Elhasnaoui Med-Ali

Le Guide du Pirate Ethique

L0rd D4rk 2013

Premire Partie : Le Foot printing ou reconnaissance.

Avertissement !
Le contenu suivant est a titre ducatif seulement. Lauteur ne pourrait tre tenu pour responsable des faits accompli par les lecteurs ! Le piratage est svrement puni par la loi !

Le Foot Printing ou la reconnaissance !

Tout les traits de stratgie militaire insiste sur le fait que pour mener une bataille et la gagner , il est impratif de bien connaitre son ennemi. Dans le piratage informatique, qui est une guerre , lattaquant , avant de mener son attaque, doit tout dabord rcolt des informations sur sa cible , tel que son rseau, ses infrastructures , ses systmes dexploitation etc. en vue dlaborer sa stratgie dattaque et utiliser les outils adquats. Dans cette premire partie du Guide du pirate thique , nous tudierons en dtails les diffrent moyens pour raliser cette rcolte dinformations , appeler le Foot Printing ou la reconnaissance.

Les objectifs de la reconnaissance : 1) Collecter des informations sur le rseau :

-nom de domaine -noms de domaines internes -sites web publics et privs -les services TCP et UDP actifs -les protocoles rseaux -les mcanismes dauthentification -les rseaux virtuels privs utiliss

2) Collecter des informations sur le systme :

-les noms dutilisateurs et les groupes dutilisateurs -les bannires du systme -les tables de routage -les informations sur le protocole de gestion de rseau -larchitecture du systme -le type de systme de contrle -les noms des systmes -les mots de passe par dfaut

3) La collecte dinformations sur la cible

-les coordonnes et dtails des employs

-lorganigramme de la cible -les diffrents sites web existant -les adresses et numros de tlphone et de fax -les articles et communiqus de presse relatifs la cible

La mthodologie de la reconnaissance :
1) La reconnaissance grce Internet :
La localisation des URLs internes de la cible , par exemple : microsoft.com , support.microsoft.com , update.microsoft.com etc. Outils pour chercher les URLs internes : http://news.netcraft.com http://www.webmaster-a.com/link-extractor-internal.php Les sites web publics et privs de la cible , par exemple : Site public dApple : http://www.apple.com Site priv dApple : http://developer.apple.com Quelques outils pour extraire les donnes de la cible : Robtex (http://www.robtex.com) : utilise la fonction de recherche useragent pour obtenir les mtadonnes des sites web de la cible. WebData Extractor (http://www.webextractor.com) : permet dextraire les emails , les numros de tlphone et de fax de la cible disponible sur Internet

Spider Foot (disponible en tlchargement sur http://www.binarypool.com) : logiciel qui permet de faire des recherches sur une cible en combinant les services de recherche de Google , Bing , Netcraft , WHOIS et DNS. Lutilisation de Google Maps et Google Earth pour localiser physiquement la cible. Beaucoup dentre vous se diront : mais a quoi bon ? , h bien sachez que si vous trouvez que votre cible est par exemple ,situe dans un btiment ancien ,plus elle aura de chance davoir des infrastructures informatique peu moderne et vice versa.

La recherche sur les employs de la cible :

Rechercher des informations sur les employs de la cible est vital dans le processus de la reconnaissance pour pouvoir ensuite effectuer des attaques par social-engineering (discut dans un chapitre ultrieur). De nos jours , presque tous les gens ont des profils sur les multiples rseaux sociaux , et cela aide beaucoup dans cette partie du processus de la reconnaissance. Ainsi , trouver les dates danniversaire (utiles parfois dans les mots de passe) ,les emails privs , ladresse etc. des employs de la cible est dune simplicit enfantine. Une des meilleurs solutions pour trouvez toute sortes dinformations concernant une personne sans avoir faire le tour de tout les rseaux sociaux, est le moteur de recherche Pipl disponible a ladresse suivante : http://www.pipl.com La surveillance des sites dannonces demplois est essentielle aussi pour avoir des informations sur les infrastructures de la cible, grce aux profils quelle demande sur ces sites.

2) Le WHOIS
Les bases de donnes WHOIS sont alimentes en informations par les RIR (Regional Internet Registrer : AfriNIC , ARIN , APNIC , LACNIL ,RIPENCC) et

contiennent des informations personnelles sur les propritaires des noms de domaines. La recherche du WHOIS de la cible permet davoir les dtails du nom de domaine cibl, la socit prestataire utilise pour lachat du nom de domaine, sa date de cration et dexpiration, les noms des serveurs hbergeant le nom de domaine ainsi que les dtails personnels du propritaire du nom de domaine.

Quelques outils de WHOIS en ligne : http://tools.whois.net http://www.iptools.com http://www.betterwhois.com http://www.geektools.com http://whois.arin.net http://www.centralops.net http://www.networksolutions.com http://www.domaintools.com

3) Linterrogation du DNS (Domain Name Server) ou NSLookUp

Le NSLookUp permet dinterroger les serveurs de nom de domaine Internet. Il affiche les informations pouvant tre utilises pour identifier linfrastructure DNS de la cible en interrogeant les serveurs DNS pour avoir le nom de la machine et son adresse. Il affiche aussi les adresses IP supplmentaires et permet didentifier lenregistrement MX (mail eXchange) pour trouver ladresse IP du serveur de messagerie. Windows et Linux contiennent nativement des outils de NSLookUp.

Pour lutiliser sous Windows , il suffit douvrir linvite de commande et taper par exemple : nslookup www.microsoft.com Taper nslookup seulement permet dafficher toutes les commandes supplmentaires Quelques outils de NSLookUp en ligne : WhereISIP : http://www.whereisip.com NSLookUp : http://www.kloth.net NetInspector : http://www.globware.com Dnsmap : http://www.linuxhaxor.net DNSTool : http://www.hendricom.com

4) La porte du rseau
Ltape suivante du processus de reconnaissance est dessayer didentifier les plages dadresses IP ainsi que leurs masques de sous-rseaux utiliss par la cible. Il est primordial de connaitre la porte des adresses IP de la cible pour les phases de scanning et de dnombrement (chapitres suivant). Lutilisation des RIR (Registre Internet Regional) permet dinterroger ladresse IP de la cible pour connaitre la stratgie employe par la cible pour ladressage de son sous-rseau. Par exemple , pour un site avec un nom de domaine en .com ,il faut aller sur le site de lARIN (American Registry for Internet) et entrer ladresse IP du serveur que vous avez dcouvert plutt ,dans le WHOIS de lARIN et cela vous

permettra didentifier le nombre et les plages dadresses IP utilises par la cible.

Le traceroute et le TTL (Time To Live ou dure de vie)

Le traceroute est utilis pour dterminer quel chemin un paquet de donnes (paquets IP) prend pour arriver a lordinateur cible. Lutilitaire traceroute existe nativement sur Windows (tracert) et Linux. La version Windows utilise le protocole ICMP et celle de Linux , le protocole UDP. Traceroute utilise un champ den-tte IP appel Time To Live (TTL) qui montre le chemin parcouru entre les deux htes (machine attaquante et machine cible) en envoyant des paquets de donnes conscutifs avec des TTL croissant sans cesse. Le TTL est un compteur qui garde la trace de chaque saut du routeur pendant le voyage du paquet de donnes vers la cible. Le champ TTL est rgl par lexpditeur du datagramme et chaque routeur a travers lequel le paquet transite , rduit le champ TTL de 1. Le TTL est limit a 16 sauts , ce qui signifie quaprs 16 tentatives , le paquet de donnes est rejet en tant que non-livrable. Si le TTL atteint 0 , le paquet de donnes est limin et lICMP (Internet Control Message Protocol) est envoy a lordinateur attaquant. Le processus du TTL est le suivant : 1- Lordinateur attaquant envoi un paquet de donnes avec un TTL de 1. 2- Si le premier routeur nest pas le bon ,il soustrait 1 du TTL et le rinitialise a 0 et envoi un message derreur temps de transit dpass a lordinateur attaquant. 3- Lordinateur attaquant incrmente le TTL avec un +1 et renvoi le paquet avec un TTL de 2. 4- Le premier routeur , incorrecte , soustrait a nouveau 1 du TTL, mais puisque le TTL est a 2 , il transmet le datagramme au routeur suivant.

5- Le second routeur livrera le paquet si il est destin a son rseau ou rinitialisera le TTL a 0 et enverra un message derreur a lordinateur attaquant. 6- Le processus se poursuit jusqu' ce que le paquet soit livr ou jusqu' ce que le TTL dpasse 16 , a ce moment le paquet est dfinitivement abandonn.

Quelques outils de Traceroute : 3D traceroute : http://www.d3tr.de Loriot Pro : http://www.loriotpro.com Path Analyser Pro : http://www.pathanalyser.com Geospider : http://www.oreware.com Magic Net Trace : http://www.tralsoft.com vTrace : http://www.vtrace.pl

5)Copier le site web cible

Copier un site web sur votre ordinateur vous permet de lanalyser en mode horsligne. Grace a cela ,vous pouvez tudier tout le code source et linteraction entre les diffrentes page en vue de chercher dventuelles failles dans sa structure. Il vous permet aussi de pouvoir le mettre en ligne a une autre adresse et effectuer des attaques de phishing par emails aux employs pour quils se connectent dessus avec leurs identifiants.

Outils pour copier intgralement des sites web : HTTrack Website copier : http://www.httrack.com SurfOffline : http://www.surfoffline.com

PageNest : http://www.pagenest.com KeepNi : http://www.keepni.com Wget : http://www.gnu.org Black Widow : http://www.softbytelabs.com

Vous pouvez aussi extraire des versions archives de sites web sur : http://www.archive.org

6) La localisation demails
La localisation demails fut dabord utilise pour identifier lorigine des emails en vue didentifier les spammeurs et limiter les fraudes. Dans le processus de reconnaissance, la localisation demails permet a lattaquant de savoir quand lemail quil a envoy fut reu et lu , denvoyer des emails de phishing, de localiser par GPS le destinataire,savoir combien de temps il a pass a lire lemail, savoir si le destinataire a cliqu sur les liens contenus dans lemail, de mettre en place des emails expirant a une priode donne etc. Quelques outils de localisation demail : Email Tracker Pro : http://www.emailtrackerpro.com Read Notify : http://www.readnotify.com Did They Read It : http://www.didtheyreadit.com Polite Mail : http://www.politemail.com Geo Spider : http://www.oreware.com

7) Le Google Hacking

Le Google hacking est le terme utilis pour designer la manire de crer des requtes de recherches complexes en vue de dtecter des sites web vulnrable a plusieurs exploits et failles en utilisant des oprateurs de recherches Google, pour localiser des chaines de texte dans le rsultats de recherche. Le Google hacking permet a lattaquant de connaitre les messages derreurs du site web de la cible qui contiennent des informations exploitable, les pages contenant les vulnrabilits des bases de donnes et des rseaux, les fichiers contenant les mots de passe, les fichiers sensibles etc. Quelques exemples doprateurs de recherche avance de Google : [cache :] :montre la version du site web que Google archive dans son cache [link :] :liste les pages web contenant des liens dirigeant vers le site web de la cible [related :] : liste les sites web similaires au site cible [info :] : prsente les informations dont dispose Google sur le site de la cible Etc. Exemple : Dans la barre de recherche Google tapez : [intitle : intranet inurl : intranet + intext = human ressources ] Cela vous permettra non seulement daccder au rseau intranet de la cible ,mais aussi cela vous donne la liste des employs et dautres informations sensibles que vous pourrez utiliser dans des attaques de social-engineering. Quelques outils de Google Hacking : Google hacking database (GHDB) : http://www.hackersforcharity.org

Metagoofil : http://www.edge-security.com Google Cartography : http://richard-jones.name Google Hack : http://code.google.com Google Hack Honeypot : http://ghh.sourceforge.net

Voila cest tout pour cette premiere partie du Guide du pirate thique , rendez-vous demain pour la suite. Vous pouvez me suivre sur Twitter : http://twitter.com/L0rdD4rk