Absolute Software (absoft corp)
Absolute Software (absoft corp) AbSoft Corp est une structure évoluant dans les domaines listés ci-dessous : - Audit de Sécurité Informatique - Développement logiciels et Site Web - Électronique : Conceptions et Montages Absoft est créée par 5 étudiants de la licence, encadrée par M.Idrissa Sarr de la faculté des science et techniques de l UCAD.
I. Présentation II. PLAN La sécurité Informatique : les enjeux III. Quelques types d attaques IV. Quelques procédures d attaques et parades V. Conclusion
Sécurité informatique La sécurité informatique est l'ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires et mis en place pour conserver, rétablir, et garantir la sécurité des systèmes informations.
Pourquoi la sécurité informatique? La raison principale de l'existence de l'industrie de la sécurité informatique est que les produits et services informatiques ne sont pas naturellement sûrs. Si les ordinateurs étaient protégés des virus, il n'y aurait pas besoin de produits antivirus.
Pourquoi la sécurité informatique? Si le mauvais trafic réseau ne pouvait être utilisé pour attaquer les ordinateurs, personne ne s'inquiéterait d'acheter un pare-feu. S'il n'y avait plus de crackers, pirates (différent de hackers), personne n'aurait besoin d'acheter des produits pour se protéger contre leurs mesffaits.
Quelques définitions En termes de finalité d action,on observe deux catégories : Les crackers (pirates) qui cassent les systèmes de sécurité informatique, et les hackers qui pénètrent un environnement pour le connaître, et ainsi faire progresser les méthodes de protection utilisées.
Comment les hackers attaquent les réseaux informatiques Cette présentation est rédigée par ABSOFT Labs, laboratoire de sécurité informatique. http://absoftcorp.com/labs.html/
Plates-formes communes pour les attaques Windows 98/Me/XP Home Edition Linux, OpenBSD, Trinux, MAC OS Bactrack
Attaques locales et distantes Locales: les attaques effectuées avec un accès physique à la machine Distance: attaques lancées sur le réseau
Pourquoi s'inquiéter des attaques locales sur les postes de travail? Les hackers peuvent recueillir plus d'informations sur un réseau et ses utilisateurs. Les hackers peuvent obtenir le mot de passe administrateur sur un poste de travail, qui peut mener à l'accès au serveur. Les logiciels espions peuvent être installés pour recueillir des informations plus sensibles.
Attaques locales communes Obtenir admin / root à la machine locale Station de travail Windows: renommer ou supprimer system32\config\sam Linux: at LILO prompt, taper linux s Cracking de mots de passe locaux L0phtcrack (LC) Retrait de disque dur pour installer dans une autre boîte Exploiter des fichiers ou des commandes disponibles lors de la connexion C:\Documents and Settings\All Users\Start Menu\Programs\Startup Commandes registre, tels que l'ajout d'utilisateurs
Cracking sur le réseau: Un programme en quatre étapes 1. Footprinting ( récoltes d informations) 2. Scan et énumération 3. Recherches 4. Exploitation
Footprinting Trouver ce que la cible possède: Trouvez le bloc de réseau. Ping sur l'adresse de diffusion du réseau.
Scan et énumération Quels services sont en cours d'exécution? Enumérer les comptent s ils existent Quelles sont les configurations mises en places?
Scan et énumération: Méthodes et outils Scan de port Null session Nmap Sniffing ngrep SNMP NBTenum Nbtdump Solarwinds
Scan et énumération: Méthodes et outils (suite) Null session NBTenum Nbtdump Scanner NetBIOS Netview Legion Scanners de Vulnerabilités Nessus Winfingerprint LANGuard
Bases de données de failles connues Recherche sur les sites de sécurité peut révéler des exploits potentiels sur les systèmes découverts lors d un scan et l énumération. http://www.securityfocus.com/ http://www.networkice.com/advice/exploits/ports http://www.hackingexposed.com http://www.ntsecurity.net/ http://www.insecure.org/ http://absoftcorp.com/labs.html
Exploitation attaques Brute Force / dictionnaire Les bogues logiciels Mauvais paramétres d entrées Buffer overflows Ecoute du trafic reseau
Lutter contre les attaques Scan de ports Bloquer tous les ports sauf ceux dont vous avez besoin Bloquer les requetes ICMP NT: IPsec; Linux: iptables Ecoute du trafic reseau Utiliser les médias commuté Utiliser des protocoles cryptés Utiliser des entrées ARP fixe
Lutter contre les attaques (suite) Null sessions Réglez la valeur de Registre suivante à 2 [HKEY_LOCAL_MACHINE\SYSTEM\Curren tcontrolset\control\lsa\restrictanonymous] Utiliser les IDS et/ou Parfeu (firewall) Snort BlackICE
Identifier les attaques Sous Windows, vérifiez le journal des événements de Sécurité. Sous Linux, verifiez dans /var/log/. Revoir les logs de IIS sous \winnt\system32\logfiles. Verifier les logs de Apaches sous /var/log/httpd.
Les partages administratifs: Permet de rendre la vie plus facile pour les administrateurs système. Mais peut être exploité si un hacker connaît les bons mots de passe. Les partages administratifs standards : Admin$ IPC$ C$ (et tout autre lecteur dans le reseau)
Contrôler une cible Établir la connexion avec l'hôte cible. net use \\se-x-x\ipc$ /u:se-x-x\administrator Utilisez Gestion de l'ordinateur dans la console MMC ou Regedit pour modifier les paramètres du système. Démarrer une session telnet. at \\ se-x-x 12:08pm net start telnet Autoriser un port dans le parfeu
Contrer ces types d attaques Utilisez des mots de passe forts. Pas de mots du dictionnaire Combinaison de caractères alphabétiques et numériques Au moins huit caractères longueur Utilisez le verrouillage des comptes. Limiter les services. Si vous n'avez pas besoin, les arreter. Limiter la portée(fermeture de certains ports,..).
Les Backdoors Une porte dérobée (de l'anglais backdoor, littéralement porte de derrière) est une fonctionnalité inconnue de l'utilisateur légitime, qui donne un accès secret au logiciel ( dés fois le Système lui même ). L'introduction d'une porte dérobée dans un logiciel (système) à l'insu de son utilisateur transforme le logiciel en cheval de Troie (trojan). Un e-mail,une clé usb, un fichier word ou pdf peut contenir un programme backdoor.
Backdoors DEMONSTRATION
Capture sur le réseau local Sur Ethernet sans commutateur, tout le trafic est envoyé à tous les ordinateurs. Ordinateurs avec la carte réseau en mode promiscous peut voir tout ce qui est envoyé sur le fil. Protocoles communs tels que FTP, HTTP, SMTP et POP3 ne sont pas cryptés, donc vous pouvez lire les mots de passe en texte clair.
Capture sur les réseaux commutés Commutateurs envoient des données uniquement pour les hôtes cibles. Les réseaux commutés sont plus sûrs. Les Commutateurs accélérer le réseau. Mais les protocoles communs tels que FTP, HTTP, SMTP et POP3 ne sont pas cryptés, vous pouvez aussi lire les mots de passe en texte clair.
Attaque sur le protocole ARP Les attaquants peuvent utiliser des générateur de paquets ARP pour changer l identité d'un hôte sur le réseau et ainsi recevoir le trafic qui ne lui est pas destiné.
Déroulement de l attaque
Procédure d attaque 1. Réglez votre oridateur pour transférer les paquets: Linux: echo 1 > /proc/sys/net/ipv4/ip_forward echo 1 > /proc/sys/net/ipv4/ip_forward BSD: sysctl -w net.inet.ip.forwarding=1 2. Démarrer l attaque (En utilisant 2 terminals) arpspoof -t 149.160.x.x 149.160.y.y arpspoof -t 149.160.y.y 149.160.x.x 3. Démarrer le sniffing ngrep host 149.160.x.x less
Contrer les attaques ARP Table ARP statiques ARPWatch Platformes: AIX, BSDI, DG-UX, FreeBSD, HP-UX, IRIX, Linux, NetBSD, OpenBSD, SCO, Solaris, SunOS, True64 UNIX, Ultrix, UNIX
IP spoofing: Utiliser une fausse IP Pour rediriger l attention des admins Obtention des paquets derrieres les filtres. Compromettre tout le réseau.
DOS : Denied Of Service Attaques par déni de service est une attaque informatique ayant pour but de rendre indisponible un service par : Consommation des resources Espace disque Temps processeur Consommation de la Bande passante Smurf attack DDoS
DOS : Le SYN flooding De nombreux paquets SYN sont transmises, ainsi lier des connexions. Spoofing IP empêche de remonter à la source.
Procédure de l attaque
DOS : Smurf attack Les requêtes ping sont envoyées à l'adresse de diffusion d'un sous-réseau avec un paquet usurpé semblant d'être la cible. Toutes les machines sur le réseau répondent en envoyant des réponses à la cible. Quelqu'un sur une ligne 56K peut inonder un serveur sur un T1 en utilisant un réseau avec un T3 comme un amplificateur. Example de commande: nemesis-icmp -I 8 -S 149.160.26.29 -D 149.160.31.255
Distributed denial of service : DDOS Utiliser des agents (zombies) sur les ordinateurs connectés à Internet pour faire l attaque Client Master Master Master Agent Agent Agent Agent Agent Target
Des outils communs de DDoS: Trinoo TFN Stacheldraht Troj_Trinoo Shaft ZombieZapper de l'équipe de rasoir permet de contrer les attaques de ce types.
Attaque WEB : Les failles XSS La faille XSS, à l origine CSS (Cross Site Scripting) changé pour ne pas confondre avec le CSS des feuilles de style (Cascading Style Sheet), est un type de faille de sécurité des sites Web, que l on trouve dans les applications Web mal sécurisé. Impact: Phishing, vol de cookies,.
Les failles XSS : (suite) Le principe de cette faille est d injecter un code malveillant en langage de script dans un site web vulnérable, par exemple en déposant un message dans un forum qui redirige l internaute vers un faux site (phishing) ou qui vole des informations (cookies).
Les failles XSS : (suite & exemple) Si je tape «test» dans un formulaire, cela me donne «Vous recherchez : «test». si je tape <script type="text/javascript"> alert( Hacked') </script> dans recherche, le code JavaScript tapé dans recherche est ainsi exécuté. On peut conclure que la page est vulnérable
Les failles XSS DEMONSTRATION
Les failles XSS : (Solutions?) magic_quote_gpc : Tous les caractères (apostrophes),» (guillemets), \ (antislash) et NULL sont donc échappés par un antislash. <script> alert("hack")</script> devient <script>alert(\'hack\')</script> Mais pour bypasser cette méthode, on crée une chaîne de caractères à partir d une série de code ASCII et on obtient un exploit qui marche : <script>alert(string.fromcharcode(104, 97, 99, 107))</script>
Les failles XSS : (Solutions?) Technique d Obfuscation : Ce filtre, par exemple bloque les mots suivants: Script Alert Alors pour bypasser ce filtre nous allons juste changer <script> par <scrscriptipt> et alert par alealertrt
Les failles XSS : (Solutions!) La fonction htmlspecialchars() qui convertit les caractères spéciaux en entités HTML. Utiliser strip_tags(), cette fonction supprime toutes les balises.
INJECTIONS SQL L injection SQL est une faille malheureusement très courante et excessivement dangereuse. Le principe est très simple : l utilisateur entre des données destinées à modifier la requête SQL et ainsi effectuer des opérations qu il ne pourrait normalement pas faire.
EXEMPLE SQLi mysql_query('select col1, col2 FROM tables WHERE id='. $_GET['id']) Le code est ici très simple, en donnant un id en get on obtient le nom correspondant : Ex : /index.php?id=2 donne zaza La vulnérabilité est due au fait que l'entrée $_GET[«id"] n'est pas filtrée.
La fausse solution à l injection SQL $res = mysql_query('select id, col1 FROM membres WHERE id='. mysql_real_escape_string($_get['id'])); Vu qu il n y a pas de guillemets à fermer, mysql_real_escape_string() ne sert à rien l injection fonctionne toujours. Vu que id est un entier, nous aurions dû utiliser intval() au lieux de mysql_real_escape_string().
La vraie solution à l injection SQL On en conclut que même si une fonction de sécurisation des guillemets est présente, il y a toujours un risque. On peut très bien taper '' OR 1=1# pour entrer dans une page d administration protégée. SELECT * from admins WHERE login=''$login'' AND password=''$password'' devient SELECT * from admins WHERE login='''' OR 1=1. La vraie solution est d utiliser LES FILTRES preg_match()
SQLi : Exploitation manuelle DEMONSTRATION
SQLi : Exploitation automatique DEMONSTRATION Par crash tester de absoft Labs
Attaques GSM DEMONSTRATION
Attaque DoS sur GSM Les communications entre un téléphone mobile et une station de base(bts) du réseau cellulaires sont répartis en deux types de canaux : les canaux de contrôle les canaux de trafic.
Attaque DoS sur GSM Communication vocal le canal de contrôle est utilisé pour initier la communication qui est ensuite transmise sur un canal de trafic.
Attaque DoS sur GSM Les SMS, par contre, sont acheminés directement sur un canal de contrôle. Lors de la transmission d'un SMS un canal de contrôle SDCCH va être alloué à un terminal pendant 4 à 5 secondes, le temps de transmettre les 160 octets du message.
Attaque DoS sur GSM Il est ainsi possible de transmettre 900 messages à l'heure par canal. Il est donc possible de saturer ces canaux puisqu'il est possible d'envoyer au SMSC plus de messages qu'une cellule ne peut en gérer.
Attaque DoS sur GSM DEMONSTRATION
Attaques GSM
CONCLUSION Le but de cette présentation n est bien entendu pas d'inciter les gens à crackers des cibles ou à exploiter des failles sur des sites web, mais surtout de comprendre le fonctionnement et la procédures de ces attaques, afin de mieux savoir s'en protéger.
Contacts Site Web : http://absoftcorp.com E-mail : absotcorp@gmail.com