MISC 50

Ce proverbe [1] se prête bien à l'introduction d'un dossier qui se devait d'être traité dans un magazine tel que MISC. En effet, une population de lecteurs telle que celle qui régulièrement parcourt ces pages avec respect et intelligence [2] a nécessairement passé des heures sur diverses générations de plates-formes à essayer de résoudre des énigmes, sauver le monde, tuer des tas de trucs qui bougent ou bâtir des empires.

Il est probablement inutile de présenter World of Warcraft. Sans pour autant être addict, chacun a entendu parler de ce jeu en ligne au plus de 11 millions de joueurs. Une telle popularité ne pouvait qu'attirer notre attention... au même titre que celle des « chinese farmers », arnaqueurs et profiteurs en tous genres dont l'objectif est de tirer un profit financier du jeu. Basses préoccupations bien loin de celles de héros prêts à se sacrifier pour débarrasser le monde d'Azeroth de l'infâme Roi Liche (entre autres).

Obtenir les privilèges SYS dans une base de données Oracle est souvent facile durant un test d'intrusion interne. Il est cependant bien tentant de pouvoir exécuter des commandes sur l'hôte hébergeant cette base. Pour ce faire, on peut utiliser des exploits, avec tous les inconvénients que cela comporte (disponibilité du service, fiabilité d'un exploit souvent ancien, ...), ou exploiter des fonctionnalités documentées, ce que nous allons faire.