Interview

 

Exploit Webdav

Publié le 26-02-2004 dans le thème PLUS VALIDE

Pays : Europe - Auteur : Damien Bancal


Pub : Tous les logiciels antispyware gratuits disponibles sur Internet

Note des lecteurs: 1.9/5

Le groupe Coromputer a fait parler de lui au mois de mars dernier en codant un exploit pour IIS 5.0. Une faille de sécurité qui vise Windows 2000 nommée Webdav qui permet de prendre la main sur un serveur faillible. Nous avons rencontré " l'inventeur " de cet exploit, Iván Rodriguez Almuiña aka, Kralor un chasseur de bits pas comme les autres.

Qui est Coromputer ?

Coromputer a été fondé fin 1998 si je me souviens bien. Je venais juste d'avoir mon premier PC. Après la découverte de l'IRC j'ai rencontré Happy-j. Nous étions deux gros newbies mais nous avions le même but : apprendre le " hacking ". Nous avons commencé à lire les vieux e-zines classiques, puis nous nous sommes mis à chercher du monde aussi nuls que nous avec la même passion. Nous avons ramassé quelques gens au passage dont Quintana et notre mascotte québécoise aka SpyD.

Faille Webdav, kesako ?
Elle tourne sur des Serveurs iis 5.0 sous Windows 2000. Une vulnérabilité critique dans un composant de Windows 2000 utilisé par le protocole WebDAV (World Wide Web Distributed Authoring and Versioning) peut permettre à une personne malveillante de planter ou d'exécuter le code de son choix sur un serveur IIS 5.0 utilisant ce système d'exploitation, en envoyant une requête HTTP spécifiquement malformée.

Cette faille est spécifique à Windows 2000 et ne concerne pas IIS 5.0 sous NT 4.0 ou XP. Pour exploiter cette faille, les pirates ont plusieurs possibilités. Beaucoup utilisent " superscan " qui permet de scanner la machine cible sur le port 80. Cela permet aux pirates d'avoir le type de serveur présent. Ils n'ont plus qu'à démarrer netcat sur le port 54 et utiliser l'exploit ntdll.dll/WEBDAV.
Si la faille est présente, le pirate aura un accès administrateur sur le serveur cible. Il va pouvoir ensuite se balader sur les différents disques durs de sa cible, y copier des fichiers, en télécharger, modifier ... Cette faille exerce un débordement de tampon sur le fichier ntdll.dll et permet avec un offset précis de donner l'accès comme administrateur. Plusieurs logiciels sont sortis pour utiliser cette faille (1) (2) ou pour la combattre (3). L'alerte de Microsoft (4).


Au fil du temps moi j'ai continué ma passion : le coding et les autres membres ont plutôt repris une vie active dans le monde " réel ". Quintana est devenu alors administrateur linux et maintenant il gère notre propre réseau. Des années ont passé et d'autres gens nous ont rejoint, dont Scurt, Decryptus, et quelques autres gens qui sont plutôt des amis mais qui ne font pas partie officiellement de Coromputer.

Ca faisait des mois que nous n'étions plus que Spyd et moi sur IRC à raconter des conneries et l'advisory sur ntdll.dll through webdav est sorti. J'ai tout de suite sauté sur l'occasion. Je venais de finir quelques shellcodes hardcoded offsets free, utilisant les techniques de SEH+ScanMem et PEB [private] dont le reverse remote shell que j'ai utilisé pour coder l'exploit Webdav. J'ai alors réalisé l'exploit et là tout a commencé à bouger, à un point que cela m'a donné mal à la tête à force de lancer ma boite de courriers électroniques.

Votre "découverte" a été volée, cela ne vous gêne pas ?

Et comment que ça me gêne. Imaginez, passer des journées de 16h, deux nuits blanches afin de réussir à trouver un bon moyen pour coder l'exploit. Je le code et un gars que je ne connaissais pas du tout, RaFa, le prend, rajoute son mel et poste mon exploit sur la mailing list de sécurité informatique la plus connue, celle de Security focus. Bien évidemment beaucoup de gens ont cru que c'était lui Kralor à un point tel que j'ai même reçu une proposition d'emploi qui a était envoyée sur mon e-mail ainsi que sur le mel de Rafael Nunez, le voleur en question.

Et depuis ?

Depuis le premier e-mail je n'ai plus jamais eu de nouvelle. J'en déduis donc qu'il m'a piqué le boulot. C'est dans ces cas là que je suis énervé. Rester dans l'obscurité ne me gêne pas, mais là ... Est-ce cela l'ambiance de la communauté underground, se faire voler ses découvertes ?

Alors pour que cela soit bien clair Rafael Nunez n'a rien à voir avec la communauté underground. C'est un pseudo professionnel de la sécurité, c'est d'ailleurs comme cela qu'il se décrit. Tous les " hackers " que je connais ont valeur du respect. On s'échange des infos, on apprend sans cesse mais il y a un acte qu'on ne pourra jamais faire, voler une découverte ou une technique. Sans morale on ne va nul part. Dans tous les cas je ne fréquente jamais ce genre de " gars " capables de s'approprier une découverte.

Que pensez-vous du full-disclosure ?

Je pense que c'est assez clair vu que j'ai réalisé cet exploit.

Diffuser une info comme Webdav et la voir utilisée par des pirates ne vous gene pas ?

Personnellement je ne vois pas pourquoi je serais gêné. C'est plutôt les administrateurs des serveurs qui se font pirater… et Microsoft qui devraient être gênés.

Quel avenir aura le web d'ici quelques années ?

Je pense que le web va continuer à perdre son utilité, qui est l'information, au profit de l'argent...

La sécurité informatique est-elle possible à 100 %

Simplement non, parce que la perfection n'existe pas. Je vais laisser la métaphysique de la perfection aux philosophes ça vaudra mieux.

Que craindre le plus sur le réseau aujourd'hui ?

Les popups de publicité quand on visite des sites, les spywares dans les softwares, la diffusion et l'utilisation de notre vie 'privée' et les multinationales qui tentent d'avoir le monopole.

P.S. : kralor recherche un emploi dans la sécurité informatique avec des compétences allant du debugage d'applications à l'audit de sécurité réseaux. Pour le contacter, écrivez au journal qui transmettra.

 

Conseiller cet article Réagir RSS ZATAZ Partager cet article sur Wikio Partager cet article sur Scoopeo Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur Fuzz Partager cet article sur del.icio.us Envoyer cet article sur Blogmarks

Derniers contenus

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Sur le même thème : PLUS VALIDE

Nippon, ni mauvais !

La Chine testerait son armée de pirates contre les serveurs japonais.

Pas cool

Un pirate passe sur le site de Solidarité Sida.

Vitamine K

La police met la main sur un pirate de 20 ans qui a visité de trop prêt la société Medexpress.

P'tit Quinquin

La Mairie de la capitale flamande, la ville de Lille, piratée.

Senat owned

Le site Internet du Sénat visité et modifié par un groupe de pirates brésiliens.

Whackerz

Ils piratent pour l'Iraq, la Palestine et le Kasmire. Interview !

Whackerz

Ils piratent pour l'Iraq, la Palestine et le Kasmire. Eux, se sont les membres du groupe Whackerz. Nous avons rencontre l'un des actifs de cette crew pour mieux comprendre leurs motivations.

Brazil

37 millions d'euros pour un pirate. La police vient lui coudre les poches.

Vos réactions ( 0 )

Réagissez à ce contenu

Réagir

Vous devez vous identifier pour ajouter un commentaire.

Cliquer ici pour vous inscrire.

 



ZATAZ.COm, site recommandé par ORANGE.       ZATAZ.COM trois fois récompensé par Microsoft

Vigilants.fr veille informatique sur les réseaux.
VPN, connexion securisee, haut débit plus de 1000Ko/s, traffic illimité et sans filtrage de ports ni de protocoles, plusieurs adresses et pays différents - service disponible 24h/24h
Application iPhone et iPad ZATAZ, gratuite et sans publicité.
Application iPhone et iPad ZATAZ, gratuite et sans publicité.



Labs ZATAZ

CVE-2011-3230 Apple Safari file:// Arbitrary Code Execution Metasploit Demo

Timeline : Vulnérabilité découverte par Aaron Sigel Publication coordonnée de la vulnérabilité le 12-10-2011 PoC Metasploit fournit le 16-10-2011 PoC fournit par : Aaron Sigel sinn3r Référence(s) : CVE-2011-3230 HT5000 Version(s) affectée(s) : Safari 5.1 pour Mac OS X v10.6.8 Sa [...]

Modules Metasploit Auxiliaires MySQL

Metasploit fournit des modules auxiliaires pour la base de données MySQL qui vous permettra de détecter la version du moteur de base de données, d’effectuer des attaques du type “brute force” au niveau de l’authentification sur la base de données, d’executer des requêtes S [...]

Modules Metasploit Auxiliaires PostgreSQL

Metasploit fournit des modules auxiliaires pour la base de données PostgreSQL qui vous permettra de détecter la version du moteur de base de données, d’effectuer des attaques du type “brute force” au niveau de l’authentification sur la base de données, d’executer des requêtes SQL et li [...]

CVE-2011-0807 : Sun/Oracle GlassFish Server Authenticated Code Execution Metasploit Demo

Timeline : Vulnérabilité découverte par Jason Bowes et soumise à ZDI Notification initiale de ZDI vers le fournisseur le 23-09-20102 Publication coordonnée de la vulnérabilité le  19-04-2011 PoC Metasploit fournit le 04-08-2011 PoC fournit par : juan vazque [...]

Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA