Profitez de l'offre Black Friday d'Hostinger : www.hostinger.fr/underscore Et avec le code promo "UNDERSCORE", vous avez 10 % de réduction sur les plans de 12 mois et plus !

Dommage qu’on ne voit pas la démonstration à la fin du hack en live !

J'ai cru que mon chat pouvait pirater un streamer...

Franchement super vidéo, vous avez géré ! le curseur de la technicité du discours est très bien positionné, elle reste intéressante sans être trop simple, bravo.

Super intéressant de voir toute l'enquête pour arriver à valider une faille comme ça, merci !

La réponse "Oui, mais ici, on est dans un environnement sécurisé, on s'en balance de rajouter des sécurités", c'est une réponse que j'ai souvent eu y compris de part des informaticien censé s'y connaitre. J'ai même vu mieux encore "Oui mais si quelqu'un faisait ça, il risquerait gros" (Ce qui n'est même pas vraiment vrai, disons que l'entreprise risque sans doute plus, surtout si c'est un pirate bien caché basé en Russie...) notamment quand je leur dis, je pense que je pourrais arriver à faire quelques chose.

Alors il y a quand même quelques failles dans cette explication. 1- OBS Websocket est une fonction inactive par défaut. Il faut que l'utilisateur l'active manuellement préalablement. 2- généralement on active le mot de passe qu'il faut échanger chiffré en sha256 durant le handshake 3- Les fonctions via OBS WS sont strictement limitées à des fonctions interne à OBS et aux plugins qui veulent en intégrer volontairement. Donc pas possible de sortir du soft même après intrusion. Par exemple la fonction de contrôle UPNP à toujours été refusée d'implémentation par sécurité en anticipation de ce attaques. Donc oui il y avait une faille XESS, mais depuis la création du plugin il y a de la prévention sur le sujet et des limitations. Et c'est encore plus le cas depuis que c'est devenu une feature officielle l'année dernière (OBS 28) Sans parler du fait que la plupart des logiciels qui exploitent OBS WS forcent l'utilisation du mot de passe.

Où est la fin de la vidéo ? On n'a pas le fin mot de l'histoire ? ???

En voyant le titre, je me doutais bien que Benjamin Code serait présent sur la vidéo ! J'avais déjà vu cette histoire quelque part

Très intéressant 😄

Incroyable!

« Il a pas dit bonjour du coup il s’est fait niquer sa mère »

Haha bien joué ! 👏👏

C'est un peu comme lorsque tu fais une base de données en SQL, si tu laisses l'utilisateur interagir avec, il faut faire attention à la façon dont on fait cette requête. Donc jamais (dans python and sqlite3) faire un format string sinon tu injectes du code comme tu veux.

très intéressent👏

Merci, grâce à vous je viens de détecter une faille xss dans mon code sur une app d'overlay twitch pour obs... j'avais test les balises scripts mais pas le onload... je viens d'afficher une grosse paire de b.... dans mon obs juste en testant, le onload ne s'est pas exécuté mais bon... ça reste problématique

Bravo Benjamin 👏

Avec le onload tu peut charger un script "Remote JavaScript Console" et prendre le control a distance de la console javascript ciblé.

Incroyable !!! Vraiment très intéressant !

ce moment ou tu te rend compte que tu aurai aussi pu avoir la même faille sur ton stream a une fonction prêt xD

00:02 Prenez le contrôle du logiciel de streaming d'un streamer via un seul message dans le chat. 01:55 Affichage du nom du dernier abonné sur un panneau LED dans un décor 3D 03:49 La vidéo traite d'une faille XSS qui permet d'injecter du JavaScript dans le site Web de quelqu'un d'autre. 05:35 Le langage de balisage HTML permet l'intégration de balises de script capables d'exécuter du JavaScript. 07:20 Streamer peut être piraté en affichant du contenu inapproprié dans son flux. 09:10 La désactivation de la sécurité dans le chat permet de pirater le site Web d'un streamer. 10:54 La vidéo explique comment contourner les mesures de sécurité dans Chrome et accéder à la machine d'un streamer. 12:35 En ne disant pas bonjour à Obs, je me suis fait avoir et j'ai désormais la possibilité de communiquer avec Obs à partir d'un message de chat Twitch. 14:11 Utiliser des boutons pour envoyer des messages dans le chat et automatiser les changements de scène dans OBS. 15:50 Paramètres de streaming et vulnérabilités de sécurité du réseau local 17:37 L’élévation des privilèges dans un réseau local est un enjeu majeur en cybersécurité.

La démo est sympa par contre il affiche un username, pas un message du chat… Ça m'étonnerait que twitch accepte des chevrons dans les pseudos

C’est génial 😂

Je précise pour certains que le contrôle d'OBS via le websocket est uniquement possible que si le serveur serveur websocket est activé et sans mot de passe

Très intéressant

Comment pirater un streamer grâce à son chat ? Etape 1 : Habituer le chat de la victime a ne manger que de la viande de boeuf cuite venant du boucher à l'heure du stream. Etape 2 : Arreter de donner à manger au chat Etape 3 : Attendre que le chat foute le dawa pendant le live du streamer parce que c'etait l'heure de bouffer !!!

ouuuuaaaaaais neolectron lets fuckinggg gooooo

Manu le sang

Ha c'était juste un xss, je m'attendais a des dingueries 😂

Lancer un live à sa place oh mon dieu haha, ca me rappelle le mmorpg new world où un mec avait trouvé qu'il pouvait faire du code via le chat du jeu...

Pourquoi ta pas assayer la faille revershelle en mettant un lien sur l'image suite a la faille XSS

Il n’empêche que le code initial c'était récupérer l'username, en sachant que sur twitch seul les alphanumériques ne peuvent être utilisé. Ça rend tout le POC caduc.

mec y a un truc que je comprend pas, a quel moment tu peux mettre onload="func()" comme username sur twitch... ou bien il utilise le parametre message ?

Allez-y les devs, prenez tout ce que vous offre Google, ils sont tellement bienveillants.

au lieu du onload= avec une image valide, utilise onerror= avec un src=x ;)

@micode l’histoire est ding mais la miniature est l’intitulé de la cest du génie ton génie banalise son génie alors le mec c’est vraiment un génie . La Prouesse technique est la mais l’histoire est mal raconté. Comme français d’ailleurs

J'aimerai tellement que cette dernière phrase soit prise en compte par les acteurs de la tech française qui se cachent bien trop souvent avec un : "oui mais les conditions pour accéder à la machine sont trop complexes" tout ça pour laisser la porte grande ouverte avec des produits ULTRA obsolètes...

merci a mon professeur de m'avoir fait découvrir cette chaine youtube

Passionnant ^^

Passionnant

Bizarre qu'il l'a pas entendu venir.

Pour une fois que le placement de produit n’est pas une arnaque qui consiste a dépouiller monsieur moyen (trade republic)

Ça se voit Benjamin il a le seum

Oh oui ce mec!!!

Le mécanisme de CORS bloque sans doute l'appel aux autres serveurs qui tournent sur localhost puisqu'ils sont sur d'autres ports non ?

Bonjour, petite question : Il est précisé au début dans le twitt du début de vidéo que le hacker doit s'abonner avec un username contenant une balise si j'ai bien compris pour exploiter la faille XSS. Mais dans le reste de la vidéo, je ne crois pas que cela soit utilisé, sinon, comment accompagner la balise d'une image .png ou .jpeg par exemple si l'on souhaite afficher une image sachant qu'un pseudo ne peut contenir que du texte ? Si ce n'est pas avec un abonnement et un pseudo comprenant des balises, comment le hacker de la vidéo a procédé pour que exploiter .innerHTML ? Et si ça l'est ,comment a-t-il inséré une image ? Merci pour votre réponse

La faille xss sur cs2 était quand même extraordinaire. La bêtise des devs. 😢

Ce qui arrive quand on n'applique pas le NTUI : Never Trust User Input ;-)

4:33 : wtf j'ai lu certains de ces tweets sans savoir qu'il était un membre d'Underscore_ :o

Y’a eu la même faille sur minecraft

Bonjour, j'ignorais qu'il était possible de se faire pirater par son chat, je comprends mieux maintenant son regard absorbé lorsqu'il me regardait jouer à STRAY 😮

Comment "ne pas" pirater un streamer grâce à son chat. Belle démonstration, mais on parle d'un pseudo twitch, pas d'un message, donc aucun risque pour Benjamin. Dommage, il passe pour un amateur dans la vidéo alors que son bout de code, oui pas le plus sécurisé, n'est pas vulnérable dans ce contexte.

taurais pu meme essayer douvrir un cmd et passer en administrator et cacher ce reverse shell dans un autre process.

Benjamin Code, le développeur frontend qui ne connaît pas la diff entre innerHtml et innerText 🥵

C'est beaucoup de blabla pour rien au final la faille n'a jamais existé, néanmoins c'est exactement le genre de scénario que je dois imaginer tous les jours sur mes programmes de bug bounty, et la faille XSS est présente dans au moins 80% des cibles, parfois trés dur à trouver avec une payload bien précise, mais parfois très facile à repéré, et les possibilités sont infime, le sujet n'est pas abordés, mais si la scène de benjamin été heberger sur un serveur on aurait trés bien pu fetch des fichiers ou des clés avec une simple requete FILE:///

C'est très spécifique, on peut pas faire ça à tout les streameurs

Comment ça mon reuf

à 1:13 tu fouilles dans ton nez ? (mon meilleur commentaire depuis des années) Sinon le contenu de ta chaine est très souvent super sympa !

c’est Manu de la chaîne manus_js ?

J'ai du mal a comprendre, Benjamin a seulement fait un outil qui affiche le pseudo des gars du tchat, y'avait pas d'input, du comment il aurait pu faire tout ça ? S'il avait mis un truc pr envoyer un message j'aurais compris mais c'est pas ça là ... Ou alors j'ai mal compris ?

Bonne vidéo comme toujours :) ! Tu nous régale. Le poto est trop fort, mais après il a pas dit bonjour.Il a pas dit bonjour Sur ce, je vous réfère à la chanson de Vlad - Bonjour

Hardisk à disparu ? Qu'est ce qu'il se passe ?

Je suis le douanier du code, j’ai une exigence inouïe…. Redescend un peu frère 😂

Et du coup le résultat sur le live ??

Que ce soit injecter du html ou du js, ça s'appelle toujours une XSS

C'est la version geek-twitch de "J'te marrave à la récré! - Ah ouais?! Que d'la gueule!; L'autre sors un bâton de son sac carambar"

Je m'attendais à ce que le hackeur ait utilisé un mini robot accroché à un vrai chat pour hacker le streamer ... Déception ... (joke)

Chat m'étonne même pas d'eux Me surprendront toujours ces félins ! 🐈

Si on a pas de chat, ca marche avec un chien ?

😼 Mon chat n'a pas compris

Les gars j’ai découvert une grosse faille d’une enorme entreprise il y a un site pour se faire rémunérer ? Ou je dois les appeler ?

Waouh

Sa mets arrivé

On en parle du fait que Benjamin s'est fait hacker par Pedro Pascal ?

Tout support est piratable, avec plus ou moins de temps a disposition et des sécurité en place. Le cloudba bien été piraté plusieurs fois. Et d'autres industries plus ou moins bien sécurisé. Il y a aussi des portes d'accès dans beaucoup d'appareils connecté maintenant, ou il y a que tres peut de sécurité 😂.

benjamin est l exemple typique du dev front. Inquiet de rien et même quant on lui dis qu'il a un problème il fais comme si il n'existais pas

Que je comprenne bien, cela veut dire que Benjamin aurait un firewall qui autorise l'entrée d'un utilisateur dans son réseau local sans qu'il en soit averti ?

😃🔆〰️

Il l'a cherché aussi... Est-ce qu'il y a beaucoup de gens qui vont inclure du texte dans leur stream de la même manière que lui ? Je doute.

Y'a quand même des gros problèmes dans cette """faille""". Bon déjà faut désactiver la sécurité OBS, c'est du niveau "il se passe quoi si on essaie de véroler un PC après avoir désactivé son antivirus" mais passons. Il faut avoir retiré le MDP sur le serveur WS... Ouai bon là c'est même plus chercher la merde on est au delà la. Non on ne peux pas escape OBS avec ça, c'est strictement limité aux fonctions internes du logiciel. Non c'est pas applicable, un pseudo (peu importe le site pour le coup) ne peux pas contenir les charactères spéciaux requis pour effectuer cette attaque... . Et c'est sans parler du fait (et c'est une BASE) que vous ne connaissez pas la différence entre innerHTML et innerText, """l'attaque""" ne fonctionne que si le pseudo est affiché via innerHTML, hors PERSONNE ne mets d'input user dans innerHTML C'est dommage, ça aurait pu être sympa

ya un problème dans les explications non ? Il sort une XSS, qui est une faille localisé navigateur et la en l'occurence il s'en sert pour une communication Websocket, ce qui reste coté navigateur en utilisant les commandes qu'OBS permet d'utiliser, et d'un coup ça part sur des explications comme quoi il aurait pu avoir accès à tous les services non sécurisés du réseau local, faut m'expliquer comment avec une XSS classique il peut avoir un accès à la machine ou aux services du réseau, à aucun moment il parle d'une RCE, on est sur une XSS, donc soit j'ai pas tout suivi soit c'est bullshit. Et pour l'élévation de privilège c'est justement le principe de tomber sur des accès restreints et de trouver des méthodes pour élever ces privilèges... Le mec il dit "si t'as un mdp, un token etc.. tu peux pas faire l'élévation de privilège alors que c'est justement pour ça que l'élévation de privilège existe, pour contourner les restrictions en place. N'importe quoi est raconté dans cette vidéo non ? Ou alors je suis mal réveillé

Une faille XSS c'est vraiment la base, c'est la honte pour un dev web de se faire encore avoir en 2023

Du coup on a besoin que son chat coopère en échange de croquette.

Tous les logiciels de streaming ont une faille de sécurité..

Globalement les auto boot et les on load c’est l’enfer de la sécurité…

LOL le recyclage de la vidéo de Benjamin code ! Micode, tu perds ta fraîcheur. Et t’as pas les reins pour jouer les Steve Jobs. Hardisk était bourrin, mais il était sincère. La gentillesse de Benjamin rayonne et éclaire le monde. Faut que tu trouves ta voie, mon grand. C’est ça qu’on veut : de la sincérité, de la fraîcheur… la candeur des joies de Mathieu, avec les accents aigus de sa voix lorsqu’il est étonné. Tu deviens sérieux, professionnel… de mon temps, on disait « commercial » 😢 Sinon, on retourne regarder la télé 😂🎉

J'ai rien compris. Moi qui d'habitude comprend un peu en ne sachant rien du HTML, là vraiment j'ai rien pigé

j'ai rien compris

moi je croyais qu'on ^pouvait le hack avec son chat son chaton son kitty son miaou quoi LOL

mais donc vu qu'il affiche seulement les noms, c'était inexploitable non..

He ben. Merci.

En français ça donne quoi ?😢😢

1er visionnement :D

Ses manie de la chaîne manus_js,

"Comment pirater un streamer grâce à son chat" Ca marche aussi avec les chiens ?

Apparemment Underscore_ est passé d'une chaîne de vulgarisation à une page de geeks invétérés pour les geeks de la mort. Perso, je comprends plus rien depuis plusieurs vidéos et à vrai dire, je me fous un peu des sujets désormais.

Et si le streameur a un chien?

Dcq poki ne vient pas 😔

Miaou ! Bzzzzz ! Voilà c'est piraté.

Les "que y'avait" me font saigner les oreilles