PEBKAC #8557

Sur l'ENT de mon nouveau lycée, les élèves pouvaient se connecter à leur espace personnel avant la rentrée en utilisant le mot de passe de l'année précédente (valable pour tous les lycées de l'académie), et voyaient un message leur indiquant leur classe, avec un lien vers « l'espace classe », de la forme « http://domaine.tld/classes/nom_de_la_classe ».

Pour une raison que j'ignore, cette donnée ne devait pas être révélée, et lorsque l'information a circulé les administrateurs ont retiré le message, et les élèves ne pouvaient plus connaître leur classe à l'avance.

Cet après-midi, en entrant directement le lien que j'avais noté avant l'intervention des administrateurs, j'ai toujours accès à l'espace classe. Par contre, pour les espaces des autres classes, j'ai droit à une erreur 403. PEBKAC.

PEBKAC #8557 proposé par apprenti_hackeur le 11/09/2013 | 13 commentaires | 👍🏽 👎🏽 +70

Oui, et?

Qu'y a-t-il dans cet "espace classe"? En quoi est-ce supposé être public/privé?
Que peut-on faire dessus?
En quoi est-ce aberrent que le serveur te refuse l'accès à un espace dont du n'est pas supposé avec accès?

Imaginons qu'un prof utilise cet espace pour transmettre un corrigé aux élèves d'une de ses classes, il n'a probablement pas envie que les autres classes qui n'ont pas encore passé le contrôle y aient accès.

Commentaire #110558 écrit par Shirluban le 11/09/2013 à 18h01 | 👍🏽 👎🏽

Un administrateur constate une faille de sécurité et bloque la fonctionnalité le temps de trouver une solution. Un Captain Obvious peut-il m'expliquer où est le PEBKAC ?

Commentaire #110561 écrit par Acorah le 11/09/2013 à 18h12 | 👍🏽 👎🏽

DTC
(Dans Ta Classe)

Désolé, j'ai pas pu me retenir.
{bouclier anti-CTB}

Commentaire #110565 écrit par Shirluban le 11/09/2013 à 18h22 | 👍🏽 👎🏽

Le PEBKAC, comme je l'ai compris, vient du fait que les administrateurs aient désactivé le message indiquant la futur classe des élèves. Mais en tapant directement l'url des différentes classe il est toujours possible de trouver sa classe, car c'est la seul qui ne renverra pas une erreur 403.

Commentaire #110566 écrit par Tulmandil le 11/09/2013 à 18h30 | 👍🏽 👎🏽

Han ça me rappelle mon passage en 2ème année d'IUT. Les profils utilisateurs des élèves étaient dans une hiérarchie différente selon leur classe, du genre :
/home/etudiants/s3g4/profil1 et /home/etudiants/s3g1/profil2 pour des étudiants dans les classes 4 et 1 de semestre 3.

Et évidemment, connecté quelques semaines avant la rentrée en SSH, j'avais pu constater en remontant l'arborescence qui se trouvait en telle ou telle classe et avait communiqué l'information aux camarades de promo.
Le directeur du département a eu très vite fait de me contacter pour savoir comment j'avais pu obtenir une information confidentielle. ^^;

Commentaire #110572 écrit par mAn le 11/09/2013 à 18h44 | 👍🏽 👎🏽

Comme toujours, notre disciple hacker a du mal à s'exprimer et à se faire comprendre par l'assemblée.

Commentaire #110580 écrit par Samael le 11/09/2013 à 18h52 | 👍🏽 👎🏽

apprenti_hackeur ou l'art du PEBKAC qui divise :)

Commentaire #110624 écrit par Cid2Nice le 12/09/2013 à 08h04 | 👍🏽 👎🏽

Tant qu'il ne divise pas par zéro…

Commentaire #110671 écrit par Ishido le 12/09/2013 à 11h36 | 👍🏽 👎🏽

rien compris

Commentaire #110677 écrit par co2 le 12/09/2013 à 12h04 | 👍🏽 👎🏽

un p'tit script avec un curl (la flemme de retrouver la syntaxe) pour boucler sur les classes en étant logué, et au lit.

Commentaire #110730 écrit par ygnobl le 12/09/2013 à 15h08 | 👍🏽 👎🏽

Je réexplique pour ceux qui n'auraient pas saisi…
Sur le site du lycée, dix jours avant la rentrée, si on se connecte, on voit, en page d'accueil, un lien avec notre notre classe (par exemple « PCSI 2 »), avec un lien vers une certaine page, http://domaine.tld/classes/pcsi2. Plusieurs élèves s'en aperçoivent, l'info circule sur des forums, et beaucoup d'élèves connaissent leur classe un peu à l'avance.
Mais manifestement, et pour une raison que j'ignore, nous ne devions pas connaître notre classe. Le lien est donc supprimé de la page d'accueil, et un message nous disant qu'une indication de classe était apparue « par erreur » le remplace.
J'essaye, malgré tout, d'aller sur la page http://domaine.tld/classes/pcsi2 à laquelle j'ai toujours accès si je suis connecté. Par contre, une erreur 403 apparaît lorsque je demande, par exemple http://domaine.tld/classes/pcsi1. Et c'est le cas pour tous les utilisateurs. Donc plutôt que de supprimer purement une information qu'ils ne veulent pas voir diffusée, les admins réseau ont juste fait en sorte qu'elle ne soit pas affichée en gros en rouge sur une page d'accueil. En ce sens, même s'il ne s'agit pas, je pense, d'un problème majeur, je me permets de penser que les types n'ont pas beaucoup réfléchi, et c'est là qu'est le PEBKAC.
Bonne soirée !

Commentaire #111177 écrit par apprenti_hackeur le 14/09/2013 à 23h06 | 👍🏽 👎🏽

Le problème vient du fait que les erreurs 403 ne sont lancées que si je me connecte sur les espaces des autres classes. Je ne suis pas sensé connaître ma classe, donc je ne suis pas sensé non plus pouvoir accéder à l'espace de ma classe, donc je devrais, selon toute logique, aussi obtenir une erreur 403 en me connectant sur l'espace de la classe dans laquelle je serais !

Commentaire #111180 écrit par apprenti_hackeur le 14/09/2013 à 23h09 | 👍🏽 👎🏽

La question c'est surtout comment tu as pu avoir les identifiants ssh...

Commentaire #111459 écrit par Moot le 16/09/2013 à 23h09 | 👍🏽 👎🏽