Parlons d'attaques/crashes... (et de reboot)

par **Poulet** » 19 Fév 2004 15:22

Bonjour ! (attention ce post risque d'être long) Alors j'ai un problème : j'ai un pc sous windoz xp auquel je me connecte en remote admin sur Metz (ip [edit : pas d'ip publiques svp]), il est sur un réseau local derrière un fire ou les ports 22 et 4662 sont ouverts (j'ai mis le remote admin sur le 22) Et là, ce pc à un problème d'affichage graphique (enfin bref, ça on s'en fout) toujours est-il qu'il ne veut pas redémarrer (je clique dessus et il ne fait... rien). J'ai un cygwin installé dessus (c'est d'ailleurs avec ça que j'ai tenté de killer certains process pour améliorer les choses, parce que le task manager ne s'affiche pas). Et evidemment moi je suis sur Paris donc je ne peux pas appuyer sur reset... (j'ai essayé : le redémarrage de windoz, le shutdown -r de windoz, le reboot (-r) now de cygwin, le reboot intégré de remote admin ; j'ai aussi essayé de killer winlogon (j'ai des pstools sur cygwin pour avoir accès aux process NT) ce qui m'avait crashé et rebooté mon pc une fois précédente mais là rien. Bref, sans succès pour l'instant) Mon problème serait donc de l'attaquer (au final je ne vois plus que cette solution) pour le faire crasher et espérer qu'il redémarre... Les accès : TCP/UDP port 22 et 4662 vers [edit : pas d'ip publiques svp] et ICMP passe aussi. Ce que je peux faire : j'ai un accès aux lignes de commandes sur ce pc (celles de cygwin et celles de windoz), je peux lui envoyer d'autres programmes (via remote admin) et les executer via les lignes de commandes (mais si c'est graphique je ne verrais rien... si ça reste dans le shell c'est bon. Ah oui, le server X de cygwin ne s'affiche pas non plus (il démarre mais comme les autres apps on voit rien)) Donc a priori je peux utiliser des applications server si vous avez une idée. Si vous avez aussi une autre idée pour le faire redémarrer sans l'attaquer (un petit programme qui peut le faire crasher ? Une commande qui fait crasher ?) Bon bah voilà, je pense que c'est un problème intéressant, qu'en pensez vous ? Des idées ? Merci d'avance ! _________________ --Poulet

par **Muzo** » 19 Fév 2004 15:29

Salut, Qu'est ce qui nous prouve que c'est ta machine? <IMG SRC="images/smiles/icon_smile.gif">

par **JaDiuM** » 19 Fév 2004 15:32

bonjour, 1) ne pas mettre les IP's !!! 2) ta demande me parait pas tres serieuse !!! Cdt

par **Poulet** » 19 Fév 2004 17:42

Ce qui prouve que c'est ma machine c'est que j'ai le pass de remote admin et que je peux intaller des trucs dessu, que y'a un fond d'écran Zelda... Evidemment ça peut paraitre louche, mais en même temps je ne vous demande pas de l'attaquer mais de me dire comment je peux faire pour la faire rebooter, même avec un programme que je lance *sur* la machine ; donc dans ce cas a priori j'en suis bien le possesseur non ? (si j'étais un pirate avec un remote admin sur la machine distante, je ne vois pas pourquoi je viendrais poser une question d'attaque, vu que je contrôle déjà la machine...) Bref vous ne pouvez en effet que juger par ma bonne foi et un peu de bon sens. (Sinon je peux aussi vous parler du réseau local alentour...)

par **tomtom** » 19 Fév 2004 17:50

si tu es connecté dessus en admin et que shutdown -rf ne fonctionne pas, alors elle est dans un sale etat ta machine ! Verifie que le service RPC tourne.... t.

par **Poulet** » 19 Fév 2004 18:03

En effet elle est dans un sale état ! Usuellement je reboot brutalement avec le bouton dans ces cas là... (parce qu'en plus c'est pas la première fois que ça m'arrive, mais les autres fois j'étais physiquement devant) Pour le service RPC, je crains qu'il ne tourne pas (je crois l'avoir désactivé depuis l'apparition de Blast, mais dans l'état actuel des choses, je ne sais pas si je peux le vérifier en lignes de commandes (en tout cas je ne sais pas comment)) Une idée ? Merci d'avance Accessoirement, je peux aussi me faire "aider" par des pcs du réseau local de là-bas (les servers, root pour tous, sauf le fire (évidemment le root n'est pas autorisé à se logger en ssh)). Et retrouver mon adresse mac si ça peut servir...

par **gogol33** » 19 Fév 2004 18:17

Pourquoi tu ouvres le port 4662 ??? Quelle appli utilise ce port ??? On dirait bien le port utilisié par défaut par emule ou edonkey !!!! Tu n'aurais pas attrapé une $%#&! par ce port ????

par **Muzo** » 19 Fév 2004 18:18

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-02-19 16:42, Poulet a écrit: Ce qui prouve que c'est ma machine c'est que j'ai le pass de remote admin et que je peux intaller des trucs dessu, que y'a un fond d'écran Zelda... Evidemment ça peut paraitre louche, mais en même temps je ne vous demande pas de l'attaquer mais de me dire comment je peux faire pour la faire rebooter, même avec un programme que je lance *sur* la machine ; donc dans ce cas a priori j'en suis bien le possesseur non ? (si j'étais un pirate avec un remote admin sur la machine distante, je ne vois pas pourquoi je viendrais poser une question d'attaque, vu que je contrôle déjà la machine...) Bref vous ne pouvez en effet que juger par ma bonne foi et un peu de bon sens. (Sinon je peux aussi vous parler du réseau local alentour...) </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> On ne doute pas de ta bonne foi. Mais tu n'es pas le premier avec ce genre de questions.

par **Poulet** » 19 Fév 2004 18:25

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-02-19 17:17, gogol33 a écrit: Pourquoi tu ouvres le port 4662 ??? Quelle appli utilise ce port ??? On dirait bien le port utilisié par défaut par emule ou edonkey !!!! Tu n'aurais pas attrapé une $%#&! par ce port ???? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Perso je n'ai rien qui tourne sur ce port, mais je parlais des accès possible depuis l'exterieur vers ma machine. Le fire de mon pc est coupé actuellement, c'est le fire de la résidence qui ne laisse passer que le 22 et 4662. (et en effet il est ouvert pour l'emule de la résidence...)

par **tomtom** » 19 Fév 2004 18:29

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Pour le service RPC, je crains qu'il ne tourne pas (je crois l'avoir désactivé depuis l'apparition de Blast, mais dans l'état actuel des choses, je ne sais pas si je peux le vérifier en lignes de commandes (en tout cas je ne sais pas comment)) </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> essaye de le demarrer, car c'est pas impossible que ce soit lui qui gere la commande shutdown... net start "appel de procédure distante (RPC)" ou en anglais net start "remote procedure call (RPC) service" T.

par **Poulet** » 19 Fév 2004 19:12

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> essaye de le demarrer, car c'est pas impossible que ce soit lui qui gere la commande shutdown... net start "appel de procédure distante (RPC)" ou en anglais net start "remote procedure call (RPC) service" </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Alors j'ai essayé de deux façons : *La première avec cygwin (le problème c'est que j'ai pas le bon codepage donc j'ai pas l'accent aigue ; cela dit je ne sais pas si ça change qqch) Zelhg@zelhge2 / $ net start "Appel de procedure distante (RPC)" L'erreur système 1307 s'est produite. Cet ID de sécurité ne peut être défini en tant que propriétaire de cet objet.  *La deuxième en lignes de commandes directe avec radmin : C:WINDOWSSYSTEM32>net start "Appel de procédure distante (RPC)" L'erreur systŠme 1460 s'est produite. Cette op‚ration s'est termin‚e car le d‚lai d'attente a expir‚.  J'ai aussi essayé : (j'ai vu ça dans dans le détail du service sur la machine depuis laquelle j'écris ici) C:WINDOWSSYSTEM32>svchost -k rpcss C:WINDOWSSYSTEM32>  Donc ça à l'air de se lancer, mais je n'ai pas plus de succès avec mes commandes de shutdown (j'ai ensuite réessayé toutes les façons de le rebooter précédentes) Conclusion, je ne suis pas sûr que ce service à été lancé avec mes commandes (donc je ne peux pas encore dire que cette solution ne marche pas). Une idée pour être sûr ? Merci encore !

par **korosv** » 19 Fév 2004 19:20

Si tu arrive à tuer des procés, alors tue le Services.Exe ... redémarrage garanti ...

par **Poulet** » 19 Fév 2004 19:25

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-02-19 18:20, korosv a écrit: Si tu arrive à tuer des procés, alors tue le Services.Exe ... redémarrage garanti ... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Bah il est corriace mon pc ! Justement j'ai déjà killé services... et il est toujours up ! (c'est un "ps -sW" en fait, mais j'ai fait un alias)  <a href="mailto:Zelhg@zelhge2">Zelhg@zelhge2</a> / $ ps PID TTY STIME COMMAND 4 ? 21:24:48 *** unknown *** 708 ? Feb 13 ??C:WINDOWSSYSTEM32winlogon.exe 948 ? Feb 13 C:WINDOWSsystem32svchost.exe 1048 ? Feb 13 C:WINDOWSSystem32svchost.exe 208 ? Feb 13 C:WINDOWSSystem32nvsvc32.exe 244 ? Feb 13 C:WINDOWSsystem32r_server.exe 596 ? Feb 13 C:WINDOWSExplorer.EXE 1292 ? Feb 13 C:Program FilesMSN Messengermsnmsgr.exe 1360 ? Feb 13 C:WINDOWSSystem32svchost.exe 620 ? 12:02:45 C:WINDOWSSystem32cmd.exe 2128 con 12:02:44 /usr/bin/bash 200 ? 18:22:37 G:cygwinbinps.exe  Tout ce qui reste est soit intuable (accès refusé), soit il dit qu'il l'a tué mais le process apparaît toujours... _________________ -- <a href="mailto:Poulet@Supelec[Metz]">Poulet@Supelec[Metz]</a>

par **ImoThep** » 20 Fév 2004 11:39

Je suis posi ca peut t'aider mais tu peuxinstaller le ressource kit. Utilise la fonction kill pour tuer les processus qui resistent. Et tu trouveras d'autres commandes qui peuvent etre utiles. a+

par **Poulet** » 20 Fév 2004 15:03

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-02-20 10:39, ImoThep a écrit: Je suis posi ca peut t'aider mais tu peuxinstaller le ressource kit. Utilise la fonction kill pour tuer les processus qui resistent. Et tu trouveras d'autres commandes qui peuvent etre utiles. a+ </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Donc j'ai essayé les utilitaires dispo à l'adresse <a href="http://www.lacible.net/fr/?page=sources" target="_blank">http://www.lacible.net/fr/?page=sources</a> En fait c'est les mêmes (même architecture) que ceux de cygwin+pstools, donc je n'ai eu pas plus de résultat dans mon cas. Cela dit, c'est vrai que c'est plus efficace que le task manager. Au passage, j'ai essayé servicelist mais il me répond qu'il n'arrive pas à ouvrir le service manager. (services.exe n'est plus dans la liste de mes process) Enfin bref... pour l'instant je n'avance pas trop. PS : j'ai demandé de l'aide respo fire, je vous tiens au courant si c'est concluant.

Parlons d'attaques/crashes... (et de reboot)

Qui est en ligne ?