1 Vocabulaire et avant propos Les Intrusions reseaurepresentent les attaques utilisant les couches 2, 3 et 4 du mode`le OSI (couche de ´´ Lien, Re´seau et Transport). Celles-ci se basent souvent sur la re´solution des adresses, le routage des paquetsoudesd´efautsd’impl´ementationdesdiff´erentsprotocolessurlessyste`mesd’exploitation. Ilnousestpossibledeclassifierlesintrusionsr´eseauendeuxsous-ensembles: Attaques visant les failles d’un protocoleLe protocole ARP est un exemple typique, puisqu’il est facilement utilisable pour du spoofing1(ARPspoofing). Attaquesvisantlesfaillesd’impl´ementationionntat´emeIls’agira,dansacec’d,slituresiseleeurrd’rsplim duprotocoleoud’unservicesurlesyst`emed’exploitationdelavictime. Les attaques WebeurvseesulboWerseridtnasltnemetcseq,autna`´eprntseleelres,uqativseltnetase applicationss’ex´ecutantsurceux-ci.CesapplicationsWebsontdesprogrammese´critspardes Webmasterservanta`lag´ene´rationdynamique2HTML (.jsp, .php, .asp, etc..) fourniesdes pages auclient.Cesapplicationssouvent”mal”programm´ees,sontparticulie`rementvuln´erablesaux attaques Web (attaques du site Web en question). Pour cette classe d’attaques, il nous est aussi possibleded´efinirdeuxsous-ensembles: Attaques visant le programme serveur offrant le service Web (Apache, IIS)Il s’agira, dans ce cas, de l’utilisation de failles d’imple´mentation du programme serveur (typiquement un Buf-fer Overflow). Attaques visant les applications he´berge´es par le serveur WebIl s’agira ici d’attaquer l’appli-cationWebelle-mˆemevialeschampsdesaisiesoffertsa`l’utilisateur. LesintrusionsetattaquesWebsontennetteprogressiondepuiscesderni`eresann´ees,notammentles intrusionsvisantl’acce`saur´eseauLANou`aunsous-r´eseaud’uneentreprise.Actuellement,lamajeure partiedesintrusionssontdirectementfaitespardescollaborateursdel’entreprisemalintentionn´es.
Ce tutorial a comme objectif de pre´senter une se´lection d’attaques possibles sur les re´seaux informatiques etserveursWeb.Cesattaquessontclassifie´esparcate´gorieetseulelapartieth´eoriqueseraspe´cifie´e.Ces attaques ont, comme objectif, de faire des de´nis de services, des interceptions de mots de passe, etc... Cedocumentaunbutpurement´educatifetcesattaquesnedoiventˆetreex´ecut´eesquedanslebutde mettreen´evidencecertainesfaiblessesdeprotocolesetdeprogrammation.Iln’estpasquestiondeformer de nouveaux crackers. 1Art de se faire passer pour quelqu’un d’autre (usurpation d’identite´) 2´fnnotciondesparam`etreoitanydnqimaedeupalaHTgeduMLotcˆe´rCse´rtnesilcelrapten e serveur e
3
Jo¨elWinteregg-MassinoIritano,IICTc
Tutoriels´ecuri´e
1.1 Symboles utilise´s dans les illustrations Utilisateur Routeur (symbole Cisco)
Serveur Switch (symbole Cisco)
Pirate (cracker) Hub (symbole Cisco)
Analyseur
2 Recherche d’informations 2.1 Introduction Avant toute attaque, qu’elle soit interne ou externe, il faut d’abord passer par la phase de la prise d’infor-mations : lieu, adresse IP, type d’OS, etc ... Tout comme un voleur ne cambriolera pas une maison sans avoirrep´´llieuxets’eˆtreinform´esurlesyst`emedede´tection.C’estapre`scetteprised’informations ere es quelastrate´gied’attaquesera´etablie.
2.2 Me´thodes de recherche Pour parvenir a trouver des informations sur une entreprise ou un nom de domaine il y a plusieurs moyens, dont : 1. Les annuaires Whois 2. Nslookup 3. Traceroute Cesannuairescontiennentdesinformationssurlesentreprisesoulesdomainesquionte´t´efournieslors de l’enregistrement aux organismes responsables. On peut les consulter sur Internet ou par des logiciels. Parexemple,pourlaSuisse,ilfauts’adresser`aSwitch3. Nslookup consiste a` interroger un serveur DNS ou un serveur de noms de domaine a` l’aide d’un client nslookup disponible sur toutes les plates-formes. 3http ://www.switch.ch
4 cJoe¨l Winteregg - Massino Iritano, IICT
Tutorielse´curi´e
Leslogicielstraceursderoutecommetraceroute,visualrouteetd’autres,consistenta´etablirlatopologie entre la personne posse´dant le programme et une cible.
2.3 Social Engineering Ils’agitd’unem´ethodequin’apasrecoursaulogiciel(pourunefois).Lesinformationsvonteˆtrecol-lect´eesdirectementaupr`esdesutilisateurs,ouencoremieux,aupre`sdesadministrateursre´seauxpardes strate´giesdepersuasion.Ilyadiffe´rentesmani`eresd’entrerencontactaveclesutilisateursoulesadmi-nistrateurs re´seaux.
2.3.1Part´el´honne ep La personne appelant le HelpDesk ou le service informatique se fera passer pour une personne de l’en-trepriseafind’obtenirdesinformations,telquemotdepasseouautreparam`etrepermettantl’authentifi-cationsurlere´seauousurunserveur.L’appelantaurapre´alablementpre´par´esontexteetsonpersonnage defa¸cona`eˆtrelepluscr´ediblepossible.Pouraugmenterlacre´dibilite´,desbruitsdefondpeuventˆetre ajout´escommelesbruitsdescolle`guesdebureau.
2.3.2 Par courrier postal Ilestpossiblederecevoirunelettreauformatr´ealis´eeaveclogo,adresse,num´erodet´el´ephoneetavec, commeadressederetour,uneboiteauxlettresd’unesociet´efictive. ´
2.3.3 Par contact direct C’estunem´ethodederecherched’informationstre`sdifficilepourlecrackermaisencoreplusdifficile pour la victime qui doit se rendre compte qu’il s’agit d’une personne mal intentionne´e. De ce fait, le crackerdevrafairetr`esattentionafindenepassede´voileraucoursdelaconfrontation.
2.3.4 Contre mesure Nous avons vu dans les me´thodes de recherches (section 2.2 page 4), qu’il e´tait possible de trouver des informations sur les entreprises a l’aide d’annuaires. Ci dessous, nous pouvons voir les informa-tions lie´es a l’Heig-vd, provenant d’une recherche sur un annuaire whois, a l’aide d’un programme client pre´alablementinstall´e.Ilestdoncpossiblededirectementinterrogercesbasesdedonne´esdistantes.Nous avons aussi la possibilite´ d’interroger ces annuaires, via une page web (http ://www.ripe.net/db/whois/whois.html), quiappelleralacommandewhoisetretourneraler´esultataubrowser. jwintere@debian:˜$ whois heig-vd.ch whois: This information is subject to an Acceptable Use Policy. See http://www.switch.ch/id/terms/aup.html