Choicepoint... Encore un effort...
| Récapitulatif
des papiers sur le monde étrange des administrateurs réseau et systèmes |
| Récapitulatif
de nos copies d'écran sur ce même monde étrange Cette page n'est plus mise à jour depuis août 2001 |
| Taijiquan style Haking (dot com) |
| Sasak style Haking (dot com) |
| Le Match Kitetoa versus Ugly Discoursmarketing |
| It's a funky job. But Kitetoa's digital clone does it... |
| Do you know info-hack Kung-Fu? |
| La hotte du Kitetopapanoël |
| Ze Mega
Kite-Teuf! La fête de l'été de Kitetoa... Les sites les plus nazes de l'été 2000 |
| La
Loi de 78 impose aux entreprises de protéger les bases de données qu'elles constituent... |
Heureusement que Choicepoint avait fait un audit de sécurité, comme l'indiquait l'attaché de presse au journaliste de Wired après la publication de notre premier papier. Sans quoi, on peut se demander ce qui leur serait arrivé...
Nous avions déjà oublié cette histoire, mais un lecteur à l'oeil acéré nous a envoyé une gentille URL. Sur un autre site de choicepoint, il était possible de voir le code des pages asp (des pages dynamiques que crée le serveur au fil de votre navigation). il a donc suffi de demander avec un bête navigateur, le contenu de la page dans laquelle le serveur web iis conserve le chemin de la base de données (utilisée pour créer ces pages dynamiques)... Le login et le mot de passe de la base s'est affiché... Pas malin vu que la vulnérabilité est très ancienne. Une "chance", les spécialistes de Choicepoint ont placé leur base sur une machine disposant d'une adresse IP interne.
Enfin, toujours sur le site dont nous avions déjà parlé dans notre précédent papier, quelques parties du site semblent modifiables à distance avec un navigateur. Encore une vulnérabilité datant de l'âge de Cro-magnon (publiée par l0pht, c'est dire...) qui n'est pas apparue au cours de l'audit de sécurité...
Bah..