PEBKAC #7470

Lors d'une formation en Administration Réseau qui avait lieu dans un lycée, nous avions pour exercice de mettre en place un serveur Web.

Afin de voir la tête des pages Web des autres élèves, je lance un scan sur le port 80 sur les adresses IP du lycée. Je tombe alors accidentellement sur la page de démarrage de XAMPP, où a été installé GLPI / OCS.
GLPI / OCS était bien sécurisé par un mot de passe, mais pas PhpMyAdmin.

Ma vilaine curiosité de pirate me donne alors l'idée de modifier le mot de passe chiffré en MD5 de l'administrateur dans MySQL, afin d'avoir accès à GLPI. Quelle ne fut pas ma surprise de voir que dans GLPI, il y avait un document PDF avec tout les mots de passe du lycée.

Vu que je ne suis pas un "black hat" sans scrupule, après avoir remis l'ancien mot de passe, j'ai averti le stagiaire qui travaillait là-bas en lui donnant la procédure pour mettre un mot de passe sur MySQL.

Ma foi, c'était amusant mais ça reste limite pour un administrateur réseau. PEBKAC.

PEBKAC #7470 proposé par bagramor le 05/04/2013 | 17 commentaires | 👍🏽 👎🏽 +219

Attention, avertir de l'insécurité peut se retourner contre toi.
Y'en a qu'ont essayé, ils ont eu des problèmes !

Commentaire #87267 écrit par juu le 05/04/2013 à 12h43 | 👍🏽 👎🏽

Devant leur propre incompétence, certains ne trouvent rien de mieux à faire que de porter plainte pour les avoir aidé. Un mail anonyme aurait pu faire l'affaire ^^

Commentaire #87270 écrit par superzamp le 05/04/2013 à 13h00 | 👍🏽 👎🏽

Il brûlera en enfer pour avoir osé pirater le serveur de son lycée ! Graine de voyou !

Commentaire #87274 écrit par Incompétent le 05/04/2013 à 13h08 | 👍🏽 👎🏽

pour moi, ocs c'etait office communication server.
je voyais pas bien le lien.
font chier ces informaticiens à tout abréger, et à utiliser les mêmes acronymes pour des trucs differents :)

Commentaire #87280 écrit par root le 05/04/2013 à 13h43 | 👍🏽 👎🏽

http://en.wikipedia.org/wiki/OCS_Inventory

Commentaire #87286 écrit par FBM le 05/04/2013 à 13h59 | 👍🏽 👎🏽

Oui, il vaut mieux l'avoir fait en anonyme ...

Commentaire #87290 écrit par mini le 05/04/2013 à 14h46 | 👍🏽 👎🏽

C'est qu'il y en a pas mal : http://en.wikipedia.org/wiki/OCS

Commentaire #87291 écrit par juu le 05/04/2013 à 14h56 | 👍🏽 👎🏽

Warning : PEBKAC clairement pas accessible au grand public.
Sérieux, j'ai rien compris. "XAMPP ? GLPI-OCS ?" Je suis pas admin réseau, loin de là, heureusement.

Commentaire #87295 écrit par Seer le 05/04/2013 à 15h52 | 👍🏽 👎🏽

connaitre les acronymes n'est pas indispensable à la compréhension du PEBKAC, celui ci consiste juste à dire qu'il y avait un accès non sécurisé à une base de donnée et que cet accès a conduit à la découverte d'un fichier PDF avec tous les MDP, donc double PEBKAC

Commentaire #87298 écrit par Lena le 05/04/2013 à 16h02 | 👍🏽 👎🏽

Du coup t'as bien fait de l'avoir dit au stagiaire et pas à l'admin lui même...

Commentaire #87306 écrit par Moot le 05/04/2013 à 17h46 | 👍🏽 👎🏽

Et bien ... je dirais que c'est le but ^^

Commentaire #87307 écrit par mini le 05/04/2013 à 17h49 | 👍🏽 👎🏽

Moi non plus je n'ai pas compris ces trois mots, mais ça ne m'a absolument pas gêné pour comprendre le PEBKAC.

Commentaire #87330 écrit par Shirluban le 05/04/2013 à 19h48 | 👍🏽 👎🏽

Ca fait longtemps que je n'ai pas utilisé MySQL, mais en mettant un mot de passe le stagiaire ne risque pas de planter toutes les applications qui accédaient sans mot de passe à la base de données ?

Commentaire #87370 écrit par Acorah le 05/04/2013 à 23h44 | 👍🏽 👎🏽

Effectivement, mais je lui est précisé la procédure pour rajouter le mot de passe dans GPLI/OCS

Commentaire #87379 écrit par bagramor le 06/04/2013 à 01h27 | 👍🏽 👎🏽

XAMPP (X Apache MySQL Php Perl) Ensemble de logiciels pour mettre facilement en place un serveur web sur n'importe quel système d'exploitation (normalement pour faire du développement car très peu sécurisé par défaut)

GLPI : (gestionnaire libre de parc informatique)

OCS Inventory (Open Computer and Software Inventory) :Gestion d'inventaire informatique

MySQL : Serveur de base de données

PhpMyAdmin : Administration de base de données (par le web)

Punaise c'est vrai que ça en fait des acronymes...

Commentaire #87381 écrit par bagramor le 06/04/2013 à 01h36 | 👍🏽 👎🏽

Tiens c'est marrant, j'ai vu exactement le même cas (GLPI / OCS / phpMyAdmin en root sans mot de passe) dans l'infrastructure interne d'une grosse SSII française. Avec en prime les agents déployés sur tout le parc qui annoncent bien à tout le monde où se situe le serveur avec le problème :)

Et après ça veut donner des leçons de sécurité a ses clients ...

Commentaire #87391 écrit par n0p le 06/04/2013 à 03h20 | 👍🏽 👎🏽

Une bonne solution peu être de laisser la procédure sur un pdf déposé partout.

Commentaire #87417 écrit par Geek-garou le 06/04/2013 à 15h13 | 👍🏽 👎🏽