Bonjour,

Voici un document de sql injection for beginners

Ainsi qu'un outil de diagnostique assez efficace pour trouver le trou.

On va essayer de charmer le pirate d'ici vendredi, mais lorsqu'on lui dira que sa proposition n'a pas été retenu et qu'on ne va pas lui donner de l'argent on risque de voir déferlé sa rage envers notre base des données, donc il faudra être préparés!

Amitiés

Jorge Garcia Flores
Ingénieur de recherche CNRS
LIPN - Université Paris 13
http://lipn.univ-paris13.fr/~garciaflores/

Bonjour à tous,

Frédérique pas de souci pour les inscriptions, j'ai un autre formulaire appelé birzeit18RAND avec un utilisateur restreinte.

Laure merci pour l'info, effectivement il s'agit seulement des formulaires pour gérer les inscriptions.

On sais pas si le trou était dans ces formulaires, apparemment no, parce que sinon il aurai eu accès à toutes les bases de données du serveur. Mais c'est super dangereux avoir des scripts comme ça.

On continue avec les travaux de mitigation.

Cordialement,

Marisol


On 2018-02-03 09:45, Frédérique Bassino wrote:

Bonjour
Birzeih17rand n’a pas encore eu lieu et aura lieu en août. Il faudra
trouver une autre solution pour gérer les inscriptions.
Cordialement

Frédérique

Le 2 févr. 2018 à 19:38, marisol.rodriguez <marisol.rodriguez@lipn.univ-paris13.fr> a écrit :

Bonsoir à tous,

J'ai fait un recherche dans le ancien serveur qui héberge encore quelques applications en plus d'etamine et j'ai trouve des choses super étonnants.

osis-secu-2016 : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
krattenthaler : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
petri : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
cookies : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
thyrex : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
gdr-im-2016 : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.
birzeit17RAND : ACCÈS ROOT à la base de donnes. J'ai sauvegardé le dossier et enlevé l'accès web.

Il s'agit de formulaires des anciennes conférences et concours.

J'ai enlevé aussi des anciennes moulinettes remplacés par le nouveau site web: annuaire, logiciels, publications et conférences.

Je vais changer le mot de passe pour l'utilisateur portail et modifier les accès d'etamine.

Bon weekend à tous !

Marisol
_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a78108c305942094169532!