[gull] messages en format texte svp

[magnus anderssen]

Marc Mongenet wrote:

>  Marc SCHAEFER wrote:
>
> > On Mon, Jan 10, 2005 at 11:10:59PM +0100, Marc Mongenet wrote:
> >
> >> - surveillance de la consultation du courrier grâce au
> >> téléchargement automatique des images (désactivable dans
> >> Mozilla)
> >
> >
> >
> > Le téléchargement automatique d'`images' permet également des
> > attaques de cross-scripting.
> >
> > Exemple: - Je viens d'ouvrir Webmin sur mon serveur, j'ai donc un
> > cookie me permettant d'exécuter des commandes car j'y suis
> > loggué
> >
> >
> > - Je consulte mon mail, un tag <IMG
> > SRC="http://192.168.1.10/webmin/reboot.pl" ALT=""> provoque
> > l'exécution du reboot du serveur.
> >
> > Personnellement je n'ai pas encore vraiment compris comment les
> > cookies passent d'une fenêtre à l'autre d'un navigateur, donc
> > peut-être que ce que je dis n'est pas toujours exploitable.
>
>
>  J'ignorais l'existence de restrictions entre fenêtres. Dans un sens
>  ça va à l'encontre des cookies, qui servent à automatiquement
>  transmettre un état au serveur.

>
>  Mais j'espère que la restriction "Allow cookies for the originating
>  web site only" (dans Mozilla, mais la plupart des navigateurs
>  actuels devraient avoir le même réglage par défaut) empêche l'envoi
>  du cookie dans le cas d'une image dans un courrier.

Non, car c'est vu comme une lien à suivre. Si on utilise le browser
(ou son moteur) pour afficher les emails en html, c'est généralement
le cas (outlook utilise iexplore), le lien est considéré valide donc
envoyé au serveur.

La seule façon de prévenir ceci, serait de partir du principe que le
browser se dise: "Ce lien ne vient pas du serveur original". Mais là
il y aurait plein de problèmes. Certains portals ont un nom de
domaines pour les images et un autre pour les scripts (ex. amazon).
Donc si on part du principe que sur une page on ne récupère que les
images  sur le même serveur (option dans firefox), les images
disparaissent. Ce qui n'est pas très pratique pour la navigation de
certains sites.

Magnus

>
>  Marc Mongenet _______________________________________________ gull
>  mailing list gull at lists.alphanet.ch
>  http://lists.alphanet.ch/mailman/listinfo/gull