Secu d'un site

[Annony]

Salut,

Je regardais Harry Potter quand j'ai commencé à m'ennuyer j'ai cherché un site qui traitait de Harry Potter et regardé si il y avait une boutique il y en a effectivement une. Je suis baladé dedans et j'ai trouvé avec aucun logiciel tiers, juste avec mon navigateur et ma souris les codes promo du site (sur une page admin non secu, des codes de 100%), je pensais que c'était crypté alors pour éviter de les déranger pour rien j'ai créé un compte et fais un test, j'ai choisi un article j'ai rentré le code promo et j'ai annulé l'achat le code avait effectivement bien marché, je dois faire quoi dans ce cas ? Les prévenir mais je risque qqc ?

Merci d'avoir lu.
-----

[JPL]

Tout responsable d'un site apprécie qu'on lui signale une faille. Si tu n'as fait que des manipulations que n'importe qui peut faire sans autre chose que le navigateur tu n'as commis aucune infraction.

[Annony]

D'accord, merci je leur dirais ce matin !

[BioBen]

tu n'as commis aucune infraction.

La réponse de JPL n'est pas exact.
Le fait d'entrer ou de se maintenir dans une zone explicitement voulue privée est illégal en France.
Donc si la zone s'appelait 'admin' et que vous n'êtes pas admin, vous n'aviez pas à y faire quoique ce soit et encore moins à "tester pour voir si vous pouviez faire un code promo etc".

Tout responsable d'un site apprécie qu'on lui signale une faille. Si tu n'as fait que des manipulations que n'importe qui peut faire sans autre chose que le navigateur

Pour rappel une injection sql, ça se fait sans rien du tout.
Par exemple si je m'inscris sur un site avec comme pseudo ' OR 1 -- et que le site est vulnérable, il m'enverra en retour de mon inscription des infos sur la base de données.
Et si je fais une inscription avec un pseudo un tout petit peu plus compliqué, j'ai de bonnes chances de recevoir en retour de mon inscription la base des login/mdp/privilèges.
C'est autorisé ou pas ?

[A voir en vidéo sur Futura]

[BioBen]

Pour compléter

La loi incrimine également le maintien frauduleux ou irrégulier dans un système de traitement automatisé de données de la part de celui qui y est entré par inadvertance ou de la part de celui qui, y ayant régulièrement pénétré, se serait maintenu frauduleusement ( Cour d’appel de Paris, jugement du 5 avril 1994 précité).

Quant à l’élément intentionnel de cette infraction, la doctrine et la jurisprudence s’accordent à admettre que l’adverbe « frauduleusement « n’est pas le dol général de l’attitude volontaire, ni le dol très spécial de l’intention de nuire, mais la conscience chez le délinquant que l’accès ou le maintien ne lui était pas autorisé.

http://www.e-juristes.org/Les-atteintes-aux-systemes/

[JPL]

Oui mais si c'est une page en open access sans rien qui indique que c'est privé ce n'est pas évident. Probablement une page qui avait servi à des essais et que l'administrateur a oubliée. Et comme cette page n'avait probablement aucun caractère privé ou administratif particulier on peut admettre que s'y maintenir 5 à 10 minutes peut difficilement être considéré comme un délit.