Just Another Geek — archives

Mot de la presse

Tape là !

Comme je l'ai écris dans un anglais très approximatif sur le Trac de scapy [archive], RadioTap est l'équivalent des PrismHeaders, c'est à dire que le pilote de la carte Wifi va nous retourner le maximum d'information physique sur la trame qu'il vient de recevoir. Parmi les champs intéressants, il y a la puissance du signal qu'a reçu l'antenne. Cette valeur n'est pas méga précise mais suffit largement. Par exemple, voici la sortie de wifidtc.py (pas la peine de Google, vous savez où le trouver) qui indique pour chaque client, le signal en dBm avec une zolie représentation graphique et l'OUI associé :

00:0e:35:90:ZZ:XX [-55  dBm] |##############      | Intel
00:16:b6:b0:XX:a7 [-91  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-93  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-92  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-92  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-93  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-93  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-95  dBm] |##########          | Cisco-Link
00:13:ce:2e:YY:51 [-89  dBm] |###########         | IntelCorpo
00:16:b6:b0:XX:a7 [-93  dBm] |##########          | Cisco-Link
00:16:b6:b0:XX:a7 [-93  dBm] |##########          | Cisco-Link

On m'a dit que ça pouvait aider à localiser grossièrement des indésirables...

Note personnelle : Bravo Stéphane, Nico, Éric, Fred, Xavier et Charles pour le SSTIC 2007 ! Je pense que le deuxième jour va être sous les couleurs d'EADS :)

hg add slides.pdf && hg push

Je viens de publier les slides de ma présentation aux JSSI du CELAR [archive] intitulée pompeusement Sécurité des systèmes VoIP : exemple d'un test blackbox [archive] (non j'ai pas trouvé plus court, enfin si, mais... ça faisait moins classe).

Je ne les publie que maintenant car j'hésitais à réutiliser ce support pour la caravane des conférences (Copyright news0ft [archive]), mais je me suis dit que j'étais trop jeune pour commencer à faire ça, c'est un cercle infernal après :)

C'est quoi déjà la commande pour redémarrer un IOS ?

Pourquoi est-ce que je sens que tous les chercheurs de vulnérabilité/exploits sont en train d'essayer de bindiff-er [archive] les IOS pour comprendre les dernières vulns de la nuit ? Peut-être parce qu'on peut r00ter tous les IOS du monde grâce à ça... Il suffit de voir les scores assignés par Cisco (8.3 et 10) pour se rendre compte de leurs gravités.

Crafted IP Option Vulnerability [archive]
IPv6 Routing Header Vulnerability [archive] (Félicitations Arnaud !)
Crafted TCP Packet Can Cause Denial of Service [archive]

Le premier qui réussira à écrire un exploit stable et quasiment générique (modulo quelques adresses en fonction de l'IOS) doit pouvoir le vendre beaucoup plus cher qu'un exploit pour Vista ou un XP SP2 à mon avis.

Touche moi vite!

Comme c'est mignon, j'ai un modem Speedtouch qui essaie de me spammer !

2007-01-22 21:25:18 H=(speedtouch.lan) [86.89.yyy.zzz] F=<Martin@ozwi.com> rejected after DATA: Pan ! 8.9 spam points.

Quote de porc^Wspam

J'ai commençé à lire mes spams, non pas parce que j'ai des problèmes de montage de chapiteau mais plutôt pour essayer de voir des patterns.

Par exemple, j'ai reçu depuis la semaine dernières une trentaine de spams avec une apostrophe dans la partie locale de l'adresse From:, exemple :

From: "Benny Blair" <Monteverdi'susurious@tamamanours.ru>

Donc j'ai dégainé mon spamassassin et ajouté ça dans mon /etc/spamassassin/local.cf :

header FROM_ADDRESS_QUOTED From =~ /<.*'.*@/
describe FROM_ADDRESS_QUOTED what is this quote in the email address
score FROM_ADDRESS_QUOTED 3.0

J'ai testé sur l'intégralité de mes mails et ça ne déclenche aucun faux-positif.

Pas ce soir chéri, Gmane à la tête

Qu'est-ce que Gmane ?

Gmane est une passerelle de mailing list vers le protocole NNTP [archive]. Gmane s'inscrit sur les listes et republie les messages dans des groupes.

Pourquoi utiliser les services de Gmane.org ?

Gmane est bon pour la planète :

Économe : Plus besoin que le serveur de liste envoie N fois le mail en entier à chaque personne alors que vous n'allez en lire que la moitié, rien qu'en sélectionnant les titres.
Spam : Avant d'injecter les messages, plusieurs traitements anti-spams sont appliqués aux messages avec une efficacité redoutable.
De plus, si des spams venaient à passer, vous pouvez les marquer vous-même comme tel et les messages seront supprimés après modération, ce qui permettra à d'autres personnes de profiter de votre marquage.
Inscription facile aux listes : Plus besoin de voir si le gestionnaire de liste est un Mailman, Sympa, ecartis, etc. Vous avez juste à cocher la case du groupe dans votre lecteur de news et vous êtes inscrit.
Possibilité de lire les groupes en NNTP, mais aussi grâce aux interfaces Web : vous pouvez alors envoyer un lien facilement vers un article donné.

En fait, la seule raison qui pousse les gens à ne pas utiliser Gmane est qu'ils n'utilisent pas de client de news (alors qu'une personne sérieuse utilisera Gnus [archive]). Non, je ne fais pas de la publicité car j'ai reçu mon tee-shirt d'admin [archive] gratuit :)

C'est juste pour rigoler hein

Maintenant que dans certains milieux non-autorisés, les vulnérabilités de GnuPG se revendent moins cher que les vulnérabilités phpBB, je n'accepte désormais plus les messages signés/chiffrés...
J'rigooooooole... (Copyright Borat)

... Mais je n'accepte plus les mails chiffrés non signés ou non-trustés (enfin si j'étais un vrai parano, c'est ce que je ferais) :)

On ne tire pas sur une ambulance...

Ça doit faire bizarre de se réveiller un matin, d'ouvrir les yeux et se rendre compte de la vérité : le produit sur lesquel tu travailles avec amour depuis plus de cinq ans est tout pourri et y a rien à y faire. C'est un peu ce qu'a dû se dire Stefan Esser puisqu'il quitte l'équipe sécurité de PHP [archive]...

Asterixsm!

Hier soir, lorsque j'ai vu l'advisory CVE-2006-5444 [archive] portant sur Asterisk [archive] et son implémentation Skinny, je me suis dit : chouette, je vais pouvoir utiliser scapy [archive] et mon implémentation Skinny toute prête [archive] pour écrire l'exploit (un integer overflow [archive] entrainant un heap overflow [archive]).

Oui, sauf qu'y a vraiment pas besoin : le bug (pré-authentification s'il vous plait! Excusez moi du peu) porte sur le premier champ du protocole (la longueur du message) dans le premier segment de données, bref rien de passionnant, et y a surtout pas besoin d'utiliser scapy pour faire ça :)

Toujours est-il que je remercie les développeurs Debian pour asterisk_safe qui permet de relançer le daemon lorsqu'il est mort. C'est une excellente solution pour les... attaquants puisque avec le noyau de Debian Sarge par défaut, il n'y a pas de randomization des adresses et la GNU Libc 2.3.2 n'a pas les "mesures de protection" qui permet d'utiliser un simple unlink(). Pour exploiter ça, c'est finger-in-the-noise si on cherche pas à faire compliquer.

Si j'ai le temps, je porterai l'exploit dans Metasploit 3... Mais faut d'abord que je fiabilise mon-mien-tout-crade-mais-qui-marchouille...

Note : Ça fait tout de même mal aux yeux que ce soit le tout premier traitement appliqué au message qui soit exploitable aussi facilement, ça laisse perplexe sur la sécurité du reste... À auditer donc.

Deuxième effet de la loose

Je ne sais pas qui m'en veut mais je dois avoir une poupée voodoo à mon image et une personne n'arrête pas de jouer avec mon destin : j'enchaîne problèmes sur problèmes, aussi bien matériel et logiciel.
Un exemple ? Facile, la corruption de tout mon filesystem avant hier sachant que la seule chose que j'ai faite est de mettre à jour le noyau du 2.6.17 à un 2.6.19.
Je ne vois aucun message de plainte sur lkml donc j'imagine que c'est de ma faute, mais comment ? La machine n'a pas subit de tortures, je l'ai utilisé comme je l'utilise tous les jours depuis deux ans, etc.

Cette boue d'XFS a foutu en l'air tout /, m'empechant de faire quoi que ce soit. J'ai tout de même réussi à faire un xfs_check && xfs_repair (en les relancant plusieurs fois car j'ai des erreurs de segmentation...). Bien sûr, j'ai oublié mon lecteur CD-ROM au boulot, donc pas possible de booter sur un live-CD, arrrrrrrg!

kernel: Filesystem "hda1": XFS internal error xfs_da_do_buf(2) at line 2087 of file fs/xfs/xfs_da_btree.c.  Caller 0xc0220224
kernel:  xfs_corruption_error+0xf9/0x104
kernel:  xfs_da_read_buf+0x3b/0x3f
kernel:  kmem_zone_alloc+0x5a/0xad
kernel:  xfs_da_buf_make+0x27/0x120
kernel:  xfs_da_do_buf+0x73f/0x83f
kernel:  xfs_da_read_buf+0x3b/0x3f
kernel:  hrtimer_wakeup+0x0/0x1c
kernel:  xfs_da_read_buf+0x3b/0x3f
kernel:  xfs_da_node_lookup_int+0x8f/0x293
kernel:  xfs_da_node_lookup_int+0x8f/0x293
kernel:  xfs_dir2_node_lookup+0x41/0xb2
kernel:  xfs_dir_lookup+0xf9/0x11f
kernel:  soft_cursor+0x1f3/0x200
kernel:  bit_cursor+0x528/0x53d
kernel:  xfs_dir_lookup_int+0x40/0x103
kernel:  vn_hold+0x23/0x3e
kernel:  xfs_rename+0x200/0xcb6
kernel:  __d_lookup+0xbf/0x13c
kernel:  xfs_access+0x47/0x4f
kernel:  vfs_permission+0x20/0x24
kernel:  __link_path_walk+0xbe8/0xcd1
kernel:  xfs_vn_rename+0x49/0x84
kernel:  link_path_walk+0xc6/0xd0
kernel:  xfs_iunlock+0x61/0x87
kernel:  xfs_access+0x47/0x4f
kernel:  __mutex_lock_slowpath+0x1c4/0x1cc
kernel:  vfs_rename+0x226/0x3c6
kernel:  sys_renameat+0x179/0x1f8
kernel:  sys_rename+0x27/0x2b
kernel:  syscall_call+0x7/0xb
kernel:  =======================

Une chose est sûre, je réinstalle cette machine en ext3fs bientôt...

Update: : C'est un bug connu [archive] et référencé [archive]. Adieu XFS! C'est le deuxième bug de corruption de données cette année...

L'art de la loose

La loose, c'est se rendre compte que ses slides sont complétement cassés à cause d'un bug dans LaTeX Beamer [archive] quelques heures avant une conférence.
La vraie loose, c'est de ne pas avoir de connexion Internet pour avoir la ligne de patch et se la faire envoyer par SMS...

La chance, c'était que j'avais déjà eu ce problème sur une autre machine donc je savais que la solution était dans le BTS Debian, mais j'étais sûr que toutes mes machines étaient corrigées. Comme le veut Murphy, j'avais oublié mon laptop...

Merci Luigi pour le SMS :)

C'est tout les jours Novell

Semaine plaisir à dépenser son salaire en deux jours avec l'achat de matériel : deux écrans plats Samsung de 20" [archive], une carte graphique ATI Radeon 9250SE PCI, une carte Wifi Netgear WG-311T (à base de chipset Atheros), un deuxième disque dur pour faire du RAID-1, etc.

Le tout, en s'assurant que chaque composant soit Linux-friendly : aucun driver propriétaire à installer (mis à part le HAL Atheros), support natif des périphériques dans le noyau 2.6 sans besoin de patches particulier, etc.
To be integrist or not to be...

Me voila désormais équipé d'une machine de guerre AMD64 installée avec la toute dernière version de Debian Installer d'Etch (la RC1) et mes deux écrans en 1600x1200, configurés avec le MergedFB et son support de l'accéleration 3D (ok, ca sert à rien...).

JSSI du CELAR

Le programme des JSSI du CELAR [archive] est sorti, je ferai une conférence sur les techniques d'audit d'une solution VoIP (qu'elle soit ouverte, libre, fermée, propriétaire, etc.) le deuxième jour (mercredi 29 Novembre 2006).
Un titre alternatif pourrait être "How-to 0wn your VoIP network" mais ca ne ferait pas sérieux.

J'espère éviter le pipotron du consultant et faire dans la technique pure avec les points suivants : pentest de chaque brique logicielle, analyse de fichier binaire, découverte d'un protocole propriétaire, étude des vecteurs d'attaque, etc. Programme ambitieux, on verra ce que ça donne!

Je ne suis jamais allé là-bas, vu l'environnement (CELAR), je me demande si ca ressemble un peu à "Blackhat Federal " (conférence plutôt réservée aux agences à trois lettres). Qu'importe, je suis bien content de retourner à Rennes où on y a beaucoup trainé les pieds lors des différents SSTIC !

Si vous êtes dans le coin, venez prendre une bière !

Le conseil of the day

Si vous ne voulez pas perdre quelques heures pour récupérer une table des partitions écrasée (par un installateur complétement débile venant de Redmond), je vous conseille vivement de vous envoyer les tables de partition de tous vos périphériques de stockage :

% sfdisk -d | mail -s 'table des partitions' monmail@cretin.fr

fdisk -l n'est pas la meilleure solution (car il ne tient pas compte des arrondis et d'autres joyeusetés) et n'est pas un format d'entrée pour une restauration.

ftpls

Un instrument de ma boîte à outils est ftpls [archive] : un tout petit programme Perl qui sert à lister un répertoire FTP. Son seul intérêt est qu'il comprend une format string pour strfime() pour désigner le répertoire à lister.

Imaginons par exemple, pure spéculation, que votre serveur de fichiers favoris de fichiers légaux mettent quotidiennement ses nouveaux fichiers dans le répertoire NEWS/$day-$month/. Ca donne ça :

$ ftpls -h w4r3z.4ever.example -e 'NEWS/%d-%m'

Vous ajoutez ça dans votre crontab quotidien et zoup!

net ou pcap ?

En attendant que Phil [archive] les intègre (soumis il y a maintenant quelques mois :p), voici quelques patches pour net2pcap [archive] : un tcpdump -w très allegé et qui a pour but d'être le plus simple, secure et auditable possible.

Ces quelques patches [archive] ajoutent les fonctionnalités suivantes :

Écriture des fichiers en mode O_LARGEFILE [archive] (pour les fichies pcap de tailles supérieures à 2 Go)
Ajout d'un fichier de PID [archive], pratique pour lancer via start-stop-daemon
Révocation de privilèges [archive] comme j'en avais déjà parlé [archive]
Chrootage du processus [archive]
Correction de bug pour PERROR() [archive]

Oui, je les publie seulement pour ne pas les perdre comme ça m'est déjà arrivé et devoir les réécrire...

Sortez cou vert !

Aujourd'hui, nous sommes un peu impuissants (surtout un certain F. R*nal par son grand age) face aux vulnérabilités clients : chaque semaine, une nouvelle faille sort dans Firefox, Thunderbird, Gaim, Skype, etc.
Tout le monde est potentiellement vulnérable (sisisi, même les gens sous Lynx) en cas d'attaque ciblée. Quelles sont les solutions ?

Mettre en oeuvre un système PaXé [archive] sur une machine orientée desktop est contraignant : tous les logiciels pas libres (comme le plugin flash propriétaire) vont commencer à segfaulter en permanence et on va finir par whitelister tous les binaires posant problème : on ne fait que déplacer le problème.
De plus, je ne suis même pas sûr que les vulnérabilités de Firefox seraient détectées (par exemple lorsque ça touche le moteur Javascript).

À défaut d'avoir une solution protégeant les applications, il faut essayer de minimiser l'impact d'une vulnérabilité. Ainsi, SELinux apporte une solution concrète et fiable : on applique à chaque application une politique de sécurité, on déclare ainsi toutes les actions que ce processus peut faire. L'exemple classique (limite bidon) sorti tout le temps est que Mozilla Firefox ne doit pas avoir accès à /bin/sh par exemple, je dis bidon car un attaquant déterminé pourra toujours s'en sortir en ajoutant une backdoor dans ~/.bashrc, cela marcherait car Firefox peut sauvegarder ses fichiers n'importe où!

Pourquoi ce n'est pas plus populaire que ça ? Car les distributions n'étaient pas très ouvertes à son entrée : il faut écrire les règles, gérer celles-ci lorsqu'on installe/supprime le logiciel, tester, etc.

Pour Debian, l'idée commence à germer dans la tête des développeurs qui aimeraient bien voir SELinux activé par défaut dans la future release de la distribution [archive]. C'est un très bonne nouvelle si ca marchait tout seul pour les paquets les plus populaires (navigateur et messagerie instantannée).

Langue de p*te j'écoute ?

Bonjour, je m'appelle Theo de Raadt et aujourd'hui, je vous apprends la courtoisie [archive]. Pour la peine, ca me ferait bien plaisir de voir un exploit du même style que celui de Gobbles à l'époque. N'aurait-il pas appris la leçon ?

Free as beer^WPastis

La recherche Google sur Ricard [archive] est intéressante : le deuxième résultat est... le site de Richard Stallman [archive].