Forum francais Minecraft. Serveur de jeu FR-Minecraft et astuces pour Minecraft.

Bravo pour la correction rapide des failles présentes sur le site web. Par contre, je trouve le système de blacklistage assez méchant. Il suffit d'envoyer une URL piégée à des membres de la communauté pour qu'ils se fassent blacklister. Je pense que le système est à revoir car il y a des moyens plus sympathiques de contrer des attaques.

Ps: J'ai reporté quelques failles XSS (& d'autres types de failles aussi) à un modérateur il y a quelques jours et je souhaiterais bien discuter avec toi. Peux-tu me contacter par PM ? J'ai pas assez de messages pour en envoyer.

Mon but est en aucun cas de nuire votre communauté, bien au contraire, je teste et je rapporte les failles aux responsables afin qu'ils puissent les résoudre pour éviter que d'autres personnes mal intentionnées les exploitent. Je n'aime pas détruire ce que les gens font, ce n'est pas mon genre du tout. Si je voulais mener une attaque contre vous j'aurais pu simplement exploiter l'XSS pour récupérer des cookies et me procurer un accès privilégié au site. De plus, je n'aurais pas rapporté les failles dans ce cas-là.
Et l'attaque DoS, ce n'est pas moi car je trouve ce type d'attaque totalement débile et inutile.
J'ai juste testé et non exploité. Mon chapeau est blanc, croyez-moi.

Salut Xifias,

Alors plusieurs chose:
1/ Je te rassure tout de suite, je n'ai pas eut besoin d'attentre ton retour pour voir ce que tu as fait ne passe pas inaperçu ...

2/ J'ai lu l'integralité des requetes envoyé au serveur, environ 200 test sur l'integralité des pages du site, et je peux confirmer que je n'ai rien vu qui risquer de compromettre le systeme, a partir de la j'ai assumé mes erreurs: le petit faille xss et mon erreur de n'avoir pas codé moi meme certaine parti du site ... J'ai compris et assumé, ca veux dire que j'ai agit en consequense, j'ai developper une protection que je constate que tu as vu, puisque tu as était bloqué dedant 2 fois (si ce n'est plus, au moins 2 IP a toi sur en tout cas) Si je puis me permettre ton bot est con: car passer les 200 test sur toutes les pages de profil de tous les membres, c'est tout simplement ridicule, c'est evidement que si ca passe pas sur une ca passera pas sur les autres xD

3/ les DOS c'est une facon de parler on va dire, tout comportement violent serait plus juste, et autant te dire que ton bot qui me balancait à la clapet 100 requêtes de page par seconde à certain moment n'aurait pas fait long feu ... Sinon effectivement cette attaque ne correspond pas a une IP a toi... Toi ce sont les 2 XSS...

4/ Si tu t'y connais en sécurité tu doit savoir mieux que moi qu'en matière de sécurité il y a une règle d'or, quelque soit le domaine: Il ne faut pas interdire les choses dangereuse, mais autorisé les choses saines. Je prefère un filtre violent avec quelques "victimes" le temps des réglages (entre guillement car pour ces victimes ca n'a jamais durée plus de 2h avant que je les déblackliste et que j'affine mes réglages.
Je prèfère de loin un kikoo boulet qui click sur n'importe quoi n'importe ou banni de mes serveurs que un hackeur qui passe ^^

5/ Je te rassure tout de même, je ne me caches pas derriere ce filtre, car je sais qu'aucun system, aucun filtre n'est infaillible, et je prend grand soins de ne rien laisser passer ! j'ai fait une erreur sur un page du site, j'ai assumé, corrigé, et j'ai maintenant le filtre en plus si une jamais une autre erreur apparaissait ailleur. L'erreur est humaine, donc a defaut d'être infaillible autant mettre toutes les chances de son coté ^^

Concernant le filtre, je crois que la très grande majorité des visiteurs ne s'en sont même pas aperçu du changement, ca signifie donc qu'il n'est pas si terrible que ça. Maintenant si il te gène, a toi de passer outre, c'est toi le pirate, si on t'ouvre les portes ça n'a plus aucun intérêt