kaspersky antihacker(c) ? bon ou pas

On Tue, 30 Sep 2003 15:28:17 +0200, LaDDL wrote:

IMHO le user lambda n'a pas exploiter/utiliser ce genre de tools et
autres exploits.

Pourquoi ?
Il fait ce qu'l veut, tant que c'est pas illégal, point barre!

Au fait tu peux définir tes "potes" stp ?

Des copains de fac, des collègues de bureau, le fils du voisin qui
bidouille un peu, les membres de mon LUG, des hackers allemands avec qui
je papote pas mal, ...

Je peux te dire que si je vois ta JAB là où elle ne devrait pas être
ça va chier.

C'est-à-dire ? Sur Packetstorm ?
Tiens, je vais écrire une doc et puis leur envoyer ...
Je me demande ce que ça donne quand "ça chie" ;-)

Et moi je veux un réseau plus sûr pour demain.

Même but, mais techniques différentes ...

Dois-je te rappeler les règles déontologiques des tests intrusifs ?

:)
Pas besoin de faire un pen-test pour trouver des failles, il suffit
souvent de savoir lire.

Contactes et prends RDV avec la DCSSI.

Ben voyons ...
Je prends rencart avec eux tous les mois, je monte à Paris et tout, juste
pour des failles sur des sites Web dont ils n'ont rien à foutre ?

D'autre part, si tu respectes les règles de base du métier je ne vois
pas pourquoi tu devrais stresser ou être emmerder.

Moi, je suis un professionel, je peux donc sortir une carte de viste ou un
truc du style quand l'admin en face n'est pas content (même si ces
failles sont identifiées "off hours"). Mais comment un simple particulier
peut-il remnter des failles sans se faire emmerder, c'est une question
pour moi sans réponse.


Nicob

On Tue, 30 Sep 2003 15:53:06 +0200, LaDDL wrote:

Je ne sais pas.
Tu devrais savoir par où tu rentres, où tu vas et où/quand tu sors ;)

Argh !!

Quand je sors du LAN où la victime est situé, je ne traverse pas de
reverse-proxy, c'est clair ou non ?

Bon, j'abandonne cette partie du thread ...


Nicob

sur les news:pan.2003.09.30.14.02.14.164668@nicob.net,
Nicob <usenet@nicob.net> signalait:

Moi, je suis un professionel, je peux donc sortir une carte de viste
ou un truc du style quand l'admin en face n'est pas content (même si
ces failles sont identifiées "off hours"). Mais comment un simple
particulier peut-il remnter des failles sans se faire emmerder, c'est
une question pour moi sans réponse.


Hi,

Pour moi la réponse est claire : c'est pas possible :o)
2 anecdotes :
J'avais signalé plusieurs failles à mon FAI de l'époque il y a deux ou trois
ans, dans son serveur mail notamment, par mail (pas de réponse sauf
automatique) ensuite par téléphone au Support. Il m'a juste été répondu
qu'ils étaient au courant et travaillaient dessus. Six mois plus tard,
faille toujours présente et exploitée : ils se sont souvenus de moi et m'ont
demandé si je n'étais pas à l'origine de l'attaque !

Par hazard, je rentre sur un serveur et je m'aperçois que j'ai accès à des
données confidentielles d'un pote assembleur (prix d'achats, prix de ventes
selon les clients, listing des clients, etc...) Je le lui signale
immédiatement, il s'agissait en fait du PC perso du gars qui lui avait
installé son rezo, créait et mettait à jour son site commercial, etc...
J'ai contacté également le gars en question pour lui expliquer le problème à
la demande de mon pote. Explications embarrassées et soi-disant pas son
poste mais l'hébergeur du site (faux évidemment ;) ). Qq jours plus tard, il
se fait griller sa MB et un HDD. Mon pote a dû le dissuader de porter
plainte contre moi : il voulait m'accuser formellement !
Résultat : je ne remonte plus les failles aux intéressés, c'est juste une
source d'emm**des ;(
Juste aux dev de logiciels, et encore, à qq uns seulement, souvent mal
accueilli, traîté avec condescendence ou insulté.....
--
JacK

Le 30 septembre 2003 à 12:02, guil.ristolas nous disait :

exusé ma naiveté ,ça veut dire quoi ce c encerclé ©
que j'ai m^^eme pas sur mon clavier?

Vous devriez surtout vérifier que vous n'êtes pas infecté par Bugbear.
Le double accent circonflexe est généralement révélateur.

--
Cordialement

Nicob wrote:

Pourquoi ?
Tu connais mes raisons & mon point de vue à ce sujet.

Il fait ce qu'l veut, tant que c'est pas illégal, point barre!
La définition du «mal» ne doit pas être si large qu'elle amène à tout

confondre et qu'elle devienne liberticide.

En bref, les users lambda ont déjà du mal à respecter les règles dans le
monde réel alors sur les réseaux numériques n'en parlons pas : non
respect des droits d'auteurs, intrusion dans les systèmes, etc.

[...]

Je peux te dire que si je vois ta JAB là où elle ne devrait pas être
ça va chier.

C'est-à-dire ? Sur Packetstorm ?
Tiens, je vais écrire une doc et puis leur envoyer ...
Rien à voir lol t'es HS là. Lis ce qui suis ci-dessous merci.

Je me demande ce que ça donne quand "ça chie" ;-)
Je te parle de l'utilisation de JAB dans un contexte illégal, est-ce

plus clair comme ça ?
C'est pourquoi je te conseille de ne pas la mettre dans les mains de
n'importe qui...

Et moi je veux un réseau plus sûr pour demain.

Même but, mais techniques différentes ...
Approches différentes sans aucun doute (aux vues de ce que tu m'as dit

jusqu'à présent)

Dois-je te rappeler les règles déontologiques des tests intrusifs ?

:)
Pas besoin de faire un pen-test pour trouver des failles, il suffit
souvent de savoir lire.
Nous sommes d'accord ici.

Contactes et prends RDV avec la DCSSI.

Ben voyons ...
Je prends rencart avec eux tous les mois, je monte à Paris et tout, juste
pour des failles sur des sites Web dont ils n'ont rien à foutre ?
Mais non lol.

1/ Rencontres les afin d'en apprendre un peu plus sur la politique de
ton pays en matière de SI/SSI et tu sembles avoir pas mal de questions
(autrement tu as l'AFAI que tu peux contacter aussi)
2/ C'est un carrefour d'échanges
3/ Pour communiquer tes résultats contactes directement les éditeurs et
CERTs français avant de publier

[...]

Mais comment un simple particulier
peut-il remnter des failles sans se faire emmerder, c'est une question
pour moi sans réponse.
Il faut définir une procédure pour toutes les parties concernées.

Communiquer auprès du grand public en leur expliquant quelles sont les
étapes à suivre en cas de détection de failles et qui contacter.

Les organismes existent aujourd'hui : les CERTs et IMHO c'est à eux de
remplir ce rôle de point de contact, d'interface pour les users.

Pour rappel les adresses des CERTs français :
- CERT Renater, CERT dédié à la communauté des membres du GIP RENATER :
http://www.renater.fr/Securite/CERT_Renater.htm

- CERT IST, dédié au secteur de l'Industrie, des Services et du
Tertiaire :
http://www.cert-ist.com/

- CERTA, dédié au secteur de l'administration française :
http://www.certa.ssi.gouv.fr/

Nicob wrote:

Tu devrais savoir par où tu rentres, où tu vas et où/quand tu sors ;)

Argh !!

Quand je sors du LAN où la victime est situé, je ne traverse pas de
reverse-proxy, c'est clair ou non ?
Oui. Mais reviens pas sur les reverse proxies ici ce n'était pas le

propos.

Bon, j'abandonne cette partie du thread ...
On a fait le tour de la question et tu m'as apporté la réponse à la

question posée.
So thread CLOSED now.

JacK wrote:

Moi, je suis un professionel, je peux donc sortir une carte de viste
ou un truc du style quand l'admin en face n'est pas content (même si
ces failles sont identifiées "off hours"). Mais comment un simple
particulier peut-il remnter des failles sans se faire emmerder, c'est
une question pour moi sans réponse.


Hi,

Slt,

Pour moi la réponse est claire : c'est pas possible :o)
Si si c'est possible.

Conseils :
Tu peux reporter tes informations aux :
- sociétés de conseil en SI/SSI spécialisées dans les audits de sécurité
logique
- les CERT gouvernementaux

A éviter :
- ne reportes pas directement auprès des équimentiers/éditeurs de
logiciels
- encore moins aux éditeurs de contenus et fournisseurs de services en
ligne

Voilà j'espère que ces qq conseils te permettront de mieux appréhender
le sujet et tes interlocuteurs.

On Tue, 30 Sep 2003 16:23:26 +0200, JacK wrote:

Résultat : je ne remonte plus les failles aux intéressés, c'est juste une
source d'emm**des ;(

Allez, une autre anecdote :

Dans une vie intérieure, j'étais admin d'un des plus gros sites Web de
France, en nombre de pages et en nombre de visiteurs. Pour donner un ordre
d'idée, on occupait 70% de la BP totale du plus gros FAI de Lyon.

Un jour, j'ai trouvé une faille dans le "portail clients", cette faille
me permettant de consulter les stats (de BP, d'uptime, ...) de tous les
autres clients. J'ai contacté le FAI, qui m'a menacé d'un procès pour
piratage :(

On (mon oss et moi) leur a dit qu'en tant que plus gros client, on avait
un sérieux pouvoir de nuisance, alors ils se sont calmés.

Voilà, une histoire parmi d'autres sur le "plaisir" de remonter des
failles de sécurité ...


Nicob

Nicob wrote:

Supposons que je laisse tomber la sécurité informatique pour aller faire
barman ou horticulteur. Je ne pourrais plus, selon toi, avoir accès à
SubSeven, nmap, l'exploit pour les failles RPC I et II et JAB, c'est bien
ça ?

IMHO le user lambda n'a pas exploiter/utiliser ce genre de tools et
autres exploits.

Ah bon ? en l'absence de loi, en vertu de quel principe républicain vous
octroyez vous le droit de dire ce qui est bon et ne l'est pas pour le
citoyen lambda ?

A chaque fois, je stresse pour
remonter ces failles, en essayant d'éviter le doux son de la BEFTI qui
tape à la porte au p'tit matin. Du coup, quand c'est trop sensible, je
ferme ma gueule et laisse la faille en l'état.

Contactes et prends RDV avec la DCSSI.
D'autre part, si tu respectes les règles de base du métier je ne vois
pas pourquoi tu devrais stresser ou être emmerder.

Ah bon ? et de quel droit la DCSSI interviendrait-elle directement dans
une affaire judiciaire ? pourquoi pas le premier ministre lui même ?

Quand l'état est intervenu dans l'affaire Kitetoa/Tati il l'a fait dans
les règles permises, à savoir un réquisitoire du procureur général, et
pas autrement.

Si donc un emmerdeur professionnel de la république (et il n'en manque
pas) veut s'en prendre abusivement à Nicob, celui ci n'aura pas d'autre
alternative que de se défendre.

Je sais c'est pas terrible mais certainement moins périlleux que votre
"révolution culturelle" actuelle, quand vous trouverez mieux faites nous
signe.

Roland Garcia

Roland Garcia wrote:

IMHO le user lambda n'a pas exploiter/utiliser ce genre de tools et
autres exploits.

Ah bon ? en l'absence de loi, en vertu de quel principe républicain vous
octroyez vous le droit de dire ce qui est bon et ne l'est pas pour le
citoyen lambda ?
Vous délirez mon cher...

D'abord rappelle de la définition de l'un de mes termes préférés :
IMHO // abbrev. [from SF fandom via Usenet; abbreviation for `In
My Humble Opinion'] "IMHO, mixed-case C names should be avoided, as
mistyping something in the wrong case can cause hard-to-detect errors --
and they look too Pascalish anyhow." Also seen in variant forms such as
IMNSHO (In My Not-So-Humble Opinion) and IMAO (In My Arrogant Opinion).

En résumé je fais part de mon point de vue (que ça vous plaise ou
déplaise !) sur ce sujet.
1/ je ne me base sur aucun principe
2/ je ne m'octroie rien
3/ je suis mon propre libre arbitre (comme tout un chacun) alors si vous
voulez jouer les censeurs ou je ne sais quoi allez voir ailleurs merci.

A chaque fois, je stresse pour
remonter ces failles, en essayant d'éviter le doux son de la BEFTI qui
tape à la porte au p'tit matin. Du coup, quand c'est trop sensible, je
ferme ma gueule et laisse la faille en l'état.

Contactes et prends RDV avec la DCSSI.
D'autre part, si tu respectes les règles de base du métier je ne vois
pas pourquoi tu devrais stresser ou être emmerder.

Ah bon ? et de quel droit la DCSSI interviendrait-elle directement dans
une affaire judiciaire ? pourquoi pas le premier ministre lui même ?
Vous mélangez tout ici Roland !!! Je ne parle absolument pas de cela.

Qu'est-ce que vous allez chercher et je ne parle même pas de la suite de
votre post (no comment) ! Franchement limite votre interventiun Roland.
Déplacée et largement HS.

Je conseille à Nicob de contacter la DCSSI car dans sa mission
d'assister les administrations dans la démarche de sécurisation des SI
son action peut-être étendue au profit du secteur privé dans la mesure
où cela porte sur les intérêts de l'État.

Et vous savez comme moi Roland qu'un trojan peut s'avèrer extrêmement
dangereux pour un SI.


[...] cuz i don't want to feed da troll !