Amour, gloire et blogs BD – 1×02 – Le retour
janvier 14, 2008 | In: Divers
Une nouvelle explication de faille dans le système de vote du Prix du Blog BD d'Angoulême.
En lisant l'article "Amour, gloire et blog BD" (qui parlait de l'exploitation d'une faille du système de vote du Prix du Blog BD par Laurel), mon frère Tom a regardé de plus près le système par curiosité. Ce qui est bien dans une famille de geeks, c'est qu'on peut avoir droit à des questions comme cela :
"Ils vérifient depuis quelle adresse le POST est envoyé ?" (les formulaires des pages web peuvent être envoyés par deux méthodes : POST ou GET)
Pour être honnête, je ne m'étais pas penché sur la fiabilité de la correction ajouté suite à la mise en relief de la faille par Laurel. Pour vérifier sa question, Tom a écrit quelques lignes de code. Et son intuition s'est révélée juste, il n'y avait pas de vérification !
Pour zapper le questionnement "Oui / Non" de manière très simple, il suffit de procéder ainsi :
La validation du vote se faisant par un formulaire, il suffit de reproduire ce formulaire après avoir jeter un coup d'oeil au code source de la page, ce qui donne ceci :
Pour le visiteur, il ne voit qu'une image sur laquelle il peut cliquer. La personne écrivant ce morceau de code a juste à modifier la valeur numérique (dans cet exemple, 30 pour voter pour Shyle).
Pour contrer ce genre de manipulation, il suffit pour le site de vérifier que le formulaire vient bien de chez lui et/ou que le visiteur était bien sur la page précédant la validation du site avant de valider le formulaire (via des cookies ou une variable de session).
Un grand merci à Tom pour ces informations ! Il existe des moyens d’utiliser cette faille pour faire voter la personne à son insu sans qu’elle n’ait à cliquer mais je ne les exposerai pas. Je précise que ces informations ont été communiquées à l'organisation du concours, ainsi que les moyens d'y remédier.
No Responses to Amour, gloire et blogs BD – 1×02 – Le retour
lihouy
janvier 14th, 2008 at 9 h 18 min
Blogsbd rachetée par PCimpact ? :D
arsene desbois
janvier 14th, 2008 at 9 h 37 min
j’ai cliqué. C’était soi disant « sans validation » pour le blog de Shyle… Et pourtant, on m’a fait les gros yeux quand j’ai voulu voter « vraiment » pour manu Delente ! god dam’it ! What the hell is this ?!
C’est moi qui maintenant te fait les gros yeux.
Est-tu possédé ?
Laurel !.. sors du corp de Matt !..
Gallynet
janvier 14th, 2008 at 9 h 46 min
arsene desbois > Tu peut voter sans valider, mais tu ne peut toujours pas voter deux fois pour la même personne.
Le lien n’est qu’une manière de voler le vote de quelqu’un, pas de voter plusieurs fois.
Gne
janvier 14th, 2008 at 9 h 52 min
En même temps, comme je l’ai déjà dit ailleurs, celui userais de cette technique une fois, ca marchera un jour, et je suis pas sur que les gens continueront de voter pour un malhonnete. Je dis pas ça pour Syd ou Shyle qui n’ont bien sur rien à voir avec ça… :)
arsene desbois
janvier 14th, 2008 at 10 h 11 min
Gallynet > ha mince, je n’avais pas encore bu mon ricoré avant de cliquer… Mes trois neurones n’était pas encore très éveillés.
Gallynet
janvier 14th, 2008 at 10 h 31 min
arsene desbois > pense à mettre un post-it sur ton écran « Est tu sur d’avoir ta dose de Ricoré avant de poster ? » ^^
arsene desbois
janvier 14th, 2008 at 10 h 35 min
Gallynet > Je vais peut-être arrêter la ricoré finalement.
Pedro
janvier 14th, 2008 at 12 h 02 min
Nan mais sérieux, ça t’avance a quoi d’écrire (et d’utiliser) ça ici ?
Il y a franchement rien de pire que les petits merdeux qui se font mousser sur leur blog en cherchant des failles dans les systèmes des autres.
Gally
janvier 14th, 2008 at 12 h 03 min
Mais qui est cette Gallynet ? Une Gally plus geek que moi ? impossible ! :)
Gallihouy
janvier 14th, 2008 at 12 h 15 min
possible, nous sommes tous des gens moyens. Il y aura toujours un plus riche et un plus pauvre que nous, un plus intelligent et un plus bête, un plus geek et un plus sauvage.
Louna
janvier 14th, 2008 at 12 h 55 min
Bah moi je trouve ça pas mal comme système et pas à proprement parlé une faille, vu qu’il n’y a pas d’entourloupe, c’est bien marqué en gros que si on clique sur ce lien on vote pour Shyle.
Celui qui sait pas lire, ben on peut plus rien pour lui, hein.
Bon je dis que c’est pas mal comme système parce que je cherchais effectivement un moyen d’échapper à la validation, en général quand je vote pour quelqu’un, oui j’en suis sure, et j’aime pas perdre du temps en clics inutiles :p
Matt
janvier 14th, 2008 at 12 h 55 min
Lihouy > Pas encore !
Arsène Desbois > Je pensais que le message était clair pourtant :S ! Sinon j’aurais mis « Votez pour Shyle sans que cela soit comptabilisé »
Pedro > Ca m’avance à informer les gens à rester vigilant et pousser les organisateurs de ce genre de concours à un minimum de précautions (c’est d’ailleurs pour cela que j’ai informé le développeur dès que j’ai eu l’information).
Je ne l’utilise pas, il est clairement dit sur mon lien « votez pour shyle ». Si je l’avais utiliser, j’aurais pu faire voter chaque visiteur de BlogsBD.fr sans qu’ils s’en apercoivent pour peu qu’ils n’avaient pas déjà voté.
Je ne me fais pas mousser, il n’y aucune prouesse technique dans ce qui est expliqué, c’est bien ça qui est inquiétant : n’importe quelle personne qui a des notions de HTML était capable de trouver cela.
En tant que développeur web, tu acceptes qu’il n’y ai aucune protection de prise pour les éléments les plus basiques ?
Louna > Ca peut être une faille car l’on peut charger des pages à l’insu du visiteur. A partir de là on peut donc le faire voter à son insu.
arsene desbois
janvier 14th, 2008 at 13 h 03 min
Matt > Mais enfin, puisque je te dis que j’avais pas encore pris mon bol de ricoré !
Narbru
janvier 14th, 2008 at 13 h 31 min
on s’en fout !!! :)
[V]
janvier 14th, 2008 at 15 h 03 min
Dommage que ça soit bientôt terminé, on aurait pu en trouver d’autres.
helkarava
janvier 14th, 2008 at 15 h 52 min
ça n’en finira donc jamaaaaaaaaais!
Gallynet
janvier 14th, 2008 at 15 h 55 min
Gally > Pas une, mais un. Quand à plus Geek que toi, sa fait aucun doute là dessus ^^
jgab
janvier 14th, 2008 at 16 h 26 min
Ca tombe bien, je voulais voter pour Shyle aujourd’hui …
Anna Luisa
janvier 14th, 2008 at 21 h 30 min
au départ j’avais compris « voter pour shyle sans que le vote soit validé automatiquement, » en gros je m’attendait a arriver sur la page « voulez vous vraiment voter pour Shyle
Miss Bean aura un vote en moins : (
pascalum
janvier 15th, 2008 at 10 h 56 min
we all love Shyle !
Nina
janvier 15th, 2008 at 11 h 06 min
T’aurais dû mettre « surtout ne cliquez pas là », ça aurait encore mieux marché!! ;)
tomz
janvier 15th, 2008 at 18 h 39 min
Dis donc, ça atteint presque le niveau des élections américaines, avec les entourloupes liées aux machines à voter :)
Thomas
janvier 17th, 2008 at 8 h 12 min
Enfin le plus sur, que j’ai oublié de préciser, c’est la confirmation du vote par mail.
lihouy
janvier 17th, 2008 at 9 h 58 min
Le plus sûr du plus sûr, c’est un vote avec :
- déclaration sur l’honneur du vote unique sans entourloupe
- extrait d’acte de naissance
- attestation de domicile (facture FT, EDF, etc.)
- photocopie de la carte d’identité
- contrat de souscription à un abonnement internet privé
Voilà et à envoyer quotidiennement à l’adresse des organisateurs pour valider le vote.
Thomas
janvier 17th, 2008 at 12 h 28 min
Je parlais du plus sur pour ne pas voter à son insu, ensuite il y a toujours moyen de tricher (même si c’est plus chiant/complexe). ;)
lihouy
janvier 17th, 2008 at 12 h 35 min
Et j’ai oublié :
- une attestation de non-changement de situation durant la durée des votes
- une lettre de recommandation de son employeur ainsi que celles de deux personnes de son entourage
- une reconnaissance des risques d’épilepsie liés au cliquage du vote
- une autorisation médicale signé de la main d’un médecin sportif