La sécurité des Réseaux Partie 4 Sécurité Système

Transcription

1 La sécurité des Réseaux Partie 4 Sécurité Système Fabrice Theoleyre Enseignement : INS Lyon / PE Recherche : Laboratoire ITI / INS Lyon Introduction Programmation Buffer overflow SQL injection Failles Malware Virus Spyware Pishing Mails SPMS HOX Programmation 1

2 Programmation Buffer overflow Dépassement de mémoire (buffer overflow) Segmentation Fault en Écriture dans un segment mémoire n appartenant pas à l application hoix opportun des données écrites Programmation Buffer overflow B B / / / B B / / Programmation Buffer overflow /* overflowc - demonstrates a buffer overflow */ #include <stdioh> #include <stringh> int main(int argc, char *argv[]) { char buffer[10]; if(argc < 2) { fprintf(stderr, "USGE: %s string\n", argv[0]); return 1; } strcpy(buffer, argv[1]); return 0; } 2

3 Programmation Buffer overflow ESP est le pointeur du sommet de la pile EBP est le pointeur de la base de la pile EIP est le pointeur de la prochaine instruction à exécuter Programmation SQL injection Requête SQL Valeurs prises en argument (formulaire, adresse) La valeur contient elle-même une instruction ommente la suite de la requête requête ignorée après le commentaire # Redirige la réponse INTO DUMPFILE '/path/to/site/filetxt' Insertion de nouvelles entrées INSERT INTO membres (login,password,nom, ,userlevel) VLUES ('','','','','3')#','1') Programmation SQL injection Exemple Requête $req = "SELET uid FROM admins WHERE login='$login' ND password='$pass'"; rguments Login = john Pass = ' OR 1=1 $req = "SELET uid FROM admins WHERE login= john' ND password='' OR 1=1"; La requête sera donc toujours vraie 3

4 Programmation SQL injection Protection Vérifier les arguments difficile Programmation PHP omment modifier un site web en relais de SPMS? FormMailpl : script très utilisé permettant de spécifier l adresse du destinataire Solution : fixer en dur dans le code le ou les destinataires possibles ontournement : dans l adresse expéditeur, ajouter un saut de ligne, et un B vers une adresse de test Saut de ligne : ajout d un nouveaux champ dans le mail Question rémanente omment penser à toutes les façons exhaustives d exploiter un script? Failles 4

5 Failles Faille d un programme Un comportement inhabituel exploitable par un pirate Souvent à cause d un buffer overflow Sévérité Prise de contrôle totale Déni de service Solution Fonctions sûres : strncpy(), ompilateur effectuant des vérifications Langage sûr : smalltalk, Python Failles Le grand combat propriétaire / opensource Opensource : plus de programmeurs, plus de vérifications, comblage plus rapide Propriétaire : code non ouvert, faille plus difficilement exploitable Un P non patché Temps de survie de 16 mn en moyenne (en 2004) Failles Quelques chiffres Le NIST en moyenne 17 vulnérabilités / jour référence plus de vulnérabilités (23 mars 2006) 12 failles critiques dans les 3 premiers mois 2006 Sendmail, Office, M OS X, Quicktime, Windows metafile (23 mars) Debian Redhat Enterprise Linux Windows

6 Failles Exploitation d une faille Exécution avec les droits du programme Root la faille peut exécuter n importe quelle commande Rootkit : automatisation de la mise en place d une porte dérobée en exploitant une faille ccès à tous les fichiers dont les droits correspondent ontre mesures : ontrôler les droits de chaque fichier Un go-rwx pour tous les fichiers sensible détenus par root ontrôler les niveaux d exécution Mysql ne doit pas être exécutée en tant que root Mise en cage du démon (chroot) Le démon ne voit qu une sous partie du système de fichier Sert à isoler le programme, pas d accès au reste du système Sous linux, n exécuter que les démons utiles et utilisés nalyse des logs Politique de rétention déportée Virus Virus Virus Tout programme informatique permettant de modifier (infecter) un autre programme pour se reproduire ode auto-propageant Types Vers Virus se propageant au travers du réseau Troyens réation d une faille dans un système (souvent pour offrir un accès dérobé) Bombes logiques Virus programmés pour se déclencher après une suite d évènements (dates, ) 6

7 Virus Virus mutant La modification d un virus précédent Plus de variantes plus de difficultés pour la détection Virus Polymorphes uto-cryptant pour avoir une signature non fixe (ex: XOR) Rétro virus Modification de la base de signatures de l antivirus Secteur d amorçage Le MBR étant copié en mémoire à l amorce du système Virus Macros ode exécuté dans un document bureautique Virus Éviter de se répliquer plusieurs fois Windows: utilise un champs réservé dans l en tête des exécutables Mesures de protection Parefeu (contre les vers) ntivirus ccès réseau Partage administratif autorisé en lecture/écriture ttaque force brute / dictionnaire Faille RP Virus Quelques chiffres 1980 : 20 virus recensés 2003 : : ntivirus Signature Base de données d empreintes Peu de fausses alertes Heuristiques En fonction des appels systèmes Détection d un comportement anormal 7

8 Spyware Spyware Qu est ce? Un programme collectant des informations privées ollecte renvoyée via Internet au créateur Exemples IQ, Realplayer, Problème? onfidentialité Potentiellement, vol de propriété intellectuelle Pishing 8

9 Pishing Qu est ce? Une imitation plus ou moins fidèle d un site officiel Envoi de mails (spams) invitant à se connecter amouffle quelquefois l adresse de la barre du navigateur Pourquoi? Gestion des comptes bancaires Portail d authentification d entreprise (seule?) Solution Éducation des utilisateurs Pishing GNU, wikipediaorg Mails 9

10 Mails - SPM SPM Messages publicitaires Mass mailing : un mail est gratuit, rapide, automatisable Relais de SPM Serveur SMTP mal configuré relayant tout Risques lassé dans des listes noires Image de marque Mails - HOX HOX Faux mail Les chaînes à ne pas casser «cette histoire est vraie» Récemment, hoax relayé par une personne appartenant à la société, et ayant laissé sa signature «distribution gratuite de téléphone» Bases de données de hoax wwwhoaxbustercom 10