SQL Injection Facebook

03/02/2010 20:30 by Admin

SQL Injection Facebook

Facebook est un site de réseautage social qui est exploité et propriété privée de Facebook, Inc [1] Les utilisateurs peuvent ajouter des amis et leur envoyer des messages, et mettre à jour leurs profils personnels à informer les amis eux-mêmes.

En outre, les utilisateurs peuvent se joindre à des réseaux organisés, par ville, lieu de travail, l'école, et la région.


Le nom du site provient du nom familier de livres donnés au début de l'année scolaire par les administrations universitaires dans le but d'aider les élèves à apprendre à se connaître mieux.

Le site Web comporte actuellement plus de 250 millions d'utilisateurs actifs dans le monde. Facebook n'est pas capable de sécuriser leur base de données. Millions (beaucoup de millions) de comptes, les adresses e-mail et mots de passe en jeu par n'importe qui.

Une autre faille d'injection SQL sur Facebook.com et cette fois sur apps.facebook.com. J'ai décidé de subordonner la délivrance de ce public.

Ce bug permet à un attaquant potentiel d'exécuter des requêtes SQL directement dans la base de données facilement en manipulant l'URL

Phishing à l´encontre de la Caisse d´Allocations Familiales

5/02/2010 19h30 by Admin

Prudence, depuis samedi après-midi, un pirate tente de mettre la main sur les identifiants de connexion à la Caisse d´Allocations Familiales..

Depuis ce 30 janvier, un pirate informatique tente de mettre la main sur les identifiants de connexion à la Caisse d´Allocations Familiales. Code postale, numéro d'allocataire, c ode confidentiel, jour et mois de naissance, ... sont demandés dans une fausse page mise en place par l'escroc.

Le site hébergeur de cet hameçonnage a été préalablement piraté. Il s'agit d'un serveur appartenant à un garage Renaud de la ville de Pieterlen (Canton de Berne - Suisse). ZATAZ.COM a pu constater que ce piège a été installé samedi, à 16h59. Depuis, le pirate inonde les adresses électroniques qu'il a en sa possession, espérant ainsi dérober des informations de connexion à des comptes CAF. Finalité de ce phishing, très certainement mettre en place des usurpations d'identités.

Nouveau phishing à l´encontre des clients de la Caisse d´Épargne

5/02/2010 19h30 by Admin

Voilà un pirate qui a de la suite dans les idées. Septième attaques à l´encontre des clients de la Caisse d´Épargne.

Depuis mercredi 27 janvier, zataz.com a pu détecter une nouvelle attaque de type phishing (hameçonnage) visant la Caisse d'Epargne. C'est la septième attaque, depuis le 1e janvier, à l'encontre de cette entreprise bancaire Française.

Le pirate, derrière cette tentative de vol d'information bancaire, est toujours le même. Des traces laissées sur les serveurs qu'il pirate pour agir tenteraient à le prouver. A noter qu'il exploite deux pages. La première réclame le code identifiant client et le mot de passe; la seconde est baptisée Vérification des comptes

Dans ce dernier espace usurpateur, il est demandé l'ensemble des coordonnées du client. Le code informatique employé dans ce phishing est assez prècis. Si l'internaute piégé ne rentre pas les bons chiffres de l'identifiant client, l'outil pirate le détecte. Même sanction pour la vérification de la clé compte CE (clé modulo 97 ou clé modulo 11) ou les données de la carte bancaire.

Le pirate utilise un outil automatisant la diffusion des courriers envoyés à des milliers d'internautes. Le "bot" rajoute l'adresse mel du destinataire dans les salutations d'usages et dans la fausse adresse Internet proposée dans l'eMail.

Prudence, les logiciels anti-hameçonnages (option Firefox, IE, d'antivirus, ...) n'ont pas détecté l'attaque au moment de l'écriture de cet article. (M.O.)

Mass defacements

5/02/2010 19:30 by Admin



Plus de 3.000 sites, dont des dizaines de Français, piratés en quelques secondes en raison d´une vulnérabilité jamais corrigée.

Il se nomme Eymz, un jeune pirate aux actions débordantes. Ce dernier a mis à mal plus de 3.000 sites Internet (Français et étrangers), ces derniers jours, dans une attaque de masse. Le défaceur (Tagueur de site web, NDR) a affiché une tête de mort sur les pages qu'il avait préalablement défini.

Originaire d'Afrique du Nord, ce e.visiteur a voulu dénoncer à sa façon le comportement d'un trop grand nombre d'administrateurs de serveurs web ne prenant pas aux sérieux leur sécurité et celle de leurs visiteurs. "J'ai pu réussir mes attaques via une faille datant de 2008 (Microsoft IIS 0Day Vulnerability in Parsing Files, NDR), explique le pirate, Je n'ai pas voulu modifier les Home Page et je n'ai pas volé la moindre base de données... mais j'aurai pu".

Parmi les victimes, la team Toyota Belgique, la ville de St-Malo, Web surveillance ... A noter que cet internaute affiche sa tête de mort à partir d'un serveur du gouvernement américain, mohican-nsn.gov.

Un virus sur le Figaro, 20 minutes

5/02/2010 19:30 by Admin

Plusieurs milliers de sites se sont retrouvés piégés par l´antivirus Kaspersky 2010. Une mise à jour capricieuse voit des codes malveillants partout.

Chaude ambiance, lundi matin, sur la toile. Les propriétaires de l'antivirus Kaspersky 2010 se sont retrouvés avec des dizaines d'alertes. Des codes malveillants auraient tenté une pénétration en force dans leur ordinateur lors de la visite de site Web comme 20 Minutes, Le Figaro, ZATAZ,

Kaspersky 2010 indiquait une tentative pirate du nom de Trojan.JS.Redirector.ar. L'alerte se déclenchait à chaque fois qu'une publicité Adsense s'affichait (25/01/2010 08:01:24 Détectés: Trojan.JS.Redirector.ar Absent http://pagead2.googlesyndication.com/pagead/show_ads.js//show_ads)

Autant dire que l'inquiétude est vite montée, mais tout aussi rapidement corrigée. Google aurait été piraté ? C'est plus simple que ça. Google Ads a été détecté, par erreur, comme étant un cheval de Troie. Une nouvelle mise à jour de l'antivirus corrige la donne