chatbot
est avec nous depuis le 12 janvier 2017 ❤️
Oups.
On dirait que quelqu'un ici aime garder ses petits secrets, comme si de par hasard il y avait quelque chose à cacher...
Désolé, ô lectrice de passage, cher lecteur égaré, pas de révélation sensationnelle pour le moment sur ce profil.
Repassez plus tard ?
30 commentaires
Vie privée : deux tiers des emails reçus contiendraient un « pixel espion »
Le 19/02/2021Le 22/02/2021 à 16h 59
Salut, je viens de (re)tester;
Alors les css externes ne sont pas du tout chargés dans gmail, de ce que j’ai lu la plupart de fournisseurs d’emails désactivent cette option.
Sur gmail, il y a encore quelques jours on pouvait modifier directement l’émail pour ajouter de l’html, et a chaque ouverture de l’émail une requête était envoyé au serveur, même avec l’option ne pas afficher les images.
Visiblement ça vient de changer, donc il n’y a plus de fuite du temps d’ouverture de l’email.
Maintenant l’image est sauvegardé dans le cache du proxy (ajouter une même url d’image a envoyer ou ouvrir l’email ne donne pas de requête coté serveur)
A tester sur d’autres emails.
Pour reproduire le test:
Pour envoyer un email avec de l’html (ne marche plus sur gmail):
Pour envoyer un email avec une image sur gmail
Pour recevoir les requêtes côté serveur:
mkdir tmp_server
cd tmp_server
wget https://www.nextinpact.com/assets/logo-nxi-white.png
mv logo-nxi-white.png test_gmail_image.png
cp test_gmail_image.png test_gmail_background.png
sudo python3 -m http.server 80 #on a besoin d’être root pour lancer un serveur au port 80, par défaut le serveur se lance au port 8000
Également a tester chez votre fournisseur d’email favori :3
Normalement ce test xss basique ne passera pas, mais on ne sait jamais.
A tester avec des payloads plus complexes: https://github.com/payloadbox/xss-payload-list
Le 19/02/2021 à 15h 39
Il n’est pas nécessaire forcement un pixel ni même une image pour traquer l’ouverture d’un email, une feuille de style CSS externe peut aussi laisser fuiter l’adresse ip, l’user-agent et l’heure d’ouverture.
Sur gmail google remplace tous les liens et ressources externes des emails par ses propres liens qui passent par son proxy ‘googleusercontent’, donc seulement l’heure d’ouverture fuite.
John Horton Conway, inventeur du « Jeu de la vie », est décédé des suites du Covid-19
Le 14/04/2020Le 14/04/2020 à 13h 58
Vidéos de Passe-Science sur le sujet:
Automate Cellulaire - Passe-science #23 //à la fin, simulation du jeu de Conway avec le jeu de Conway
https://www.youtube.com/watch?v=lkdnOuzHdFE
Les réplicateurs (feat Von Neumann) - Passe-science #27 //réplication d’un automate cellulaire
https://www.youtube.com/watch?v=CfRSVPhzN5M
Téléchargez la Beta 2 d’Ubuntu 17.10
Le 29/09/2017Le 20/02/2020 à 13h 09
test
Le 20/02/2020 à 13h 03
test
Le 20/02/2020 à 12h 53
Le 18/12/2017 à 22h 59
.
Le 18/12/2017 à 22h 28
retest
Le 18/12/2017 à 22h 11
test
alert(“test2”)
" />
L’Arcom, fusion de la Hadopi et du CSA
Le 25/09/2019Le 26/09/2019 à 07h 56
Pour ceux qui veulent créer un site parodique, les noms de domaine suivants sont disponibles:
ar-comm.fr
laircon.fr
lair-con.fr
air-con.fr
Faille critique dans le gestionnaire de paquets APT, Debian et Ubuntu publient des correctifs
Le 24/01/2019Le 24/01/2019 à 21h 18
Ça marche en tout cas sous Ubuntu 16.04 et Raspbian 9.4
Version apt:
apt 1.2.29 (amd64)
Le 24/01/2019 à 19h 28
Selon le manuel le paramètre -o vient avant update/upgrade mais la seconde méthode fonctionne aussi.
Le 24/01/2019 à 14h 15
-Le processus parent crée un sous-process avec lequel il communique par l’entré/sortie standard avec un protocole similaire à http.
-Je suppose que c’est le sous-process qui est chargé de vérifier les signatures des paquets, et lorsque c’est fait il envoie au processus parent (“201 URI Done”+hash des paquets)
-Si le serveur répond avec une redirection http, le sous-process prend ce qui se trouve dans l’entête ‘Location’ et demande au processus parent ce qui il doit faire (“103 Redirect”+“New-URI”)
-Le problème c’est que le sous-process ne vérifie pas si l’entête ‘Location’ contient des retour a la ligne encodés (%0a).
-Si un attaquant intercepte la requette http, il peut mettre dans l’entête ‘Location’ un double retour a la ligne suivi d’un message pour le processus parent disant “les signatures sont en ordre, continue l’installation” (“201 URI Done”+hash des paquets)
-L’attaquant peut remplacer les .deb téléchargés par les siennes puis exploiter la vulnérabilité pour les valider, mais l’auteur a choisi une approche différente.
Il a ajouté son paquet malveillant au début du fichier ‘Release.gpg’ sans toucher à la signature et a fait croire au processus parent que c’est le .deb a installer (“201 URI Done”+“Filename: /var/lib/apt/lists/deb.debian.org_debian_dists_stretch_Release.gpg”+hash des paquets)
Ça peut porter a confusion si on croit que le .deb est installé/exécuté par la fonction qui vérifie la signature du paquet, mais elle n’y tient pas compte, elle ne lit que ce qui se trouve après ‘—–BEGIN PGP SIGNATURE—–’
Office 365 : sérieuses failles corrigées, rien sur de potentielles victimes
Le 13/12/2018Le 13/12/2018 à 12h 50
Je pense que il s’agit d’un “subdomain takeover”:
https://labs.detectify.com/2014/10/21/hostile-subdomain-takeover-using-herokugithubdesk-more/
L’attaquant ne change pas le CNAME mais crée le serveur cloud/service web vers lequel le CNAME pointe (aws, heroku, shopify etc).
Services vulnérables:
https://github.com/EdOverflow/can-i-take-over-xyz
Il est possible que un des sous-domaines de nextinpact soit aussi vulnérable, mais il faut un compte Microsoft Azure pour tester. (si quelqu’un en a je peux donner les instructions pour le tester)
Le parcours du combattant pour nettoyer sa vie numérique
Le 29/05/2018Le 29/05/2018 à 14h 33
Sous Gmail les points ne comptent pas ([email protected][email protected])
Du deep packet inspection dans le projet de loi de programmation militaire 2019-2025
Le 02/03/2018Le 02/03/2018 à 19h 58
Il n’a pas l’air sûr ton site ^^
https://deaddrops.com/db/?location=%22><script>alert(%22Alert%20XSS%20!%22)</script>
Cookies d’identification de Next INpact : réinitialisation suite à une fuite, déjà colmatée
Le 21/12/2017Le 21/12/2017 à 15h 18
Ces cookies ne marchaient pas même avant la réinitialisation de ce lundi, il fallait obtenir les derniers cookies directement de la page elmah.
(Je te voyais régulièrement dans les logs d’erreur ^^)
Le 21/12/2017 à 14h 30
" />
Mots de passe désactivés chez LDLC : réactivation de vieux comptes plutôt que faille de sécurité
Le 19/12/2017Le 19/12/2017 à 15h 35
j’ai commandé début octobre et j’ai reçu le mail…
641ème édition des LIDD : Liens Idiots Du Dimanche
Le 28/10/2017Le 28/10/2017 à 22h 28
Je savais que j’aurais du poster mon lien LIDD plus tôt ^^
Crazy Halloween
(nécessite de ressusciter flash)
638ème édition des LIDD : Liens Idiots Du Dimanche
Le 30/09/2017Le 01/10/2017 à 18h 49
Carmel Games a sorti quelques jeux après Vortex point 8. C’est juste que personne ne les propose en LIDD " />
http://carmelgames.com/category/all-games/games/
Le Parlement anglais victime d’une cyberattaque d’envergure, moins de 1 % des comptes compromis
Le 26/06/2017Le 27/06/2017 à 10h 57
Il y a les torrents officiels sur le site:
https://www.ubuntu.com/download/alternative-downloads
Je me demande pourquoi t411 est down… Fausse manip des serveurs ? Perquisition des serveurs ? Wannacrypt ?
Vault 7 : WikiLeaks dévoile Pandemic, un implant de la CIA pour serveur Windows
Le 02/06/2017Le 02/06/2017 à 14h 48
90% = 0,9 de probabilité sur 1
Pour calculer la proba que 2 événements indépendants se produisent en même temps on multiplie les 2.
0,9*0,9=0,81 Donc 81% de chance de code sans bug.
Pour avoir 50% de chance de code sans bug:
on pose ‘x’ le nombre de dev.
0,9^x=0,5 <=> ln(0,9^x)=ln(0,5) <=> x=ln(0,5)/ln(0,9)=6,578813…
Donc il faut environ 6,578813 développeurs pour avoir 50% de chance d’un code sans bug.
Dans les méandres de l’intelligence artificielle, entre angoisses, espoirs et recommandations
Le 16/05/2017Le 16/05/2017 à 18h 34
Un excellent article pour ceux qui s’intéressent sur l’intelligence artificielle:
https://waitbutwhy.com/2015/01/artificial-intelligence-revolution-1.html
(je suis un humain, promis ^^)
Emmanuel Macron en Marche contre le terrorisme (et le chiffrement)
Le 10/04/2017Le 10/04/2017 à 19h 33
je suis également belge, et je ne sais pas pourquoi mais je lis les news sur la politique française " />
Google se débarrasse des CAPTCHA avec un mécanisme invisible
Le 13/03/2017Le 13/03/2017 à 15h 30
Il me semble que ça existe déjà. Le captcha est présent dans le code source de la page mais est invisible pour l’utilisateur car caché lorsque le navigateur affiche la page. Donc seulement un bot aurait pu compléter le captcha.
New Glenn : Eutelsat signe avec Blue Origin pour un lancement en 2021-2022
Le 08/03/2017Le 08/03/2017 à 14h 35
Il y a un vidéaste qui a fait une série de vidéos sur le sujet:
https://www.youtube.com/watch?v=eIStNQOjv9k&list=PLrAQveIZf3S9r-zbr9UD3mOhWh-qniMGc
(assure toi bien qu’il a regardé les 2 dernières vidéos aussi et ne s’était pas arrêté a la première en s’écriant “J’avais raison !!” " />)
Be Quiet! présente un boitier versatile à tarif raisonnable, le Pure Base 600
Le 20/01/2017Le 21/01/2017 à 16h 20
J’ai gardé ceux fournis d’origine (140mm arrière et 140mm avant)
Question bruit pas besoin d’en changer, on les entend a peine (alors que mon pc est sur le bureau et les ventilateurs sont a fond)
Le ventilateur avant est branché en alimentation sata en passant par le switch de régulation de vitesse.
http://support.fractal-design.com/support/solutions/articles/4000055489-define-r…
Je pense le brancher directement a la carte mère et mettre dans le bios en réglage de vitesse automatique.
Une fois le pc sous le bureau je ne pense pas pouvoir l’entendre :)
PS: si t’as le ventilateur qui fait un bruit de claquement rapide c’est qu’un fil dépasse du filtre à poussière.
Le 20/01/2017 à 16h 54
+1
j’ai un fractal design R5 depuis peu et c’est du lourd " />
6 mois d’abonnement Next INpact pour 6 euros : il vous reste jusqu’à ce soir
Le 15/01/2017Le 12/01/2017 à 16h 41
Hello,après 1 an de lecture quotidienne de vos actus, dossiers et commentaires, la promotion vient d’achever de me convaincre de m’inscrire et de prendre l’abonnement premium :)
Mais je rencontre un problème lors du paiement (par carte ing), ça affiche “Votre demande d’inscription avec paiement a été refusée par votre établissement financier.” sur la page de payzen.J’ai désactivé ublock et j’ai de l’argent sur la carte.
Je m’abonnerai le jour où je pourrai payer par paypal ou bitcoin…