PEBKAC #9148

Sur un forum, un membre tente de créer des utilisateurs en PHP via un formulaire qui demande le nom d'utilisateur et le mot de passe. Voici le code en question :

shell_exec("sudo useradd -p $encpass -g groupname -s /bin/bash $username");

Avec un fichier /etc/sudoers :

http ALL=(ALL) NOPASSWD: ALL
root ALL=(ALL) ALL
%wheel ALL=(ALL) NOPASSWD: ALL
%sudo ALL=(ALL) ALL

Et bien entendu, aucune vérification sur les données entrées par l'utilisateur. PEBKAC.

PEBKAC #9148 proposé par SnaFu le 20/12/2013 | 13 commentaires | 👍🏽 👎🏽 +119

Son script est utilisable par le public ? Ou demandait-il conseil (ce qui reste un pebkac en soi) ?

Commentaire #123271 écrit par Aaargh!!! le 20/12/2013 à 08h33 | 👍🏽 👎🏽

ah ok grace au commentaire de Aaaargh j'ai compris que le forum en question n'est probablement pas celui qui fait tourner le code montré, mais celui sur lequel qqun à posé la question de comment créer des utilisateurs en PHP en montrant ce code.

Bref du coup même si c'est une grosse erreur jsuis réservé sur le vote (enfin trop tard pour moi :P tête dans le paté quand tu nous tiens)

Commentaire #123293 écrit par yomama le 20/12/2013 à 09h08 | 👍🏽 👎🏽

En général je lis toujours les comms avant de voter. J'ai regretté trop de votes.

Commentaire #123295 écrit par Aaargh!!! le 20/12/2013 à 09h10 | 👍🏽 👎🏽

Même si les utilisateurs qui ont accès à l'application sont peu nombreux, ne pas valider ce qui est envoyé est criminel. Un petit exemple, si l'utilisateur à créer est kissikonez75;sudo halt, on arrête le serveur...

Commentaire #123314 écrit par Acné le 20/12/2013 à 10h06 | 👍🏽 👎🏽

Juste un halt ? Autant se mettre directement dans le groupe sudo pour ensuite faire ce qu'on veut sur la machine.

Commentaire #123325 écrit par juu le 20/12/2013 à 10h43 | 👍🏽 👎🏽

A mon avis c'est une demande, sinon comment SnaFu aurait pu connaitre le code et le contenu du fichier sudoers ? A moins qu'il ait accès au serveur, mais alors il est aussi un PEBKAC pour laisser ça.

Edit : http://www.reddit.com/r/PHP/comments/1l7baq/creating_a_user_from_the_w[...]

Commentaire #123327 écrit par juu le 20/12/2013 à 10h45 | 👍🏽 👎🏽

S'il veut avoir des emmerdes, je confirme, c'est la bonne marche à suivre.

Commentaire #123335 écrit par aDev le 20/12/2013 à 11h02 | 👍🏽 👎🏽

@juu : c'était juste un exemple, je ne veux pas avoir de problème avec la justice en expliquand comment faire pour pirater un ordinateur...

[FIN DU COMMENTAIRE]

sudo adduser tipiak3000 wheel

Commentaire #123337 écrit par Acné le 20/12/2013 à 11h05 | 👍🏽 👎🏽

Il se fait basher sévère sur reddit. Premier comm : c'est le pire code que j'ai vu ; deuxième, est-tu sérieux ?

Bref, je sais maintenant chez qui pifenmoins cherchait ses améliorations

Commentaire #123364 écrit par Aaargh!!! le 20/12/2013 à 13h07 | 👍🏽 👎🏽

Grâce à Aaargh!, on sait que ce code provient d'un forum où le posteur demande conseil sur son code. Depuis quand demander de l'aide/des conseils est un PEBKAC ?

Commentaire #123385 écrit par Araldwenn le 20/12/2013 à 15h21 | 👍🏽 👎🏽

En parlant de code, j'ai enfin trouvé comment avoir la médaille "Voyageur Galactique Impatient"... Faut dire que jusqu'ici j'avais pas trop cherché...

Commentaire #123387 écrit par Araldwenn le 20/12/2013 à 15h45 | 👍🏽 👎🏽

C'est quoi le problème ? Les ALL qui semblent tout autoriser ?

Commentaire #123406 écrit par spidermoon le 20/12/2013 à 16h31 | 👍🏽 👎🏽

Magnifique. Je le garde sous la main comme exercice pour mon cours de sécu.

Commentaire #123424 écrit par b0fh le 20/12/2013 à 20h05 | 👍🏽 👎🏽