De toute façon, aucun pare-feu personnel n'arrêtera JAB :) Et avec un reverse proxy en plus d'un vrai FW statefull ça donne quoi
comme résultat ?
Un reverse-proxy ? Oui. Genre Kavado par exemple.
Tu n'as peut-être pas lu très attentivement la description de JAB Je l'ai lu avec attention il y a un moment déjà.
(ou le code) J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB.
IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
, à moins que tu ne veuilles parler d'un (simple) proxy. Je parle (cf mon exemple au début du post) de reverse proxy capable
d'assurer une protection contre différents types d'attaques.
[...]
LaDDL
JacK wrote:
[...]
Tente avec System Safety Monitor : passera pas sans ton autorisation. Je n'ai pas analysé/testé JAB mais Nicob devrait être en mesure de
confirmer ou d'infirmer.
Sinon je ne connaissais pas SSM, je vais le tester.
Pour tout user sous Windows je ne peux que lui conseiller d'installer : - Registry Prot 2.0 qui assure un monitoring en temps réel de sa BDR et la protège. http://www.diamondcs.com.au/index.php?page=regprot
Autrement 2 très bons FW personnel assurant un niveau de protection au niveau applicatif/registre/etc : - BlackIce http://blackice.iss.net/product_pc_protection.php
- Tiny Personal Firewall 5.0 http://www.tinysoftware.com/home/tiny2?s6200676753265926A1&la=EN&va=&pg=tpf5-home
JacK wrote:
[...]
Tente avec System Safety Monitor : passera pas sans ton autorisation.
Je n'ai pas analysé/testé JAB mais Nicob devrait être en mesure de
confirmer ou d'infirmer.
Sinon je ne connaissais pas SSM, je vais le tester.
Pour tout user sous Windows je ne peux que lui conseiller d'installer :
- Registry Prot 2.0 qui assure un monitoring en temps réel de sa BDR et
la protège.
http://www.diamondcs.com.au/index.php?page=regprot
Autrement 2 très bons FW personnel assurant un niveau de protection au
niveau applicatif/registre/etc :
- BlackIce
http://blackice.iss.net/product_pc_protection.php
- Tiny Personal Firewall 5.0
http://www.tinysoftware.com/home/tiny2?s6200676753265926A1&la=EN&va=&pg=tpf5-home
Tente avec System Safety Monitor : passera pas sans ton autorisation. Je n'ai pas analysé/testé JAB mais Nicob devrait être en mesure de
confirmer ou d'infirmer.
Sinon je ne connaissais pas SSM, je vais le tester.
Pour tout user sous Windows je ne peux que lui conseiller d'installer : - Registry Prot 2.0 qui assure un monitoring en temps réel de sa BDR et la protège. http://www.diamondcs.com.au/index.php?page=regprot
Autrement 2 très bons FW personnel assurant un niveau de protection au niveau applicatif/registre/etc : - BlackIce http://blackice.iss.net/product_pc_protection.php
- Tiny Personal Firewall 5.0 http://www.tinysoftware.com/home/tiny2?s6200676753265926A1&la=EN&va=&pg=tpf5-home
LaDDL
Roland Garcia wrote:
[...]
l'examen attentif des premiers dans les tests suivants est amha très significative: http://www.claymania.com/tests-trojan-fr.html Ces tests datent de 2001 !
Les AVs ont évolué depuis ainsi que les résultats. ;)
Roland Garcia wrote:
[...]
l'examen attentif des premiers dans les
tests suivants est amha très significative:
http://www.claymania.com/tests-trojan-fr.html
Ces tests datent de 2001 !
Les AVs ont évolué depuis ainsi que les résultats. ;)
l'examen attentif des premiers dans les tests suivants est amha très significative: http://www.claymania.com/tests-trojan-fr.html Ces tests datent de 2001 !
Les AVs ont évolué depuis ainsi que les résultats. ;)
Nicob
On Mon, 29 Sep 2003 01:51:22 +0200, LaDDL wrote:
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS.
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB.
IMHO c'est un bon outil pour identifier les vulnérabilités XSS des
applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné
ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les
reverse-proxies, ni avec le XSS.
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS.
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS. Je viens de relire il y a qq instants ta présentation et pour moi ce
type d'attaque est une variante avancée/évoluée de XSS (maintenant on peut appeler ça autrement si tu préfères as u like buddy), pourquoi ? Parce que : les attaques peuvent prendre plusieurs formes l'attaque cible le(s) user(s) de l'application (ici IE) l'attaquant provoque l'envoi de composants malveillants
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job soldier) mais pour ma part je trouve que c'est un outil parfait pour effectuer des audits d'architecture/tests applicatifs.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de type Kavado s'avéraient efficaces ou non ?
Quel passerelle AV as-tu testé ?
Pour des commentaires/réponses sensibles n'hésitent pas à m'envoyer un mail. ;)
Slides + code :
http://www.sstic.org/presentations/JAB___N._Gregoire/ Je connais l'adresse ;)
Je devais être présent à la conférence cette année mais en raison d'un déplacement ... :( Sinon j'ai eu droit à un CR par des confrères/collaborateurs. Et j'ai pris la peine de jeter un oeil sur les docs au moment de leur mise en ligne.
Nicob wrote:
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB.
IMHO c'est un bon outil pour identifier les vulnérabilités XSS des
applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné
ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les
reverse-proxies, ni avec le XSS.
Je viens de relire il y a qq instants ta présentation et pour moi ce
type d'attaque est une variante avancée/évoluée de XSS (maintenant on
peut appeler ça autrement si tu préfères as u like buddy), pourquoi ?
Parce que :
les attaques peuvent prendre plusieurs formes
l'attaque cible le(s) user(s) de l'application (ici IE)
l'attaquant provoque l'envoi de composants malveillants
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job
soldier) mais pour ma part je trouve que c'est un outil parfait pour
effectuer des audits d'architecture/tests applicatifs.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de
type Kavado s'avéraient efficaces ou non ?
Quel passerelle AV as-tu testé ?
Pour des commentaires/réponses sensibles n'hésitent pas à m'envoyer un
mail. ;)
Slides + code :
http://www.sstic.org/presentations/JAB___N._Gregoire/
Je connais l'adresse ;)
Je devais être présent à la conférence cette année mais en raison d'un
déplacement ... :(
Sinon j'ai eu droit à un CR par des confrères/collaborateurs.
Et j'ai pris la peine de jeter un oeil sur les docs au moment de leur
mise en ligne.
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS. Je viens de relire il y a qq instants ta présentation et pour moi ce
type d'attaque est une variante avancée/évoluée de XSS (maintenant on peut appeler ça autrement si tu préfères as u like buddy), pourquoi ? Parce que : les attaques peuvent prendre plusieurs formes l'attaque cible le(s) user(s) de l'application (ici IE) l'attaquant provoque l'envoi de composants malveillants
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job soldier) mais pour ma part je trouve que c'est un outil parfait pour effectuer des audits d'architecture/tests applicatifs.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de type Kavado s'avéraient efficaces ou non ?
Quel passerelle AV as-tu testé ?
Pour des commentaires/réponses sensibles n'hésitent pas à m'envoyer un mail. ;)
Slides + code :
http://www.sstic.org/presentations/JAB___N._Gregoire/ Je connais l'adresse ;)
Je devais être présent à la conférence cette année mais en raison d'un déplacement ... :( Sinon j'ai eu droit à un CR par des confrères/collaborateurs. Et j'ai pris la peine de jeter un oeil sur les docs au moment de leur mise en ligne.
Nicob
On Mon, 29 Sep 2003 17:23:36 +0200, LaDDL wrote:
Nicob wrote:
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS.
Je viens de relire il y a qq instants ta présentation et pour moi ce type d'attaque est une variante avancée/évoluée de XSS
Hum ? Le XSS consiste en l'exécution de code choisi par l'attaquant (Javascript, HTML, ...) par le navigateur de la victime. Ici, c'est juste un programme qui manipule IE pour uploader et downloader vers le serveur maître.
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job soldier) mais pour ma part je trouve que c'est un outil parfait pour effectuer des audits d'architecture/tests applicatifs.
Et moi, je persiste à dire que tu n'as rien compris aux principes de base de JAB ! Lis les donc sur Setiri (de SensePost), l'idée est la même que pour JAB, ça te donnera peut-être un deuxième (et meilleur) angle de vision de la chose.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de type Kavado s'avéraient efficaces ou non ?
Arghh ! T'es dur de la feuille ou tu fais exprès ? Il n'y aucun rapport avec les reverse-proxies !!!
Sinon j'ai eu droit à un CR par des confrères/collaborateurs. Et j'ai pris la peine de jeter un oeil sur les docs au moment de leur mise en ligne.
<mode="méchant" value="on"> Et ben , tout ça pour ne rien tirer de cohérent de mes slides :( <mode="méchant" value="off">
Nicob
On Mon, 29 Sep 2003 17:23:36 +0200, LaDDL wrote:
Nicob wrote:
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB.
IMHO c'est un bon outil pour identifier les vulnérabilités XSS des
applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné
ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les
reverse-proxies, ni avec le XSS.
Je viens de relire il y a qq instants ta présentation et pour moi ce
type d'attaque est une variante avancée/évoluée de XSS
Hum ?
Le XSS consiste en l'exécution de code choisi par l'attaquant
(Javascript, HTML, ...) par le navigateur de la victime. Ici, c'est juste
un programme qui manipule IE pour uploader et downloader vers le serveur
maître.
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job
soldier) mais pour ma part je trouve que c'est un outil parfait pour
effectuer des audits d'architecture/tests applicatifs.
Et moi, je persiste à dire que tu n'as rien compris aux principes de base
de JAB ! Lis les donc sur Setiri (de SensePost), l'idée est la même que
pour JAB, ça te donnera peut-être un deuxième (et meilleur) angle de
vision de la chose.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de
type Kavado s'avéraient efficaces ou non ?
Arghh !
T'es dur de la feuille ou tu fais exprès ? Il n'y aucun rapport avec les
reverse-proxies !!!
Sinon j'ai eu droit à un CR par des confrères/collaborateurs. Et j'ai
pris la peine de jeter un oeil sur les docs au moment de leur mise en
ligne.
<mode="méchant" value="on">
Et ben , tout ça pour ne rien tirer de cohérent de mes slides :(
<mode="méchant" value="off">
J'ai pas eu encore l'occasion/le temps de l'analyser et tester ta JAB. IMHO c'est un bon outil pour identifier les vulnérabilités XSS des applications web.
J'ai du mal à croire que tu ais lu une description de JAB, étant donné ce que tu racontes. En effet, JAB n'a aucun rapport ni avec les reverse-proxies, ni avec le XSS.
Je viens de relire il y a qq instants ta présentation et pour moi ce type d'attaque est une variante avancée/évoluée de XSS
Hum ? Le XSS consiste en l'exécution de code choisi par l'attaquant (Javascript, HTML, ...) par le navigateur de la victime. Ici, c'est juste un programme qui manipule IE pour uploader et downloader vers le serveur maître.
Et JAB offre certes de nombreuses possibilités (d'ailleurs great job soldier) mais pour ma part je trouve que c'est un outil parfait pour effectuer des audits d'architecture/tests applicatifs.
Et moi, je persiste à dire que tu n'as rien compris aux principes de base de JAB ! Lis les donc sur Setiri (de SensePost), l'idée est la même que pour JAB, ça te donnera peut-être un deuxième (et meilleur) angle de vision de la chose.
Enfin n'ayant pas testé JAB je te demandais si des reverse proxies de type Kavado s'avéraient efficaces ou non ?
Arghh ! T'es dur de la feuille ou tu fais exprès ? Il n'y aucun rapport avec les reverse-proxies !!!
Sinon j'ai eu droit à un CR par des confrères/collaborateurs. Et j'ai pris la peine de jeter un oeil sur les docs au moment de leur mise en ligne.
<mode="méchant" value="on"> Et ben , tout ça pour ne rien tirer de cohérent de mes slides :( <mode="méchant" value="off">
Nicob
Nicob
On Sun, 28 Sep 2003 13:11:40 +0200, JacK wrote:
Il fait plus que ça : il signale tout appel à la fonction API quel que soit l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir pour les interpréter, alors imaginons l'utilisateur lambda) surtout quand on a csrss.exe qui veut (d'après SSM) injecter du code (CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de JAB, on a un deuxième message lors de mon "émulation" du fork().
Nicob
On Sun, 28 Sep 2003 13:11:40 +0200, JacK wrote:
Il fait plus que ça : il signale tout appel à la fonction API quel que soit
l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir
pour les interpréter, alors imaginons l'utilisateur lambda) surtout quand
on a csrss.exe qui veut (d'après SSM) injecter du code
(CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de JAB, on
a un deuxième message lors de mon "émulation" du fork().
Il fait plus que ça : il signale tout appel à la fonction API quel que soit l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir pour les interpréter, alors imaginons l'utilisateur lambda) surtout quand on a csrss.exe qui veut (d'après SSM) injecter du code (CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de JAB, on a un deuxième message lors de mon "émulation" du fork().
Nicob
Roland Garcia
Roland Garcia wrote: [...]
l'examen attentif des premiers dans les tests suivants est amha très significative: http://www.claymania.com/tests-trojan-fr.html
Ces tests datent de 2001 ! Les AVs ont évolué depuis ainsi que les résultats. ;)
Ce n'était pas mon propos.
Je reprends le post intéressant de Nicob sur f.c.s. que je partage entièrement: "Deux personnes du NG (Cédric et moi) ont montré à certaines conférences récentes comment contourner efficacement les firewalls personnels sous Windows. Cédric passait par en dessous (couche drivers/NDIS) et moi au dessus (manipulation d'Internet Explorer via les objets OLE). Pour moi, il faut tout d'abord éviter l'exécution initiale du code par l'attaquant. Si l'attaquant y arrive, on n'a plus qu'un problème de temps et/ou compétences pour arriver à une compromission totale."
Qu'on ne me dise pas que ces problèmes ne sont pas réels: http://www.silicon.fr/click.asp?ID$91&news8
S'il faut empêcher l'exécution initiale des trojans ça implique qu'il faut pour le moins déclarer et identifier ces codes comme trojans.
Cela exige la condition nécessaire et suffisante suivante, c'est qu'il y ait sur la planète un équilibre géostratégique suffisant pour les uns palient aux tentations des autres et détectent ces trojans. Or, "légitimer" ou "légaliser" des classes de trojans a déjà été fait, et pas par nous.
Roland Garcia
Roland Garcia wrote:
[...]
l'examen attentif des premiers dans les
tests suivants est amha très significative:
http://www.claymania.com/tests-trojan-fr.html
Ces tests datent de 2001 !
Les AVs ont évolué depuis ainsi que les résultats. ;)
Ce n'était pas mon propos.
Je reprends le post intéressant de Nicob sur f.c.s. que je partage
entièrement:
"Deux personnes du NG (Cédric et moi) ont montré à certaines
conférences récentes comment contourner efficacement les firewalls
personnels sous Windows. Cédric passait par en dessous (couche
drivers/NDIS) et moi au dessus (manipulation d'Internet Explorer via les
objets OLE).
Pour moi, il faut tout d'abord éviter l'exécution initiale du code par
l'attaquant. Si l'attaquant y arrive, on n'a plus qu'un problème de
temps et/ou compétences pour arriver à une compromission totale."
Qu'on ne me dise pas que ces problèmes ne sont pas réels:
http://www.silicon.fr/click.asp?ID$91&news8
S'il faut empêcher l'exécution initiale des trojans ça implique qu'il
faut pour le moins déclarer et identifier ces codes comme trojans.
Cela exige la condition nécessaire et suffisante suivante, c'est
qu'il y ait sur la planète un équilibre géostratégique suffisant pour
les uns palient aux tentations des autres et détectent ces trojans.
Or, "légitimer" ou "légaliser" des classes de trojans a déjà été fait,
et pas par nous.
l'examen attentif des premiers dans les tests suivants est amha très significative: http://www.claymania.com/tests-trojan-fr.html
Ces tests datent de 2001 ! Les AVs ont évolué depuis ainsi que les résultats. ;)
Ce n'était pas mon propos.
Je reprends le post intéressant de Nicob sur f.c.s. que je partage entièrement: "Deux personnes du NG (Cédric et moi) ont montré à certaines conférences récentes comment contourner efficacement les firewalls personnels sous Windows. Cédric passait par en dessous (couche drivers/NDIS) et moi au dessus (manipulation d'Internet Explorer via les objets OLE). Pour moi, il faut tout d'abord éviter l'exécution initiale du code par l'attaquant. Si l'attaquant y arrive, on n'a plus qu'un problème de temps et/ou compétences pour arriver à une compromission totale."
Qu'on ne me dise pas que ces problèmes ne sont pas réels: http://www.silicon.fr/click.asp?ID$91&news8
S'il faut empêcher l'exécution initiale des trojans ça implique qu'il faut pour le moins déclarer et identifier ces codes comme trojans.
Cela exige la condition nécessaire et suffisante suivante, c'est qu'il y ait sur la planète un équilibre géostratégique suffisant pour les uns palient aux tentations des autres et détectent ces trojans. Or, "légitimer" ou "légaliser" des classes de trojans a déjà été fait, et pas par nous.
Roland Garcia
JacK
sur les news:, Nicob signalait:
On Sun, 28 Sep 2003 13:11:40 +0200, JacK wrote:
Il fait plus que ça : il signale tout appel à la fonction API quel que soit l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir pour les interpréter, alors imaginons l'utilisateur lambda) surtout quand on a csrss.exe qui veut (d'après SSM) injecter du code (CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de JAB, on a un deuxième message lors de mon "émulation" du fork().
Nicob
Hi,
C'est effectivement le principal reproche qu'on peut lui faire : vraiment pas pour l'utilisateur lambda mais avec un peu de pratique, on s'habitue très vite. Perso, je trouve que c'est un must pour les power users. Une fois bien configuré, tu n'as plus d'alertes inutiles : quand il se manifeste, c'est qu'il y a vraiment un truc pas catholique (sauf en cas dinstall d'une nouvelle app, évidemment). -- JacK
sur les news:pan.2003.09.29.17.03.07.159512@nicob.net,
Nicob <usenet@nicob.net> signalait:
On Sun, 28 Sep 2003 13:11:40 +0200, JacK wrote:
Il fait plus que ça : il signale tout appel à la fonction API quel
que soit l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir
pour les interpréter, alors imaginons l'utilisateur lambda) surtout
quand on a csrss.exe qui veut (d'après SSM) injecter du code
(CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de
JAB, on a un deuxième message lors de mon "émulation" du fork().
Nicob
Hi,
C'est effectivement le principal reproche qu'on peut lui faire : vraiment
pas pour l'utilisateur lambda mais avec un peu de pratique, on s'habitue
très vite. Perso, je trouve que c'est un must pour les power users. Une
fois bien configuré, tu n'as plus d'alertes inutiles : quand il se
manifeste, c'est qu'il y a vraiment un truc pas catholique (sauf en cas
dinstall d'une nouvelle app, évidemment).
--
JacK
Il fait plus que ça : il signale tout appel à la fonction API quel que soit l'exe lancé, je ne l'ai pas encore pris en défaut.
Effectivement, SSM marche nickel ...
Les messages ne sont pas trop explicites (disons que je dois réfléchir pour les interpréter, alors imaginons l'utilisateur lambda) surtout quand on a csrss.exe qui veut (d'après SSM) injecter du code (CreateRemoteThread) dans mon JAB.exe !
Et puis si on fait "allow only at this time" lors du lancement de JAB, on a un deuxième message lors de mon "émulation" du fork().
Nicob
Hi,
C'est effectivement le principal reproche qu'on peut lui faire : vraiment pas pour l'utilisateur lambda mais avec un peu de pratique, on s'habitue très vite. Perso, je trouve que c'est un must pour les power users. Une fois bien configuré, tu n'as plus d'alertes inutiles : quand il se manifeste, c'est qu'il y a vraiment un truc pas catholique (sauf en cas dinstall d'une nouvelle app, évidemment). -- JacK
Nicob
On Mon, 29 Sep 2003 20:44:34 +0200, Roland Garcia wrote:
N'ayant pas trop suivi, SSM se trouve où ?
Voyons, cher Roland, vous n'avez pas Google par chez vous ? ;-)
