C'est bien sûr une bonne idée de le contacter au moins pour tâter le terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr qu'il s'agisse (nécessairement) d'argent, mais ça peut être une ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui annonce publiquement qu'une faille a été corrigée grâce à lui (ça s'est fait par le passé, si j'ai bien compris). Pour le reste, je n'ai aucune idée de comment fonctionne le site du LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la base de données Étamine du portail…? Les deux pages qui devraient y avoir accès ne devraient-elles pas être seulement le site public, et le portail ? (qui pourrait d'ailleurs être à une URL cachée - la sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3 aussi…) Notamment je ne vois pas trop (mais je répète que je peux oublier des cas évidents) pourquoi nous aurions besoin de taper dans la base du portail depuis nos pages perso (enfin pro). -- Étienne André Université Paris 13 http://lipn.univ-paris13.fr/~andre Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

Je propose:

De répondre au gars en disant:

1) Merci de nous avoir prévenu de la faille 2) De lui demande comment pourrait-il nous aider

Une fois qu'on reçoit sa réponse (qui sera sûrement une proposition de "security consulting" chiffré) on lui dit qu'on a besoin de réfléchir d'ici la fin de la visite de la HCERES, pour gagner du temps...

Et après, il nous faudrait un inventaire de:

--Tous les applications (Étamine, site web, scripts php sur les pages perso, diverses scritps php qui trainent, en fait tout php qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine)

Après, je propose:

a) sur ce qui est php7, protéger tous les champs de texte avec une bibliothèque qui es sécurise contre une injection SQL potentielle b) éteindre tout ce qui n'est php7 (Étamine inclus)

Amitiés

Jorge

PS: Marisol et Xavier me disent que la bibliothèque avec laquelle Michael protéger son joomla des injections SQL n'est plus à jour...

Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

...

Je n'avais pas vu la gravité de la chose.

Il faudrait faire quelque chose là, de façon très urgente...  (au risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!!

Soit on se met comme des malades a faire une liste de tous les champs de texte géré par des programmes php chez Etamine + vieux site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?

Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours d'action à suivre, qu'on le contactera prochainement).

Amitiés

Jorge

-------- Message transféré -------- Sujet : [Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 09:05:35 +0100 De : Étienne André <Etienne.Andre@lipn.univ-paris13.fr> Organisation : Université Paris 13 Pour : Équipe système LIPN <systeme@lipn.univ-paris13.fr>

Pour info (bis)

-------- Message transféré -------- Sujet : Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 12:42:12 +0700 De : Arnold Panggau <arnoldtriwardhana08@gmail.com> Pour : contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr

Hello, I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?

Thanks

On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com <mailto:arnoldtriwardhana08@gmail.com>> wrote:

Hello, I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/ <http://lipn.univ-paris13.fr/> It can be exploited to view and even access the table structure and contents of your database.

Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account _https://www.linkedin.com/in/arnold-panggau/ <https://www.linkedin.com/in/arnold-panggau/>_

I will give you details about errors on your site and if necessary, I will help you fix them. If you want to know where the error bug (vulnerability) and need my help to fix it, contact me. I can also provide information so that this incident does not happen again.

This is a very dangerous mistake. And if ignored it will happen: 1. Your site will be taken and abused by others 2. Your Sensitive Data will be stolen and misused by others 3. Your site is inaccessible 4. Your website will be planted with scripts that can record transactions on your website 5. Your Webiste can be planted back door scripts.

Here I attach evidence of vulnerability exploitation to find your DB.

-- *Regards * *Arnold Panggau *

-- *Regards * *Arnold Panggau * !DSPAM:10297,5a733fc2286135477914087!

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a733fc2286135477914087!

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/

Sur linkedlin, il y a Arnold Panggau Security Researcher at Self-Employed Self-Employed institute Business and Informatics Stikom Surabaya Surabaya Area, East Java, Indonesia et il est dans un master of Computer applications (2015-2019) Pour les remèdes, l’adresse web de l’intranet (portail) n’est lisible sans être connecté que de la page de connexion (qui affiche https://sso.lipn.univ-paris13.fr/cas/login?service=https%3A%2F%2Fportail.lip...). Je ne sais pas si on pourrait la masquer à cet endroit ; s’il a usurpé un mdr, ça ne sert à rien. [après avoir écrit ça, j’ai testé ; on l’a en tapant “intranet du LIPN” sur google...] Logiquement, nous devrions en priorité protéger contre l’injection de code dans les pages publiques. Je ne sais pas si on peut factoriser au niveau du serveur ou si il faut le faire page par page - ou si il suffit de mettre à jour la bibliothèque utilisée par Michael. Pour les formulaires dans les pages perso, est-ce que chrooter ces pages empêche l’injection de code de lire la base ? Dernière question, combien de temps ça prend et de combien de temps disposons nous (Xavier, Marisol, les auxiliaires occasionnels) ? Et est-ce que ces actions là suffisent ? François

Le 1 févr. 2018 à 22:06, Camille Coti <camille.coti@lipn.univ-paris13.fr> a écrit :

oui en gros ce genre de personnes (comme Michel Gaschet il y a 1 ou 2 ans sur les serveurs de la DSI via le SPIP du CEPN) font des pen tests pour avoir : - une récompense via un bug bounty que pratiquent pas mal d'entreprises - une ligne sur le CV

C'est plutôt cool qu'il nous ait rapporté ça, même si trouve assez moyen qu'il ne nous en dise pas plus tout de suite. Dans le cas de la DSI, Michel Gaschet avait envoyé un mail à Claude G. et moi-même en détaillant le problème et comment le résoudre.

Maintenant dans la sécu du serveur Web, il y a plusieurs choses à dire, notamment le fait qu'il ne soit pas chrooté. On a déjà eu des failles du côté des pages perso, il y a 2 ans on s'était fait rentrer dedans via un formulaire que quelqu'un avait mis sur sa page Web.

Camille

On 01/02/2018 20:09, Étienne André wrote:

...

C'est bien sûr une bonne idée de le contacter au moins pour tâter le terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr qu'il s'agisse (nécessairement) d'argent, mais ça peut être une ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui annonce publiquement qu'une faille a été corrigée grâce à lui (ça s'est fait par le passé, si j'ai bien compris).

Pour le reste, je n'ai aucune idée de comment fonctionne le site du LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la base de données Étamine du portail…? Les deux pages qui devraient y avoir accès ne devraient-elles pas être seulement le site public, et le portail ? (qui pourrait d'ailleurs être à une URL cachée - la sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3 aussi…)

Notamment je ne vois pas trop (mais je répète que je peux oublier des cas évidents) pourquoi nous aurions besoin de taper dans la base du portail depuis nos pages perso (enfin pro).

-- Étienne André Université Paris 13

http://lipn.univ-paris13.fr/~andre Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

...

Je propose: De répondre au gars en disant:

1) Merci de nous avoir prévenu de la faille 2) De lui demande comment pourrait-il nous aider

Une fois qu'on reçoit sa réponse (qui sera sûrement une proposition de "security consulting" chiffré) on lui dit qu'on a besoin de réfléchir d'ici la fin de la visite de la HCERES, pour gagner du temps... Et après, il nous faudrait un inventaire de: --Tous les applications (Étamine, site web, scripts php sur les pages perso, diverses scritps php qui trainent, en fait tout php qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine) Après, je propose: a) sur ce qui est php7, protéger tous les champs de texte avec une bibliothèque qui es sécurise contre une injection SQL potentielle b) éteindre tout ce qui n'est php7 (Étamine inclus)

Amitiés

Jorge

PS: Marisol et Xavier me disent que la bibliothèque avec laquelle Michael protéger son joomla des injections SQL n'est plus à jour...

Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

...

Je n'avais pas vu la gravité de la chose. Il faudrait faire quelque chose là, de façon très urgente... (au risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!! Soit on se met comme des malades a faire une liste de tous les champs de texte géré par des programmes php chez Etamine + vieux site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?

Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours d'action à suivre, qu'on le contactera prochainement).

Amitiés

Jorge

-------- Message transféré -------- Sujet : [Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 09:05:35 +0100 De : Étienne André <Etienne.Andre@lipn.univ-paris13.fr> Organisation : Université Paris 13 Pour : Équipe système LIPN <systeme@lipn.univ-paris13.fr>

Pour info (bis)

-------- Message transféré -------- Sujet : Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 12:42:12 +0700 De : Arnold Panggau <arnoldtriwardhana08@gmail.com> Pour : contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr

Hello, I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?

Thanks

On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com> wrote: Hello, I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/ It can be exploited to view and even access the table structure and contents of your database.

Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account https://www.linkedin.com/in/arnold-panggau/

I will give you details about errors on your site and if necessary, I will help you fix them. If you want to know where the error bug (vulnerability) and need my help to fix it, contact me. I can also provide information so that this incident does not happen again.

This is a very dangerous mistake. And if ignored it will happen: 1. Your site will be taken and abused by others 2. Your Sensitive Data will be stolen and misused by others 3. Your site is inaccessible 4. Your website will be planted with scripts that can record transactions on your website 5. Your Webiste can be planted back door scripts.

Here I attach evidence of vulnerability exploitation to find your DB.

-- Regards Arnold Panggau

-- Regards Arnold Panggau

_______________________________________________ Systeme mailing list

Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a733fc2286135477914087!

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13

http://lipn.univ-paris13.fr/~garciaflores/

!DSPAM:394,5a73651c37701523781612!

_______________________________________________ Systeme mailing list

Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:394,5a73651c37701523781612!

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

Je propose qu'Etienne lui répond de la façon suivante: Mr Panggau: Thanks for detecting the security hole. We are perfectly aware of the dangers that SQL injection represents to our data. We will look thoroughly to protect our code from it. As a public education institution, we might be too busy providing free education for our students and we surely lack the necessary time and funding ressources to protect our code as it should. Your help would be highly appreciated (you are already helping us by detecting the failure). What collaboration options are you considering? Best regards Etienne Le 1 février 2018 20:09:02 GMT+01:00, "Étienne André" <Etienne.Andre@lipn.univ-paris13.fr> a écrit :

C'est bien sûr une bonne idée de le contacter au moins pour tâter le terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr qu'il s'agisse (nécessairement) d'argent, mais ça peut être une ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui annonce publiquement qu'une faille a été corrigée grâce à lui (ça s'est fait par le passé, si j'ai bien compris).

Pour le reste, je n'ai aucune idée de comment fonctionne le site du LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la base de données Étamine du portail…? Les deux pages qui devraient y avoir accès ne devraient-elles pas être seulement le site public, et le portail ? (qui pourrait d'ailleurs être à une URL cachée - la sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3 aussi…)

Notamment je ne vois pas trop (mais je répète que je peux oublier des cas évidents) pourquoi nous aurions besoin de taper dans la base du portail depuis nos pages perso (enfin pro).

-- Étienne André Université Paris 13 http://lipn.univ-paris13.fr/~andre

Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

...

Je propose:

De répondre au gars en disant:

1) Merci de nous avoir prévenu de la faille 2) De lui demande comment pourrait-il nous aider

Une fois qu'on reçoit sa réponse (qui sera sûrement une proposition

de

...

"security consulting" chiffré) on lui dit qu'on a besoin de réfléchir d'ici la fin de la visite de la HCERES, pour gagner du temps...

Et après, il nous faudrait un inventaire de:

--Tous les applications (Étamine, site web, scripts php sur les pages perso, diverses scritps php qui trainent, en fait tout php qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine)

Après, je propose:

a) sur ce qui est php7, protéger tous les champs de texte avec une bibliothèque qui es sécurise contre une injection SQL potentielle b) éteindre tout ce qui n'est php7 (Étamine inclus)

Amitiés

Jorge

PS: Marisol et Xavier me disent que la bibliothèque avec laquelle Michael protéger son joomla des injections SQL n'est plus à jour...

Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

...

Je n'avais pas vu la gravité de la chose.

Il faudrait faire quelque chose là, de façon très urgente...  (au risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!!

Soit on se met comme des malades a faire une liste de tous les

champs

...

de texte géré par des programmes php chez Etamine + vieux site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?

Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours d'action à suivre, qu'on le contactera prochainement).

Amitiés

Jorge

-------- Message transféré -------- Sujet : [Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 09:05:35 +0100 De : Étienne André <Etienne.Andre@lipn.univ-paris13.fr> Organisation : Université Paris 13 Pour : Équipe système LIPN <systeme@lipn.univ-paris13.fr>

Pour info (bis)

-------- Message transféré -------- Sujet : Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 12:42:12 +0700 De : Arnold Panggau <arnoldtriwardhana08@gmail.com> Pour : contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr

Hello, I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?

Thanks

On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com <mailto:arnoldtriwardhana08@gmail.com>> wrote:

Hello, I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/ <http://lipn.univ-paris13.fr/> It can be exploited to view and even access the table structure and contents of your database.

Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account _https://www.linkedin.com/in/arnold-panggau/ <https://www.linkedin.com/in/arnold-panggau/>_

I will give you details about errors on your site and if necessary, I will help you fix them. If you want to know where the error bug (vulnerability) and need my help to fix it, contact me. I can also provide information so that this incident does not happen again.

This is a very dangerous mistake. And if ignored it will happen: 1. Your site will be taken and abused by others 2. Your Sensitive Data will be stolen and misused by others 3. Your site is inaccessible 4. Your website will be planted with scripts that can record transactions on your website 5. Your Webiste can be planted back door scripts.

Here I attach evidence of vulnerability exploitation to find your DB.

-- *Regards * *Arnold Panggau *

-- *Regards * *Arnold Panggau *

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a733fc2286135477914087!

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/

!DSPAM:10297,5a73651937482066621316!

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN -Université Paris 13

Puisque c'est Étienne qui a été contacté en premier, il me semble que c'est lui qui devrait adresser la réponse... C'est une très bonne idée de fermer l'accès de tous les scripts perso qui pointent vers la BD PORTAIL... (comme celui de Cyril)... Amitiés Jorge Le 2 février 2018 08:15:37 GMT+01:00, Franck Butelle <franck.butelle@lipn.univ-paris13.fr> a écrit :

Bonjour,

c'est une réponse qui me semble correcte, juste une question : pourquoi le faire envoyer par Etienne ?

En passant, le chroot ne permet pas de freiner l'injection SQL. On peut bloquer PHP dans les pages perso le temps de trouver la faille mais si la faille est ailleurs (dans wordpress ou dans etamine) alors là c'est une autre histoire.

Avec Xavier et Marisol nous avons pu identifier l'outil qu'à utilisé le gars: mysqli-dumper : outil automatique sous windows de recherche de faille par injection SQL. Inutile de connaitre quoi que ce soit en info! Xavier devait l'installer sous un windows quelconque pour essayer de trouver par nous même la faille... Xavier tu as obtenu quelque chose ?

Hypothèse : la faille existait avant le changement de site web (par exemple via joomla ou un de ses plugins non à jour) et on ne l'aurait plus... pb : comment en être sûr ? Je ne vois que faire tourner les outils des attaquants plus un passage au crible de TOUT le code PHP qui traine et qui fait une requête à la BD !

Après on peut se poser la question d'autoriser des scripts qui ont un accès privilégié à la base (script de Cyril par exemple).

Cdlt F. Butelle

Le 02/02/2018 à 05:59, Jorge Garcia Flores a écrit :

...

Je propose qu'Etienne lui répond de la façon suivante:

Mr Panggau:

Thanks for detecting the security hole. We are perfectly aware of the dangers that SQL injection represents to our data. We will look thoroughly to protect our code from it.

As a public education institution, we might be too busy providing free education for our students and we surely lack the necessary time and funding ressources to protect our code as it should.

Your help would be highly appreciated (you are already helping us by detecting the failure). What collaboration options are you considering?

Best regards

Etienne

Le 1 février 2018 20:09:02 GMT+01:00, "Étienne André" <Etienne.Andre@lipn.univ-paris13.fr> a écrit :

C'est bien sûr une bonne idée de le contacter au moins pour tâter le terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr qu'il s'agisse (nécessairement) d'argent, mais ça peut être une ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui annonce publiquement qu'une faille a été corrigée grâce à lui (ça s'est fait par le passé, si j'ai bien compris).

Pour le reste, je n'ai aucune idée de comment fonctionne le site du LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la base de données Étamine du portail…? Les deux pages qui devraient y avoir accès ne devraient-elles pas être seulement le site public, et le portail ? (qui pourrait d'ailleurs être à une URL cachée - la sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3 aussi…)

Notamment je ne vois pas trop (mais je répète que je peux oublier des cas évidents) pourquoi nous aurions besoin de taper dans la base du portail depuis nos pages perso (enfin pro).

-- Étienne André Université Paris 13 http://lipn.univ-paris13.fr/~andre

Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

...

Je propose:

De répondre au gars en disant:

1) Merci de nous avoir prévenu de la faille 2) De lui demande comment pourrait-il nous aider

Une fois qu'on reçoit sa réponse (qui sera sûrement une proposition de "security consulting" chiffré) on lui dit qu'on a besoin de réfléchir d'ici la fin de la visite de la HCERES, pour gagner du temps...

Et après, il nous faudrait un inventaire de:

--Tous les applications (Étamine, site web, scripts php sur les pages perso, diverses scritps php qui trainent, en fait tout php qui a acccès a la base de donnée menacée PORTAIL (celle

d'Étamine)

...

Après, je propose:

a) sur ce qui est php7, protéger tous les champs de texte avec

une

...

bibliothèque qui es sécurise contre une injection SQL

potentielle

...

b) éteindre tout ce qui n'est php7 (Étamine inclus)

Amitiés

Jorge

PS: Marisol et Xavier me disent que la bibliothèque avec

laquelle

...

Michael protéger son joomla des injections SQL n'est plus à

jour...

...

Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

...

Je n'avais pas vu la gravité de la chose.

Il faudrait faire quelque chose là, de façon très urgente... 

(au

...

...

risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!!

Soit on se met comme des malades a faire une liste de tous les champs de texte géré par des programmes php chez Etamine +

vieux

...

site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?

Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours

d'action

...

à suivre, qu'on le contactera prochainement).

Amitiés

Jorge

-------- Message transféré -------- Sujet : [Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 09:05:35 +0100 De : Étienne André <Etienne.Andre@lipn.univ-paris13.fr> Organisation : Université Paris 13 Pour : Équipe système LIPN <systeme@lipn.univ-paris13.fr>

Pour info (bis)

-------- Message transféré -------- Sujet : Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 12:42:12 +0700 De : Arnold Panggau <arnoldtriwardhana08@gmail.com> Pour : contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr

Hello, I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?

Thanks

On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com <mailto:arnoldtriwardhana08@gmail.com>> wrote:

Hello, I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/

<http://lipn.univ-paris13.fr/>

...

It can be exploited to view and even access the table structure and contents of your database.

Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account _https://www.linkedin.com/in/arnold-panggau/ <https://www.linkedin.com/in/arnold-panggau/>_

I will give you details about errors on your site and if necessary, I will help you fix them. If you want to know where the error bug (vulnerability) and need my help to fix it, contact me. I can also provide information so that this incident does

not

...

happen again.

This is a very dangerous mistake. And if ignored it will happen: 1. Your site will be taken and abused by others 2. Your Sensitive Data will be stolen and misused by others 3. Your site is inaccessible 4. Your website will be planted with scripts that can

record

...

transactions on your website 5. Your Webiste can be planted back door scripts.

Here I attach evidence of vulnerability exploitation to

find

...

your DB.

-- *Regards * *Arnold Panggau *

-- *Regards * *Arnold Panggau *

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN -Université Paris 13 !DSPAM:105,5a73ef87228778175093858!

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:105,5a73ef87228778175093858!

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:10297,5a740f65291543897415925!

-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN -Université Paris 13

Bonjour Je n’ai pas lu la totalité des’ messages échanges mais il me semble nécessaire de commencer par informer et discuter du problème avec le correspondant RSSI de l’université - Nicolas Greneche. Cordialement Frédérique Bassino

Le 2 févr. 2018 à 09:10, Étienne André <Etienne.Andre@lipn.univ-paris13.fr> a écrit :

...

Le 02/02/2018 à 08:24, Jorge Garcia Flores a écrit : Puisque c'est Étienne qui a été contacté en premier, il me semble que c'est lui qui devrait adresser la réponse... Je pense qu'il ne verra pas la différence si quelqu'un d'autre répond (d'ailleurs, il avait aussi écrit à mascre@univ-paris13.fr et vpdsi@univ-paris13.fr) Mais je peux écrire si vous pensez que c'est mieux. (On peut d'ailleurs se demander pourquoi c'est à moi qu'il a écrit au labo : ma page perso n'a pas d'accès (que je sache !) au portail ; ou alors c'est à cause de ma page cryptographie (module à l'IUT) qu'il a cru (à tort) que je connaissais quelque chose aux injections SQL, peut-être) C'est une très bonne idée de fermer l'accès de tous les scripts perso qui pointent vers la BD PORTAIL... (comme celui de Cyril)... Oui.

-- Étienne André Université Paris 13 http://lipn.univ-paris13.fr/~andre

!DSPAM:242,5a741c56316786407613149!

Bonjour, une réponse rapide sur un point particulier : On 02/02/2018 08:15, Franck Butelle wrote:

Bonjour,

[...]

Avec Xavier et Marisol nous avons pu identifier l'outil qu'à utilisé le gars: mysqli-dumper : outil automatique sous windows de recherche de faille par injection SQL. Inutile de connaitre quoi que ce soit en info! Xavier devait l'installer sous un windows quelconque pour essayer de trouver par nous même la faille... Xavier tu as obtenu quelque chose ? [...]

La version que j'avais trouvée n'était pas fonctionnelle. Marisol en a trouvée une autre, mais n'a visiblement pas réussi à faire fonctionner l'outil de façon adéquate : il se lance correctement et fait des requêtes, mais nous n'en avons pas la maîtrise pour le moment... Xavier. -- Xavier MONNIN Administrateur Système et Réseau LIPN / LAGA Institut Galilée - Université Paris 13 Bâtiment A, Bureau A308 99, avenue Jean-Baptiste Clément 93430 Villetaneuse Tel : 01 49 40 35 43

Le 02/02/2018 à 09:40, Jorge Garcia Flores a écrit :

En tout cas, il me semble urgent de répondre au gars (quitte à avoir la base de données PORTAIL effacée) Agree.

(enfin, en remplaçant « quitte » par « sous peine de » ;-) Question naïve : il y a une sauvegarde récente ? ^^' -- Étienne André Université Paris 13 http://lipn.univ-paris13.fr/~andre

je viens de faire une petite enquête rapide dans les scripts PHP de mes collègues vu l'urgence. ... Comment dire ? ... Il y a des CMS entiers dans les répertoires public_html ! certains avec tous les droits d'écriture ! Dont certains semblent très vieux... Ce n'est plus un site web c'est une passoire ! Halte au PHP perso débridé ! Sinon les logs que j'ai extrait montrent surtout que l'on subit des tentatives d'injection SQL régulièrement et que ces attaques semblent utiliser les mêmes outils. Le 02/02/2018 à 09:45, Jorge Garcia Flores a écrit :

Oui, on a une sauvegarde...

Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/

Le 02/02/2018 à 09:44, Étienne André a écrit :

...

Le 02/02/2018 à 09:40, Jorge Garcia Flores a écrit :

...

En tout cas, il me semble urgent de répondre au gars (quitte à avoir la base de données PORTAIL effacée) Agree.

(enfin, en remplaçant « quitte » par « sous peine de » ;-)

Question naïve : il y a une sauvegarde récente ? ^^'

_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme

!DSPAM:105,5a742478327502090116698!