IV/ Spoofing

   J'avais déjà fait un article sur le spoofing (petit), dans Nopeace2. je pense qu'il serait plus utile d'approfondir. je rappelle en quoi consiste le spoofing: le spoofing consiste à se faire filtrer à travers des firewalls et proxys (ou mêmes des systèmes) comme étant une machine "amie". Ainsi on casse les protections mises en oeuvres par des administrateurs réseaux au niveau du filtrage des clients (une connection se fait toujours client - serveur).
 

Exemple d'un fichier .rhosts:
coto1.cri.hackers.com cstrife
coto2.cri.hackers.com bond
coto3.cri.hackers.com thorgal
coto4.cri.hackers.com jeankevin
Ce sont les adresses locales de chaque machines, et à coté le nom d'utilisateur. Lors d'une tentative de connection sur le serveur ayant ce fichier enregistré, les utilisateurs qui auront inscrits le login cstrife ou bond ou thorgal ou jeankevin, se verront attribuer l'accès au serveur, une procédure d'authentification au niveau de l'adresse locale ayant été faite bien sur. Seulement ces 4 machines devront eux-mêmes avoir une entrée .rhosts. Dans le cas de fichiers .rhosts vides ou absents sur l'un ou l'autre des ordinateurs (client ou serveur), une attaque de type spoofing ne peut-être crée.
Comment faire simple: demandez à quelqu'un que vous connaissez qui travail sur réseau, et dont la tête de réseau est accsessible par internet, de créer un fichier .rhosts (ou hosts.equiv s'il a un accès en root) pour pouvoir vous spoofer, et ensuite piratez le réseau (placez des sniffers, détruisez la tête de réseau, accédez aux autres ordinateurs en réseau...) Si le retour des packets s'effectue dans le chemin inverse que celui par lequels ils sont venus, un hacker prélèverait les IP qui existent entre ces deux ordinateurs en liaison, et celà lui permettrait de récupérer les packets IP si il arrive à cracker un de ces poste. Il n'y a pas 36 solutions: identifier les cibles correspond à identifier l'hôte (ou le client si vous préférez), et le serveur. Si vous savez pas comment faire c'est que vous avez quelques déficiences au niveau de vos capacités. On va pas répéter ce que tout le monde explique. Immobiliser l'hôte consiste à le hacker en mots francs. Le hacker c'est à dire: obtenir le login logiquement utilisé pour se connecter à la cible, puis obtenir les numéros et pass de connections pour pouvoir usurper son IP, sinon faites changez le fichier rhosts sur la cible. Le reste (connection, login), n'est pas trop difficile: les connections avec telnet, et obtenez le N° de séquence par divers moyens (expliqués ci bas): les admins de l'hote ne se méfie pas trop quand on leur demande juste leur login pour se connecter à la cible; n'oubliez pas d'avoir un fichier rhosts, pour une connection à double sens (une connection s'établie toujours dans deux sens, c'est comme un pont entre deux rives d'un fleuve, sauf erreur de ma part).
Mais sans avoir l'IP de la machine hôte (ce qui se peut impossible), vous pouvez essayer de vous connecter à la cible. A la demande de login un packet sera envoyé à la machine qui normalement possède le login avec un numéro de séquence. Si il y a réponse de la part de cette machine vous êtes cuits (plus bas, explications sur les N° de séquence). Plusieurs solutions bien merdiques, bien lâches, consistent à immobiliser l'hôte qui aurait du être l'hôte normal. Mais on est pas là pour déconner: si vous arrivez à faire ce genre de piratage, les détails sont inintéressants. Immobiliser l'hôte usuel se fait par: virus, trojans, failles de sécurités, attentats à la bombe, menaces de morts, Social Engineering, piratage de l'hôte (!).

Prenons le cas du piratage de l'hôte: l'hôte usuel est aussi serveur et permet à d'autre clients (que vous ne connaissez pas) de se connecter à lui, menez une enquête: Social Engeeniring, NewGroups, mails, questions, scann du réseau etc... Tout est bon. Puis faites la même technique, si vous n'y arrivez pas, de fil en aiguille vous finirez par réussir, et là c'est gagné: vous êtes descendu, éloigné de votre cible principale, puis vous remonterez jusqu'à la cible attaquée.

Le cas du flooding: ça peut paraitre lame le flooding mais ça devient très utile, surtout quand il s'agit de mettre un réseau hors-service. On ne parle pas de flooding ICQ ou IRC ou autres lameries dans ce genre. Le flooding (surtout le SYN Flooding qui correspond à une tonne de demandes connexions, va créer une file d'attente et le serveur ne peut plus traiter les demandes de connexions entrantes.

Qu'est-ce qu'un numéro de séquence: un numéro de séquence est à peu près ce qui va permettre d'établir une connection. Exemple: un paquet TCP est envoyé par la machine X vers la machine Y avec son numéro de séquence. Puis une réponse est envoyé de la machine Y vers X avec le numéro de séquence de X plus celui de Y. Encore un packet est envoyé à Y de la part de X, et le transfert peut commencer. Le but de l'attaquant est de truquer le N° de séquence source, et maintenir ce N° de séquence. l'attaquant doit donc deviner le N° de séquence initial pour retourner la bonne réponse. Celà peut paraitre simple, sauf que les N° de séquences sont codés avec un algorithme, le but étant de découvrir aisni la bonne réponse à retourner. Problème: si l'on contrefait son N° de séquence, un serveur peut retourner le paquet de réponse au client dont le N° de séquence correspond à celui contrefait. le but ensuite est de retrouver le N° de séquence contenu dans ce packet qui ne retourne pas à la personne s'étant spoofée, pour pouvoir aquitter la connection. Il y a aussi le problème vu plus haut, c'est que la machine ayant le bon N° de séquence réponde, donc il faut l'immobiliser.
 

ARP est un protocole qui doit faire correspondre les adresses Internet aux adresses physiques. Un message de requête ARP est diffusé sur le sous réseau vers une cible qui répond en envoyant sa propre adresse matérielle, ainsi un transfert de packets peut s'effectuer. Il est intéressant de comprendre ça, car ARP garde les logs des adresses contactées, ces logs peuvent permettre à un pirate d'avoir les adresses matérielles de machines, et appliquer les attaques habituelles.

Cet article prend fin. il est intéressant mais réservé aux gens qui ont une certaine expérience.