Le site de l'académie de Reims piraté !

http://champagne-ardenne.france3.fr/info/le-site-internet-de-l-academie-de-reims-pirate-75251683.html

"hacked French Academy" - Une page renvoyant vers une vidéo et des adresses mail s'affichait sur un fond noir.

Tôt ce samedi matin, le site internet de l'académie de Reims à été piraté par un certain "Dr Taigar" du groupe "Hpn-Hack" probablement depuis l'Arabie Saoudite.

Sur cette page apparaissait une image provenant d'un autre site internet (celui d'un blogueur américain).

La signification du texte "LA ILAAHA ILLALLAH" serait "Rien ne mérite d’être adoré sauf Allah".

D'après nos recherches, ce "Dr Taigar" ne semble pas en être à son coup d'essai. Mais il semble néanmoins que ce soit un des rares fois qu'il s'attaque à un site francophone.

La page d'accueil internet de l'académie de Reims affichait une page noire, un texte en arabe et une vidéo guerrière.

En affichant le code source de cette page fabriquée avec un logiciel basique, on retrouve divers éléments piochés dans d'autres sites.

L'une des images par exemple, a été prise sur le blog d'un vétéran américain, un blog consacré à la guerre en Irak et en Afghanistan et au jihad. (voir ci-dessous)

Contacté, le Rectorat n'a pour l'instant pas souhaité s'exprimer sur le sujet.

Il assure que tous les moyens sont mis en œuvre par le service informatique pour rétablir l'accès au site dans les plus brefs délais. Une plainte doit être déposée.

Le rectorat a été alerté vers 8H30. Cette page n'était plus accessible vers 10h15. Une mention "Site en maintenance" apparait.

Voilà ce qu'affichait l'adresse http://www.ac-reims.fr/ ce samedi matin.

Le site de l'académie de Reims piraté ! Image_75252355

John a écrit:

La signification du texte "LA ILAAHA ILLALLAH" serait "Rien ne mérite d’être adoré sauf Allah".

Il y aurait donc des adorateurs du rectorat?

D'où le proverbial "Allah hack barre".

Heureusement que nous avons des équipes techniques très aguerries et dédiées dans chaque rectorat pour protéger puissamment les données, car avec les ENT qui se généralisent, ce genre de choses ferait désordre.

Marcassin a écrit:D'où le proverbial "Allah hack barre".

C'est malin... :lol:

Un de plus qui a été déçu par les ressources pédagogiques proposées par le site de Reims...

On sait ce que Reims peut, on voit ce que Reims doit.

Marcassin a écrit:D'où le proverbial "Allah hack barre".

Mouarf

le journal de FR3 Champagne Ardennes vient de faire sa "une" sur ce hacking.

Il parait que le rectorat fait ce qu'il peut... pour que la DSI revienne de vacances surement...

toutes ces vieilles histoires

http://fr.wikipedia.org/wiki/Alb%C3%A9ric_de_Humbert

Pourquoi Reims?

A cause du baptême de Clovis?

http://www.lefigaro.fr/actualite-france/2012/08/28/01016-20120828ARTFIG00561-des-hackers-islamistes-recidivent-en-france.php

"Dieulefit, 3355 âmes, petite ville de la Drôme, peut à nouveau afficher sur sa page d'accueil Internet les mines réjouies des chevaliers de la «confrérie du picodon». Il y a quelques heures encore, on y vantait à la place les mérites du djihad, vidéo à l'appui. Un pirate informatique s'était emparé presque deux jours durant des droits d'administrateur du site pour y déverser un flot de provocations islamistes, au grand dam de la maire, qui a découvert la mauvaise plaisanterie dimanche dernier, en rentrant de l'université d'été du PS à La Rochelle.

Les autorités prennent l'affaire très au sérieux. Une plainte en bonne et due forme a été déposée à la gendarmerie. Car le pirate, qui s'amuse à donner des adresses pour lui envoyer des courriels et invite son public pris en otage à s'abonner à des chaînes de vidéos sur YouTube qui font l'apologie la guerre sainte, a déjà frappé maintes fois. Sous l'appellation de «Group HP-Hack» (Hack pour hacker, pirate du Net en anglais), il a ainsi pris le contrôle samedi du site de l'académie de Reims, mais également de celui de la ville de Nanteuil-le-Haudouin (Oise).

Ce même groupe s'était déjà illustré en visant le site des Fraternités monastiques de Jérusalem, hébergé par la Conférence des évêques de France, d'abord en 2011, puis le 20 août dernier. Ce jour-là, il y diffusa une photo de La Mecque ainsi légendée: «I love you Mecca.» L'incident coïncidait avec la fin du ramadan.

[...] Le groupe, en tout cas, n'hésite pas à se revendiquer de «Ansar al-Sunna», bras armé de l'islamisme radical lié à al-Qaida. On doit notamment à cette cellule que les pirates encensent la revendication de nombreux attentats, comme en 2005 l'assassinat d'un entrepreneur japonais employé par les forces américaines en Irak, et de six de ses gardes du corps.

La logorrhée mise en ligne à Dieulefit ce week-end est donc analysée par les cyber-enquêteurs du ministère de l'Intérieur. Sur fond de chants guerriers en arabe, de sons d'explosions et de tirs à la kalachnikov, les vidéos incriminées mettent en scène, il est vrai, des moudjahidins en armes, brandissant des lance-roquettes, toisant «l'infidèle». Et des liens Internet renverraient vers l'Algérie… [...]"

Ils se sont pas foulés, dans l'article du Figaro...
Début de l'article
Sous-titre 1 : Des moudjahidins en arme
Suite de l'article
Sous-titre 2 : Des moudjahidins en armes
Fin de l'article.

Ce qui est franchement étonnant, c'est que cela n'ait pas eu lieu plus tôt . Aujourd'hui, 29 août 2012, je lis ceci :

- Nikto v2.1.4
---------------------------------------------------------------------------
+ Target IP: 195.98.229.190
+ Target Hostname: web.ac-reims.fr
+ Target Port: 80
+ Start Time: 2012-08-30 11:56:15
---------------------------------------------------------------------------
+ Server: Apache
+ Retrieved x-powered-by header: PHP/5.3.3

Déjà, là, c'est troué. Mais la suite est plus amusante encore :

- OSVDB-877: HTTP TRACE method is active, suggesting the host is vulnerable to XST
- /autologon.html?10514: Remotely Anywhere 5.10.415 is vulnerable to XSS attacks that can lead to cookie theft or privilege escalation. This is typically found on port 2000.
- /servlet/webacc?User.html=noexist: Netware web access may reveal full path of the web server. Apply vendor patch or upgrade
- /index.php?module=My_eGallery: My_eGallery prior to 3.1.1.g are vulnerable to a remote execution bug via SQL command injection.
- OSVDB-12184: /index.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
- OSVDB-12184: /some.php?=PHPE9568F34-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.
- OSVDB-12184: /some.php?=PHPE9568F35-D428-11d2-A769-00AA001ACF42: PHP reveals potentially sensitive information via certain HTTP requests which contain specific QUERY strings.

J'ai aussi accès à : /home, /includes, /logs, /tmp (amusant pour exécuter des scripts !).

Autres erreurs (je ne les mets pas toutes ici) :
- OSVDB-3093: /index.php?SqlQuery=test%20: This might be interesting... has been seen in web logs from an unknown scanner. (ndlr : mouarf !)
- OSVDB-3093: /index.php?topic=<script>alert(document.cookie)</script>%20 (une très belle injection potentielle)

Reims devrait de façon urgente embaucher des administrateurs système compétents !
J'espère qu'il n'y a pas trop de données sensibles là-dessus...

Autre chose rigolote :

Server banner has changed from Apache to Apache/1.3.23 (Unix) (Red-Hat/Linux)
mod_ssl/2.8.7 OpenSSL/0.9.6b PHP/4.1.2 mod_perl/1.26, this may suggest a WAF or load balancer is in place

Cela signifie qu'il y a plusieurs serveurs en load-balancing qui ne sont pas aux mêmes niveaux de patches. Ce qui est vraiment étonnant, c'est que ce site n'ait pas été piraté il y a bien longtemps...

Tiens, je n'avais pas vu. Mais il ne s'agit que de logiciels antédiluviens et dont les failles sont parfaitement connues et répertoriées...

En 2011 :

L’A.R.F (Association des Régions de France) vient de publier une enquête sur les moyens investis par les régions dans l’accompagnement du numérique éducatif, et constate que les progrès de la France sont toujours insuffisants en mettant en évidence le manque de participation de l’État dans ce domaine.

Le plus inquiétant est que sur 22 régions ayant répondu à l’enquête, 6 d’entre elles déclarent ne consacrer aucun moyen à la maintenance des équipements, les 16 autres y consacrant l’équivalent de 555 emplois temps plein (E.T.P).

Source : http://www.sundep.org/spip.php?article1230

Marcassin a écrit:En 2011 :

L’A.R.F (Association des Régions de France) vient de publier une enquête sur les moyens investis par les régions dans l’accompagnement du numérique éducatif, et constate que les progrès de la France sont toujours insuffisants en mettant en évidence le manque de participation de l’État dans ce domaine.

Le plus inquiétant est que sur 22 régions ayant répondu à l’enquête, 6 d’entre elles déclarent ne consacrer aucun moyen à la maintenance des équipements, les 16 autres y consacrant l’équivalent de 555 emplois temps plein (E.T.P).

Source : http://www.sundep.org/spip.php?article1230

Prenons les choses différemment. Un serveur, ça demande deux choses : une installation pas idiote et un passage de patches de sécurité sur le système et sur les applications lorsque c'est nécessaire (pas de patching day planifiées le premier mardi du mois pour les failles 0-day comme chez Microsoft !). Il faut une compétence d'installation (qui peut être partagée par plusieurs organismes) et une compétence de maintenance des systèmes (assez orthogonale avec la première). Avec un peu d'organisation et 34 etp, une région doit pouvoir y arriver, même avec des astreintes en 3x8, 365 jours par an.

Mais ça demande aussi autre chose, que les ingénieurs systèmes soient maîtres chez eux, donc maîtres de leurs solutions et de leurs achats. C'est-à-dire qu'on n'impose pas à ces équipes des outils totalement inadaptés aux résultats attendus, parce que c'est le meilleur moyen que rien ne se fasse correctement. C'est-à-dire qu'on ne doit jamais imposer des outils qui sont des passoires connues sous prétexte que tout le monde l'utilise (ici PHP, Apache et Linux, mais c'est aussi vrai avec Windows, MS Office et bien d'autres outils).

Pourquoi ? Parce que la force du couple Linux/Apache est aussi sa faiblesse. Les failles sont vites découvertes, vite patchées, mais faut-il encore que les administrateurs système patchent à leur tour leurs serveurs.

Le grincheux a écrit:

Server banner has changed from Apache to Apache/1.3.23 (Unix) (Red-Hat/Linux)
mod_ssl/2.8.7 OpenSSL/0.9.6b PHP/4.1.2 mod_perl/1.26, this may suggest a WAF or load balancer is in place

Evite de taper du poing sur ton clavier stp.

Dionysos a écrit:

Le grincheux a écrit:

Server banner has changed from Apache to Apache/1.3.23 (Unix) (Red-Hat/Linux)
mod_ssl/2.8.7 OpenSSL/0.9.6b PHP/4.1.2 mod_perl/1.26, this may suggest a WAF or load balancer is in place

Evite de taper du poing sur ton clavier stp.

:lol!:

Le grincheux a écrit:C'est-à-dire qu'on ne doit jamais imposer des outils qui sont des passoires connues sous prétexte que tout le monde l'utilise

Tomcat-Solaris serait-il meilleur qu'Apache-Debian?
Apparement non:

Spoiler:

http://www.lemonde.fr/asie-pacifique/article/2012/04/27/le-site-web-des-talibans-afghans-a-nouveau-pirate_1692124_3216.html

Avec toutes ces cyberguerres confinées aux plus hautes sphères, les particuliers n'ont peut-être rien à craindre des méchants arrhes Le site de l'académie de Reims piraté ! Icon__combat

?

Ou vaut-il mieux tester nos propres passes-war avec l'outil donné ci-dessus ?

xphrog a écrit:

Dionysos a écrit:

Le grincheux a écrit:

Server banner has changed from Apache to Apache/1.3.23 (Unix) (Red-Hat/Linux)
mod_ssl/2.8.7 OpenSSL/0.9.6b PHP/4.1.2 mod_perl/1.26, this may suggest a WAF or load balancer is in place

Evite de taper du poing sur ton clavier stp.

:lol!:

Le grincheux a écrit:C'est-à-dire qu'on ne doit jamais imposer des outils qui sont des passoires connues sous prétexte que tout le monde l'utilise

Tomcat-Solaris serait-il meilleur qu'Apache-Debian?
Apparement non:
Spoiler:

http://www.lemonde.fr/asie-pacifique/article/2012/04/27/le-site-web-des-talibans-afghans-a-nouveau-pirate_1692124_3216.html

Avec toutes ces cyberguerres confinées aux plus hautes sphères, les particuliers n'ont peut-être rien à craindre des méchants arrhes ?

Ou vaut-il mieux tester nos propres passes-war avec l'outil donné ci-dessus ?

Tous les outils un tant soit peu complexes sont potentiellement troués. C'est bien pour cela qu'on paie des ingénieurs système et que les ingénieurs système compétents sont fort bien payés. C'est aussi pour cela qu'on utilise de manière préférentielle des outils sur lesquels on peut faire un audit de code (*BSD, Linux, Solaris, Apache, WASD...) que des outils propriétaires (Windows, IIS...).

Mais ça va encore un peu plus loin que cela. Si les logiciels actuels sont plus troués que ceux d'il y a vingt ans, c'est principalement pour deux raisons :
1/ la majorité du code critique est écrit en C (une belle conceté) ;
2/ l'esprit fantassin se perd et tous les jeunes que je vois savent assembler des briques sans comprendre ce qu'il y a dedans. Et comme on ne devrait jamais avoir le droit d'utiliser une bibliothèque sans être capable de la coder soi-même, on arrive à des catastrophes qui vont de l'explosion d'Ariane V à ce qui vient de se passer sur le site du rectorat de Reims.

le Grincheux a écrit:on ne devrait jamais avoir le droit d'utiliser une bibliothèque sans être capable de la coder soi-même

:shock: :shock:

code Dewey a écrit:364.16 - Atteintes à la propriété (fraude, piraterie, vandalisme, vols)

La logique me semble assez juste. Interdisons Wordstar !

Spoiler:

xphrog a écrit:

le Grincheux a écrit:on ne devrait jamais avoir le droit d'utiliser une bibliothèque sans être capable de la coder soi-même

:shock: :shock:

Oui. Lorsqu'on utilise une bibliothèque, c'est pour gagner du temps, pas parce qu'on ne sait pas ou ne comprend pas comment elle est fichue. Utiliser des routines alors qu'on ne sait pas comment elles sont codées (ni quels sont leurs effets de bord, leurs limites ou leurs domaines de validité) implique des hypothèses souvent foireuses de la part du développeur. Le strict minimum est de parfaitement maîtriser l'interface et de traiter tous les cas d'erreur. C'est très rarement fait.

Quant au C (ou au C++, parce que pour le coup, même combat), ce langage devrait être interdit parce qu'il est trop permissif et qu'à moins d'avoir une très bonne hygiène de codage, il n'est pas fiable (le coup des chaînes de caractères terminées par un nul ou des buffers avec une longueur qui n'est pas intrinsèque au tableau d'octets est la pire chose qui se puisse exister).

Le grincheux a écrit:Ce qui est franchement étonnant, c'est que cela n'ait pas eu lieu plus tôt . Aujourd'hui, 29 août 2012, je lis ceci :

Spoiler:

, n'importe quel script-kiddie aurait dégommé le site de l'académie en deux temps trois mouvement ...

Le site de l'académie de Reims piraté !

Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !

Re: Le site de l'académie de Reims piraté !