espion sur reseau college

"Laurent" <rolfan2003_oiu@yahoo.fr> a écrit dans le message de news:
t9tfu0pp5ornvn1v65in1n21mlideeuta7@4ax.com...

bonjour

j'aimerais savoir s'il y a un moyen de détecter un espion sur le
réseau du college.

tout le monde tape joyeusement ses mots de passe et se connecte aux
banques et cie....

c'est pas malin ca!on ne se connecte pas a sa banque depuis une machine non

sur!

si quelqu'un met un programme ça peut vraiment devenir la cata !

un programme genre keylogger doit apparaitre dans les processus non?
bha le but du jeu c'est que se soit invisible et donc si c'est bien fait tu

le verras pas!

si quelqu'un utilise un sniffer, comment peut on le savoir simplement
(je ne suis pas expert)
Euh bha tu peux pas le faire...si c'est bien fait,sinon passe un bon anti

virus et il te dira!

merci
de rien

Nbac

Laurent wrote:

j'aimerais savoir s'il y a un moyen de détecter un espion sur le
réseau du college.
un programme genre keylogger doit apparaitre dans les processus non?

- Pas forcément visible ; le keylogger peut faire en sorte de ne pas
apparaitre dans la liste des processus, sans même aller jusqu'à aller
patcher le noyau du système lui même
- Les loggers hardwares sont également utilisables (sur le clavier, la
prise, etc), discrets, faciles à se procurer

La règle de base est de ne pas faire confiance en une machine que l'on
ne surveille pas soi même (chez soi, son portable..)

"Laurent" <rolfan2003_oiu@yahoo.fr> a écrit dans le message de news:
t9tfu0pp5ornvn1v65in1n21mlideeuta7@4ax.com...

bonjour

j'aimerais savoir s'il y a un moyen de détecter un espion sur le
réseau du college.

tout le monde tape joyeusement ses mots de passe et se connecte aux
banques et cie....

c'est pas malin ca!on ne se connecte pas a sa banque depuis une machine non
sur!

Si vraiment tu crains pour le vol de mot d'authentifiants sur des sites
sensibles, il est toujours possible de définir les urls dans une
blacklist temporaire au niveau du proxy. Certes, la solution est assez
extrémiste puisque cela signifie que l'on place un site sûr non pas sur
une liste authorisée mais interdite.

si quelqu'un met un programme ça peut vraiment devenir la cata !

un programme genre keylogger doit apparaitre dans les processus non?

bha le but du jeu c'est que se soit invisible et donc si c'est bien fait tu
le verras pas!

En effet, un programme un tant soi peu réfléchi se protégera contre
l'affichage dans le gestionnaire des tâches.
En vb, une seule ligne suffit : App.TaskVisible = False

Des outils comme Security Task Manager ou Process Explorer peuvent être
intéressants pour déceler des programmes ou autres (les BHO sont à la
mode) qui n'apparaissent pas dans le task manager

si quelqu'un utilise un sniffer, comment peut on le savoir simplement
(je ne suis pas expert)

Euh bha tu peux pas le faire...si c'est bien fait,sinon passe un bon anti
virus et il te dira!

Effectivement la solution Antivirus + antispyware + patches est tout
d'abord un prérequis pour les postes client.

Sinon, il est toujours possible d'utiliser un soft du genre Antisniff
(http://www.securityfocus.com/data/tools/as-1021.zip) qui permet par des
envois de paquets ARP non conformes de détecter les machines en mode
promiscuous. Pour des méthodes un peu plus évoluées
(http://www.securityfriday.com/promiscuous_detection_01.pdf), tu devras
probablement utiliser un outil genre arp-sk de Frederic Raynal
Par contre, comme l'indique le document, cela ne fonctionnera pas tout
le temps....

merci

de rien
Nbac

Laurent a présenté l'énoncé suivant :

si quelqu'un utilise un sniffer, comment peut on le savoir simplement

Il existe des keylogguers matériels facilement planquables dans la
machine. Donc indétectables :-D

On 14 Jan 2005 21:45:54 GMT, David Bizeul <whatever@nomail.com>:

En effet, un programme un tant soi peu réfléchi se protégera contre
l'affichage dans le gestionnaire des tâches.

Il apparaîtra quand même dans la liste des processus... mais il y a
tellement de trucs là-dedans qu'on ne le repérera sans doute pas :-/

--
;-)

Le Sat, 15 Jan 2005 13:10:24 +0000, Fabien LE LEZ a écrit :

Il apparaîtra quand même dans la liste des processus... mais il y a
tellement de trucs là-dedans qu'on ne le repérera sans doute pas :-/

Un code malicieux peut ne pas se présenter sous forme de processus, mais
de thread injecter dans des processus existants (cf. API hooking). Dès
lors, il sera actif, mais tu ne le verras pas.


--
E - Un Chinois vient de tomber de la terrasse, il est mort!
P - Du calme mon enfant, un client part, un autre arrive...
-+- Les Barbouzes

On 2005-01-14, David Bizeul <whatever@nomail.com> wrote:
[..]

Sinon, il est toujours possible d'utiliser un soft du genre Antisniff
(http://www.securityfocus.com/data/tools/as-1021.zip) qui permet par des
envois de paquets ARP non conformes de détecter les machines en mode
promiscuous. Pour des méthodes un peu plus évoluées
(http://www.securityfriday.com/promiscuous_detection_01.pdf), tu devras
probablement utiliser un outil genre arp-sk de Frederic Raynal
Par contre, comme l'indique le document, cela ne fonctionnera pas tout
le temps....

Voici un programme vite fait qui implémente la technique décrite dans
ce document.

J'ai testé sur une cible FreeBSD 5.3, et cela fonctionne effectivement.

Il faudra installer le module Perl Net::Packet, dispo sur CPAN.

--8<--
#!/usr/bin/perl
use strict;
use warnings;

use Getopt::Std;
my %opts;
getopts('d:M:I:i:t:v', %opts);

die("Usage: promiscuous-detect.pl -i targetn".
" [-d device] [-I source IP] [-M source MAC]n")
unless $opts{i};

use Net::Packet qw(:globals);

$Dev = $opts{d} if $opts{d};
$Mac = $opts{M} if $opts{M};
$Ip = $opts{I} if $opts{I};
$Debug = 3 if $opts{v};

use Net::Packet::ETH qw(/^NETPKT_*/);
my $eth = Net::Packet::ETH->new(
dst => 'ff:ff:ff:ff:ff:fe',
type => NETPKT_ETH_TYPE_ARP,
);
require Net::Packet::ARP;
my $arp = Net::Packet::ARP->new(
dst => '00:00:00:00:00:00',
dstIp => $opts{i},
);

require Net::Packet::Frame;
my $frame = Net::Packet::Frame->new(l2 => $eth, l3 => $arp);
$frame->send;

$Dump->timeoutOnNext($opts{t} || 5);

until ($Timeout) {
if ($Dump->next && $frame->recv) {
print "$opts{i} is in promiscuous moden";
last;
}
}
--8<--

Laurent wrote:

bonjour

j'aimerais savoir s'il y a un moyen de détecter un espion sur le
réseau du college.

tout le monde tape joyeusement ses mots de passe et se connecte aux
banques et cie....

si quelqu'un met un programme ça peut vraiment devenir la cata !
un programme genre keylogger doit apparaitre dans les processus non?

si quelqu'un utilise un sniffer, comment peut on le savoir simplement
(je ne suis pas expert)
Sur un réseau switché et en l'absence d'accès administratif aux dits

switches le sniffer ne sert pas à grand chose.
Sur un réseau non switché le sniffer a son intérêt mais ne permettra pas non
plus de récupérer des mots de passe de réseaux Microsoft (centralisé pas en
P2P hein ?)par exemple ceux-ci ne circulant pas sur le réseau (mode
défi/réponse).
D'un autre côté vous n'avez rien dit au sujet de votre réseau et des
machines y étant raccordées donc ...

La récupération des mots de passe d'un tel réseau (µsoft) passe par une
exploitation du registre du contrôleur de domaine au travers d'un << Jack
the Ripper >> par exemple. Ce type d'exploitation passe forcément par un
accès physique à la machine.

db
--
email : usenet blas net

Le Sat, 15 Jan 2005 16:15:40 +0000, Benoit Leraillez a écrit :

Certes mais, autant que je sache, dans un système Unix le code doit
être injecté dans un process de l'utilisateur, donc par lui-même ou
l'admin.

Oui, et alors ? C'est la même chose sous Windows, tu ne peux hooker que
tes process, pas ceux des autres, mais c'est amplement suffisant pour
satisfaire le besoin d'espionnage de cet utilisateur là en particulier.

Je ne vois pas le problème. Les droits d'un utilisateurs lambda sont
largement suffisant pour qu'un spyware/malware puisse faire ce qu'il a à
faire.


--
BOFH excuse #220:

Someone thought The Big Red Button was a light switch.

Dominique Blas wrote:

Laurent wrote:

si quelqu'un utilise un sniffer, comment peut on le savoir simplement
(je ne suis pas expert)

Sur un réseau switché et en l'absence d'accès administratif aux dits
switches le sniffer ne sert pas à grand chose.

Ah bon, l'ARP spoofing et l'ARP cache poisoning c'est fait pour les chiens?

Sans compter qu'il existe souvent encore des Windows 9x dans ce type de
structures et qu'on peut même dans ce cas faire mumuse contre des
associations "statiques" :)

Bref c'est chiant d'entendre sans arrêt la rengaine "pas de sniffing,
mon réseau est switché" :-(

De plus trop de switch managés rendent les armes quand un trop grand
nombre de requête qu'il ne peut gérer est présenté.

Enfin on voit sur le terrain énormément de switches non manageable (ou
non managés :) ). Et le responsable du biniou n'a parfois aucune
possibilité de pression pour les achats (oui, c'est stupide).

Sur un réseau non switché le sniffer a son intérêt mais ne permettra pas non
plus de récupérer des mots de passe de réseaux Microsoft (centralisé pas en
P2P hein ?)par exemple ceux-ci ne circulant pas sur le réseau (mode
défi/réponse).

Dans "se connecte aux banques et cie...." de Laurent j'imagine qu'il y a
l'email (pop et webmail entre autre), le compte FAI etc. Largement de
quoi faire des dégâts même si les mdp MS sont préservé...

Et hop un p'tit dsniff pour le désert :)

La récupération des mots de passe d'un tel réseau (µsoft)

On n'a pas lu le post de la même façon. Pour moi son problème semble
être les mots de passe au sens larges (banques etc) récupérable par
keylogger ou analyse du traffic et plus largement tout traffic "sensible".

passe par une
exploitation du registre du contrôleur de domaine au travers d'un << Jack
the Ripper >> par exemple. Ce type d'exploitation passe forcément par un
accès physique à la machine.

Ahem, j'adore le forcément. C'est bien connu il n'existe aucune remote
vulnerability dans ce beau monde :-/

Eric.

PS : la question semble impliquer la non(mé?)-connaissance de certains
mécanisme et donc l'abscence de protection (arp & co).

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.