Wapiti 3.0.0 : Nouvelle version du scanneur de vulnérabilités Web

Posté par  . Édité par Benoît Sibaud, palm123, Davy Defaud et bubar🦥. Modéré par bubar🦥. Licence CC By‑SA.
Étiquettes :
48
14
jan.
2018
Sécurité

Wapiti est un scanneur de vulnérabilités Web publié sous licence GNU GPL v2.

Il permet de détecter la présence de failles courantes (injection SQL, XSS, inclusion de fichier, exécution de code ou de commande, etc.) sur les sites Internet et les applications Web via différents modules d’attaque. L’exploitation des failles remontées n’est pas gérée par le logiciel, l’utilisateur doit donc procéder à l’exploitation lui‐même ou s’en remettre à un logiciel spécifique (comme sqlmap pour les failles SQL).

Wapiti génère des rapports de vulnérabilités dans différents formats (HTML, texte, JSON, XML). C’est un outil en ligne de commande qui a peu de dépendances et s’installe facilement.

Journal Journal bookmark : une explication claire de Meltdown

Posté par  . Licence CC By‑SA.
Étiquettes :
36
6
jan.
2018

Bonjour nal et les autres,

On a déjà longuement parlé ici des failles Meltdown et Spectre découvertes récemment, notamment dans le journal de Pinaraf et dans l'article de Bruno Michel.

Je voulais juste vous partager une explication certes simplifiée mais très pédagogique que j'ai trouvée sur le site de Raspberry Pi.

Bonne année!

Journal L'union européenne finance une « chasse aux bugs » pour le lecteur multimédia VLC

Posté par  . Licence CC By‑SA.
Étiquettes :
61
3
jan.
2018

Depuis début 2015, l'union européenne finance un petit "programme pilote" nommé FOSSA, proposé par les eurodéputés Julia Reda (pirate) et Max Andersson (verts), destiné à améliorer la solution des logiciels libres, en particulier (mais pas uniquement) ceux utilisés par les institutions de l'union européenne.

En juin 2016, ce projet avait fait appel aux opinions du public pour choisir un petit nombre de projets logiciels pour lesquels financer un audit du code source (voir le précédent journal LinuxFR à ce sujet) (…)

Journal Ça sent pas bon chez Intel ?

Posté par  . Licence CC By‑SA.
Étiquettes :
124
3
jan.
2018

Coucou tout le monde

Alors, je n’aime pas trop ça, je t’écris en me basant sur des pures spéculations à travers le Web. Mais le faisceau d’indices est trop grave pour passer à côté.

Commençons par les faits, rien que les faits. Ces derniers mois, on a vu apparaître pour le noyau Linux une nouvelle solution de sécurité proactive (qui ne corrige pas une faille mais diminue considérablement l’impact d’éventuelles failles présentes ou à venir), nommée KAISER, renommée depuis KPTI, Kernel (…)

Journal Comment bloquer 280M de dollars en éther

Posté par  . Licence CC By‑SA.
Étiquettes :
28
8
nov.
2017

Bonjour fameux Nal',

Aujourd'hui, enfin hier, un développeur a bloqué tous les portefeuilles Parity multisignés.

Grossièrement, il a modifié la lib de Parity et s'est octroyé la propriété de tous les portefeuilles multisignés avec Parity. Il a supprimé son contrat auto-exécutant ce qui bloqué tous les portefeuilles multisignés…

En résumé, le Tweet du concerné explique le résultat :

It's simple really, imagine walking up to a bank vault and there's a button that says "Lock Forever"……. someone accidentally pushes it.

(…)

Forum Linux.débutant Backup rsync SSH

Posté par  . Licence CC By‑SA.
Étiquettes :
1
8
nov.
2017

Bonjour,

Je compte réaliser des sauvegardes de données de mon PC sous Linux Mint sur un Raspberry Pi qui se trouvera chez un ami en utilisant rsync via SSH par la commande suivante:

rsync -e ssh -aH --delete /home/user/backup userPi@XXX.XXX.XXX.XXX:/backup

Je vais donc devoir ouvrir 1 port sur chaque box.

D'après vous, est-ce que je dois prendre des précautions en termes de sécurité? Pare-feu ou autres? Ou bien suis-je parano?

Merci d'avance

Journal WPA2 est bronsonisé

Posté par  . Licence CC By‑SA.
Étiquettes :
37
16
oct.
2017

Salut nal'

Une faille sur le WPA2 semble avoir été découverte. Un Github et un site web ont été mis en place, ils pourraient contenir plus d'informations dans la journée. Le 1er novembre, une présentation plus détaillée aura lieu durant une conférence ACM à Dallas. cf. https://www.macg.co/ailleurs/2017/10/une-faille-dans-le-wpa2-met-le-wi-fi-en-danger-100079 pour plus de détail.

ça t'inquiète cette histoire de wpa2 cracké ou bien tu penses que c'est du vent ?

Tu vas mettre à jour tes imprimantes et tes milliers gadgets connectés ? Comment parce (…)

Wiki [Tuto] Se connecter à son OpenVPN depuis son LAN et WAN malgré routeur pas compatible hairpinning

Licence CC By‑SA.
Étiquettes :
0
26
sept.
2017

Introduction

Pour une raison suspicieuse, les box des Fournisseurs d'Accès Internet (FAI) sont régulièrement incompatible avec le hairpinning. Pour outrepasser ce problème, nous allons simplement dupliquer le fichier de conf (.ovpn) afin qu'un soit compatible avec le LAN et un avec internet (WAN). Ensuite nous lancerons un script au démarrage de la machine qui décidera quel fichier de conf (.ovpn) il faut lancer en fonction de si votre serveur est sur le même réseau ou non.
Ce script est (…)

Wiki [Tuto/HowTo] [Ubuntu/Debian] Chiffrer ses volumes Glusterfs

Licence CC By‑SA.
Étiquettes :
0
25
sept.
2017

/!\ suite à une erreur lors de la création de l'article, le titre n'est pas bon. Cet article traite du chiffrement des communications entre les machines. Pas du chiffrement sur les disques.

Chiffrer les communications de GlusterFS

Introduction

Par défaut les communications de glusterfs-server et de glusterfs-client ne sont pas chiffrées. Glusterfs peut néanmoins utiliser TLS (ex SLL) pour chiffrer les communications et casser ainsi toute tentative de MITM.
Ensemble, nous allons voir comment.

Note : Pour une raison (…)

Journal --== GUIDE DE L'ADMINISTRATEUR LINUX ==--

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
24
10
sept.
2017

Bonjour à toutes et à tous,

Je mets à disposition gratuitement un guide assez exhaustif de 80 pages, qui est le fruit de quelques années d'administration et d'ingénierie des systèmes Open-Source.

Mon objectif, en 1996, était de rédiger un pense-bête, avec l’une des premières distributions libres d’Unix (Slackware). Je l’ai ensuite étoffé via des systèmes similaires, dont RedHat, Mandrake (actuellement Mandriva). Par la suite, j’ai ajouté des commandes et syntaxes propres à Solaris ou Novell/Suse.

Il s'agit d'un document de (…)

Forum général.hors-sujets Quand Synology incite à envoyer un mot de passe administrateur en clair

Posté par  . Licence CC By‑SA.
Étiquettes :
6
6
sept.
2017

Salut,

Pour faire court : le support technique de Synology me demande de lui envoyer un mot de passe administrateur de mon NAS, en clair, par mail. Je leur demande une clé publique PGP, un compte Wire, que sais-je ? Un canal chiffré.

Niet, ils insistent : par mail, en clair. Ils n'ont pas d'autre moyen…

C'est courant ce genre de situation ou c'est Synology qui est à l'Ouest ?

Franck.

PS: pendant ce temps, depuis que j'ai ouvert le port Telnet (…)