mais non. Met le sur un site web, en ecrivant en gros que c'est
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
Pour le reste c'est de l'appel basique d'url avec le paramètre trouvé.En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Eric
[1] aucun avis dessus, généralement je n'ais pas le temps pour m'amuser
à tester les trucs de ce genre :-(
En tout cas pour une classe isolée et aussi basique pas besoin d'autre
chose.
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Normal c'est du bytecode java (le class doit te mettre sur la voie).
Ca paraissait evident.
Vous utilisez quoi derriere pour exploiter ce qui suit?
Ben au hazard un decompiler java.
15s de moteur de recherche donne par exemple :
http://kpdus.tripod.com/jad.html [1]
bon, je vais voir.
Ensuite tu fais ./jad auditmypc.class ce qui donne :
biiiiiiiiip! vu le contexte actuel tu le fais toi! :)
Mais non, mais non. Met le sur un site web, en ecrivant en gros que c'est
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
Pour le reste c'est de l'appel basique d'url avec le paramètre trouvé.
En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Eric
[1] aucun avis dessus, généralement je n'ais pas le temps pour m'amuser
à tester les trucs de ce genre :-(
En tout cas pour une classe isolée et aussi basique pas besoin d'autre
chose.
J'ai une question a poser aux gourous du forum, d'ailleurs. J'effectue
souvent ce genre d'analyse de code source html et souvent je bute sur
des applets alakon comme celle-ci. Un coup de telnet dessus ne me donne
que des trucs pas tres exploitables (caracteres hieroglyphiques entre-
coupes d'appels de fonctions comme showStatus(Ljava/lang/String;)V etc..
Normal c'est du bytecode java (le class doit te mettre sur la voie).
Ca paraissait evident.
Vous utilisez quoi derriere pour exploiter ce qui suit?
Ben au hazard un decompiler java.
15s de moteur de recherche donne par exemple :
http://kpdus.tripod.com/jad.html [1]
bon, je vais voir.
Ensuite tu fais ./jad auditmypc.class ce qui donne :
biiiiiiiiip! vu le contexte actuel tu le fais toi! :)
Mais non, mais non. Met le sur un site web, en ecrivant en gros que c'est
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
Pour le reste c'est de l'appel basique d'url avec le paramètre trouvé.En fait, je ne vois pas trop en quoi c'est une faiblesse (?)
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Ton ordinateur execute un code qui lui demande son IP. Bah il la
donne et appelle une URL en la lui donnant comme parametre.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
Eric
[1] aucun avis dessus, généralement je n'ais pas le temps pour m'amuser
à tester les trucs de ce genre :-(
En tout cas pour une classe isolée et aussi basique pas besoin d'autre
chose.
...
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète pas
trop, j'y suis allé de mon plein gré. Et cette machine n'est pas destinée
à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à la
machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de la
DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
...
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète pas
trop, j'y suis allé de mon plein gré. Et cette machine n'est pas destinée
à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à la
machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de la
DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
...
Salut Kevin
Désolé si je raconte des énormités pour certains, ma science est plutôt
maigre en ce domaine :(
Que le site Auditmypc détecte l'IP privée de la machine ne m'inquiète pas
trop, j'y suis allé de mon plein gré. Et cette machine n'est pas destinée
à surfer en usage normal.
Ce qui m'inquiète, c'est l'existence de ce mécanisme qui fait révéler à la
machine elle-même son IP privée, à destination d'un demandeur distant.
Je me dis peut-être à tort que ca pourrait constituer une faille de
sécurité, exploitable par qqu'un de mal intentionné cherchant à attaquer
la machine en tant que serveur web ?
Il me semble que L'IP privée du serveur et donc la plage d'adressage de la
DMZ n'est pas censée être visible depuis l'extérieur.
Si je me souviens bien, certains firewalls perso comme Sygate ont la
possibilité de masquer depuis l'extérieur l'IP LAN de la machine où ils
résident, ça doit donc bien avoir une utilité (ou nécessité ?) en termes
de sécurité ?
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
aux autres machines et a commencer a faire hurler les sirenes si
une des machines commence a chatouiller les ports d'une autre, ou
a vouloir sortir sur internet sans ma permission et/ou hors des
sentiers balises (vous allez me dire, ca laisse encore de la marge
a l'assaillant, mais bon).
Ensuite que l'assaillant vienne d'un remote bin, qu'est ce que ca change
que l'IP soit privee ou publique, et qu'il la connaisse?
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
aux autres machines et a commencer a faire hurler les sirenes si
une des machines commence a chatouiller les ports d'une autre, ou
a vouloir sortir sur internet sans ma permission et/ou hors des
sentiers balises (vous allez me dire, ca laisse encore de la marge
a l'assaillant, mais bon).
Ensuite que l'assaillant vienne d'un remote bin, qu'est ce que ca change
que l'IP soit privee ou publique, et qu'il la connaisse?
Tu vois simplement à un moment :
String s2 = (new Socket(s1, byte0)).getLocalAddress().getHostAddress();
ce qui est clair, même sans connaitre le langage!
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Ca serait une faiblesse potentielle si on pouvait obtenir cette adresse
de l'extérieur (au sens large : un remote expoit sur une machine interne
ça va aussi :) ). Ca permet éventuellement de commencer à mapper le
réseau, comprendre comment il fonctionne, qui fait quoi puis de passer
aux choses plus sérieuses.
Mouais. Mais dans une DMZ, j'aurais tendance a ne pas faire confiance
aux autres machines et a commencer a faire hurler les sirenes si
une des machines commence a chatouiller les ports d'une autre, ou
a vouloir sortir sur internet sans ma permission et/ou hors des
sentiers balises (vous allez me dire, ca laisse encore de la marge
a l'assaillant, mais bon).
Ensuite que l'assaillant vienne d'un remote bin, qu'est ce que ca change
que l'IP soit privee ou publique, et qu'il la connaisse?
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Q: Are you sure?A: Because it reverses the logical flow of conversation.Q: Why is top posting annoying in email?
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Q: Are you sure?
A: Because it reverses the logical flow of conversation.
Q: Why is top posting annoying in email?
C'etait meme evident sans decompiler le java. Avec un simple analyseur
reseau, on le voit tout de suite.
Q: Are you sure?A: Because it reverses the logical flow of conversation.Q: Why is top posting annoying in email?