Veille Technologique Sécurité - cert devoteam

More documents

Recommendations

Info

Avril 2001 Certains outils, dont EtherReal proposent une fonction permettant de reconstituer le flux des données échangées sur une session TCP/IP. L'analyste peut alors suivre aisement le déroulement des actions ce qui simplifie l'investiguation. Dans le cas présent, cette approche permet de confirmer certaines hypothèses mais reste limitée, une grande partie des attaques utilisant une multitude de flux HTTP. Session Incident N°1 - TCP/6969 Le lecteur qui aura le courage de lire la transcription de cette session ne manquera pas de noter les nombreuses erreurs de frappe et l'utilisation systématique de la commande 'dir'. Il comprendra pourquoi l'attaquant est obligé de déconnecter la session: il tente de visualiser un fichier binaire contenant des caractères de contrôles qui engendrent un dysfonctionnement du terminal ! Notons que pour conserver une transcription lisible et d'une taille raisonnable, les résultats des commandes 'dir' ne sont pas tous affichés. Veille Technologique Sécurité N°33 Page 48/59 © APOGEE Communications - Tous droits réservés Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE
Avril 2001 Microsoft(R) Windows NT(TM) (C) Copyright 1985-1996 Microsoft Corp. C:\Program Files\Common Files\system\msadc>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\Program …… 02/04/01 06:41a . 02/04/01 06:41a .. 09/25/97 07:41a 596 adcjavas.inc 09/25/97 07:41a 589 adcvbs.inc 04/30/97 11:00p 208,144 cmd1.exe 02/04/01 06:41a 98 ftpcom 09/25/97 08:28a 172,816 msadce.dll 09/25/97 08:16a 5,632 msadcer.dll 09/25/97 08:24a 23,312 msadcf.dll 09/25/97 08:24a 91,408 msadco.dll 09/25/97 08:19a 5,120 msadcor.dll 09/26/97 08:19a 42,256 msadcs.dll 02/04/01 06:41a 59,392 nc.exe 02/04/01 06:41a 32,768 pdump.exe 10/02/97 07:28a 19,388 readme.txt 02/04/01 06:41a 36,864 samdump.dll 16 File(s) 698,383 bytes 1,690,861,056 bytes free C:\Program Files\Common Files\system\msadc>dir (Résultats identiques - Aucun changement) C:\Program Files\Common Files\system\msadc> [Adir The name specified is not recognized as an internal or external command, operable program or batchfile. C:\Program Files\Common Files\system\msadc>dir (Résultats identiques - Aucun changement) C:\Program Files\Common Files\system\msadc>del ftpcom C:\Program Files\Common Files\system\msadc>ls The name specified is not recognized as an internal or external command, operable program or batchfile. C:\Program Files\Common Files\system\msadcr>dir (Résultats identiques - Aucun changement) C:\Program Files\Common Files\system\msadc> type readme.e The system cannot find the file specified. C:\Program Files\Common Files\system\msadc>c: The filename, directory name, or volume label syntax is incorrect. C:\Program Files\Common Files\system\msadc>cd\ C:\>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\ 11/26/00 12:34p 0 AUTOEXEC.BAT 11/26/00 06:57p 322 boot.ini 11/26/00 12:34p 0 CONFIG.SYS 12/26/00 07:36p exploits 02/04/01 06:26a 7 fun 12/07/00 03:30p InetPub 12/07/00 03:12p Multimedia Files 12/26/00 07:10p New Folder 01/26/01 02:10p 78,643,200 pagefile.sys 12/21/00 08:59p Program Files 12/21/00 08:59p TEMP 02/04/01 06:42a WINNT 12/26/00 07:09p wiretrip 02/04/01 06:43a 0 yay.txt 14 File(s) 78,643,529 bytes 1,690,861,056 bytes free C:\>rm The name specified is not recognized as an internal or external command, operable program or batchfile. C:\>del fun C:\>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\ 11/26/00 12:34p 0 AUTOEXEC.BAT 11/26/00 06:57p 322 boot.ini 11/26/00 12:34p 0 CONFIG.SYS 12/26/00 07:36p exploits 12/07/00 03:30p InetPub 12/07/00 03:12p Multimedia Files 12/26/00 07:10p New Folder 01/26/01 02:10p 78,643,200 pagefile.sys 12/21/00 08:59p Program Files 12/21/00 08:59p TEMP 02/04/01 06:42a WINNT 12/26/00 07:09p wiretrip 02/04/01 06:43a 0 yay.txt 13 File(s) 78,643,522 bytes 1,690,861,056 bytes free C:\>cd exploites The system cannot find the path specified. C:\>dir (Résultats identiques - Aucun changement) C:\>cd exploits C:\exploits>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\exploits 12/26/00 07:36p . 12/26/00 07:36p .. 12/26/00 07:36p microsoft 12/26/00 07:35p newfiles 12/26/00 07:24p unix 5 File(s) 0 bytes 1,690,861,056 bytes free C:\exploits>cd microsoft C:\exploits\microsoft>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\exploits\microsoft 12/26/00 07:36p . 12/26/00 07:36p .. 11/05/97 09:46a 87,312 95sscrk.zip 08/15/00 02:06p 734 ac.zip 08/12/98 09:46a 9,417 anger.tar.gz 5 File(s) 97,463 bytes 1,690,861,056 bytes free C:\exploits\microsoft>cd .. C:\exploits>cd newfiles C:\exploits\newfiles>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\exploits\newfiles 12/26/00 07:35p . 12/26/00 07:35p .. 2 File(s) 0 bytes 1,690,861,056 bytes free C:\exploits\newfiles>cd .. C:\exploits>cd unix C:\exploits\unix>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\exploits\unix 12/26/00 07:24p . 12/26/00 07:24p .. 12/26/00 07:25p sunos-exploits 12/26/00 07:24p tcp-exploits 12/26/00 07:24p trojans 12/26/00 07:16p udp-exploits 12/26/00 07:15p ultrix-exploits 12/26/00 07:15p xwin-exploits 8 File(s) 0 bytes 1,690,861,056 bytes free C:\exploits\unix>cd .. C:\exploits>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\exploits 12/26/00 07:36p . 12/26/00 07:36p .. 12/26/00 07:36p microsoft 12/26/00 07:35p newfiles 12/26/00 07:24p unix 5 File(s) 0 bytes 1,690,861,056 bytes free C:\exploits>cd .. C:\>dir Volume in drive C has no label. Volume Serial Number is 8403-6A0E Directory of C:\ 11/26/00 12:34p 0 AUTOEXEC.BAT 11/26/00 06:57p 322 boot.ini 11/26/00 12:34p 0 CONFIG.SYS 12/26/00 07:36p exploits 12/07/00 03:30p InetPub 12/07/00 03:12p Multimedia Files 12/26/00 07:10p New Folder 01/26/01 02:10p 78,643,200 pagefile.sys 12/21/00 08:59p Program Files 12/21/00 08:59p TEMP 02/04/01 06:42a WINNT 12/26/00 07:09p wiretrip Veille Technologique Sécurité N°33 Page 49/59 © APOGEE Communications - Tous droits réservés Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE
Page 1 and 2: APOGEE Communications Rapport de Ve
Page 3 and 4: Avril 2001 MICROSOFT 27 NCM 27 NETS
Page 5 and 6: Avril 2001 LES PRODUITS TELEPHONIE
Page 7 and 8: Avril 2001 LES TECHNOLOGIES SYSTEME
Page 9 and 10: Avril 2001 LES INFORMATIONS CERT IN
Page 11 and 12: Avril 2001 technologiques avec des
Page 13 and 14: Avril 2001 LES SERVICES DE BASE LOG
Page 15 and 16: Avril 2001 NORMES ET STANDARDS LES
Page 17 and 18: Avril 2001 Thème Nom du Draft Date
Page 19 and 20: Avril 2001 SIP draft-ietf-simple-im
Page 21 and 22: Avril 2001 IPv6, en l'absence d'une
Page 23 and 24: Avril 2001 FORMAT DE LA PRESENTATIO
Page 25 and 26: Avril 2001 Déni de service sur les
Page 27 and 28: Avril 2001 MICROSOFT Débordement d
Page 29 and 30: Avril 2001 WATCHGUARD Déni de serv
Page 31 and 32: Avril 2001 PGP Exposition de clé p
Page 33 and 34: Avril 2001 Reprise de l'avis CERT C
Page 35 and 36: Avril 2001 OpenBSD Disponibilité d
Page 37 and 38: Avril 2001 LINUX REDHAT Annonce de
Page 39 and 40: Avril 2001 MS00-098 Indexing Servic
Page 41 and 42: Avril 2001 y a quelques années ave
Page 43 and 44: Avril 2001 GET /guest/default.asp/.
Page 45 and 46: Avril 2001 Une synthèse commentée
Page 47: Avril 2001 NC 6969 3149 3163 'del s
Page 51 and 52: Avril 2001 12/26/00 07:10p New Fol
Page 53 and 54: Avril 2001 C:\Program Files\Common
Page 55 and 56: Avril 2001 12/15/00 07:05p 673 lrfp
Page 57 and 58: Avril 2001 11/26/00 12:34p 0 AUTOEX
Page 59: Avril 2001 Conclusion 1. Deux vague

Veille Technologique Sécurité - cert devoteam

Create successful ePaper yourself

Delete template?

Save as template?