URL: https://linuxfr.org/users/tesiruna/journaux/faut-il-avoir-confiance-dans-digital-network Title: Faut-il avoir confiance dans Digital-Network ? Authors: tesiruna Date: 2010年09月19日T02:15:56+02:00 Tags: Score: -33 [Digital-Network](http://www.digital-network.net) est une société créée à la fin des années 90 par Christophe Casalegno, un jeune [hacker](http://linuxfr.org/~tesiruna/30187.html) d'une vingtaine d'années, spécialisée dans la sécurité informatique. Son activité se concentre principalement sur le consulting en sécurité, contre-espionage, etc. Le site Internet présentait des références prestigieuses, telles que des ministères, des entreprises internationales. Cependant, vous notez l'usage du passé. En effet, le site Internet de Digital-Network est actuellement down, ainsi que le blog personnel de Christophe Casalegno et le site Intelink (qui contient une [biographie de ce dernier](http://www.intelink.info/fre/encyclopedie/personnalites/casalegno_christophe) dans l'"encyclopédie" du site). Ceci pour la raison simple que Christophe est actuellement en train de faire de la veille gratuitement sur son samedi soir... pour ses sites Internet. Ainsi que ceux qui ont été enjoué comme tout un chacun par la [dépêche annonçant le fork de Mandriva](https://linuxfr.org/2010/09/18/27393.html), une [faille](https://linuxfr.org/comments/1163561.html#1163561) a été découvert par une moule< sur le formulaire de contact du site [Digital Network](http://www.digital-network.net). Après étude, il semblerait que le caractère **"** était remplacé... par un **\**. Ce qui permet, dans le cas où il est mis à la fin d'un champ, d'échapper la quote terminale. Par exemple, en mettant un **"** à la fin de chaque champs : Erreur dans l'exécution de la requete MySQL 'INSERT INTO digital_contact (raison_sociale,adresse,code_postal,ville,nom_contact,prenom_contact,fonction,telephone,fax,email,act_principale,act_secondaire,message) values ('','coin\','coin\','coin\','coin\','coin\','coin\','42000\','','coin@example.com','SSII','','coin\')'.Erreur MySQL retournée : You have an error in your SQL syntax; check the manual that corresp Il était dès lors possible d'insérer dans le dernier champ la valeur suivante : "'); COMMANDE_A_EXECUTER(); En effet, le " étant remplacé en ,円 et le ' en \', cela aurait donné : INSERT INTO digital_contact ([...]) values ('', [...], '\\'); COMMANDE_A_EXECUTER(); Heureusement, les moules< sont honnêtes, et le rapport a été effectué tout de suite après découverte, ce qui a permis à Christophe, tout d'abord de supprimer la table incriminer (puis d'insinuer, [en toute mauvaise foi](https://linuxfr.org/comments/1163564.html#1163564), que la table n'a jamais existé). Et puis, quelques minutes plus tard, le site incriminé, ainsi que ceux cité plus haut, se sont retrouvés hors de service. D'après le CV du CTO de Digital-Network, la société prend entre 3000€ et 5000€ par jours de consulting. Est-ce que vous pensez que cela vaut le coup pour une entreprise ou une institution gouvernementale de payer une telle somme pour une société n'étant pas capable de sécuriser son propre système d'information ? Je pose la question.