Sécurité des bases de données

Au mois d'août dernier fut publié l'outil « Revolutionary » [1], permettant à tout un chacun d'installer une ROM alternative sur les téléphones HTC. Celui-ci exploite entre autres une vulnérabilité dans la bibliothèque « libsysutils.so » afin d'obtenir les droits « root » sur le smartphone. Nous verrons en quoi consiste cette vulnérabilité, et comment l'exploiter malgré les protections mises en œuvre sur Android.

Cet article est un retour d'expérience d'audit de code qui présente les vulnérabilités les plus fréquemment rencontrées. Cet article n’a pas pour objet de représenter l’exploitation de vulnérabilités complexes, mais plutôt des cas simples.

Au début du mois de mars, nous avons reçu un rapport d'un chercheur indépendant sur des infections en masse d'ordinateurs d'entreprises, suite à la visite de sites (légitimes) d'actualités russes. Les symptômes étaient les mêmes dans chaque cas : apparition de requêtes vers des sites tiers et création de fichiers incompréhensibles (probablement) sur les machines.Le mécanisme d'infection utilisé par ce logiciel malveillant s'est avéré très difficile à identifier. Les sites utilisés pour propager l'infection étaient hébergés sur différentes plates-formes et avaient des architectures différentes. L'utilisation d'une faille commune était alors écartée. De plus, il était impossible de reproduire les infections.Toutefois, nous avons trouvé un point commun à tous ces sites d'actualités.

Dans MISC n°52 (« 4 Outils indispensables pour tester votre sécurité ! »), j'avais écrit un article sur les injections SQL dans les clauses « order by » dont la dernière partie traitait des optimisations possibles de ce type d'attaques. En effet, en utilisant le mot-clé CASE, il était possible de récupérer plus d'informations en une seule requête. Cet article propose un développement autour du sujet et s’intéresse à toutes les méthodes d'optimisations possibles. Il est basé sur les recherches réalisées par Luke Jahnke et moi-même ; que nous avons présentées lors de Ruxcon 2011. Les techniques détaillées ont été testées et développées pour MySQL.

L'injection SQL est une des failles les plus prisées. Nous ne comptons plus petites et grandes organisations ayant vu des données sensibles aspirées avec tous les impacts qui en découlent [DBLOSS]. Malheureusement, cela ne témoigne pas d'une grande technicité de l'exploitation, mais plutôt d'erreurs classiques d'implémentation logicielle. Cet article expose les recommandations à mettre en œuvre pour une défense adéquate dans la prévention des injections SQL.

Les serveurs de bases de données sont de fréquentes cibles d'attaques, il est donc bien souvent nécessaire de durcir leurs configurations afin de mieux les protéger et de limiter au maximum les conséquences d'une éventuelle intrusion.

GreenSQL se positionne comme un firewall applicatif spécialisé dans le domaine des bases de données.

Les bases de données Oracle sont fréquentes lors d'un test d'intrusion. Cet article présente des techniques permettant de récupérer un maximum d'informations sur une base de données, tenter d'élever ses privilèges manuellement et automatiquement via Metasploit. Pour finir, nous verrons qu'il est possible d’exécuter du code grâce à des fonctionnalités fournies par l'éditeur lui-même.

Dans le cadre d'un reverse, le langage utilisé par le développeur peut être une précieuse source d'informations. En particulier, le C++ offre la possibilité de déterminer le type d'une variable pendant l'exécution. Cela implique la présence de renseignements sur les classes dans le binaire. Nous allons voir quelles informations doivent être présentes, comment elles sont stockées par le compilateur de Microsoft (cl.exe) puis comment les retrouver pour reconstruire automatiquement le graphe d'héritage. 

La reconnaissance de code malveillant par le biais d’une liste de signatures n’est plus considérée comme efficace face aux techniques d'encodage, de mutation (polymorphisme, métamorphisme, ...) ou d'obfuscation de codes malicieux. Un bon nombre d'éditeurs d'antivirus se sont vus forcés de compléter leurs mécanismes de détection traditionnels par des approches heuristiques et d'émulation de code (sandbox). Nous vous proposons dans cet article de mettre ces techniques de détection à l’épreuve et d’essayer, malgré tout, d’exécuter nos payloads Metasploit favoris.

Des légendes urbaines existent à propos du câble sur le débridage des débits, l'accès non autorisé à Internet ou encore des interfaces fantômes. Le piratage du câble : mythe ou réalité ?

Le logiciel Truecrypt propose un mode appelé « plausible deniability » [PLAUSIBLE DENIABILITY] permettant de cacher de manière sûre des données chiffrées sans que l'on puisse prouver leur existence. Cet article étudie ce fonctionnement et présente une faille de ce mode de camouflage, puis propose une solution et sa limite pratique.

De nombreux axes de recherche peuvent être suivis lors d’une investigation numérique sur un poste de travail Microsoft Windows. Parmi ces derniers, il en est un qui est méconnu, peu documenté et finalement peu examiné, sauf dans certains cadres d’investigations : les shellbags Windows. Ces derniers permettent pourtant de faciliter le travail de l’enquêteur inforensique.

Les américains ont créé le NSRL en 2001 au sein du NIST (National Institute of Standards and Technology). Le NIST est un institut de recherche et de normalisation qui œuvre dans des domaines aussi variés que l'analyse d'images, les détecteurs de fumée ou la roulette dentaire ultra rapide. En son sein, le NSRL est chargé de référencer les logiciels. Dans cet article nous verrons ce que cela signifie, quel est l'usage de ce référencement et les axes d'amélioration possibles.

En prenant appui sur le cas de l’Opération Ghost Click et les techniques des fraudeurs, nous étudierons le malware DNSChanger, puis nous nous interrogerons sur l’ambivalence des régies publicitaires et sur les enjeux de la fraude au clic.