{"id":765,"date":"2013-04-01T05:46:37","date_gmt":"2013-04-01T03:46:37","guid":{"rendered":"https:\/\/www.asafety.fr\/?p=765"},"modified":"2015-11-11T12:53:58","modified_gmt":"2015-11-11T10:53:58","slug":"vecteurs-dattaques-dans-les-codes-barres-et-qrcode","status":"publish","type":"post","link":"https:\/\/www.asafety.fr\/en\/vuln-exploit-poc\/vecteurs-dattaques-dans-les-codes-barres-et-qrcode\/","title":{"rendered":"Vecteurs d’attaques dans les codes-barres et QRcode"},"content":{"rendered":"

<\/p>\n

Au cours de ma veille quotidienne, je suis tomb\u00e9 sur cet article de Gunter Ollmann<\/a> qui fait un retour sur les dangers des injections SQL appliqu\u00e9es au monde physique. L’illustration humoristique suivante, qui commence \u00e0 dater, d\u00e9crit une des applications possibles des SQLi physiques\u00a0(bien que ce soit tr\u00e8s probablement non fonctionnel) :<\/p>\n

\"SQLi<\/a>

SQLi plaque immatriculation<\/p><\/div>\n

Ce constat m’a rappel\u00e9 de vieux souvenirs quant \u00e0 l’exploitation de vecteurs d’attaques de type XSS\/SQLi au travers de repr\u00e9sentation non-textuelle. Je me suis donc replong\u00e9 dans mes archives pour retrouver ces sources documentaires.<\/p>\n

Cibles potentielles d’attaques sur codes-barres et QRcode<\/h2>\n

Les vecteurs d’attaques non-textuels auxquels je fait r\u00e9f\u00e9rence concernent l’exploitation des codes barres en g\u00e9n\u00e9ral et plus particuli\u00e8rement des r\u00e9cents QRcode. L’id\u00e9e est de g\u00e9n\u00e9rer des codes barres sous une forme valide en vue d’injecter des donn\u00e9es arbitraires dans un syst\u00e8me. Parmi les syst\u00e8mes vuln\u00e9rables \u00e0 de potentielles attaques sur codes barres on peut citer :<\/p>\n