Bonjour,

c'est une réponse qui me semble correcte, juste une question : pourquoi
le faire envoyer par Etienne ?

En passant, le chroot ne permet pas de freiner l'injection SQL.
On peut bloquer PHP dans les pages perso le temps de trouver
la faille mais si la faille est ailleurs (dans wordpress ou dans
etamine) alors là c'est une autre histoire.

Avec Xavier et Marisol nous avons pu identifier l'outil qu'à utilisé
le gars: mysqli-dumper : outil automatique sous windows de recherche de
faille par injection SQL. Inutile de connaitre quoi que ce soit en info!
Xavier devait l'installer sous un windows quelconque pour essayer de
trouver par nous même la faille... Xavier
tu as obtenu quelque chose ?

Hypothèse : la faille existait avant le changement de site web (par
exemple via joomla ou un de ses plugins non à jour) et on ne l'aurait
plus... pb : comment en être sûr ? Je ne vois que faire tourner les
outils des attaquants plus un passage au crible de TOUT le code PHP qui
traine et qui fait une requête à la BD !

Après on peut se poser la question d'autoriser des scripts qui ont un
accès privilégié à la base (script de Cyril par exemple).

Cdlt
F. Butelle

Le 02/02/2018 à 05:59, Jorge Garcia Flores a écrit :
 Je propose qu'Etienne lui répond de la façon suivante:

 Mr Panggau:

 Thanks for detecting the security hole. We are perfectly aware of the
 dangers that SQL injection represents to our data. We will look
 thoroughly to protect our code from it.

 As a public education institution, we might be too busy providing free
 education for our students and we surely lack the necessary time and
 funding ressources to protect our code as it should.

 Your help would be highly appreciated (you are already helping us by
 detecting the failure). What collaboration options are you considering?

 Best regards

 Etienne

 Le 1 février 2018 20:09:02 GMT+01:00, "Étienne André"
 <Etienne.Andre@lipn.univ-paris13.fr> a écrit :

     C'est bien sûr une bonne idée de le contacter au moins pour tâter le
     terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr
     qu'il s'agisse (nécessairement) d'argent, mais ça peut être une
     ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui
     annonce publiquement qu'une faille a été corrigée grâce à lui (ça
     s'est fait par le passé, si j'ai bien compris).

     Pour le reste, je n'ai aucune idée de comment fonctionne le site du
     LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la
     base de données Étamine du portail…? Les deux pages qui devraient y
     avoir accès ne devraient-elles pas être seulement le site public, et
     le portail ? (qui pourrait d'ailleurs être à une URL cachée - la
     sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3
     aussi…)

     Notamment je ne vois pas trop (mais je répète que je peux oublier
     des cas évidents) pourquoi nous aurions besoin de taper dans la base
     du portail depuis nos pages perso (enfin pro).

     -- 
     Étienne André
     Université Paris 13
     http://lipn.univ-paris13.fr/~andre

     Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

     Je propose:

     De répondre au gars en disant:

     1) Merci de nous avoir prévenu de la faille
     2) De lui demande comment pourrait-il nous aider

     Une fois qu'on reçoit sa réponse (qui sera sûrement une
     proposition de "security consulting" chiffré) on lui dit qu'on a
     besoin de réfléchir d'ici la fin de la visite de la HCERES, pour
     gagner du temps...

     Et après, il nous faudrait un inventaire de:

     --Tous les applications (Étamine, site web, scripts php sur les
     pages perso, diverses scritps php qui trainent, en fait tout php
     qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine)

     Après, je propose:

     a) sur ce qui est php7, protéger tous les champs de texte avec une
     bibliothèque qui es sécurise contre une injection SQL potentielle
     b) éteindre tout ce qui n'est php7 (Étamine inclus)

     Amitiés

     Jorge

     PS: Marisol et Xavier me disent que la bibliothèque avec laquelle
     Michael protéger son joomla des injections SQL n'est plus à jour...

     Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

     Je n'avais pas vu la gravité de la chose.

     Il faudrait faire quelque chose là, de façon très urgente...  (au
     risque d'avoir tous les données du labo effacés où le site web
     sous attaque pendant la visite de la HCERES!!!

     Soit on se met comme des malades a faire une liste de tous les
     champs de texte géré par des programmes php chez Etamine + vieux
     site web + nouveau site web + scripts personnelles qui se
     conectent à la base de données Portail, par où on peut injecter
     du SQL via PHP, soit on contacte le gars pour qu'il nous aide
     (très probablement il va vouloir de l'argent).... mais ça s'est
     un peut honteux pour un labo d'informatique, n'est-ce pas?

     Au moins il faudra répondre en lui remerciant gentiment de nous
     avoir prévenu de la faille de sécurité (et peut être en lui
     disant que nous sommes en train de réfléchir à un cours d'action
     à suivre, qu'on le contactera prochainement).

     Amitiés

     Jorge

     -------- Message transféré --------
     Sujet : 	[Systeme] Fwd: Re: I Found Vulnerability On the Site
     (http://lipn.univ-paris13.fr/)
     Date : 	Thu, 1 Feb 2018 09:05:35 +0100
     De : 	Étienne André <Etienne.Andre@lipn.univ-paris13.fr>
     Organisation : 	Université Paris 13
     Pour : 	Équipe système LIPN <systeme@lipn.univ-paris13.fr>

     Pour info (bis)

     -------- Message transféré --------
     Sujet : 	Re: I Found Vulnerability On the Site
     (http://lipn.univ-paris13.fr/)
     Date : 	Thu, 1 Feb 2018 12:42:12 +0700
     De : 	Arnold Panggau <arnoldtriwardhana08@gmail.com>
     Pour : 	contact@lipn.univ-paris13.fr,
     Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr,
     vpdsi@univ-paris13.fr

     Hello,
     I am waiting for your answer, what about the vulnerability of
     this site, do you ignore it ?

     Thanks

     On 26 January 2018 at 04:30, Arnold Panggau
     <arnoldtriwardhana08@gmail.com
     <mailto:arnoldtriwardhana08@gmail.com>> wrote:

         Hello,
         I found an error bug (vulnerability) on your
         site http://lipn.univ-paris13.fr/ <http://lipn.univ-paris13.fr/>
         It can be exploited to view and even access the table
         structure and contents of your database.

         Introduce My Name Arnold Pang gau, I am a web security
         tester. this link linkedin my
         account _https://www.linkedin.com/in/arnold-panggau/
         <https://www.linkedin.com/in/arnold-panggau/>_

         I will give you details about errors on your site and if
         necessary, I will help you fix them.
         If you want to know where the error bug (vulnerability) and
         need my help to fix it, contact me.
         I can also provide information so that this incident does not
         happen again.

         This is a very dangerous mistake.
         And if ignored it will happen:
         1. Your site will be taken and abused by others
         2. Your Sensitive Data will be stolen and misused by others
         3. Your site is inaccessible
         4. Your website will be planted with scripts that can record
         transactions on your website
         5. Your Webiste can be planted back door scripts.

         Here I attach evidence of vulnerability exploitation to find
         your DB.

         -- 
         *Regards
         *
         *Arnold Panggau
         *

     -- 
     *Regards
     *
     *Arnold Panggau
     *

     Systeme mailing list
     Systeme@lipn.univ-paris13.fr
     https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

     -- 
     Jorge Garcia Flores
     Ingénieur de recherche CNRS
     LIPN - Université Paris 13
     http://lipn.univ-paris13.fr/~garciaflores/

 -- 
 Jorge Garcia Flores
 Ingénieur de recherche CNRS
 LIPN -Université Paris 13 !DSPAM:105,5a73ef87228778175093858!

 Systeme mailing list
 Systeme@lipn.univ-paris13.fr
 https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

 !DSPAM:105,5a73ef87228778175093858!

Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a740f65291543897415925!