|
|
Une journée à l’intérieur de la mémoire des systèmes d’exploitation Microsoft Windows
Par Rédaction,
secuobs.com
Le 13/11/2008
Résumé : Lors de la conférence Hack.lu, un chercheur a présenté les évolutions en matière de Memory Live Forensic en vue de lancer des exploitations à destination des systèmes d'exploitation de type Microsoft Windows. - Lire l'article
Lors de la conférence Hack.lu 2008 ( lien ), Damien Aumaître, diplômé du master sécurité de l'information ( lien ) de l'université de Limoges ( lien ) et ingénieur ( laboratoire R&D SOGETI/ESEC - lien ), a réalisé une présentation sur le fonctionnement d’une exploitation visant la mémoire physique à travers le bus Firewire ( lien ).
Ce type d’exploitation avait déjà introduit par Maximilian Dornseif ( lien ) et Adam Boileau ( lien ) depuis l’année 2005 lors de différentes présentations.
Lors de cette présentation, similaire à celle qui a été effectuée lors du SSTIC 2008 ( Symposium sur la sécurité des technologies de l’information et des communications - lien | lien ), Damien introduit les possibilités de reconstruction de l’adressage de l’espace mémoire virtuel des systèmes d’exploitation de type Microsoft Windows à partir d’un dump ( lien ) physique.
Cette première partie de la présentation s’adresse plutôt aux auditeurs qui n’auraient pas suivi les avancées dans le domaine du « memory live forensics » ( lien ) depuis 2005. La suite concerne plus les différentes façons de lister les processus et comment accéder aux registres sans rencontrer de contrôle vis-à-vis des permissions d’accès vu que celui-ci est réalisé de manière indépendante du système d’exploitation.
Les dumps de credentials ( login/password - lien ) sont par conséquent tout à fait réalisables avec cette technique ; l’accès en écriture est également possible par ce biais, Damien a aussi démontré comment il était en mesure de détourner le prompt ( lien ) du login des systèmes d’exploitation Microsoft Windows via une « simple » modification portant sur deux octets.
Il est par ailleurs possible d’obtenir une invite de commande de type shell au niveau du système d’exploitation ; cette invite de commande s’exécutant avec les droits SYSTEM pour l’attaquant.
On notera que les démonstrations relatives à cette présentation ont été réalisées depuis un système d’exploitation de type GNU/Linux ( lien ), ce qui signifie qu’à l’heure actuelle il s’avère impossible d’utiliser les Microsoft Debugging Symbols ( lien ) pour retrouver les structures propres à la gestion de processus comme EPROCESS ( lien ).
Les Microsoft Debugging Symbols ne sont pas universels car ils comportent de multiples changements d’une version de Windows à une autre ; c’est une des principales faiblesses de l’exploitation d’information depuis la mémoire dans le « live forensics » au jour d’aujourd’hui.
La présentation de Damien Aumaître est disponible à l’adresse suivante ( lien )
- Article suivant : CERT Resiliency Engineering Framework un meta-modèle pour la gestion des risques et leurs conséquences
- Article précédent : WPA TKIP aurait été partiellement cassé
- Article suivant dans la catégorie Reportages : Les navigateurs internet, des mini-systèmes d’exploitation hors de contrôle ?
- Article précédent dans la catégorie Reportages : Rustock.C, un rootkit robuste
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
