Archives de Septembre 2009

Ok, ca fait 1 mois que je l'ai publiée cette faille, mais des contacts m'ont fait remarquer (à juste titre) que je ne l'avais pas postée sur le site... C'est donc chose faite !

Cette vulnérabilité permettait depuis un compte utilisateur d'obtenir une exécution de code en noyau. Dans l'exploitation je m'élève les privilèges en SYSTEM puis lance cmd.exe, soit la console. Ce qui donnait donc un accès à la machine avec tous les droits !

L'exploit est ici

Eh oui, le défaçage de Thehackademy.net dans la nuit de samedi à dimanche n'était rien d'autre qu'un gros fake orchestré par l'équipe d'HZV :). Beaucoup d'internautes, dont Zataz, s'en sont aperçus grâce aux détails laissés sur la page :

• En retenant les 1ères lettres de chaque mot du message, on obtient la phrase suivante : VIRTU VA SE MARIER
• Le logo présent sur la page représente deux alliances
• Le nom de l'image (logo_dc.png) correspond à ses initiales
• La date indiquée sur la page est celui de son mariage
• Enfin, le nom de la fausse team FTHC correspond aux initiales des auteurs de ce faux deface : Freeman, Trance, Heurs et Crashfr

Pour les nostalgiques, ou ceux qui auraient loupé cet événement, Zone-h a fait un screenshot pour vous :)

Le site de The Hackademy aurait apparement été défacé, à en croire leur page d'accueil. Ce serait l'oeuvre de la team FTHC, qui demeure inconnue pour le moment. Aucune information concernant la faille exploitée ou les revendications des auteurs de ce deface n'est disponible pour le moment.

Je viens de publier un petit article concernant une méthode relativement peu connue pour exploiter une faille include. C'est une méthode alternative aux exploitations utilisant les logs. Ici, le but est d'injecter du code dans sa session PHP (matérialisée par un fichier sur le serveur) qu'on inclut ensuite en utilisant l'include.

Etant donné la forme et la taille de l'article, je n'ai pas jugé intéressant de le poster sur GITS. Il se trouve sur mon blog. Bonne lecture ;)