Porn Sex Viagra Casino Spam

Une lettre en principe n’est en vérité valable que dans la minute où elle a été écrite.

…disait je ne sais plus qui (Sacha Guitry ?). Et bien pour les listes de proxies, c’est pareil ! Encore plus lorsqu’il s’agit de proxies anonymes. Les Black Hat SEO le savent bien : trouver et maintenir des listes de proxies anonymes relève du casse-tête et on est souvent tenté de recourir à des solutions payantes pour pouvoir spammer en paix.

Et bien cette époque est révolue ! Dans un soucis de justice sociale, j’ai décidé de mettre à la disposition de tous un petit script PHP qui s’occupera de façon totalement automatisée de découvrir, tester et maintenir à jour votre liste de proxies anonymes. Le pourrissement des commentaires de blogs est donc désormais à la portée de tous !

Continue reading « Recherche et vérification automatique de proxy anonyme »

En fait cet article aurait dû s’appeler : sécuriser une session à la façon d’un gros parano. Mais bon, c’est une petite classe très simple d’utilisation et bien pratique, surtout si votre site est hébergé sur un mutualisé où n’importe lequel de vos collocataires peut espionner et modifier vos fichiers de sessions.

Il s’agit donc d’une classe qui va se substituer à la fonction « session_start() » de PHP. Par la suite il n’y a absolument rien à changer dans votre code. Juste remplacer les « session_start() » par des « $sess = new Session(); » et vos sessions sont dignes de la NSA !

Que fait exactement cette classe ?

Cette classe permet deux choses :

1. Signer la session en fonction de son contenu, d’une clef secrète et de variables qui identifient l’utilisateur (identifiant de session, adresse IP et useragent). Ceci permet d’éviter ce qu’on appelle le « Session Hijacking » ou le fait qu’en récupérant l’identifiant de session de quelqu’un d’autre on puisse se faire passer pour lui.
   Dans le cas où la signature ne correspond pas au contenu de la session, celle-ci est donc détruite (contenu et identifiant).
2. Chiffrer le contenu de la session si vous le souhaitez (il suffit alors d’initier la session avec « $sess = new Session(true); »). Dans ce cas de figure, avant d’être signée la session est encryptée à l’aide d’un algo RIJNDAEL_256, et sera automatiquement décryptée à la réception !

Les variables de session utilisées sont totalement invisibles, vous pouvez faire un « print_r($_SESSION); » pour le vérifier, car elles sont automatiquement supprimées à l’initialisation de la classe, et recréées juste avant sa fermeture. Pas non plus de conflit possible avec vos autres variables de session, c’est vraiment tranquille !

Pour personnaliser la clef utilisée pour l’encryption et la signature, vous êtes invités à definir une constante SESSION_SECRET avant d’appeler la session.

Enfin, pour savoir si la session est passée correctement ou si elle a été réinitialisée vous pouvez regarder la valeur de « $sess->valid » (true si tout va bien, false sinon).

Continue reading « Sécuriser une session PHP »

Pour ma première application Twitter avec oAuth j’ai fait simple.

Le constat : n’importe quel service à qui vous avez donné vos codes d’accès Twitter (ce qu’on ne devrait jamais faire) où n’importe quelle application à laquelle vous avez accordé les droits en lecture et écriture via oAuth peut en quelques secondes s’accaparer votre compte Twitter !

Pourquoi ? Parceque Twitter autorise la modification de l’adresse email via l’API et qu’il est ensuite enfantin de déclencher une procédure de changement de mot de passe, même de façon totalement automatisée (aucun captcha ou autre protection anti-robot n’étant utilisés lors de cette procédure).

C’est d’ailleurs un peu comme cela que fonctionne mon application, mais avec l’objectif de vous rendre votre compte en cas de vol plutôt que pour vous le voler. Et je n’ai pas pousser l’automatisation du processus jusqu’au bout : lors d’une tentative de récupération de votre mot de passe, l’application va jusqu’à déclencher l’envoi du lien adequat par twitter et c’est à vous de faire le reste (à savoir : choisir un nouveau mot de passe).

A cause de cette possibilité de modifier l’adresse email d’un utilisateur, la sécurité du « login avec twitter » ne repose pas seulement sur les serveurs de twitter, mais dépend également de TOUS les services que vous avez autorisés en lecture / écriture via oAuth ou en filant vos codes d’accès ! Il suffit qu’un seul se fasse hacker pour pouvoir récupérer votre compte et par effet de dominos tous les comptes avec lesquels vous vous identifiez avec twitter… C’est assez embêtant je trouve.

Petits conseils si jamais vous vous faites voler votre compte Twitter et que par chance vous utilisiez mon application :

• Ne remettez pas le même mot de passe qu’avant ! (ça parait évident mais bon, il y a sûrement quelques abrutis parmi vous)
• Allez directement dans « Settings / Connections » et révoquez les autorisations de tous les services qui ont un accès en écriture (update), sauf mon appli bien sûr !

Pour info avec mon application, une adresse email ne peut etre utilisée qu’une seule fois (donc si vous avez plusieurs comptes twitter il vous faudra aussi plusieurs adresses email) et un compte twitter ne peut être protégé que par une seule adresse email (ça vaut mieux hein !).

Notez aussi que si la personne qui vous a volé votre compte s’empresse de révoquer l’autorisation de mon application (comme devrait le faire un hacker efficace), ça ne fonctionnera pas.

L’application est ici : Recover Stolen Account

Edit : Twitter a bien reçu le message via le groupe de support pour l’API et envisage de remédier à ce problème ! Bonne nouvelle donc.

…ou du moins pour limiter la casse j’imagine. Vous pouvez toujours protéger le dossier /wp-admin avec un .htaccess maison, ce qui devrait calmer de façon radicale les ardeurs des bots !

C’est assez simple :

Dans votre dossier wordpress/wp-admin/ vous créez un fichier .htaccess en lecture seule et avec le contenu suivant :

AuthType Basic
AuthName "Admin WORDPRESS"
AuthUserFile /home/wpadmin.pwd
Require valid-user

Dans cet exemple, le fichier contenant les acces autorisés se trouve dans /home/wpadmin.pwd mais vous pouvez très bien le mettre ailleurs.

Pour créer ce fichier wpadmin.pwd c’est très simple, dans une console ssh tapez la ligne suivante :

htpasswd -cb /home/wpadmin.pwd login password

Et pour ajouter d’autres utilisateurs :

htpasswd -b /home/wpadmin.pwd login password

Vous pourrez aussi modifier un mot de passe ou supprimer un acces, je vous laisse lire la doc de la commande htpasswd hein !

C’est tout chaud, la nouvelle circule déjà dans l’underground : suite à une mauvaise manipulation qu’on mettra sur le compte de la distraction plutôt que sur celui de l’incompétence, c’est un fichier client d’OVH qui se ballade maintenant dans la nature (on parle de plus d’une trentaine de milliers d’adresses email notamment).

Il semble en effet que les responsables d’OVH aient un peu tardé à protéger une console d’administration du webmail accessible en ligne (ici: https://ssl0.ovh.net/atmail/webadmin/).

Quand on sait les efforts d’OVH pour lutter contre le spam et la fraude, il y a de quoi être surpris. Reste à savoir maintenant quelle sanction va être prise à l’encontre des employés responsables ; si la politique de la maison est la même que pour les clients d’OVH, il pourrait bien y avoir du licenciement sans préavis et sans solde de tous comptes dans l’air !

Les meilleurs administrateurs réseau sont souvent les plus distraits, d’où l’utilité de pouvoir retrouver facilement et rapidement les codes d’accès usine de son routeur !

Nous vous proposons donc un super outil en ligne qui vous évitera de retourner l’appartement (ou la maison voire la villa pour les plus riches d’entre vous) pour retrouver la précieuse documentation de votre routeur !

Notez que pour les plus tête en l’air, nous vous aidons aussi à retrouver les codes d’accès par défaut de votre routeur simplement en entrant son adresse MAC ! Cela peut servir notamment lorsque vous tenter de retrouver la console d’admin de votre routeur via une connexion wifi, par exemple après avoir suivi les conseils donnés ici ou là.

Voilà la bête : mots de passe par défaut d’un routeur par marque ou par adresse MAC.