J'arrive seulement à trouver le premier caractère du mot de passe du compte 'admin'. La technique que j'ai utilisée ne semble pas permettre d'obtenir les autres. C'est normal? Je fais fausse route?

En faite le plus relou a été de générer 2,21 gigowatts de datas et rien que cela m'a pris 2 jours ; pis 8 jours de marteau piqueur

Pour ne pas décourager les challengers avec ce type de phrases... pour ma part, l'outil que j'ai utilisé a pris un gros 5 secondes de travail et moins de 200MB. Bref, ça se fait très bien sans des heures d'attente.

Cela dit, c'est en effet beaucoup plus long si vous n'utilisez pas les indices donnés dans l'énoncé!

[Si]

Il faut utiliser une VM Windows XP

Désolé te poser ce genre de question, mais si je comprends bien, il n'est pas légal d'exécuter Windows XP (dans une VM ou non) sans avoir une copie achété légalement. Si j'ai raison, alors il me semble que cette épreuve n'a plus vraiment sa place sur ce site. Bon, après, c'est débatable; il est surement très facile de trouver (pirater) un ISO et une clé de Windows XP sur Internet. Mais facile ne veut pas dire légal.

EDIT : quoique, on peut supposer que ça fonctionne sous Wine.

Juste pour éviter aux joueurs une erreur qui m'a fait perdre des heures : faites attention au système d'axes

La scène est identique dans Blender et MeshLab, mais Y et Z ne pointent pas dans la même direction... Nécessairement, un de ces programmes a tort.

Ce n'est peut-être pas approprié mais je déterre un peu le topic car les liens tuto des crackme sont mort, quelqu'un aurait pas d'autre bon tuto sous la main ?

En effet, c'est dommage. N'étant pas très compétant en cracking, j'aurais été curieux de lire ces liens. Merci tout de même pour Volatility

Je n'écoute pas beaucoup de séries, mais j'ai regardé Flashforward il y a quelques années et c'était excellent.

Je n'ai rien à faire alors je vais dire mon avis

Est-ce un problème si les gens peuvent te retracer? Si tu es un recherché par la police, je comprends ton inquiétude, mais sinon...? Personnellement, j'utilise le fait que je suis facilement retraçable sur Internet à mon avantage. Mon but est qu'un employeur ou toute personne ne voit que du positif Cherche "Nil programmeur" sur google en mode privé. Tu tombes rapidement sur mon vrai nom. Cherche ensuite ce vrai nom, tu tombes uniquement sur des sites qui me font paraître comme un héro! LinkedIn, research gate pour une publication scientifique, un article de l'Université de Sherbrooke sur mon projet, le projet open source UCOSP, etc. Le seul problème est qu'on peut se rendre compte d'après mes "Like" sur youtube que je suis athée, ce qui pourrait potentiellement me faire perdre un job au USA, mais pas dans les autres pays civilisés.

Évidemment, je vais sur d'autres sites moins fréquentables. Soit je ne me créé pas de compte, soit je prend un pseudo qui ne ressemble pas du tout à mon vrai nom. Des outils comme PasswordBox peuvent t'aider à gérer ça (surtout pour les mots de passe, mais ça aide pour les pseudos aussi.)

Bref, un pseudo public dont tu serais fier si ta mère ou un employeur voyait ce qui s'y rattache. Et au moins un autre pour tes sites néo-nazi, pédophile, hentai, Front National, gore, créationnisme, reddit, fanatisme religieux, etc.

Présentement, une recherche rapide et désintéressée sur ton pseudo ne donne pas grand chose:
- Tu es probablement jeune. Je dirais < 20.
- Tu aime les réseaux sociaux. (twitter, lol ^^)
- Tu sembles jouer 24h/24

nous allons bientôt inaugurer une nouvelle section qui permettra à tous de pouvoir monter en compétences.

J'ai bien hâte de voir ce que cette nouvelle section va être. (Je l'ai manquée si elle est déjà arrivée ^^)

Pour ma part, j'ai toujours espéré que NC ait une vision plus éducative, du type « Si tu veux réussir cette épreuve, renseigne-toi sur X », comme si un tuteur était à côté de toi. Ce serait plus pratique que de regarder stupidement l'épreuve et de rester bloqué... comme il m'est si souvent arrivé dans presque toutes les épreuves Je pense notamment aux épreuves de Cracking où j'ai toujours voulu avoir un tuteur. Je croyais candidement qu'une analyse de l'assembleur avec les outils standards me permettrait de tout comprendre. Lorsque ce n'est pas le cas, il est extrêmement difficile de se débloquer.

Évidemment, un concept de ce type ne convient pas à toutes les catégories, par exemple Logique où un indice donne presque automatiquement la réponse. Mais pour les autres, un tuteur serait énormément pratique, et surtout, beaucoup plus motivant.

Cela dit, j'ai bien vu que ce n'était pas la stratégie de NC et c'est bien correct. La vision "tu ne sais pas sur quel sujet te renseigner alors renseigne toi sur tout et tu vas apprendre!" est respectable, mais elle décourage beaucoup de newbies selon moi.

Je ne connais ni le système d'éducation français, ni tes collègues qui ont besoin d'aide, ni l'horrible hiérarchie française de respect de l'autorité alors je n'ai pas grand chose à répondre à ton message. Il y a seulement un élément qui me dérange :

J'en ai tout bonnement marre de devoir expliquer à tous les débutants de ma classe qu'est-ce qu'une classe, un attribut et une méthode

Si tu n'aimes pas aider tes collègues, pourquoi le fais-tu? Gêné de dire non? Aider, ce n'est pas pour tout le monde. Perso, j'aime bien alors j'aide tout ceux qui le demande, mais si tout était facile et que je n'aimais pas aider les autres, je partirais dès le cours terminé. Des écouteurs? Un look punk? Fait fuir la masse

Un conseil par contre : aider, c'est une excellente façon de gagner le respect de ses pairs & d'apprendre davantage. Pour bien expliquer un concept, il faut très bien le comprendre. Ça force à bien structurer ses idées. Ça te fait connaître de nouveaux bugs. Ça te force à lire davantage pour être sûr de bien expliquer. Au final, tu apprends en voulant aider les autres; c'est un gain pour tout le monde.

Et pour finir sur une note élitiste pour garder ma réputation : "niveau des développeurs en chute libre" et "étudier PHP"... No shit Sherlock.

Comme personne ne t'a répondu, voici deux réponses. Premièrement, ça se fait et c'est rapide :

Mot de passe trouvé en une demi seconde avec python ! Merci

Deuxièmement, c'est dur de répondre sans voir ton code, mais j'imagine que ton bruteforce pourrait être un peu plus "intelligent". Dans le sens que tu ne dois pas tester TOUTES les possibilités, mais seulement ceux qui pourraient fonctionner selon le problème, donc une infime partie. Bon, je dis ça, mais je ne sais même plus c'est quoi ce challenge

[tl;dr]

Le site est en effet moins vivant qu'il l'a déjà été, mais je vois mal l'utilité de se plaindre. Si les administrateurs avaient du temps à mettre sur le site, ils le feraient. D'ailleurs, je suis certains qu'ils reçoivent encore des idées d'épreuves, mais ça prend du temps et ils ont probablement autres choses à faire de leur vie.

Pour ma part, j'ai pris une longue pause durant ma maîtrise et j'ai ensuite été voir les autres sites de challenges. hackquest.com et bright-shadows.net sont très ressemblants à NC. Étant un grand fan de programmation, je vais commencer les épreuves sur www.spoj.pl prochainement. Si j'étais un grand fan de math, j'irais sans hésiter sur www.projecteuler.net. Je ne sais pas trop s'il y a des bons sites pour les autres domaines par contre Ce que j'aime moins d'abandonner NC, c'est que les autres sites sont anglais. Je n'ai aucune difficulté à comprendre, mais j'aime bien ma langue maternelle et les gens étaient sympathiques ici. Pour ceux qui ne comprennent pas l'anglais, c'est un bonus d'aller sur les autres sites; ça permet d'apprendre autre chose en même temps.

tl;dr En effet, le site est moins vivant, mais ce n'est pas la fin du monde. Allez voir ailleurs.

[Être un hacker c'est comprendre un système]

on peut etre appellé 'Hacker' a partir du moment ou l'on fait parti d'une certaine catégorie de gens qui sont en contact avec d'autres personnes déjç reconnu en tant que tel, qui épousent l'éthique du hacker, et que a partir du moment ou c'est gens vous donnent le titre de 'Hacker' vous en etes surment un. C'est un titre qui se mérite.

lol ^^ Donc, si je suis en contact avec des pâtissiers, je suis un pâtissier? Je ne vois pas trop en quoi ce que tu viens d'écrire représente un "titre qui se mérite." Il n'y a aucun mérite à connaître des gens. Le mérite, ça se ... mérite

etre un hacker (définis en tant que personne pouvant s'introduire dans n'importe quel système informatique), c'est connaitre par coeur toutes les failles, ou 'bug' lié à tel ou tel version de php, de mysql (ou autre sgbd), etc ... ?

Je ne crois pas non, connaître par coeur des informations, c'est louable, mais tu dois avoir lu ces informations quelque part, ce qui indique que les failles sont connues, donc qu'elles sont corrigées sur la ~plupart des systèmes. Qui est le meilleur entre l'élève qui comprend les théorèmes et l'élève qui connaît les théorèmes par coeur? Je devine ta réponse... [...] Bien sûr, il faut avoir de la mémoire pour se rappeler des caractéristiques d'un système quelconque. Par exemple, ceux qui connaissent par coeur le ISO de HTTP ont clairement une longueur d'avance sur les autres, mais, comme j'ai écrit plus haut, "connaître par coeur" ça vaut pas grand chose face à "comprendre".

D'un autre côté, j'ai eu un professeur à Sherbrooke qui semblait tout connaître par coeur et j'ai entendu dire qu'il était très compétent. Il passait son temps à se renseigner sur des sites de sécurité aussi, ça aide. Je ne dirais pas qu'il était un hacker par contre, mais il connaissait la plupart des attaques modernes et aurait pu facilement attaquer un serveur qui n'étais pas à jour.

Jusqu'a il n'y a pas longtemps je croyais qu'etre un hacker c'etait connaitre les failles et savoir les exploiter

C'est, selon moi, ce que tu as dit qui se rapproche le plus, mais il manque quelque chose. De ce que je comprend, être un hacker n'a rien à voir avec l'informatique, désolé. Être un hacker c'est comprendre un système et s'en servir d'une manière qui n'a pas été prévu par ses créateurs. Ça s'applique plutôt bien à l'informatique, j'en conviens, mais tu pourrais te servir de ton système électrique d'une façon "différente." Par exemple, si tu comprenais ~parfaitement le système électrique, tu pourrais probablement trouver une façon d'avoir l'électricité gratuite. Si tu comprenais le système de ta compagnie de cellulaire, tu pourrais sans doute te faufiler et avoir tout gratuit.

Donc, ça n'a rien à voir avec l'informatique, mais comme c'est le sujet qui te passionne présentement, c'est sûr que c'est le lien qu'on voit en premier quand on pense à hacking. Pour répondre à ta question, "comment reconnaitre qu'un script est faillible ou pas?", je te dirais qu'il faut avoir de l'expérience et avoir le goût de se renseigner. Si tu n'as pas le goût d'apprendre le fonctionnement d'HTTP, ça commence mal. Après ça, c'est bien de savoir en quoi le site est codé. Utililse-t-il un framework quelconque? Est-il à jour? Bref, récolter des informations.

Perso, si j'avais une règle à retenir quand je fais du web, c'est de ne jamais faire confiance aux usagers, donc vérifier absolument en tout temps ce qui entre par GET et POST et par les cookies (j'en oublie?). Partant de ce principe, il faut donc attaquer par ces voies. Pour finir, je ne suis pas un hacker, donc tu peux ignorer tout ce que j'ai écrit en te disant que je suis un nobody.

Euh, c'est un peu obscure ce que tu veux... Normalement, quand je veux de l'aide, je pose ma question directement et j'espère avoir un résultat.

Mais bon, si j'avais quelque à dire sur le bruteforce, ce serait :

• C'est déjà codé dans la plupart des langages, même en C, donc ne le codez pas vous-même (sauf pour apprendre)
• Si c'est un bruteforce local, la vitesse vous intéresse alors ne faite pas l'imbécile en utilisant un langage dynamique; utiliser un langage compilé. Si vous bruteforcez un serveur quelque part, alors votre choix de langage ne sera pas le goulot d'étranglement!
• Ça aide énormément de savoir l'ensemble des caractères possibles. Sur NC, c'est bien car c'est généralement tenu au minimum. Sur les autres sites, il suffit de se créer un compte et de voir ce qu'il est possible d'utiliser comme caractères.
• Il existe, selon moi, deux catégories de bruteforce
  
  • Le BF qui teste tout et va tomber sur la bonne réponse un jour.
  • Le BF intelligent qui est capable de savoir si un caractère particulier est bon. Lorsque c'est possible, le BF devient ô combien plus rapide! Au lieu de tester toute la chaîne, tu testes uniquement 1 caractère, donc 1 chance sur disons 26 de réussir, ce qui est beaucoup plus intéressant que 1 chance sur 13476543286. Ou encore mieux, si tu peux savoir si un caractère particulier est en dessous ou au dessus de ce que tu as testé, tu peux faire une recherche dichotomique sur chaque caractère et finir en très peu de temps.

Attend toi pas à ce que quelqu'un écrive ton texte

Au fait, je ne vois pas quel genre de stage tu peux avoir pour avoir besoin d'écrire sur les différences entre 32 bits et 64 bits...? Il te manque une page et tu t'es dit que tu pourrais en parler?

Je ne suis pas un pro, mais de ce que j'ai pu lire:
- Une limite de ram beaucoup plus grande (< 2^64 par contre) pour des raisons évidentes : un pointeur 32bits ne peut pointer vers une adresse > 32 bits.
- Plus rapide pour certaines applications.
-- Certains programmes comme l’encryption de données sont de 3-5 fois plus rapide grâce aux registres 64 bits. [Citation needed ^^] Bref, c'est évidemment avantageux pour les programmes qui travaillent avec de gros chiffres.
-- Certaines architectures 64 bits ont plus de registres et on sait qu'un registre est fucking plus rapide que la cache, stack ou autres.

Il y a des désavantages aussi
- Le même programme peut occuper plus d'espace à case des pointeurs 2x plus grands et de l’alignement. Un programme plus grand entre moins bien en cache, c'est donc plus lent.
- Il n'y a pas beaucoup de programmes compilés en 64bits, mais la tendance devrait s'inverser...

En passant, je n'ai aucun mérite, je n'ai fait que traduire une partie de la page wikipedia ^^
S'il y a un point que tu ne comprend pas, tu peux demander

Mun humble avis est que nous avons aucune raison de rester sur du 32bits et qu'on devrait être en 64bits depuis longtemps (well, 3 ans disons ). Un peu comme IPv4 ... voyons dont!