Mais Encore

Inline Detection of Evil JavaScript: "Exploit kits are a much more common threat on the web than they used to be. In order to evade detection, the kits frequently contain logic to obfuscate, or hide, the meaning behind the content that they serve to the victim. Additionally, with each visit to the exploit page, the obfuscation techniques will differ slightly so that static, content signatures will be unable to detect the threat. Other threats contain obfuscated JavaScript (JS) which sets up the page to exploit a vulnerability and launch a payload (for example, 'spraying' the heap with shellcode). Still other threats inject obfuscated JS into legitimate sites, which after decoding embeds a hidden (0-pixel) IFrame to malicious content. As we have seen in the past, the JS encodings vary greatly with each incident, and many instances are encoded multiple times and may contain non-standard JS (reference past blog posts, such as

(Via Zscaler Research blog.)

Technorati Tags: security, securite, owasp, zscaler, appsec

Alors, ca commence a faire beaucoup de site qui vous renvoie votre mot de passe....
Alors si on faisait une petite liste(non représentative, mais ca aidera....) :

• Sarenza.com
• SNCF - Grand Voyageur
• .....

Pour rappel le renvoi des mots de passes est considéré comme un failed par les bonnes pratiques de dév.... S.

Encore une fois la SNCF fait parler d'elle...On va se demander si c'est pas juste une opération de communication....
Déja hier, l'exercice a été loupé....

Et dire que leur slogan est : « des idées d'avance »

Maintenant on parle juste des données de tous les abonnés qui étaient dispos par une faille....Et dire que ces gens dépensent des millions et ne sont pas capable de "coder" proprement..... Je leur suggère de lire au minimum le Top10 OWASP(même que si ils le veulent je suis prêt a me déplacer pour leur présenter la chose.....)

Je me dis même qu'a priori ils ont des Web Applications Firewalls, vu que c'est maintenant quasi-obligatoire dans toute structure de cette taille...J'espère juste qu'ils ne les avaient pas mis en place à ce moment la.....

Bref, je leur souhaite une bonne lecture de ce que nous avons présenté à Confoo avec Antonio :

• SDLC simple et concret
• OWASP Top10
• Web Application Security, where to start

Enfin, c'est pas grave, ils vont encore nous augmenter le prix des billets et des abonnements pour payer les embarras générés par ces petits problèmes de "communication".