Hack et autres malveillances: Méfions des "gif"

03/03-2005 à 19:42Avez-vous lu cet article de "Réseaux & Télécoms"?
www.reseaux-telecoms.com/cso_btree/05_03_03_140339_742/Newscso_view

"Encore un XSS. Mais un de ceux qui ne nécessitent strictement aucune compétence pour l’exploiter"

----------
Un tiens vaut mieux que deux tu l'auras

07/03-2005 à 15:37j'ignore ce qu'est un XSS, mais où trouver des bases, un tuto, pour savoir comment accepter ou refuser les extensions vicieusement étendues...
parce que je me souviens d'avoir vu le choix possible qlq part, mais après, comment interpréter !

----------
JO 2008, PEKIN : "1 pays, 2 dictatures", censure du web, nettoyage ethnique au Tibet, recul démocratique à Hong-Kong et Macao, violations des Droits de l'Homme, esclavage, soutien de dictatures : Corée du Nord, junte militaire birmane, sida et p

07/03-2005 à 22:57Ca peut valoir le coup d'expliquer en quoi consiste la faille:

si vous avez un "webmail", ces services de mails sur internet, du genre hotmail, les pièces jointes au mail sont vues un peu comme une page web, et peuvent donc contenir du script exécuté par le navigateur (javascript ou vbscript)

en sauvant ce script (ou cette page web) sous l'extension "jpg", le webmail va tenter de l'afficher directement, sans s'inquiéter du contenu, qu'il croit être une image, et exécuter le code

ces scripts, en particulier le vbscript sous Explorer, peuvent ouvrir un accès au disque, pour installer ou lancer un virus par exemple, si vos paramètres de sécurité sont assez bas

ce type de failles provient du fait qu'on choisit le mode de traitement d'un fichier (l'ouvrir ou non, et si oui comment), en fonction de sa seule extension; en revanche, son exécution, juste après, dépend de son contenu (image/programme...)
ce pb est propre à windows, et à aucun autre OS...

----------
TATMF ---
http://tatmf.free.fr/Formes/Photoshop
ma BD: http://tatmf.free.fr/bd

08/03-2005 à 01:17Raison supplémentaire d'utiliser par défaut un client de mail protégé contre ce genre d'intrusion : foxmail, par exemple, avec affichage par défaut en mode texte sans pièces jointes. Dans ce cas, aucun risque. Et un simple clic droit permet d'ouvrir les pages éventuelles avec son navigateur préféré (autre qu'IE, bien entendu...). Dans ces conditions, on est parfaitement blindé et protégé.