Un hack peu commun qui va permettre de profiter de la route
C'est la police de Gahanna (une petite ville située au centre de l'Ohio) qui rapporte qu'entre le 21 et le 22 décembre 2011 quelqu'un a piraté une station d'essence et a ainsi fait baisser le prix du carburant à $0.02 par gallon !
Dans son rapport la police indique qu'un client de la station a vu que le prix avait changé et en a tout de suite informé le gérant. Celui-ci indique que la personne qui a piraté la pompe a dû se servir d'une clé pour l'ouvrir et utiliser un ordinateur ou un autre appareil pour pénétrer le système et changer le prix.
Malheureusement pour la police, aucune caméra ne pointée la pompe au moment des faits et donc aucun suspect. A moins que celui-ci ait payé par carte bancaire mais ça m'étonnerait
Pingdom est un service vraiment sympa que j'utilise depuis un certains temps pour les sites que je maintiens. Vous devez en connaître d'autres qui permettent de surveiller les performances et qui proposent des analyses plus ou moins complètes. Par exemple Page Speed de Google qui est une extension de Chrome mais aussi l'addon Firebug qui est plutôt bien fait.
Dans cet article je vais d'abord commencer à vous montrer les outils que proposent Pingdom pour analyser son site et ensuite les offres qu'il propose pour monitorer (surveiller) son site.
FBPwn est une application Java multi-plateforme utilisant les API de Facebook. Ce petit programme se chargera d'envoyer des requêtes de demandes d'amis à une liste de profils. Une fois que la victime a accepté l'invitation, le programme téléchargera toutes les informations, les photos, la liste d'amis dans un dossier local.
C'est le but premier de cette application mais d'autres modules sont présents. L'application travaille sur une URL de profil sélectionné (admettons Toto) tout en utilisant un compte valide (admettons Lama). Voici les modules en question :
AddVictimFriends : Fera une demande d'ajout de certains ou de tous les amis de Toto pour augmenter les chances de Toto d'accepter les demandes futures et comme ça après il découvre des amis en communs
ProfileCloner : Une liste de tous les amis de Toto sera affiché, vous choisissez l'un d'entre eux (admettons Loulou). FBPwn changera la photo de profil de Lama et les infos de base pour correspondre avec celles de Loulou. Cela augmentera les chances que Toto accepte votre demande d'ami.
CheckFriendRequest : Vérifie si Lama est déjà ami avec Toto. Si ils ne sont pas amis alors le module va tenter d'ajouter Toto comme ami et attendre qu'il accepte.
DumpFriends : Télécharge la liste des amis de Toto.
DumpImages : Télécharge les photos de Toto.
DumpInfo : Télécharge les infos du profil de Toto.
Non Patator ce n'est pas seulement un lance-patate comme on en a tous fait dans notre enfance mais aussi un brute-force multi-fonction avec une conception modulaire et une utilisation souple.
En ayant créé cette application écrite en Python et en voyant le panel de fonctionnalités proposées, on voit que le concepteur en a eu marre d'utiliser Medusa, Hydra, ncrack, etc... Pourquoi?
Soit ils ne fonctionnent pas ou ne sont pas fiables (faux négatifs à plusieurs reprises)
Ils sont lents (non multi-thread ou pas de tests de mots de passes multiples dans la même connexion TCP)
Ils manquent de pas mal de fonctionnalités utiles qui sont assez faciles à coder en Python.
Vous devriez l'essayer si vous avez été déçu par la majorité des brute-force que vous avez pu tester jusqu'à présent. Actuellement ce script supporte les modules suivants :
ftp_login: Brute-force FTP
ssh_login: Brute-force SSH
telnet_login: Brute-force Telnet
smtp_login: Brute-force SMTP
smtp_vrfy: énumérer les utilisateurs valides en utilisant la commande SMTP VRFY
smtp_rcpt: énumérer les utilisateurs valides à l'aide de la commande SMTP RCPT TO
http_fuzz: Brute-force HTTP / HTTPS
pop_passd: Brute-force poppassd (non POP3)
ldap_login: Brute-force LDAP
smb_login: Brute-force PME
mssql_login: Brute-force MSSQL
oracle_login: Brute-force Oracle
mysql_login: Brute-force MySQL
pgsql_login: Brute-force PostgreSQL
vnc_login: Brute-force VNC
dns_forward : Recherche directe de sous-domaines
dns_reverse : Recherche inversée de sous-réseaux
snmp_login: Brute-force SNMPv1 / 2 et SNMPv3
unzip_pass: Brute-force du mot de passe de fichiers ZIP cryptés
keystore_pass: Brute-force du mot de passe de fichiers clés Java
Ça fait un gros paquet de modules!
Ce n'est pas un script-kiddie alors faut bien lire le README dans le code source avant de demander comment on se sert de cet outil.
Ah et autre chose de sympa, vous savez où le développeur du script a été chercher le nom Patator? Et bien dans un clip TV bien de chez nous!
Ce n'est pas rien. Le site de la CIA et celui de la NASA viennent méchamment de se faire botter le derrière par le hacker D35M0ND142.
Il a découvert une faille XSS sur chacun d'eux et leur adresse un message disant que son action n'est pas là pour endommager les sites mais seulement montrer qu'il y a une faille et qu'il faudrait donc combler cette "lacune". Le même message a été adressé à la fois sur le site de la CIA et celui de la NASA. Le voici :
first of all, this attack did not have any purpose or malicious damage. I just wanted to show that there is a bad vulnerability in a site of great importance as this, and need to be repaired.
Vraiment pas top pour des organismes de ce poids...
