Après trois semaines, voici un résumé de la présentation du 16 octobre sur la faille POODLE.

POODLE est une vulnérabilité dans le protocole SSLv3 qui a été détectée le 14/10/2014 par deux chercheurs de chez Google. Exploitée par un attaquant placé en Man-In-The-Middle entre un client et un serveur supportant tous les deux SSLv3, elle permet le déchiffrement partiel de requêtes HTTPS. L’attaquant peut donc ainsi récupérer les cookies de session de la victime et ainsi usurper l’identité de ce dernier auprès du serveur cible.

Etape 1 : La Downgrade Dance

Afin d’exploiter la faille du protocole SSLv3, encore faut-il que les communications attaquées utilisent ce protocole. Supposons tout d’abord que l’attaquant soit placé entre le client/la victime et le serveur cible (Man In The Middle). L’attaquant a alors le contrôle sur les communications entre les deux parties.

Lors de l’établissement d’une connexion TLS, le client et le serveur  se communiquent la plus grande version de TLS que chacun supporte afin de choisir celle à utiliser. Cependant, si la communication échoue, le serveur, va proposer une version plus petite du protocole TLS et réessayer d’établir une connexion.

L’attaquant ayant le contrôle sur le canal de communication, il peut volontairement faire échouer les tentatives de connexion : le serveur proposera successivement d’établir une connexion utilisant les protocoles TLS 1.2, TLS 1.1, TLS 1.0, puis SSLv3, « l’ancêtre » de TLS qui est toujours supporté pour des raisons de rétrocompatibilité. L’attaquant laissera donc la connexion s’effectuer en SSLv3 afin d’exploiter la vulnérabilité POODLE.

Etape 2 : Déchiffrer … un octet

Read More →

Pièces jointes

Bonjour ! En complément à tout ce que je vais/j’ai raconté jeudi, je vous mets ici une liste de mes sources et divers autres trucs, dans l’ordre d’apparition.

(Update de vendredi matin : après discussion, j’en rajoute un peu)

Niveau histoire et fonctionnement

Côté sécurité :

Droit :

Altcoins :

En vrac :

 

 

 

 

Je profite de cette rentrée et des quelques nouveaux pour dépoussiérer un challenge du grehack2013. C’est un challenge de crypto, évalué à 500 points (ce qui est le maximum), mais je tiens quand même à préciser qu’il ne nécessite pas de connaissance particulière en crypto moderne. Il faut du bon sens, de la patience, de l’observation, et un peu de skill python pour automatiser le déchiffrement. C’est tout.

Un write-up viendra, soit quand quelqu’un l’aura trouvé (au moins deux personnes sont déjà sur la bonne voie), soit après les vacances de la Toussaint.

C’est par là => I don’t like numbers

Voici la correction du CTF de rentrée 2014.

1ère étape

Le code inséré dans l’image est du code binaire. Il faut le transformer en assembleur pour pouvoir l’exploiter. Pour cela, on va utiliser un désassembleur. J’ai utilisé OnlineDisassembleur, qui a l’avantage d’être un site Internet donc disponible depuis n’importe quelle plateforme. Voici son URL : http://www.onlinedisassembler.com/

On récupère alors le code assembleur généré et on le stocke dans un fichier .asm

Read More →

Pièces jointes

Un petit post pour parler de la deuxième présentation de Securimag, une introduction au reverse-engineering.
Les slides utilisées pour le début viennent d’un cours de reverse du M2 Safe de l’Université Joseph Fourrier (pub!).

Tout n’a pas était présenté, mais nous avons pu voir quelques crackmes console et GUI fait en assembleur directement (Frisk0) ou compilés depuis du C ou VB.
Nous avons vu aussi que le reverse des applications à bytecode comme les apk et java.

En plein milieu nous avons eu droit à une illustration en live de l’utilisation des hashs dans les applications Web … mais chuuut !

Enfin, nous avons terminé par la présentation de quelques outils pour le reverse qui peuvent être utiles selon les applications.

La liste des crackmes utilisés (merci à Frisk0, perror, nuitduhack) est disponible dans un zip en pièce jointe de ce post ainsi que quelques documents.

Pour les outils :

Si vous avez des commentaires / objections / idées pour cette présentation ou les suivantes, n’hésitez pas !