Fiche de révision : Travaux pratiques de cybersécurité

📋 Plan du Cours

1. Administration et configuration SSH
2. Clés et authentification SSH
3. Principes de l’attaque MITM
4. Empoisonnement ARP et DNS
5. Vulnérabilités et exploitation
6. Exploitation FTP et veille
7. Ingénierie sociale et typosquattage
8. Injection SQL et développement sécurisé

📖 1. Administration et configuration SSH

🔑 Notions clés & Définitions

• sudo : Commande permettant d’exécuter une commande avec les privilèges de root sans ouvrir directement une session root.

📝 Points essentiels

📌 L’accès à une machine virtuelle par la console ou l’interface graphique avec le compte root est désactivé pour des raisons de sécurité.

• La présence du serveur OpenSSH se vérifie avec dpkg -l openssh-server, et son état de fonctionnement avec systemctl status ssh.

• Les clés SSH de l’utilisateur sont stockées dans /home/utilisateur/.ssh/, avec typiquement les permissions 600 pour la clé privée et 644 pour la clé publique, tandis que la configuration du serveur se trouve dans /etc/ssh/sshd_config.

💡 Astuce mémo

sudo élève les privilèges sans devenir root, contrairement à su -

📖 2. Clés et authentification SSH

🔑 Notions clés & Définitions

• known_hosts : Contient les empreintes des clés publiques des serveurs SSH auxquels le client s’est connecté.

★ À maîtriser

• Lors de la première connexion, l’alerte SSH indique que l’authenticité de l’hôte ne peut pas encore être établie et l’acceptation enregistre son empreinte pour les connexions futures.

• Si la clé du serveur change, SSH affiche une erreur car cette modification peut indiquer une attaque MITM ; supprimer l’entrée correspondante dans known_hosts permet de rétablir la connexion après vérification.

• L’authentification par clé repose sur une paire de clés publique et privée, tandis que l’authentification par mot de passe repose sur la connaissance d’un secret partagé.

Compléments

📌 Une phrase de chiffrement protège la clé privée, et SSH peut refuser une clé privée ou un fichier authorized_keys dont les permissions sont jugées trop ouvertes ou incorrectes.

💡 Astuce mémo

mot de passe partagé contre clé privée protégée

📖 3. Principes de l’attaque MITM

🔑 Notions clés & Définitions

• Attaque MITM : Intercepte et peut modifier les communications entre deux parties sans qu’elles s’en aperçoivent.

★ À maîtriser

• Les commandes d’analyse réseau peuvent révéler les adresses IP des hôtes actifs, les ports ouverts et les services associés à ces ports.

• L’activation du routage permet à la machine de l’attaquant de faire transiter les paquets entre le client et le serveur.

Compléments

📌 Les associations entre adresses IP et adresses MAC doivent correspondre aux adresses réelles des machines pour être cohérentes.

💡 Astuce mémo

ARP falsifié → trafic redirigé → communications interceptées

📖 4. Empoisonnement ARP et DNS

🔑 Notions clés & Définitions

• ARP Spoofing : Consiste à envoyer des messages ARP falsifiés afin de rediriger le trafic réseau vers la machine de l’attaquant.

★ À maîtriser

• La redirection de ports envoie le trafic du port SSH 22 vers le port 2222 sur lequel l’outil ssh-mitm écoute.

• La comparaison des caches ARP du client et du serveur avec les associations réelles montre que les caches ont été modifiés pour rediriger le trafic vers l’attaquant.

Compléments

• Lors d’une capture de trames pendant un ping du client vers 192.168.56.10, les trames ARP montrent que l’attaquant se fait passer à la fois pour le serveur et pour le client.

💡 Astuce mémo

empoisonner ARP → devenir passerelle → afficher le site pirate

📖 5. Vulnérabilités et exploitation

📝 Points essentiels

• Dans un scénario DNS Spoofing, l’attaquant héberge une copie modifiée du site avec Apache2, devient la passerelle du trafic grâce à l’ARP Poisoning, puis le client reçoit le site pirate.

📌 Pour limiter une attaque de redirection, il faut notamment mettre à jour les systèmes, désactiver les services inutiles, utiliser des mots de passe forts et configurer correctement les pare-feux.

• Une faille critique de VNC Server peut permettre à un attaquant de se connecter à distance sans authentification.

• La vulnérabilité Apache Tomcat AJP Connector Request Injection, appelée Ghostcat, permet d’injecter des requêtes malveillantes via le connecteur AJP et peut être exploitée avec le module exploit/multi/http/tomcat_jsp_upload_bypass de Metasploit.

📖 6. Exploitation FTP et veille

🔑 Notions clés & Définitions

• Exploit : Code qui tire parti d’une faille de sécurité.
• Payload : Partie du code qui effectue une action malveillante après l’exploitation d’une faille.

★ À maîtriser

• Dans un module d’exploitation FTP, RHOSTS désigne l’adresse IP de la cible, RPORT le port de la cible et une backdoor un accès secret au système.

Compléments

• La commande cd /home/ftp && touch testfile crée le fichier testfile dans le répertoire /home/ftp, et ls /home/ftp permet ensuite d’en vérifier la présence.

• Le site CVE Details fournit aux analystes des informations détaillées sur les vulnérabilités et les correctifs disponibles.

📖 7. Ingénierie sociale et typosquattage

★ À maîtriser

• Dans une attaque de typosquattage, les attaquants clonent un site populaire, incitent les victimes à s’y connecter et volent leurs identifiants.

📌 Les organisations peuvent limiter le typosquattage en enregistrant des domaines similaires, en surveillant les domaines suspects et en éduquant les utilisateurs.

• Les bonnes pratiques des internautes sont:
  • Vérifier l’URL
  • Utiliser des marque-pages
  • Ne pas cliquer sur des liens suspects

Compléments

📌 Les propriétaires de sites légitimes peuvent utiliser des actions légales, surveiller les domaines et signaler les sites suspects aux autorités.

💡 Astuce mémo

cloner → attirer → voler les identifiants

📖 8. Injection SQL et développement sécurisé

🔑 Notions clés & Définitions

• Principe de Kerckhoffs : Stipule que la sécurité d’un cryptosystème doit reposer sur le secret de la clé et non sur le secret de l’algorithme.
• État de l’art : Désigne les meilleures pratiques et technologies actuelles pour sécuriser les systèmes.

📝 Points essentiels

• Les informations affichées par une injection SQL peuvent révéler la structure de la base de données et les tables présentes.

• Un affichage montrant que l’authentification a été contournée indique que l’injection SQL a réussi.

📌 Les requêtes préparées empêchent l’injection SQL en séparant les données fournies par l’utilisateur du code de la requête.

📌 Un codage sécurisé contribue à garantir la confidentialité, l’intégrité et la disponibilité des données.

💡 Astuce mémo

requêtes préparées → injection bloquée → données protégées

📊 Tableaux de synthèse

Authentification SSH et vérification du serveur

Mesures de sécurité principales