Audit Intrusion

Rapport de stage
Prévention et détection d’intrusion avancée

Testes d’intrusions
Réalisé par :
Mr KALLIDA Anass
Encadré par :
Mr. Mohamed AL AROUSSI
Société ALA 3G TELECOM
2009 - 2010
20 Janvier 2010
Table des matières
1 Introduction 6
2 Objectifs 8
3 Installation et utilisation d’un sniffer (Wireshark) 9

3.1 Présentation de Wireshark . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
3.2 Lancement de Wireshark . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
3.3 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
4 Utilisation du sniffer (Ettercap) 18

4.1 Présentation de Ettercap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
4.2 Concepts de base . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
4.3 SSL sniff . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
4.4 Contre mesure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.5 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
5 Utilisation du scanner (Nmap) 34

5.1 Présentation de Nmap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
5.2 utilisation de Nmap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
5.3 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
6 Metasploit 38
6.1 Description . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
6.2 Exemple d’exploitation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
6.3 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
7 Crack de clé WPA avec la suite Aircrack-ng 46

7.1 Présentation de la suite Aircrack-ng . . . . . . . . . . . . . . . . . . . . . . . 46
7.2 Crack de clé WPA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
7.3 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
8 Conclusion générale 54
9 Bibliographie / Neto-graphie 56
1
Remerciements
Je voudrais tout d’abord exprimer mes profondes reconnaissances à Mr. Mohamed

AL AROUSSI , enseignant à la faculté des Sciences de Rabat, et responsable de mon
projet de stage sur la sécurité des systèmes d’information à la société ALA 3G TELECOM,
qui a dirigé mon travail ; Ses conseils, ses commentaires précieux et ses idées constructives
m’ont permis de surmonter les difficultés et de progresser dans mes études .
Et enfin, je voudrais adresser nos remerciements à tous ceux qui ont contribué de
près ou de loin à l’élaboration de ce travail.
2
Avant propos
Avec l’hypercroissance des technologies de communication et d’échange d’informa-

tion, rares restent les points non connectés au réseau. ADSL, PABX, ISDN, RTC, Transfix,
ATM, Wireless, GSM, Satellite, GPRS, 3G, Edge, Fibre Optique : les réseaux sont désormais
partout. Cette croissance exponentielle a induit de nombreuses répercutions, notamment en
terme de partage de l’information et de communication. Malheureusement cette évolution
a également un prix : Les techniques permettant de pénétrer des réseaux et systèmes
d’information sont aujourd’hui accessibles à tout un chacun.
Les résultats ne se sont pas faits attendre. Le taux de ”criminalité informatique”

augmente de manière exponentielle. Ces mêmes réseaux qui vous relient à vos clients
et fournisseurs sont également un point de connexion pour vos concurrents, et autres
ennemis... C’est ainsi que de nouvelles formes de menaces sont apparues : on les appelle
virus, intrusions, pirates, guerres de l’information, espionnage électronique, vers, trojans,
backdoors et bombes logiques. Ces nouvelles menaces ne nécessitent pas une intrusion
physique dans votre système d’information : une simple connexion suffit désormais...
Les tests de vulnérabilités et tests d’intrusion vous permettent de savoir si vous

êtes oui ou non potentiellement vulnérables à ces attaques et comment y remédier. Accès
physiques, ingéniérie sociale (social engineering), pabx, connexion internet : quelques soient
les points faibles de votre système d’information.
Tout ordinateur connecté à un réseau informatique est potentiellement vulnérable à

une attaque.
Une attaque est l’exploitation d’une faille d’un système informatique (système
d’exploitation, logiciel ou bien même de l’utilisateur) à des fins non connues par l’exploitant
du systèmes et généralement préjudiciables.
Sur internet des attaques ont lieu en permanence, à raison de plusieurs attaques
par minute sur chaque machine connectée. Ces attaques sont pour la plupart lancées
automatiquement à partir de machines infectées (par des virus, chevaux de Troie, vers, etc.),
à l’insu de leur propriétaire. Plus rarement il s’agit de l’action de pirates informatiques.
3
Afin de contrer ces attaques il est indispensable de connaı̂tre les principaux types
d’attaques afin de mettre en oeuvre des dispositions préventives.
Les motivations des attaques peuvent être de différentes sortes :
– obtenir un accès au système ;
– voler des informations, tels que des secrets industriels ou des propriétés intellec-
tuelles ;
– glâner des informations personnelles sur un utilisateur ;
– récupérer des données bancaires ;
– s’informer sur l’organisation (entreprise de l’utilisateur, etc.) ;
– troubler le bon fonctionnement d’un service ;
– utiliser le système de l’utilisateur comme rebond pour une attaque ;
– utiliser les ressources du système de l’utilisateur, notamment lorsque le réseau sur

lequel il est situé possède une bande passante élevée.
La sécurisation d’un système informatique est généralement dite asymétrique ,

dans la mesure où le pirate n’a qu’à trouver une seule vulnérabilité pour compromette le
système, tandis que l’administrateur se doit de corriger toutes les failles.
Pendant que l’administrateur prépare le plan de sécurité globale et la zone

démilitarisée (DMZ), il est important d’identifier et d’évaluer les risques et les menaces
potentielles envèrs le réseau, les systèmes et les données.Il faut évaluer les risques de manière
approfondie au cours du processus d’identification et d’assigner des valeurs au regard des
risques pour déterminer les priorités pour la protection, et la probabilité de perte résultant
de ces risques et menaces si elles se concrétisent. Il doit établire une évaluation des risques
pour tout ce qui pourrait éventuellement perturber, ralentir, ou endommager les systèmes,
données....
les tests de sécurité des réseaux proposent en générale les tests suivants :
– Un test d’intrusion qui est une simulation d’attaque pirate : Le but des testeurs
est de pénétrer aussi profondément que possible dans le réseau et d’accéder à des
données confidentielles.
– Evaluation de la sécurité des réseaux : Une évaluation de la sécurité des réseaux

est conçue de manière à fournir un tableau détaillé du niveau de sécurité du
réseau. Le but en est de mettre en lumière le plus grand nombre possible de
faiblesses sécuritaires dans les systèmes connectés au réseau. Chaque vulnérabilité
identifiée est vérifiée manuellement et son impact est évalué en fonction de la
configuration. Des évaluations de la sécurité peuvent être mises en oeuvre à partir
d’Internet − pour mesurer le degré de vulnérabilité à un attaquant externe − ou
à partir du réseau interne − pour mesurer le degré de vulnérabilité à un agent
interne malveillant.
– Test de sécurité d’application web : Les applications web peuvent être testées du
point de vue d’une personne extérieure ou d’un utilisateur autorisé. Il faut aussi
procéder à des examens de codes sources, qui sont la manière la plus efficace de
mettre en évidence des beugues de sécurité dans les applications.
– Tests spécialisés comprenant les tests de WIFI, PBX et d’accès par ligne com-
mutée, VoIP, RAS et RPV.
– Examens de configuration (test de vulnérabilité) : Un examen de configuration

fournit une analyse approfondie de la sécurité des systèmes, et surtout celle
nouvellement installées.
– L’audit de sécurité est une démarche collaborative visant l’exhaustivité. Elle

est moins réaliste qu’un test d’intrusion mais permet en contrepartie de passer
méthodiquement en revue tout le réseau et chacun de ses composants en détail. De
surcroı̂t son aspect collaboratif permet aux personnes travaillant dans l’entreprise
de s’imprégner des connaissances en matière de la sécurité des systèmes.
1 Introduction
Les tests d’intrusion (en anglais penetration tests, abrégés en pen tests) consiste à
éprouver les moyens de protection d’un système d’information en essayant de s’introduire
dans le système en situation réelle.
On distingue généralement deux méthodes distinctes :
– La méthode dite boı̂te noire (en anglais black box ) consistant à essayer
d’infiltrer le réseau sans aucune connaissance du système, afin de réaliser un test
en situation réelle ;
– La méthode dite boı̂te blanche (en anglais white box ) consistant à tenter
de s’introduire dans le système en ayant connaissance de l’ensemble du système,
afin d’éprouver au maximum la sécurité du réseau.
Une telle démarche doit nécessairement être réalisé avec l’accord (par écrit de
préférence) du plus haut niveau de la hiérarchie de l’entreprise, dans la mesure où elle
peut aboutir à des dégâts éventuels et étant donné que les méthodes mises en oeuvre sont
interdites par la loi en l’absence de l’autorisation du propriétaire du système.
Un test d’intrusion, lorsqu’il met en évidence une faille, est un bon moyen de
sensibiliser les acteurs d’un projet. A contrario, il ne permet pas de garantir la sécurité du
système, dans la mesure où des vulnérabilités peuvent avoir échappé aux testeurs. Les audits
de sécurité permettent d’obtenir un bien meilleur niveau de confiance dans la sécurité d’un
système étant donné qu’ils prennent en compte des aspects organisationnels et humains et
que la sécurité est analysée de l’intérieur.
Les tests de vulnérabilités et les tests d’intrusion sont utiles dans de nombreux cas
de figure :
– Pour se rassurer.
– Pour valider une architecture dite sécurisée.
6
– Pour tester son prestataire de sécurité actuel.
– Mettre en conditions réelles une équipe de réponse aux attaques.
– Pour s’assurer du déclenchement approprié des alarmes (IDS/IPS).
– Pour s’assurer du suivi des procédures de sécurité....
Plusieurs outils existent actuellement afin d’effectuer ces tests. On retiendra

particulièrement les projets suivants :
– Ettercap qui est un logiciel libre d’analyse du réseau informatique. Il est capable
d’intercepter le trafic sur un segment réseau, de capturer les mots de passe, et de
réaliser des attaques dites de l’homme du milieu (Man In The Middle) contre un
certain nombre de protocoles de communication usuels tels que HTTP, FTP et
certains protocoles chiffrés..
– Nmap (Network Mapper) qui est un outil Open Source d’exploration réseau et
d’audit de sécurité.
– Le sniffer Ethereal ou Wireshark.
– Metasploit qui est un projet open-source sur la sécurité informatique qui fournit
des informations sur des vulnérabilités, aide à la pénétration de systèmes infor-
matisés et au développement de signatures pour les IDS.
– Aircrack-ng qui est un groupe d’outils de surveillance pour réseau sans fil dont
l’utilisation principale est le cassage de clés WEP et WPA-PSK des réseaux
WIFI.
– ...
2 Objectifs
Notre objectif est de mettre en oeuvre des outils de sécurité et interpréter les
résultats. À travers des outils à disposition dans le libre, nous effectuerons des tests sur nos
systèmes afin de s’assurer que ceux-ci sont sécurisés, tout au moins dans une certaine mesure.
Nous allons nous intruduire certains aspectts d’audit de la sécurité informatique. Et

nous allons nous intéresser à ce qui suit :
– Utilisation d’un sniffer Ethereal (Wireshark).

– Utilisation d’un scanner de vulnérabilité nmap.
– Analyser la sécurité du protocole HTTPS (mot de pass) avec Ettercap.
– Exploitation du sysème windows d’une machine qui se trouve sur le réseau avec le
framework Metasploit.
– Tester la qualité, la robustesse et la fiabilité de la clé WPA d’un réseau sans file.
Pour mettre en place ses testes d’intrusion dans notre réseau, on va utiliser le
système BackTrack qui est une distribution GNU/linux reconnue par les professionnels
comme complète et efficace en matière d’analyse réseau et de test d’intrusion.
Issue de Whax et ASC (Auditor Security Collection), son système de type Slackware,
est composé d’une série d’outils (plus de 300) permettant à toute personne de sécuriser son
réseau en testant ses vulnérabilités. La version complette est la v3.0 finale (2008), incluant
le noyau Linux 2.6.21.5. Aussi la version actulle est la v4.0 beta (2009) qui est disponible
aussi sous forme VMware.
BackTrack est disponible dans le site web (www.remote-exploit.org) sous forme de

live CD. Il est également possible de l’installer sur un disque dur, sur une clé USB, ou encore
de mettre en place un démarrage PXE.
8
3 Installation et utilisation d’un
sniffer (Wireshark)
3.1 Présentation de Wireshark

Généralement sur les réseaux Ethernet, le trafic des paquets naviguant d’une
machine source vers une machine destination passe par l’intermédiaire d’autres machines
qui se contentent de transmettre le message sans l’interpréter, cette fonction qui appartient
à la couche physique est programmée sur la carte réseau au niveau du fabricant.
Toutefois certains programmes malicieux arrivent à désactiver cette fonction et

mettre la carte en Promiscuous Mode, ce qui rend visible toutes les informations qui passent
par la carte réseau même ceux qui ne lui sont pas destinées. Un exemple populaire abordé
serait Ethereal ou Wireshark.
Wireshark est l’analyseur réseau le plus populaire du monde. Cet outil extrêmement
puissant fournit des informations sur des protocoles réseaux et applicatifs à partir de données
capturées sur un réseau. Comme un grand nombre de programmes, Wireshark utilise la
librairie réseau pcap pour capturer les paquets.
La force de Wireshark vient de :
– sa facilité d’installation.
– sa simplicité d’utilisation de son interface graphique.
– son très grand nombre de fonctionnalités.
Wireshark fut appelé Ethereal jusqu’en 2006 où le développeur principal décida de
changer son nom en raison de problèmes de copyright avec le nom de Ethereal qui était
enregistré par la société qu’il décida de quitter en 2006.
9
Un très important outil nécessaire à Ethereal où Wireshark est la librairie réseau
libpcap pour capturer les packets réseaux. Si cette librairie ou d’autres dépendances ne sont
pas présentes sur votre système, elles seront automatiquement installées avec l’intallation de
Wireshark.
Ce programme est disponible en version free sur le site officiel (www.ethreal.com

/ www.wireshark.com) pour les systèmes windows aussi pour les distributions Linux. Il y
aussi la version TShark qui est la version ligne de commande de Wireshark.
3.2 Lancement de Wireshark

Dans cette partie, nous allons fournir des expliquations sur la façon de lancer Wire-
shark avec les paramétres par défaut. Et l’explication des résultats obtenus.
Lancement de Wireshark
Pour lancer Wireshark on tape dans le console la commande :
#wireshark
Ce qui permet d’ouvrire la fenêtre de la figure suivante :

Première capture
Pour effectuer une capture, il faut aller dans le menu Capture / Interface (ou cliquer
sur le bouton correspondant).
Une nouvelle fenêtre comportant la liste des interfaces réseaux disponibles va

apparaitre.
Si on souhaite configurer certaines options de la capture, il faut cliquer sur Options.

On peut alors par exemple ajouter des filtres de captures permettant de ne capturer que
des paquets correspondant à votre besoin. Dans l’exemple suivant nous allons seulement
capturer les paquets HTTP (c’est-à-dire TCP/80) :
Pour démarrer la capture il suffit de presser le bouton Start.

Wireshark va alors capturer les paquets correspondant à votre filtre (s’il existe)
jusqu’à ce que le bouton Stop soit pressé.
Analyse des captures
Au cours de notre utilisation du sniffer Wireshark, on a essayer de faire plusieurs

tests notamments :
– des connexions http,

– telnet sur une machine distante,
– ssh sur une machine distante,
Pour se faire on va utiliser deux machine unix qui tourne sous ubuntu et une
autre machine qui tourne sous backtrack. Et toute cette architécture est réalisé avec l’outil
VMware Workstation.
– La première machine ubuntu a l’adresse IP suivante : 192.168.246.133
– La deuxième machine ubuntu a l’adresse IP suivante : 192.168.246.134
– La machine backtrack utilise l’adresse IP : 192.168.246.129 donc se trouve dans

le même réseau local que les autres machines.
Sniff des connexions http
On va réaliser dans notre premier teste un telnet entre la machine 1 et la machine

2, et dans un deuxième temps on réalise une connexion ssh entre les deux machines.
Une fois la capture achevée, nous serons redirigé vers la fenêtre principale.
Pour analyser le contenu d’un paquet, il faut d’abord le sélectionner dans la liste des paquets
capturés. C’est dans la fenêtre des détails qu’on trouver des informations intéressantes.
Cette fenêtre affiche une ligne (extensible) par couche réseau.
On retrouve donc pour notre paquet HTTP, les couches suivantes :
– couche 2 (Ethernet : MAC)

– couche 3 (Internet Protocol : IP)
– couche 4 (Transmission control protocol : TCP)
– couche 7 (HyperText Transfert Protocol : HTTP)
Pour aller plus en détail, par exemple sur le niveau IP (là où se trouve les adresses
source et destination), il suffit de cliquer sur la ligne en question.
Souvent, on capture la totalité d’un flux, puis, par la suite, on souhaite se focaliser
sur une sous partie plus précise. Wireshark fourni des outils puissants de filtrage.
Imaginons que dans notre capture (backtrack) vous souhaitiez afficher seulement
les paquets réseaux correspondant au protocole ftp ou ssh ou http, Il faut pour cela saisir
la commande qui prend en argument le nom du protocole. Pour plus d’information sur le
filtrage de wireshark il faut lire la documentation de wireshark.
Par exemple on filtre les packets du protocole http :
On peut ainsi analyser notre capture et on remarque qu’on trouve toute les
informations des packets, en partant des adresses IP de la source et de la déstination et en
arrivant au contenu du packet.
Sniff des connexions telnet
On filtre maintenant les packets de la communication telnet :
Dans cette partie on a efféctué un telnet entre les deux machine dans le port 21
donc c’est une communication ftp qui était établie entre les deux machines.
On remarque que les mots de pass d’une connexion ftp passe en claire dans le réseau.
Sniff des connexions SSH
SSH (Secure Shell) est un programme permettant de se connecter à un autre

ordinateur étranger dans Internet, d’exécuter des commandes sur une machine périphérique
et de transférer des fichiers d’une machine vers une autre. Il permet une authentification
robuste et une communication sécurisée sur des canaux de communication non protégés. Il
a été développé dans l’éventuel but de remplacer les commandes UNIX rlogin, rsh et rcp.
En fait, SSH protège l’utilisateur contre le packet sniffing, par lequel des mots
de passe et des textes non-cryptés peuvent être lus p.ex. à l’aide d’outils comme Wireshark.
Donc avec SSH les mots de passe et les login ainsi que toute autre information passe crypté
dans le réseau.
3.3 Conclusion
Dans cette partie on a vue un exemple d’utilisation du sniffer Wireshark, on a
réussit à capturer les paquets qui transitent dans le réseau et après on les a analysés. Et on
a constaté que le trafique qui circule dans le réseau et soit en claire tel que le (http ou le
telnet et ftp) ou bien crypté comme le (https ou le ssh).
Il est a noté que le wireshark permet seulement de capturer les paquets qui circule
dans le réseau et il n’est pas doté d’outils qui permettent d’extraire des informations utiles a
partir des captures tel que les mots de passes crypté qui constituent l’élément fondamentale
de toute sécurité dans un réseau.
Dans le prochain paragraphe on va voir un autre sniffer plus puissant par rapport au
wireshark qui est l’ettercap, et qui va nous permettre de réaliser une analyse très approfondie
des protocoles sécurisés.
4 Utilisation du sniffer (Ettercap)
4.1 Présentation de Ettercap

Ettercap est un utilitaire réseau aux multiples fonctionnalités. A sa naissance, l’uti-
lisation la plus courante qu’on en faisait était de sniffer (capturer les paquets) des réseaux
LAN. Dorénavant, il est également possible de réaliser des attaques de type Man In The
Middle (MITM ou ”Homme au milieu” :(attaque comme l’hijacking TCP, le DNS Spoofing...).
Ettercap est doté de plugins facilitant la recherche de mots de passe. Pour cela, il
suffit simplement qu’une session d’un protocole non sécurisé ait lieu, et Ettercap détecte
toutes les informations sensibles. De nombreux protocoles sont supportés (FTP, HTTP,
telnet,...). Depuis l’intégration de module gérant le SSH et les sessions HTML sécurisés
(SSL), il est également possible de récupérer les mots de passe grâce à la méthode MITM.
Il est également composé de fonctions intéressantes sur le réseau comme l’injection

de requêtes, soit à envoyer au client (pour par exemple garder une connexion active),
soit à envoyer au serveur (pour en tirer parti). On peut également réaliser des analyses
d’hosts intéressantes et des identifications sur les machines (informations sur le système...etc).
C’est un projet libre, qui peut être utilisé au travers d’un mode graphique, et d’un
mode texte simple, ou interactif avec des menus.
Ettercap est un outil développé par Alberto Ornaghi (ALoR) et Marco Valleri
(NaGA). La dernière version stable est la version 0.7.3.
Ettercap est décrit par ses auteurs comme un outil permettant de sniffer les réseaux
switchés (donc par extension les réseaux locaux organisés autour d’un HUB). De nombreuses
évolutions au cours du développement ont doté Ettercap de fonctions avancées permettant
la mise en place d’attaques de type ”Man in the middle” ainsi que la prise d’empreinte d’Os
passive et active.
18
Une fois qu’Ettercap s’est inséré au milieu d’une connexion, il capture et examine
toutes les communications entre les hôtes victimes et par conséquent peut tirer avantage de
la situation pour accomplir les tâches suivantes :
– Injection de commandes : insérer des commandes dans la connexion en cours afin

d’émuler des requêtes envoyées par le client ou des réponses du serveur,
– Filtrage de paquet : filtrer automatiquement le contenu de paquets TCP ou UDP

en cherchant des chaı̂nes de caractères ASCII ou hexadécimales et les remplacer
par un contenu offensif.
– Récupération de mots de passe : un module (aussi appelé dissecteur) est capable

de reconnaı̂tre et d’extraire les informations utiles d’un grand nombre de proto-
coles tels que TELNET, FTP, POP3, SSH v1, X11, VNC, LDAP, SNMP, NFS,
IRC, MySQL,
– Support du protocole HTTPS : insertion dans une session HTTPS en faisant

accepter à la victime un faux certificat,
– Support du protocole PPTP : mise en place d’attaques Man In the Middle contre
un tunnel PPTP.
Ettercap inclut également une série d’outils, très utile, de reconnaissance réseau :
– Os fingerprinting (prise d’empreintes de système d’exploitation afin de les identi-

fier),
– Scan passif,
– Sniffer IP / MAC.
4.2 Concepts de base
Avant d’entrer dans les détails du fonctionnement et de l’utilisation d’Ettercap nous
allons faire quelques rappels sur les concepts de base nécessaires à la compréhension et à une
utilisation efficace d’Ettercap. Car nous allons utiliser Ettercap pour accomplir des attaques
sur le protocole ARP pour se positionner en tant que ”man in the middle”.
Le protocole ARP
Le protocole ARP est utilisé au sein d’un réseau local pour faire la correspondance
entre les adresses physiques MAC et les adresses logiques IP. Le protocole ARP interroge
les machines du réseau pour connaı̂tre leurs adresses physiques, puis crée une table de
correspondance entre les adresses logiques et les adresses physiques dans une mémoire cache.
Sur un réseau connecté autour d’un HUB, les trames Ethernet sont envoyées à tous
les ports (Broadcast) sans se soucier de l’adresse MAC de destination, ce qui rend l’écoute
passive triviale. Il suffit juste d’une carte configurée en mode ”promiscious” pour intercepter
le trafic.
Sur un réseau organisé autour de Switchs, les trames ne sont plus automatiquement
envoyées à tous les ports, ce qui permet notamment de réduire les congestions sur le réseau.
Un Switch étant capable d’apprendre quelles sont les adresses MAC connectées à ses ports
il peut stocker ces informations dans une table, que l’on appelle table de transmission. Pour
cela, il va extraire les adresses MAC sources des trames Ethernet, noter le port sur lequel la
trame est arrivée et ajouter l’association dans sa table.
Lorsqu’une trame de niveau deux arrive, un Switch examine l’adresse de destination

et consulte sa table de transmission. S’il ne connait pas encore le port correspondant, à
cette adresse, il va envoyer la trame à tous les ports. A contrario si la table de transmission
contient déjà un port correspondant à une adresse MAC la trame sera envoyée uniquement
à ce port.
Ce mécanisme rend plus difficile l’écoute passive sur un réseau switché. Si l’on place
un sniffer sur un port d’un Switch, il récupérera uniquement le trafic à destination de ce
port ou le trafic broadcasté.
Lorsqu’un hôte encapsule un paquet IP dans une trame Ethernet, il connait l’adresse
MAC source (normalement la sienne ;), mais il ne connait peut être pas l’adresse MAC de
destination. Cependant il connait l’adresse IP de destination contenue dans l’en-tête IP du
paquet.
Il lui faut donc un moyen de récupérer l’adresse MAC correspondant à cette adresse
IP. Pour cela, il utilise le protocole ARP :
– une requête ARP est envoyée sur l’adresse Ethernet de broadcast en posant la
question ”Qui à l’adresse MAC aa :bb :cc :dd :ee :ff correspondant à l’adresse IP
w.x.y.z ?”,
– une réponse ARP est envoyée en unicast à une requête ARP, du genre ”J’ai cette
adresse IP et mon adresse MAC est aa :bb :cc :dd :ee :ff”.
Chaque hôte sur le réseau maintient sa propre table de correspondance adresse IP,
adresse MAC que l’on appelle cache ARP. Si le système doit envoyer un paquet à une adresse
IP, il consulte son cache ARP pour voir s’il connait déjà l’adresse MAC correspondant à
l’adresse IP de destination. Si c’est le cas, il utilise l’adresse MAC pour adresser la trame.
Si l’adresse de destination n’est pas dans le cache, l’hôte envoie une requête ARP
à toutes les machines du réseau. Comme nous l’avons vu, si une machine ayant reçue la
requête ARP reconnait son adresse IP, elle renvoie une réponse ARP contenant son adresse
IP et son adresse MAC. L’hôte source utilisera alors cette réponse ARP pour mettre à jour
son cache ARP et l’utiliser comme future référence.
Il est important de noter que le cache ARP expire après un certain temps au cours
duquel il est effacé.
ARP cache poisoining
En manipulant le cache ARP de potentielles victimes, un attaquant peut modifier

la direction du trafic entre deux hôtes (ou plus), afin de rediriger le flux vers une machine
contrôlée par un attaquant.
Une attaque de ce type consiste à envoyer une requête ARP ( arp whohas ) à
une machine A. Ce paquet spécialement forgé contiendra, en adresse IP source, l’adresse IP
de la machine B dont l’attaquant veut recevoir le trafic et en adresse MAC source l’adresse
MAC de la carte réseau de la machine C de l’attaquant.
La machine A va ainsi créer une entrée dans son cache ARP associant l’adresse
MAC de C à l’adresse IP de la machine de B. Lorsque A va communiquer avec B au niveau
IP, c’est le poste de l’attaquant qui recevra les trames de A puisque son adresse MAC est
associée à l’adresse IP de B.
Nous pouvons voir sur la figure suivante la corruption du cache de la machine

192.168.1.27. En effet l’adresse MAC de la machine 192.168.1.254 n’est pas la même entre
les deux inspections de cache.
A ce stade plusieurs choix d’attaques se présentent dont notamment le Déni de

Service (DoS) et l’écoute de communication (Sniffing). Cette dernière est plutôt intéressante
afin de récupérer des données confidentielles vu la position d’”homme du milieu” (Man in
the Middle) de l’attaquant.
Man In the Middle
Les attaques Man In The Middle (MitM - Homme du milieu) sont une classe
d’attaques dans laquelle l’attaquant se situe entre deux parties communicantes, ce qui est le
cas après une attaque de cache poisoning couronnée de succès.
Cette position avantageuse permet à l’attaquant de capturer (attaque visant la

confidentialité), insérer (attaque visant l’intégrité) ou modifier (attaque visant la confiden-
tialité et l’intégrité) les communications chiffrées entre les deux entités et ceux quel que soit
le niveau de chiffrement utilisé.
D’un point de vue pratique, l’attaquant écoute (sniffe) les paquets du réseau,
les modifient et les réinjectent au destinataire initiale.
4.3 SSL sniff
Ettercap permet d’utiliser trois interfaces distinctes. Une interface graphique en
GTK, une interface en mode texte qui utilise ncurses et la dernière en mode texte, ligne de
commande. Nous allons principalement nous intéresser à l’interface graphique.
Dans cette partie, nous allons placer notre machine Ettercap en ”man in the middle”
après une usurpation ARP.
Man In the Middle
On ouvre Ettercap en mode graphique :
#ettercap -G
On sélectionne le mode de ”reniflement” : Sniff > Unified sniffing

On choisit l’interface sur la quelle on va réaliser notre teste :
On scanne notre réseau pour découvrir des hôtes : Hosts > Scan for hosts
Le réseau scanné sera déterminé par les paramètres IP de l’interface que nous
venons de choisir.
Pour voir les adresses IP et MAC des hôtes à l’intérieur de notre réseau : Hosts > hosts lists
Après on sélectionnez les machines à usurper :
Nous avons choisi d’empoisonner seulement la machine windows XP 192.168.246.130

et la passerelle 192.168.246.2.
Il faut sélectionne la ligne contenant 192.168.246.2 et cliquer sur le bouton ”target 1”.
Sélectionnez la ligne contenant 192.168.246.130 et cliquer sur le bouton ”target 2”.
Si on ne choisissez aucune machine en cible (target), toutes les machines à l’intérieur du
réseau seront usurpées.
On démarrez l’usurpation ARP : Mitm > Arp poisoning > sniff remote connetions
Finallement, on démarre le sniffer pour collecter des statistiques : Start -¿ Start

sniffing
La machine du teste
La machine sur la quelle on va réaliser le teste est la machine windows XP,

normalement l’utilisateur se connecte au site du gmail avec son login et son mot de passe.
La navigateur demande à l’utilisateur d’obtenir un certificat de la part du site

de gmail, pour établire une connexion sécuriser. C’est en génerale le comportement du
navigateur qu’on il y a un homme au milieu qui capture la communication entre le client et
le serveur.
On va ajouter une exception et obtenir un certificat normalemnt du serveur. Mais le

problème c’est que le certificat est un faut cetificat généré pas l’Ettercap qui en milieu.
L’attaque repose sur l’acceptation par la victime d’un certificat invalide. L’attaquant
se place en homme du milieu (par exemple en effectuant une attaque d’ARP cache poisoning
entre la victime et la passerelle internet) puis va intercepter la requête HTTPS de la victime
vers le serveur et lui présenter un faux certificat (de préférence ressemblant le plus possible
au vrai).
Si le client accepte le certificat, Ettercap va établir un tunnel SSL entre le client
et l’attaquant. Il va ensuite établir un second tunnel SSL vers le serveur légitime. Cette
position permet donc à l’attaquant de chiffrer/déchiffrer les données des deux cotés et ainsi
de récupérer les données du client avant de les transmettre au serveur de destination.
Ettercap va donc échanger le vrai certificat avec le sien. Le faux certificat est
créé à la volée et tous les champs sont remplis en fonction de ceux du certificat original,
présenté par le serveur. Seul l’émetteur du certificat est modifié et il est signé avec la clé
privée de Ettercap, que l’on peut trouver (suivant les distributions) dans le fichier suivant :
/usr/share/ettercap/etter.ssl.crt .
La machine Backtrack
Dans la fenêtre d’Ettercap on voie apparaitre en claire le login et le mot de passe

gmail de l’utilisateur de la machine windows xp.
4.4 Contre mesure
Afin de lutter contre les attaques de type MItM il existe un certain nombre de
mécanismes pouvant être mis en place.
Une première parade possible et efficace est d’utiliser des entrées statiques dans le
cache ARP de chaque machine du réseau. De cette manière il est possible d’ajouter de façon
permanente des serveurs sensibles sans craindre une corruption du cache ARP.
Cette approche est cependant limitée à un petit nombre de machines, puisqu’il est
nécessaire de renseigner manuellement l’ensemble des postes du réseau, ce qui peut s’avérer
difficile sur un parc important.
Une autre possibilité pour lutter contre ce type d’attaque est d’activer la fonction-
nalité de verrouillage de ports (port security), présente sur certains types de concentrateurs
réseau. Cette fonction permet de limiter les adresses MAC sur chaque port (de manière
statique).
L’accès au port verrouillé devient réservé aux utilisateurs disposant d’adresses MAC
spécifiques. Lorsqu’un paquet est reçu sur un port verrouillé et que son adresse MAC source
n’est pas associée à ce port (parce qu’elle a été apprise sur un port différent ou qu’elle
est inconnue du système), le mécanisme de protection est activé. Il existe toutefois des
techniques pour contourner ce type de protection.
Avec l’utilisation d’un cache ARP statique et du verrouillage de port, l’unique autre
moyen de défense ne modifiant pas le comportement intrinsèque du protocole ARP est la
détection.
Les IDS et Firewalls personnels détectent la plupart du temps les modifications des
entrées dans le cache ARP, avertissant l’utilisateur d’une modification. Cependant comme
souvent la décision finale est laissée à l’appréciation de l’utilisateur avec les risques que cela
peut engendrer.
Il existe également des Patchs KERNEL comme ”ANTICAP” ou ”ANTIDOTE”.

ANTICAP ne va pas mettre à jour le cache ARP si une réponse possède une adresse MAC
différente, pour une adresse IP donnée, de celle déjà enregistrée dans le cache.
Cette solution n’en est pas vraiment une puisqu’elle va à l’encontre de la définition
même du protocole ARP (rejet de trames légitimes). ANTIDOTE va même un peu plus
loin ; lorsqu’un nouveau couple MAC/IP est reçu, il essaye de découvrir si l’adresse MAC
précédente est toujours active.
Si cette adresse MAC précédente répond à la requête, la mise à jour du cache

est rejetée et la nouvelle adresse MAC est ajoutée à une liste noire d’adresses. Ces
solutions souffrent du même problème ; si une requête malicieuse est envoyée avant que
la requête légitime ne soit mise en cache cette dernière sera rejetée à la prochaine mise à jour.
L’utilisation de l’authentification forte reste la solution la plus sécurisée mais

également la plus lourde et complexe à mettre en place. S-ARP propose une solution
mettant en place des mécanismes d’authentifications fortes.
Chaque hôte sur le réseau possède un couple de clés publiques/privées fourni par un
hôte de confiance sur le réseau et agissant comme une autorité de certification. Les messages
sont signés par l’émetteur empêchant de cette manière l’injection et la modification des
informations.
4.5 Conclusion
Ettercap est un outil puissant permettant de compromettre fortement la sécurité
d’un réseau par des attaques de type MITM contre différents protocoles sécuriser (SSL, SSH
...).
Comme nous l’avons vu il n’existe pas de solutions miracles ; il s’agit d’avantage

de prévenir les risques de compromissions par de la prévention auprès des utilisateurs
(vérification des certificats) que de les empêcher totalement par des moyens purement
techniques.
La meilleure méthode restant la segmentation en sous-réseau afin d’isoler les

machines sensibles et d’utiliser l’authentification forte (clés publiques et certificats) autant
que possible.
Nous avons vue un simple exemple d’utilisation de cet outil qui est le sniff du proto-
cole https, ettercap est doté d’autres plugins qui lui permettent de réaliser plusieurs testes,
comme le montre la figure suivante :
5 Utilisation du scanner (Nmap)
5.1 Présentation de Nmap

Nmap (Network Mapper) est un outil Open Source d’exploration réseau et d’audit
de sécurité. Il a été conçu pour rapidement scanner de grands réseaux, mais il fonctionne
aussi très bien sur une cible unique. Nmap innove en utilisant des paquets IP bruts (raw
packets) pour déterminer quels sont les hôtes actifs sur le réseau, quels services (y compris le
nom de l’application et la version) ces hôtes offrent, quels systèmes d’exploitation (et leurs
versions) ils utilisent, quels types de dispositifs de filtrage/pare-feux sont utilisés, ainsi que
des douzaines d’autres caractéristiques. Nmap est souvent utilisé pour tester la visibilité des
services et la sécurité du réseau.
Nmap s’utilise en ligne de commande mais il existe des frontend graphiques comme
nmapfe ou knmap .
5.2 utilisation de Nmap

Commençons par une exploitation simple en testant une adresse IP du réseau pour
voir les ports tcp ouverts :
34
Voir tous les ports UDP ouverts sur une machine :
scanner un port (80) :
scanner une plage de ports :

Usurper l’adresse ip source. Ici on scanne 192.168.0.129, par l’interface réseau eth0,
en se faisant passer pour 10.0.0.3 depuis le port 80 :
On peut voir le comportement de l’autivirus (Kaspersky) qui nous informe que nous
avons été victime d’une attaque réseau de la machine 10.0.0.1 tandit que l’adresse IP de
notre machine backtrack se trouve dans le même réseau que la machine cible.
usurper l’adresse MAC et l’adresse IP :

le résultat de l’usurpation s’affiche sur l’écran de l’usurpeur :
5.3 Conclusion
Cette partie n’est qu’une premiere intorduction qui montre comment utiliser les
fonctions de bases de Nmap. On générale un hacker utilise Nmap pour scanner le réseau
avant de mettre en place son attaque. c’est l’expemple du prochain chapitre dans le quelle
on va voir le metasploit framwork.
6 Metasploit
6.1 Description
Metasploit est un projet open-source sur la sécurité informatique qui fournit des
informations sur des vulnérabilités, aide à la pénétration de systèmes informatisés et au
développement de signatures pour les IDS. Le plus connu des sous-projets est le Metasploit
Framework, un outil pour le développement et l’exécution d’exploits contre une machine
distante. Les autres sous-projets importants sont la base de données d’Opcode, l’archive de
shellcode, et la recherche dans la sécurité.
Créé à l’origine en langage de programmation Perl, Metasploit Framework a été

complètement ré-écrit en langage Ruby. Le plus notable est la publication de certains des
exploits les plus techniquement sophistiqués auprès du public. De plus, il est un puissant
outil pour les chercheurs en sécurité étudiant des vulnérabilités potentielles.
Comparable aux produits commerciaux tels que Immunity’s CANVAS ou Core

Impact, Metasploit peut être utilisé par les administrateurs pour tester la vulnérabilité des
systèmes informatiques afin de les protéger, ou par les pirates et les Script kiddies a des
fins de piratage. Comme la plupart des outils de sécurité informatique, Metasploit peut être
utilisé à la fois de manière légitime et à la fois pour des activités illégitimes.
Le fait que Metasploit a émergé en tant que plate forme de développement dans
la sécurité, a conduit, ces derniers temps, la publication de vulnérabilité logicielle souvent
accompagnée d’un module d’exploitation pour Metasploit pour cette dernière, afin de mettre
en évidence l’exploitabilité, le risque et les mesures de prévention contre ces bogues particu-
liers. Metasploit 3.0 (en langage Ruby) a également commencé à inclure des outils de fuzzing,
pour découvrir des vulnérabilités de logiciels en premier lieu, plutôt que de simplement
être fait pour l’exploitation de celles-ci. Cette nouveauté a été vue avec l’intégration de la
bibliothèque lorcon pour les réseaux sans-fils (802.11) dans Metasploit 3.0 en novembre 2006...
38
Les étapes basiques pour l’exploitation d’un système sont :
– Choisir et configurer un exploit (code permettant de pénétrer un système cible en

profitant de l’un de ses bogues ; environs 200 exploits sont disponibles pour les
systèmes Windows, Unix/Linux et Mac OS X) ;
– Vérifier si le système cible visée est sensible à l’exploit choisi ;
– Choisir et configurer un payload (code qui s’exécutera après s’être introduit dans la
machine cible, par exemple pour avoir accès à un shell distant ou un serveur VNC) ;
– Choisir la technique d’encodage pour encoder le payload de sorte que les systèmes
de préventions IDS ne le détectent pas ;
– Exécuter l’exploit.
Cette modularité qui permet de combiner n’importe quel exploit avec n’importe
quel payload est l’avantage majeure du Framework : il facilite la tâche de l’attaquant, des
développeurs d’exploits, et des développeurs de payloads.
La version stable courante de Metasploit Framework est la 3.1 et est écrite en Ruby.
La version précédente 2.7, a été implémenté en Perl. Elle fonctionne sur toutes les versions
d’Unix (y compris Linux et Mac OS X), et aussi sur Windows en utilisant Cygwin. Elle
inclut une interface en ligne de commande ainsi qu’une autre orientée web. Cette dernière
est destinée à fonctionner depuis l’ordinateur de l’attaquant ; une version de démonstration
peut être essayée. Metasploit Framework peut être étendu en utilisant des modules externes
en plusieurs langages.
Pour choisir l’exploit et le payload, quelques informations sur le système cible sont
nécessaires, tel que la version du système d’exploitation, et les services réseaux installés. Ces
informations peuvent être récupérées grâce à des outils de scan de port et d’OS fingerprinting
comme nmap. Nessus peut en plus détecter les vulnérabilités du système cible.
6.2 Exemple d’exploitation

Dans cette partie on va voir un exemple d’utilisation du module smb/version qui
permet d’évaluer le système installé sur un hôte.Pour pouvoir l’utiliser il faut ce placer dans
le fichier ”/pentest/exploits/framework3/ ” et apres taper ”./msfconsole”.
Dans un premier temp il faut découvrie l’hote pour le faire on tape dans un terminale :
– msf auxiliary(version) > set RHOSTS 192.168.246.130

RHOSTS => 192.168.246.130
msf auxiliary(version) > run
192.168.246.130 is running Windows XP Service Pack 2
Auxiliary module execution completed
Apres on réalise un scan de port avec nmap

Ouvrons une console Metasploit :
Pour voir les exploits disponibles on tape ”show exploits” :

Nous exploitons ici la vulnérabilité ”windows/smb/ms08 067 netapi” :
Après on peut voir les types de systèmes windows disponiblent pour l’exploit :
Spécifions maintenant l’hôte cible de notre attaque et le port 445 ouvert (résultat
du scan nmap) :
Et on cherche notre payload ”generic/shell bind tcp”

Spécifions maintenant le payload à utiliser et on exploit :
On peut ramrquer que nous somme dans le ”repertoire system32 de la machine

windows”.
Alors on peut maintenant faire tout ce qu’on a envie de faire :
6.3 Conclusion
Dans cette partie on a pu réaliser un exploit du système windows XP en utilisant
le payload ”generic/shell bind tcp contenu dans l’exploit windows/smb/ms08 067 netapi du
module smb. Il est à noter que le metasploit framework est doté de plusieurs modules qui
permettent d’éxploiter plusieur protocole (icmp, http, ftp ...). Donc on a réaslier juste un
simple et basique teste de vulnérabilité dans cette partie et il faut continuer pour voir les
cas d’utilisation des autres modules.
Il est possibile de programmer son propore code et de l’ajouter dans un module. On

peut aussi tester la sécuriter des bases de données avec un module spécialement conçu pour
cela, et aussi les applications Web.
Le métapsloit framework est un tres grand outil de teste de sécurité et faille des
systèmes. Il est aussi tres puissant à ce niveau, un bon administrateur de réseau, base de
donnée ou de système doit impérativement maitriser cet outil.
7 Crack de clé WPA avec la suite
Aircrack-ng
7.1 Présentation de la suite Aircrack-ng

Pour tester la sécurité d’un réseau wifi, nous avons besoin de la suite aircrack-ng
anciennement aircrack. Par abus de language, on utilisera parfois la dénomination aircrack
même pour aircrack-ng et ses composants.
Cette suite fonctionne sous windows et linux mais certaines fonctionnalités quasi
indispensables sont impossibles sous Windows (l’injection de paquets par exemple), c’est
pourquoi nous utiliserons une suite linux live (pas d’installation et aucunes connaissances
requises) qui est Backtrack, une distribution spécialisée dans les tests d’intrusion.
Il existe biensur d’autre distributions comme whax ou encore troppix (toutes ces
distrib sont particulièrement adaptées au cracking wep/wpa mais une ubuntu ou autre fera
très bien l’affaire).
Dans ces distributions, tout est déjà préinstallé : les drivers des cartes wifi et tous
les logiciels nécessaires (aireplay, airodump, aircrack, wireshark, kismet ..).
La suite aircrack-ng comprend plusieurs programmes dont les 3 principaux sont :
– airodump-ng, le logiciel de capture de paquets, c’est lui qui scan les réseaux et
conserve les paquets qui serviront à décrypter la clef.
– aireplay-ng, un logiciel dont la principale fonction est l’envois de paquets dans le

but de stimuler le reseau et capturer plus de paquets.
– aircrack-ng, le logiciel de crack de clef, c’est un logiciel qui à partir des informations
46
capturées à l’aide d’airodump va nous donner la clef (si biensur on en a un nombre
suffisant de capture).
7.2 Crack de clé WPA
Airodump-ng, découverte des réseaux wifi
Commencons par passer notre carte wifi en mode monitor afin de pouvoir écouter
les réseaux wifi environnants. La commande ”airmon-ng” nous renseigne sur les interfaces
wifi. Dans notre exemple, nous utilisons une carte ZyDAS1211. La commande permettant
de basculer la carte en mode monitor est : airmon-ng start wlan0
Nous allons lancer airodump-ng, le programme qui permet de surveiller les réseaux
wifi actifs.
Airodump-ng est assez simple d’utilisation. Usage : airodump-ng options interface.

Airodump-ng offre une multitude d’options et de filtres afin de cibler ce que l’on souhaite
surveiller. Options airodump-ng :
– -w permet de créer un fichier de capture dans lequel seront enregistrés tous les
paquets. Exemple : airodump-ng -w wpa mon0 (un fichier de capture nommé
wpa sera créé, le premier fichier s’appellera wpa-01.cap, le 2ème wpa-02.cap etc...).
– –encrypt permet de filtrer les réseaux en fonction du type d’encryption utilisé.

Exemple : airodump-ng –encrypt wpa wlan0 (seuls les réseaux en WPA seront
affichés).
– -c permet de cibler l’écoute sur un canal wifi particulier. Exemple : airodump-ng

-c 1 mon0 (airodump-ng n’écoutera que le canal 1).
Et voici le résultat :
On voit qu’airodump-ng surveille excusivement notre réseau cible. En bas, les
ordinateurs connectés aux réseaux wifi. La colonne ”rxq” indique la qualité du signal radio
(entre 0 et 100), ici avec un rxq à 38 le signal est moyen et le crack devait se dérouler
même dans des bonnes conditions. En naviguant dans le dossier depuis lequel nous avons
lancé airodump-ng (root), nous pouvons voir les 2 fichiers créés : wpa-01.cap (le fichier de
capture contenant les paquets) et wpa-01.txt (un fichier log contenant toutes les informations
concernant les essids, adresses mac des points d’accès, stations etc... contenus dans le fichier
de capture).
Aireplay-ng, l’association au point d’accès (l’attaque active)
Nous allons utiliser aireplay-ng pour vérifier si nous pouvons nous associer au point
d’accès. Ici, les conditions sont optimales pour le crack : le signal est excellent et un client est
connecté au point d’accès. Si le signal était moins bon, nous pourrions avoir des difficultés à
nous associer au point d’accès. Il est judicieux de tenter une association avant de se lancer
dans l’injection de paquet. Cela permet de voir si la connectivité est bonne, et cela peut
aussi permettre de savoir si un point d’accès utilise le filtrage par adresse mac.
Une méthode de crack (méthode passive) consiste à cibler un point d’accès, et à
écouter le réseau pendant des heures en attendant qu’un client se connecte. En effet, le 4
way handshake est un ensemble de paquets émis par le point d’accès et la station lorsque
celle ci se connecte. Lors de la connexion, si la réception est bonne (la qualité radio du signal
est visible dans la colonne ”rxq”, si elle est supérieure à 50 elle est de bonne qualité), le
handshake sera capturé.
Une autre méthode consiste à utiliser aireplay-ng et son attaque -0 (déauthentication)

pour forcer la déconnexion du client et capturer le handshake lorsqu’il se reconnecte (le
gestionnaire de réseau wifi de windows est reglé par défaut pour se reconnecter automati-
quement à un point d’accès en cas de déconnexion, l’attaque -0 exploite cette faille).
Le paramètre -0 signifie une attaque déauth, le 0 qui suit signifie que l’envoi des
paquets de déauth sera infini, il faudra donc arretter l’attaque après quelques instants avec
ctrl + c. On peut spécifier un délai, par exemple aireplay-ng -0 5 , et l’attaque s’arrettera
après l’envoi de 5 paquets de déauth.
Si l’attaque a réussi, nous devrions avoir une bonne surprise en revenant dans notre
shell airodump-ng. L’apparition du WPA handshake en haut à droite de la fenetre indique
la réussite de l’attaque. Selon la qualité de la réception, la capture du handshake peut etre
immédiate, ou très fastidieuse. Il se peut qu’il faut renouveler les attaques à de nombreuses
reprises avant d’obtenir le tant attendu handshake.
Aircrack-ng : le bruteforce du handshake
Le handshake est maintenant dans le fichier de capture, on peut stopper airodump.

On doit maintenant nous armer d’un bon fichier dictionnaire, on trouve un dans backtrack
comme on peut utiliser le notre que nous avons créer. Le fichier wpa-01.cap est le fichier de
capture contenant le handshake, et le fichier wpa-01.txt est un fichier créé par airodump-ng
contenant des informations sur le fichier de capture.
Le crack se lance, aircrack-ng va tester tous les mots de passe contenus dans le
fichier dictionnaire. La vitesse du crack, indiquée en haut en keys/second dépend de la
puissance de calcul du processeur.
Le crack peut etre long, il faut patienter et tester plusieurs fichiers dictionnaires
jusqu’à ce que la clé soit trouvée.
7.3 Conclusion
La suite aircrack-ng est en constante évolution et des nouvelles versions sortent
souvent, apportant leurs lot d’améliorations.
Or depuis peu, un nouvel algorithme de crack a vu le jour et il est REDOU-

TABLE, on peut cracker des clef wep avec 40 000 Ivs (au lieu de 1 000 000 Ivs), il s’agit
d’aircrack-ptw dont les fonctionnalités sont implentées dans les dernière version d’aircrack-ng.
8 Conclusion générale
En Retrouve dans ce rapport quelques détails relatifs aux étapes nécessaires à la

réalisation d’un audit de sécurité, cet audit qui a été effectué sur un réseau simulé à l’aide
de machines virtuelles de type Vmware.
A travers ces étapes on pu découvrire les aspects lié aux attaques et intrusions
que peut subire un réseau, et ainsi on a vue des testes d’intrusion liés aux réseaux cablés
suicthés, aus réseaux Wifi protégés par clé WPA et un teste de vulnérabilité du système
d’éxploitation windows XP.
Les outils qu’on a utiliser forme une plateforme de choix mais reste cependant
complémentaire à d’autres outils. Leurs utilisation certes complexes pour un non-technicien,
mais ils sont très appréciées par les personnes travaillant dans le domaine de la sécurité.
BackTrack est à l’heure actuelle la distribution la plus aboutie en matière de sécurité

informatique. BackTrack se qualifie tant par le nombre impressionnant d’outils que leur par
qualité reconnu par les professionnels. Ces nombreux développeurs et sa large communauté
permettent d’avoir une distribution de plus en plus stable avec une compatibilité accrue avec
les différents constructeurs de matériels. BackTracka gagné une grande notoriété et c’est
pourquoi BackTrack a été élu comme étant la première distribution de sécurité dans le monde.
Les audits intrusifs sont aujourd’hui une part intégrante dans le domaine de la
sécurité des systèmes d’information, les chances de recencer des vulnérabilités, lors de ces
audits, sont d’autant plus importantes si l’on se positionne à la manière d’un attaquant
potentiel.
Les audits intrusifs se sont démocratés peu à peu dans le milieu de la sécurité des
systèmes d’information. Jusqu’alors très mal perçus en raison de leur caractère offensif, ils se
révèlent finalement très adaptés à la sécurisation des infrastructures. Il est en effet utopique
de croire qu’un réseau peut être sécurisé par des personnes n’ayant pas la culture des failles
de sécurité qu’il peut contenir.
54
En se plaçant dans la même situation qu’un individu malicieux (les audits intrusifs
peuvent être réalisés à l’aveugle en conditions réelles, de l’intérieur et/ou de l’extérieur,
sans information préalable), les chances de recenser les vulnérabilités sont plus élevées et
la sensibilisation d’autant plus forte que les répercutions de l’attaque sont démontrées et
directement visibles par les clients.
Les tests d’intrusion actifs sont un élément important de cette politique de sensibi-
lisation et ont un impact global très fort, tant sur les décideurs que sur les utilisateurs.
En conclusion il est claire qu’il revient à tout responsable de réseau ou système, d’en
assurer sa sécurité, et par conséquent d’en tester les failles. C’est la raison pour laquelle, un
administrateur réseau se doit d’être au courant des vulnérabilités des logiciels qu’il utilise
et de se mettre dans la peau d’un pirate afin d’essayer de s’introduire dans son propre
système et afin d’être continuellement dans un contexte de securité.
9 Bibliographie / Neto-graphie
http ://wiki.backtrack-fr.net/
www.offensive-security.com
www.crack-wpa.fr
http ://forums.remote-exploit.org
www.secuobs.com
www.securite-reseaux.com
http ://openmaniak.com/
http ://www.metasploit.com/
www.tuto-fr.com
www.commentcamarche.net
56

Audit Intrusion

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Audit Intrusion

Transféré par

Droits d'auteur :

Formats disponibles

Rapport de stage

Prévention et détection d’intrusion avancée

Société ALA 3G TELECOM

3 Installation et utilisation d’un sniffer (Wireshark) 9

4 Utilisation du sniffer (Ettercap) 18

5 Utilisation du scanner (Nmap) 34

7 Crack de clé WPA avec la suite Aircrack-ng 46

Je voudrais tout d’abord exprimer mes profondes reconnaissances à Mr. Mohamed

Avec l’hypercroissance des technologies de communication et d’échange d’informa-

Les résultats ne se sont pas faits attendre. Le taux de ”criminalité informatique”

Les tests de vulnérabilités et tests d’intrusion vous permettent de savoir si vous

Tout ordinateur connecté à un réseau informatique est potentiellement vulnérable à

Les motivations des attaques peuvent être de différentes sortes :

– obtenir un accès au système ;

– glâner des informations personnelles sur un utilisateur ;

– récupérer des données bancaires ;

– s’informer sur l’organisation (entreprise de l’utilisateur, etc.) ;

– troubler le bon fonctionnement d’un service ;

– utiliser le système de l’utilisateur comme  rebond  pour une attaque ;

– utiliser les ressources du système de l’utilisateur, notamment lorsque le réseau sur

La sécurisation d’un système informatique est généralement dite  asymétrique ,

Pendant que l’administrateur prépare le plan de sécurité globale et la zone

– Evaluation de la sécurité des réseaux : Une évaluation de la sécurité des réseaux

– Examens de configuration (test de vulnérabilité) : Un examen de configuration

– L’audit de sécurité est une démarche collaborative visant l’exhaustivité. Elle

On distingue généralement deux méthodes distinctes :

Plusieurs outils existent actuellement afin d’effectuer ces tests. On retiendra

– Le sniffer Ethereal ou Wireshark.

Nous allons nous intruduire certains aspectts d’audit de la sécurité informatique. Et

– Utilisation d’un sniffer Ethereal (Wireshark).

BackTrack est disponible dans le site web (www.remote-exploit.org) sous forme de

3.1 Présentation de Wireshark

Toutefois certains programmes malicieux arrivent à désactiver cette fonction et

La force de Wireshark vient de :

Ce programme est disponible en version free sur le site officiel (www.ethreal.com

3.2 Lancement de Wireshark

Pour lancer Wireshark on tape dans le console la commande :

Ce qui permet d’ouvrire la fenêtre de la figure suivante :

Une nouvelle fenêtre comportant la liste des interfaces réseaux disponibles va

Si on souhaite configurer certaines options de la capture, il faut cliquer sur Options.

Pour démarrer la capture il suffit de presser le bouton Start.

Analyse des captures

Au cours de notre utilisation du sniffer Wireshark, on a essayer de faire plusieurs

– des connexions http,

– La première machine ubuntu a l’adresse IP suivante : 192.168.246.133

– La deuxième machine ubuntu a l’adresse IP suivante : 192.168.246.134

– La machine backtrack utilise l’adresse IP : 192.168.246.129 donc se trouve dans

On va réaliser dans notre premier teste un telnet entre la machine 1 et la machine

On retrouve donc pour notre paquet HTTP, les couches suivantes :

– couche 2 (Ethernet : MAC)

On filtre maintenant les packets de la communication telnet :

Sniff des connexions SSH

SSH (Secure Shell) est un programme permettant de se connecter à un autre

4.1 Présentation de Ettercap

Il est également composé de fonctions intéressantes sur le réseau comme l’injection

– Injection de commandes : insérer des commandes dans la connexion en cours afin

– Filtrage de paquet : filtrer automatiquement le contenu de paquets TCP ou UDP

– Récupération de mots de passe : un module (aussi appelé dissecteur) est capable

– Support du protocole HTTPS : insertion dans une session HTTPS en faisant

– Os fingerprinting (prise d’empreintes de système d’exploitation afin de les identi-

Lorsqu’une trame de niveau deux arrive, un Switch examine l’adresse de destination

ARP cache poisoining

En manipulant le cache ARP de potentielles victimes, un attaquant peut modifier

Nous pouvons voir sur la figure suivante la corruption du cache de la machine

– utiliser le système de l’utilisateur comme rebond pour une attaque ;

La sécurisation d’un système informatique est généralement dite asymétrique ,