Phishing

 

Découverte d'une faille critique chez FREE

Publié le 12-07-2007 dans le thème Réseau - Sécurité

Pays : France - Auteur : Damien Bancal


Pub : Logiciels de sécurité et de protection Internet


Note des lecteurs: 3.1/5

Il était possible d'intercepter n'importe quel identifiant de connexion des clients abonnés à Free.fr

 

Le moins que l'on puisse dire est que chez le Fournisseur d'Accès à Internet (FAI) Free (filiale de la société Iliad) la réactivité est efficace, très efficace même. Nous avons découvert qu'il était possible d'intercepter les identifiants de connexion (Login et mot de passe) de n'importe quel client Free, par le biais de la page subscribe.free.fr. Rapidement, la rédaction de ZATAZ.COM va contacter, par courriel, le FAI. Moins de trente minutes plus tard, le service presse nous contactait. La correction du problème ne prendra guère plus de temps.

 

Faille critique

La faille ? Un ersatz d'une vulnérabilité de type XSS (Cross Site Scripting). Nous n'expliquerons pas notre méthode, mais cette dernière est radicale comme le montre notre vidéo de démonstration. A partir de l'url officiel d'une page de Free, il nous était possible, en codant une petite "bidouille" PHP, d'intercepter login et mot de passe via le site officiel, sans que l'internaute ne puisse s'en rendre compte. Finesse de l'action, après avoir rentré son login, son password et cliqué sur le bouton "OK", le client se retrouvait bien dans sa partie "client". Seulement, au même moment, le pirate pouvait recevoir le précieux sésame soit via un fichier texte envoyé sur un serveur tiers, soit, directement par mel. Imparable. (Super VV/Clint Eastwood)

 

Conseiller cet article Réagir RSS ZATAZ Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur del.icio.us

Derniers contenus

Orion Browser Dumper v1.0

14-05-2012 à 12:03 - 0 commentaire(s)

Orion Browser Dumper v1.0, un outil qui permet de regarder dans les petits secrets de nos navigateurs Internet.

Un ver dans l'oiseau Angry Birds

12-05-2012 à 12:06 - 0 commentaire(s)

Deux applications pirates d’Instagram et Angry Birds Space sous Android.

Amnesty International piraté, code malveillant injecté

11-05-2012 à 18:57 - 0 commentaire(s)

La filiale anglaise d'Amnesty International piratée. Injection d'une iframe malveillante dans le code source l'ONG.

Fausse application Android

11-05-2012 à 18:54 - 0 commentaire(s)

Nouvelle application Android piégée découverte. Un faux Player flash qui diffuse des sms pirates.

Carte bancaire sans contact, la CNIL enquête

11-05-2012 à 18:07 - 0 commentaire(s)

La Commission Nationale Informatique et des Libértés lance une expertise sur la sécurité des cartes bancaires sans contact.

La team TeaMp0isoN décapitée

11-05-2012 à 18:05 - 0 commentaire(s)

Après l´arrestation du fondateur du groupe pirate TeaMp0isoN, deux nouvelles arrestations dans ce groupe international.

Entreprise : Dossier Mes documents n´a rien de personnel

11-05-2012 à 16:38 - 0 commentaire(s)

La cour de cassation a estimé jeudi que le dossier Mes Documents n'avait rien de privé aux yeux de votre employeur.

NotCompatible : Nouveau trojan pour Android

11-05-2012 à 14:57 - 0 commentaire(s)

Un nouveau code malveillant, du nom de NotCompatible, s´attaque aux portables sous Android.

Sur le même thème : Réseau - Sécurité

Orion Browser Dumper v1.0

Orion Browser Dumper v1.0, un outil qui permet de regarder dans les petits secrets de nos navigateurs Internet.

Carte bancaire sans contact, la CNIL enquête

La Commission Nationale Informatique et des Libértés lance une expertise sur la sécurité des cartes bancaires sans contact.

Profile Visitor, escroquerie Facebook

Profile Visitor, nouvelle escroquerie sur Facebook, cherche à s’exporter

Patch Adobe urgent pour Flash Player

ADOBE diffuse un patch urgent pour corriger son lecteur Flash.

Faille pour LION d´Apple

Un problème de sécurité informatique découvert dans LION, l´OS d´Apple.

ZATAZ Web TV 3

Au sommaire : Hack in Paris; piratage facile des webmails; pirates spécialisés dans les sites militaires; espionnage à partir d'un parking automobile.

Vulnérabilité pirate pour Mister Good Deal

Info ZATAZ - Une faille informatique permet de piéger les clients du site Mister Good Deal

Fuite de mot de passe DailyMotion

INFO ZATAZ - Mot de passe Dailymotion en clair pour le site Challenge. Un pirate aurait pu tout détruire.

Vos réactions ( 1 )

 Ecrit par Guest le 05.10.2007 à 11h07 

#

Invités


Inscrit le 16-05-2012

Petit oubli fâcheux pour cette soi-disant réactivité de ###### Depuis 18 mois rien n'a été fait pour changer l'algorithme qui donne le mot de passe en fonction du n° de téléphone et seulement de cette info !! Autrement dit, en cas de réattribution d'un n° dénuméroté par Ft à un futur client ######, le précédent titulaire de ce n° peut accéder à son compte automatiquement, si ses identifiants sont toujours enregistrés par le navigateur.. pas très pro !! Cette situation est à l'origine de nombreux piratages de comptes plus ou moins graves, sur lesquels ###### est bien entendu très silencieux !

Réagir

Vous devez vous identifier pour ajouter un commentaire.

Cliquer ici pour vous inscrire.

Rechercher dans les Alertes

Mots clés
  sur ZATAZ sur le web

 


vpngratuit.fr - VPN Gratuit.

Crèez un site gratuitement.



Nuit du Hack 23/24 juin 2012.



ZATAZ.COm, site recommandé par ORANGE.       ZATAZ.COM trois fois récompensé par Microsoft


Application iPhone et iPad ZATAZ, gratuite et sans publicité.
Application iPhone et iPad ZATAZ, gratuite et sans publicité.



Labs ZATAZ

CVE-2011-3230 Apple Safari file:// Arbitrary Code Execution Metasploit Demo

Timeline : Vulnérabilité découverte par Aaron Sigel Publication coordonnée de la vulnérabilité le 12-10-2011 PoC Metasploit fournit le 16-10-2011 PoC fournit par : Aaron Sigel sinn3r Référence(s) : CVE-2011-3230 HT5000 Version(s) affectée(s) : Safari 5.1 pour Mac OS X v10.6.8 Safari 5.1 pour Mac [...]

Modules Metasploit Auxiliaires MySQL

Metasploit fournit des modules auxiliaires pour la base de données MySQL qui vous permettra de détecter la version du moteur de base de données, d’effectuer des attaques du type “brute force” au niveau de l’authentification sur la base de données, d’executer des requêtes SQL et de récupérer des [...]

Modules Metasploit Auxiliaires PostgreSQL

Metasploit fournit des modules auxiliaires pour la base de données PostgreSQL qui vous permettra de détecter la version du moteur de base de données, d’effectuer des attaques du type “brute force” au niveau de l’authentification sur la base de données, d’executer des requêtes SQL et lire des [...]

CVE-2011-0807 : Sun/Oracle GlassFish Server Authenticated Code Execution Metasploit Demo

Timeline : Vulnérabilité découverte par Jason Bowes et soumise à ZDI Notification initiale de ZDI vers le fournisseur le 23-09-20102 Publication coordonnée de la vulnérabilité le  19-04-2011 PoC Metasploit fournit le 04-08-2011 PoC fournit par : juan vazquez Joshua Abraham sinn3r Référence(s) [...]

Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA