[gull] messages en format texte svp

[Marc Mongenet]

Marc SCHAEFER wrote:
> On Mon, Jan 10, 2005 at 11:10:59PM +0100, Marc Mongenet wrote:
> 
>>- surveillance de la consultation du courrier grâce au téléchargement
>>  automatique des images (désactivable dans Mozilla)
> 
> 
> Le téléchargement automatique d'`images' permet également des attaques
> de cross-scripting.
> 
> Exemple:
>    - Je viens d'ouvrir Webmin sur mon serveur, j'ai donc un cookie
>      me permettant d'exécuter des commandes car j'y suis loggué
> 
>    - Je consulte mon mail, un tag
>      <IMG SRC="http://192.168.1.10/webmin/reboot.pl" ALT="">
>      provoque l'exécution du reboot du serveur.
> 
> Personnellement je n'ai pas encore vraiment compris comment les cookies
> passent d'une fenêtre à l'autre d'un navigateur, donc peut-être que ce
> que je dis n'est pas toujours exploitable.

J'ignorais l'existence de restrictions entre fenêtres. Dans un sens ça 
va à l'encontre des cookies, qui servent à automatiquement transmettre 
un état au serveur.

Mais j'espère que la restriction "Allow cookies for the originating web 
site only" (dans Mozilla, mais la plupart des navigateurs actuels 
devraient avoir le même réglage par défaut) empêche l'envoi du cookie 
dans le cas d'une image dans un courrier.

Marc Mongenet