|
|
|
HITB Conference SAP Hacking - Overview 1 2 |
Si vous voulez bloquer ce service sur vos fils RSS
Si vous voulez nous contacter ou nous proposer un fil RSS
Menu > Articles de la revue de presse : - l'ensemble [ tous | francophone] - par mots clé [ tous] - par site [ tous] - le tagwall [ voir] - Top bi-hebdo de la revue de presse [ Voir]
HITB Conference SAP Hacking - Overview 1 2 Par MISSION SecurityLe [2010-06-30] à 01:28:18
Présentation : Après le SSTIC, on enchaîne avec le HITB à Amsterdam et cette fois, je vais essayer de tenir le rythme pendant les quatre jours pour mettre à jour mon blog quotidiennement. Inscrit à la formation SAP Security, je vais en profiter pour vous donner un aperçu ces deux premiers jours. Plus tard, il me restera à vous donner un exemple pratique A quoi ressemble la bête SAP, c'est un ERP utilisé par pas mal d'entreprise car en gros, ça permet de gérer sa production de bout en bout. Par contre, c'est lourd à mettre en place et la sécurité est rarement la priorité des intégrateurs. Rien de nouveau, c'est souvent comme ça. Mais ça veut juste dire aussi qu'il y a moyen de s'amuser Alors plutôt que de vous faire un cours sur SAP d'ailleurs, je ne suis pas expert , je vous donne les éléments principaux à prendre en compte pour sa sécurité. Le c?ur est représenté par le système SAP contenant notamment la base de données ex Oracle Dans cette base de données, se trouvent généralement des choses très intéressantes p Pour se connecter à la plateforme SAP, on bind avec des clients, à considérer en tant que passerelle en fait. Concrètement, on peut utiliser comme interface de connexion SAPGUI et s'attaquer à ces clients. Vous allez chercher cette outil et vous allez vous rendre compte qu'il est payant. Et comme il ne vous viendrait pas à l'idée d'utiliser une version crackée, il existe en fait une version JAVA gratuite ici Il est possible de se connecter depuis l'extérieur au clients SAP. Dans ce cas, une ou deux couches s'interposent le SAP Router et le Webdispather. Nous reparlerons de ces deux éléments plus loin SAP, c'est quand même bien complexe et quand ça marche, c'est déjà bien. C'est pour ça que la sécurité est souvent laissée de côté ... Malgré tout cela, je ne voudrais pas que vous soyez perdu. Je penserai donc à ajouter un schéma. La sécurité de SAP depuis l'externe généralement Comme promis, nous allons parler de deux composants clés qui permettent d'apporter la sécurité à l'architecture SAP. Ces composants sont utilisés pour les connexions venant de réseaux qui ne sont pas de confiance généralement ex Internet . Le SAP Router Pour commencer, le SAP Router. On le retrouvera généralement sur le port TCP 3219. Il permet notamment de filtrer les IPs autorisées à communiquer avec les clients SAP. 3 niveaux de permission sont possibles D pour deny P pour permit et S pour ne permettre que les flux SAP ce qui est contournable ... Par défaut, ce composant fonctionne par liste blanche, ce qui est un bon point ... sauf si l'administrateur finit par mettre une règle équivalente à permit any any parce qu'il n'a pas le courage d'écrire toutes les autorisations et encore une fois, il faut que ça marche avant tout Pour chaque règle, nous pourrons associer à l'IP ou plage d'adresse IP autorisée un mot de passe clé partagée . Pour être plus clair, voici un exemple de fichier de règles S 192.168.1. SAPROUTER motdepasse D Autre lacune du SAP Router, ces mots de passe sont visibles en clair dans le fichier de configuration. Dans le cas où le SAP router est bien configuré, il faudrait prendre la main sur la machine d'un utilisateur ayant la bonne adresse IP. Ensuite, comment obtenir un compte C'est en clair dans les profiles de l'utilisateur ... Le Webdispatcher Cette fois, nous nous attaquons à la couche applicative. A l'instar du SAP Router, le Webdispatcher va fonctionner à partir d'une liste blanche mais concerne les URLs autorisées cette fois et non plus les IPs services . Il existe un compte par défaut qu'il peut être intéressant de connaître icmadm. Mais le mot de passe est généré aléatoirement. On peut toujours essayer de trouver le mot de passe l'interface d'administration se trouve à l'adresse suivante http host port sap wdisp admin default.html Le Webdispatcher peut avoir d'autres fonctions comme la répartition de charge load balancing et le chiffrement des communications de bout en bout ou non selon que l'on souhaite analyser les flux par exemple . Pour terminer, voici un exemple de fichier de configuration on retrouve les P et D pour respectivement Permit et Deny P sap authorized.cgi D .php D La sécurité de SAP en général Instances SAP Pour attaquer les instances SAP, nous aurons besoin de deux éléments l'ID de l'instance SAPID un compte login mot de passe . Concernant le premier élément, il est généralement le même que l'instance de la base de données. Si nous trouvions ce dernier, nous aurions de grandes chances d'avoir l'élément recherché. Quant aux comptes, il en existe par défaut. En effet, à part les 3 clients SAP créés par défaut, les autres qui seront générés auront pour couple login mot de passe SAP PASS Les autres composants L'architecture SAP dispose d'une base de données et d'un système d'exploitation au moins sur lequel repose la base de données. Plusieurs solutions peuvent être mises en place Oracle, Informix par exemple côté base de données. Linux et Windows côté OS. Ces éléments clés au sein de l'architecture devront eux aussi être sécurisés. Il y aurait beaucoup à dire et il ne s'agit pas d'éléments spécifiques à proprement parlé. Nous ne détaillerons donc pas ces points mais il est important de noter qu'ils doivent être traités afin de ne pas constituer les maillons faibles de l'architecture mise en place. Petite conclusion Nous avons commencer à aborder la sécurité de SAP tout en voyant des pistes potentielles d'attaques durant nos explications. Pour faciliter la tâche d'un auditeur ou d'un attaquant ... , il existe des plateformes d'audit tels que BIZSPLOIT dont je ne manquerai pas de vous parler et SAPSPLOIT sur lequel je reviendrai aussi puisqu'une conf y sera dédiée.
Les mots clés de la revue de presse pour cet article : conference
Les videos sur SecuObs pour les mots clés : conference
Les éléments de la revue Twitter pour les mots clé : conference
Les derniers articles du site "MISSION Security" :
- SMSI Evalsmsi install
- SECURITY STANDARD Episode 3 Are you compliant to ... ISO 27003
- SECURITY STANDARD Episode 2 are you compliant to ... ISO 27002
- SECURITY STANDARD Episode 1 are you compliant to ... ISO 27001
- SCADA SCADA Security ... or not
- HITB COnference Day 2
- HITB Conference Day 1
- HITB Conference SAP Hacking - Overview 2 2
- HITB Conference SAP Hacking - Overview 1 2
- ARJEL Sécurité et jeux en ligne
Menu > Articles de la revue de presse : - l'ensemble [ tous | francophone] - par mots clé [ tous] - par site [ tous] - le tagwall [ voir] - Top bi-hebdo de la revue de presse [ Voir]
Si vous voulez bloquer ce service sur vos fils RSS :
- avec iptables "iptables -A INPUT -s 88.191.75.173 --dport 80 -j DROP"
- avec ipfw et wipfw "ipfw add deny from 88.191.75.173 to any 80"
- Nous contacter par mail
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
