NPDS
Responsive

J'ai +- réussi à "hacker" un site NPDS hier soir.
Je précise avant de me faire enflammer que je n'ai rien contre NPDS ni contre les personnes qui respectent et remercient ses auteurs !!

La raison ?
L'administrateur de ce site propose des cracks pour un jeux, mais bon passons, ce n'est ni le premier, ni le dernier...
Par contre, il s'est approprié le développement de NPDS. Il a enlevé le footer mentionnant l'auteur de son site. ça je n'apprécie pas du tout !
Je développe depuis longtemps et j'ai souvent hésité à mettre mes sources en ligne... voila ce qui m'a toujours rebuté.
Qui m'en voudra ?

Version testée ?
La sienne je ne sais pas.
J'ai testé sur mon serveur avec une version téléchargé avant-hier soir (npds 5.0 runner).

Type de hack ?
upload de n'importe quel fichier (.php, .htaccess, ...)
+ écrase les fichier portant le même nom
Ce n'est pas loggué dans le fichier security.log...

Pq le hack a raté ?
son serveur génère une erreur interne 500 lorsque l'on essaye d'accéder à un fichier .php dans son répertoire d'upload. :paf
Dommage :(
chez moi par contre pas de problème

Correction :
Désactiver la page upload.php jusqu'à la résolution du bug

Site concerné :
http://elcrasybarto.snoozland.com/nfsu/index.php?op=edito
fichier uploadé :
http://elcrasybarto.snoozland.com/nfsu/modules/upload/upload/index.html

Félicitation pour votre travail, il mérite d'être mieux connu :=!
Ou puis-je envoyer la page qui permet d'exploiter le bug utilisé ?

a+
Ethernal

DEV !!!! Une faille dans NPDS !!!!!!

Ha , on va peut-être me prendre au sérieux !
:#
elpipo

Ethernal : chez moi sur mon Mail : developpeur@npds.org / Merci d'avance.

A suivre donc !

c'est envoyé
j'ai oublié de te le mettre en .txt
ouvre le directement avec notepad si tu as des doutes.

a+
Ethernal

oki doki / bien recu / je te tiens au courant

un HackZilla, ca va pt etre finir par s'imposer.... :#

je me rends compte que je suis parti en guerre un peu vite...
il n'y a nulle part une obligation de garder au moins une référence vers ton site (?!?)
c'est normal ?

a+
Ethernal

Dans les sources : SI / ensuite c'est une question d'usage et l'usage veuille que l'on laisse un lien ... mais les usages se perdent :-) ...

ai verifié les sources, c ok dedans...

mais lui ait ft un petit mail en lui rappellant les usages...

ça a l'air de fonctionner :=!

Si jamais je trouve qqch d'autre, je te ferai signe.

a+
Ethernal

merci Ethernal / Cette correction sera incluse dans un prochain patch de sécurité qui sera publié en début de semaine prochaine.

Ttu est toujours le bienvenue

Bienvenu tant que tu n'utilises pas tes connaissances à de mauvaises fins :-D

Mais tu as fait preuve de bonne foix :=! :-D

oui pas de problème, je reste toujours "gentil" et courtoi (même si je m'énnerve parfois :-D, mais c'est rare )

J'avais programmé un portail/forum en orienté objet avec système de template (fastTemplate optimisé par mes soins), mais c'était devenu tellement compliqué pour mettre tout ensemble que j'ai arrêté (puis bon j'ai commencé à travaillé aussi et ça m'a laissé bcp moins de temps :-( )
Donc je connais assez bien les problèmes de sécurtié auquel on est confronté.
Mais la sécurité est tellement vaste : Il y a d'une part tout ce qui est programmation, mais aussi la partie configuration du serveur qui fait bcp...

Peut être qu'un jour je me remettrai à développer en php :-)
Pour l'instant je pense plus à un site de gestion du business pour la boite pour laquelle je travaille (mais évidemment ils sont réticents face à une application web en PHP).

bon a+
Ethernal
(faudrait que je m'enregistre :-D )

ben voui devient membre ... ;-)