Publié le 08-10-2008 à 12:04:05 dans le thème Réseau - Sécurité

Pays : International - Auteur : Thibaut L.

Pub : CA Anti-Spam 2007 - Bloquez les messages indésirables!

Facebook a corrigé sa faille de redirection qui pouvait permettre le vol des identifiants. Explication et démonstration.

Facebook aura mis moins de 48 heures pour corriger la faille qui visait un "bug" dans son adresse Internet [voir]. La vulnérabilité, découverte par un internaute français du nom de P3lo, permettait de rediriger un internaute vers un espace piégé, un code malicieux [http://www.facebook.com/#//site piegé].

Nous allons vous démontrer que ce type de redirection n'est pas à prendre à légère. Comme nous avions déjà pu vous le prouver avec : La tribune, MSN, Google, Galerie Lafayette, Orange, Meetic, ...

P3lo, le découvreur de cette vulnérabilité a exploité, en plus de la faille Facebook, un outil pas comme les autres baptisé Beef (Boeuf). Beef est un environnement d'exploitation écrit en php. Il va coupler son environnement avec un serveur php comprenant la bibliothèque cURL, un code en php (ou exploit) qui permettait d'appeler Facebook sur son serveur et la redirection en question.

Beef, c'est quoi ?
Vous l'aurez compris, nous ne fournirons pas cet outil, ni un lien de téléchargement en raison de la législation française qui l'interdit. Beef est une application opensource qui permet de créer un environnement en php. Un environnement qui permet d'exploiter différentes failles de types XSS, injection html, et aussi de redirection. A noter que Beef est une application créée en 2007 par une équipe de chercheur en sécurité informatique. Un projet qui avait pour but de démontrer l'impact des failles de type Cross Site Scripting (XSS) sur le navigateur. Aujourd'hui, ce logiciel ne sert plus vraiment de démonstration dans certaines mains.

Beef, une sale vache
Grâce à Beef, et son vecteur d'attaque xss (le vecteur d'attaque est un script permettant de faire appel à Beef, sous la forme script src=http://sitedeboeuf/boeuf/hook/boeuf.js.php>) il est possible de transformer une victime en zombie. Vous l'aurez compris, un prise de contrôle totale de la machine, enregistrer les frappes claviers, envoyer arbitrairement du code, ...

Scénario de l'attaque Facebook
L'attaquant parle avec sa victime et doit le convaincre d'entrer ses données personnelles via la page du nouveau Facebook. Pour cela, une redirection lui a été envoyée. Une fois  la victime piégée, le pirate reçoit les information en temps réel grâce à Beef. Cet outil exploite une bibliothèque cURL. Cette bibliothèque php permet de faire un appel au contenu d'une ressource accessible par un réseau informatique. Dans le cas de Facebook, cURL permettait d'appeler la page originale de Facebook directement sur le site du pirate. Bilan, une utilisation malicieuse de la fonction cURL couplée avec le vecteur d'attaque de Beef et la faille Facebook compromettait ainsi les 100 millions de membres du portail communautaire.

Ces dernières années, les attaques de Cross Site Scripting se sont développées et deviennent de plus en plus dangereuses pour nos ordinateurs et nos informations personnelles. Le moindre script malicieux écrit en javascript peut aboutir à un détournement, qui dépasse le simple vol de cookie classique.

Heureusement, il existe des protections. Pour se protéger des attaques de Beef, il existe Cback CrackerTracker.

Projet de loi contre le phishing

La sénatrice Jacqueline Panis propose de punir d´un an de prison et de 15.000 euros d´amende le français qui aurait l´idée de se lancer dans le phishing.

Un faux plugin Firefox pour voler les mots de passe

Détection d´une nouvelle méthode de vol des mots de passe sur Internet. Une application de détournement de mot de passe, masquée en plugin pour Firefox, filtre les informations de connexion des utilisateurs.

L´académie de Nancy-Metz ne protége pas ses adresses électroniques

Plusieurs centaines d´adresses électroniques en accès libre sur le site de l´académie de Nancy-Metz.

Pour une vraie rémunération des artistes interprètes

La Commission Culture du Parlement européen à adopté le projet de directive sur l'allongement de la durée de protection des droits d´auteur et droits voisins.

Poker en ligne : piratage et escroquerie depuis 4 ans

Une vaste escroquerie Internet a visé plusieurs casinos en ligne. Une fraude qui aurait rapporté aux pirates plus de 20 millions de dollars.

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

L´académie de Nancy-Metz ne protége pas ses adresses électroniques

Plusieurs centaines d´adresses électroniques en accès libre sur le site de l´académie de Nancy-Metz.

Poker en ligne : piratage et escroquerie depuis 4 ans

Une vaste escroquerie Internet a visé plusieurs casinos en ligne. Une fraude qui aurait rapporté aux pirates plus de 20 millions de dollars.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Une page de CBS.COM diffuse un code malicieux

Amateur de la chaîne de télévision américaine CBS prudence. Une des pages du site officiel a été compromise par un pirate informatique.

Chasseur de backdoor : découverte de l´outil ultime ?

Exclusif : 10.000 sites piégés par une porte cachée. Voilà la découverte, en 20 minutes chronos, faite par ZATAZ.COM via un logiciel dédié à la chasse aux backdoors.

Faille pour Gmail: détournement de clics

A l´occasion de la derniere conférence Blue hat de Microsoft qui a eut lieue du 16 au 17 Octobre dernier Gareth Heyes et deux amis à lui ont démontré l´impact des attaques css sur le navigateur.

Cyber crime au rapport

Le quatrième rapport mondial annuel d´Arbor Networks sur la sécurité des infrastructures montre l´importance et la sophistication croissantes des attaques contre les réseaux.

Le Youtube de l´US Army interdit de parler de guerre

Pour palier les fuites d´informations, le Pentagone lance Trooptube.tv, le Youtube du GI´s en terre hostile.

Réagissez à ce contenu