Avis de tout le monde sur les exploits.

par **bruno** » 10 Juin 2003 00:10

Si bien sûr popov que le problème est alarmant. Cependant, il est vrai que mettre en ligne les rootkits pour que tout le monde puisse les télécharger et les étudier, c'est un peu tenter le diable. Je ne doute pas que 99% des membres et visiteurs sont des gens très honnêtes. Par contre, j'ai peur que le fait de mettre en ligne ce genre de bestioles ne ramène sur Ixus des gens un peu moins fréquentables intéressés d'un peu trop près au côté obscur de la sécurité informatique, et dont les posts viendraient nuire à la qualité des forums. Je pense que l'on peut en parler, donner la liste des fichiers qui composent ces rootkits, donner quelques bouts de code intéressants (quelques bouts seulement). La plupart des pirates en herbe étant de véritables script-kiddies, ces derniers sont incapables de reconstituer un script complet et fonctionnel à partir d'une routine intéressante. En ce qui concerne les pirates plus qualifiés, je pense qu'ils ont bien d'autres sources d'infos qu'un site web comme Ixus. Donc, rien n'empêche de parler de ces rootkits dans le forum sécurité, au contraire. Par contre, je pense qu'on pourrait procéder comme suit pour en parler. Un membre récupère un rootkit et désire l'étudier avec d'autres membres. Il l'annonce, ceux qui sont intéressés le contactent par message privé, et le rootkit circule par email entre les membres qui veulent participer. Ensuite, la discussion est ouverte dans le forum au niveau des fonctionnalités du programme, des traces qu'il laisse, de la façon dont il se cache ... Qu'en pensez-vous ? A+ Bruno

par **grosbedos** » 10 Juin 2003 00:40

c'est la seule soluce viable je pense.

par **remi** » 10 Juin 2003 07:34

Je suis tout a fait d'accord avec toi bruno ! en effet l'utilisation de ces scripts etant tres aisé, je pense qu'il vaut mieux eviter en plus de les distribuer...

par **popov** » 10 Juin 2003 12:23

Voila ceci me convient parfaitement, ton idée bruno, est bonne ! on fera comme ca ! Reste qu'a la communauté sois au courant de cette facon de faire. Merci.

par **dbomber** » 10 Juin 2003 12:51

Il est clair qu'il est trés interessant de mieux connaitre les outils d'intrusion pour mieux les contrer...je suis entiérement d'accord avec le mode de fonctionnement de bruno.... par contre est ce que quelqu'un pourrait me compiler chkrootkit...pour ipcop? merci d'avance.... <IMG SRC="images/smiles/icon_bise.gif">

par **popov** » 10 Juin 2003 13:56

ben ecoute, tu Dl le packetage en question chez <a href="http://www.chkrootkit.org/" target="_blank">www.chkrootkit.org/</a>, tu dezippes et derates. Tu as tout simplement un binaire tout pret, il suffit de le lancer (./chkrootkit). et tu obtiendra un liste de controle de tes binaires de ta distribution. par exemple : ./chkrootkit ROOTDIR is `/' Checking `amd'... not found Checking `basename'... not infected Checking `biff'... not found Checking `chfn'... not infected Checking `chsh'... not infected Checking `cron'... not infected Checking `date'... not infected Checking `du'... not infected Checking `dirname'... not infected Checking `echo'... not infected Checking `egrep'... not infected Checking `env'... not infected Checking `find'... not infected Checking `fingerd'... not infected Checking `gpm'... not infected Checking `grep'... not infected Checking `hdparm'... not infected Checking `su'... not infected Checking `ifconfig'... not infected Checking `inetd'... not tested Checking `inetdconf'... not found Checking `identd'... not infected Checking `init'... not infected Checking `killall'... not infected Checking `ldsopreload'... not infected Checking `login'... not infected Checking `ls'... not infected Checking `lsof'... not infected Checking `mail'... not infected Checking `mingetty'... not infected Checking `netstat'... not infected Checking `named'... not found Checking `passwd'... not infected ....

par **popov** » 10 Juin 2003 13:57

aussi sache que tu as des options, il faut regarder la doc pour cela <IMG SRC="images/smiles/icon_razz.gif">

par **popov** » 10 Juin 2003 14:43

<a href="http://www.linuxsecurity.com" target="_blank">www.linuxsecurity.com</a> et <a href="http://packetstorm.linuxsecurity.com/exploits20.shtml" target="_blank">http://packetstorm.linuxsecurity.com/exploits20.shtml</a> pour des exploits a analyser !

par **vanvan** » 10 Juin 2003 14:45

parlons d'authentification. un moyen simple de permettre l'accès à ce type de script, serait de s'authentifier avec nom, prénom, fonction au sein d'une entreprise ou études,....... ça élimine déjà pas mal de monde, du genre ceux qui récupère les codes de façon anonyme, pour les exécuter. Car on peut se dire qu'un admin réseau sait très bien ce qu'il en coûte juridiquement d'abuser de ce type de services (il y en aura toujours qui feront des boulettes, mais ..... ). Je sais que cette solution n'est qu'une façade, car Monsieur Dupont peut très bien récupérer le script pour étude dans sa boîte d'info et le filer à son rejeton ou l'exécuter en passant, le soir, dans la peau du pseudo "totoaimelesfraises" pour hacker un réseau. Mais il est clair que pour lutter contre du piratage, y a pas 36 solutions, faut connaître les dernières tendances. Donc pour commencer, pourquoi ne pas permettre déjà aux membres d'ixus d'accéder à ce type de services ( je parle pas des membres qui se font un compte juste pour choper le script, genre 2 posts et hop !!!! voilà la récup ! ), mais en montrant pattes blanches. Ou encore de créer un site avec une authentification et vérification des données par une personne ( mais là, ça demande déjà une sacré structure ) pour être à peut près sur du réceptionniste. Je sais il y aura des fuites, mais ça limite déjà pas mal. Perso, je prendrais la 1ere solution, pour l'instant. qu'est ce que vous en pensez ?

par **cain** » 10 Juin 2003 21:07

Je trouve que ta méthode est effectivement la plus adéquate Bruno ! Pour répondre à Vanvan, le problème de l'authentification repose sur les informations fournies. Celles-ci étant déclaratives... <IMG SRC="images/smiles/icon_boxe2.gif"> Et si l'on veut faire les choses sérieusement, cela suppose une vérification de ces informations (ce que tu suggères dans ta 2ème solution). Et là effectivement il y a une structure à mettre en place, ce qui demande du temps et du monde <IMG SRC="images/smiles/icon_frown.gif"> C'est pourquoi, selon moi, la solution pronée par Bruno me semble la plus adaptée, d'autant plus qu'elle se limite aux membres. Mais bon, cette opinion n'engage que moi. <IMG SRC="images/smiles/icon_biggrin.gif">

par **bruno** » 10 Juin 2003 21:26

C'est vrai que ce serait vraiment nickel ce que tu proposes Vanvan, on serait très heureux de pouvoir proposer ça. Malheureusement, ça demanderait beaucoup de temps pour pouvoir le gérer. De plus, ça risquerait d'être assez lourd car il faudrait trouver un moyen, comme le dit Cain à juste titre, pour authentifier formellement une personne physique derrière un pseudo. Dans ce cas, où s'arrête-t'on ? On n'a pas la possibililité financière d'envoyer comme le fait free.fr un courrier à toute personne qui s'inscrit pour avoir accès au service. C'est une méthode relativement bonne, quoique loin d'être infaillible pour s'assurer de l'adresse de quelqu'un. On fait quoi ? On demande la photocopie de la carte d'identité ? <IMG SRC="images/smiles/icon_frown.gif"> Il n'en est pas question. On ne va pas en arriver là. Et puis bonjour pour gérer ça. Alors, dans ce cas, une solution pourrait être, de créer un forum privé pour les membres que ça intéresse. Bien sûr, pour avoir accès il faudrait avoir un grade minimum sur Ixus, ce qui impliquerait d'avoir déjà posté pas mal de messages avant. On continuera bien évidemment à vérifier que les gens ne postent pas pour monter en grade. Je ne sais pas ce que vous en pensez. A+ Bruno

par hb » 10 Juin 2003 21:52

l'idée du grade...humm j'y pensais bien aussi mais ... ça fait un peu sélect non tu crois pas ? le mec fiable qui arrive sur Ixus pour la première fois (merci google pour le rabatage) qu'es super branché sécu et tout et tout, il pourrais pas chater avec nous parce qu'il n'aurait pas le quota !!! dur dur d'être un bébé <IMG SRC="images/smiles/icon_bawling.gif"> bon c'est bien de critiquer vous me direz, c'est facile, mais trouver une solution c'est autre chose un !! bon alors je me creuse je me recreuse.....dur !!!!! je vais répondre par une question : vous qui avez un objectif sain avec ces scripts, qui connaissez vous sur Ixus qui pourrait répondre de votre état d'esprit ? n'avez vous pas échangé hors forum avec X ou Y des infos plus personnelles, peut être même professionel, ou même mieux vous habitez géographiquement pas loin et vous vous etes déjà rencontré .... oui mais là, vous me direz, on se met à deux kids et l'un soutien l'autre !!!! ouais, c'est vrai, c'est dur de réfléchir et de taper un post un même temps, le systeme sans faille n'existe pas on le sais puisqu'on est tous là.... pourquoi ne pas imposer un grade sur le "parain" pour amener de nouvelles recrues ? je parle pas d'un cautionneur, il ne s'engage pas pour lui, il le considère juste "fiable" d'après lui ...... bon j'arrete mon délire là non ?????

par **popov** » 10 Juin 2003 22:52

Bon , Bon , Finalement je constate que ma question a vraiment porté ses fruits. Qualifiant ce type d'intrusion au même niveau ques les trojans et virus, je me suis demandé à faire une union pour tirer l'alarme au plus vite afin de prevenir la communautés ! Cependant l'etude du sujet est fort difficile pour analyser avec le soutien de la communauté. Effectivement l'echange via le Dl des sources a partir du site ou le partage inter IXUSien laisse présager le doute des interets. Il n'est evidemment pas possible d'obtenir des garanties de la confiance entre nous (ce que je constate et regrette). Je pense qui faudra tout simplement opter à realiser un TOP TEN des exploits à l'heure actuelle afin d'alerter nos Gourous-Newbies, a ce qu'il mette soit à jour les binaires ou etablir des nouvelles regles (Firewall, IDS, ...). Pour les exploits à analyser, reste ,je pense, a creer une branche du forum (ce qui sera normalement surveillé) pour ceux qui veulent approfondir et partager aupres de la communautée (Tout en restant prudent dans les propos). Je repete encore une fois, je tire vraiment l'alarme haut et fort, il est vraiment le temps de se mobiliser afin d'informer au plus vite la communautée de ce risque assez important ! l'année 2003 est suffisamment revélateur.

par **cain** » 10 Juin 2003 23:32

On pourrait peut-être garder l'ensemble de ces idées sous le coude et en rediscuter lorsque l'anniversaire d'ixus se fera ? (ça ne devrait plus être très long, qu'en dis-tu Bruno ?) Ca permettra de se rencontrer et d'aviser à ce moment-là de visu. <IMG SRC="images/smiles/icon_biggrin.gif">

par **dbomber** » 11 Juin 2003 11:31

Pour en revenir à chkrootkit, je l'ai detaré et quand je le lance il me met : chkrootkit: can't find `strings'. Ben alors je comprends pas tout... Pourtant j'ai bien un fichier strings.c dans le répertoire de chkrootkit. Si quelqu'un a une idée, elle est la bienvenue <IMG SRC="images/smiles/icon_bise.gif">

Avis de tout le monde sur les exploits.

Qui est en ligne ?