[logiciel] Firefox – les mots de passe décryptés!

Mise à jour au 22 octobre 2008 pour Firefox 3.x. Un petit hack adressé à Firefox. Une cinquantaine de lignes de code… c’est ce qu’il faut pour décrypter les mots de passe cachés dans l’option ‘Sécurité’ de Firefox. En fait, il s’agit des noms usagers et mots de passe utilisés lors des inscriptions sur les sites web. On obtient normalement cette information, puisque Firefox l’autorise, en consultant l’onglet Sécurité /Mots de Passe parmi les options, et qui peut être protégé par un mot de passe général. Le hack acquiert ces mêmes informations à partir du profil enregistré de Firefox3.

Le programme est minuscule (23 ko), portable, et peut être utilisé sur une clé USB. Il s’utilise en mode console sur l’invite de commandes dos. J’ai adjoint un programme porteur pour l’exécuter dans Windows (peu importe la version). La version Firefox couverte est la dernière (2.0.0.9), soit 3.x.

[Télécharger]  Version originale adaptée Firefox 3.x: Deux fichiers inclus dans l’archive .rar disponible  **ici**. Les extraire ensembles dans le même répertoire. Exécuter decrypte3.exe sur la console ou Firefox3FPWR.exe normalement dans Windows.  Nouvelle version au 22-10-08 – prendre **ici** Un seul fichier à exécuter dans Windows/Vista.

Aperçu de l’application originale exécutée sur la Console ou dans Windows (Firefox3.x):

Aperçu de la nouvelle version au 22-10-08
Tri et accès aux sites:

Aperçu du volet Sécurité / Mots de Passe sous Firefox:

[Complément] Tel que présenté, le hack n’est pas une invitation à récupérer les mots de passe sur des machines autres que la vôtre, ce qui pourrait être fait, par exemple, en lançant cette application à partir d’une clé USB. L’utilisation de ce code dans un trojan est possible et nous incite à utiliser un mot de passe principal. Une doc très intéressante à lire si la confidentialité des navigateurs vous tracasse, autant IE que Firefox: Traces de navigation et confidentialité : les indiscrétions du navigateur (Developpez.com). Plus spécifique à notre sujet: Firefox: Important problème de sécurité… humain (Here with me). Key3.db est le fichier contenant la clé pour encrypter les mots de passe dans Firefox. %APPDATA% est ce qu’il faut taper dans Exécuter pour rejoindre le dossier Application Data ou se trouve le dossier des données et configurations Firefox.

L’utilitaire accède aux mots de passe cryptés en appelant successivement plusieurs dlls (mozcrtl9, sqlite3, nspr4, plc4, plds4, nssutils3, softokn3 et nss3); les sites enregistrés et les mots de passe cryptés se trouvent dans le fichiers signons3.txt de votre profil sur ApplicationData.

Autre astuce: Alors que vous êtes devant une case [Mot de Passe] dont vous avez oublier le ‘mot’, saisissez le script suivant dans la barre d’adresse de Firefox :

javascript:(function(){var s,F,j,f,i; s = ""; F = document.forms; for(j=0; j<F.length; ++j) { f = F[j]; for (i=0; i<f.length; ++i) { if (f[i].type.toLowerCase() == "password") s += f[i].value + "\n"; } } if (s) alert("Passwords in forms on this page:\n\n" + s); else alert("There are no passwords in forms on this page.");})();

et celui-ci sera dévoilé. Pourrait aussi fonctionner sous IE et quelques autres navigateurs. [Ref: Aksn1pr3]