Les pr\u00e9sentations sont disponibles en vid\u00e9o sur le site du SSTIC<\/a>, de m\u00eame que le recueil des articles<\/a>.<\/p>\n \n <\/strong><\/em><\/p>\n Parmi les diff\u00e9rentes pr\u00e9sentations et bien que les domaines de la cyber se recoupent tous, certains sujets pr\u00e9sent\u00e9s ont un lien plus \u00e9troit avec le m\u00e9tier de pentester que d\u2019autres.<\/p>\n <\/strong><\/em><\/p>\n C’est notamment le cas de la conf\u00e9rence<\/a> pr\u00e9sent\u00e9e par K\u00e9vin Gervot sur l’exploitation d’une attaque Client-Side Desync<\/em> (CSD) menant ici \u00e0 une XSS. Les CSD<\/a> sont une variante des attaques de request smuggling<\/em> qui ont \u00e9t\u00e9 mises sur le devant de la sc\u00e8ne l’ann\u00e9e derni\u00e8re et r\u00e9sultent en l’exploitation d’une d\u00e9synchronisation client-serveur permettant de modifier arbitrairement la prochaine requ\u00eate envoy\u00e9e au serveur et de r\u00e9cup\u00e9rer la r\u00e9ponse de celle-ci. Dans le cas pr\u00e9sent, tout est parti d\u2019un \u00ab\u00a0bug de parsing\u00a0\u00bb.<\/p>\n L\u2019auteur d\u00e9veloppait une application Flask et utilisait la Web Server Gateway Interface<\/em> (WSGI) de d\u00e9veloppement Werkzeug, solution qui lui permettait de mettre en place un serveur HTTP. Lors de ses phases de tests, il a rencontr\u00e9 le bug suivant, l\u2019application Flask ne r\u00e9cup\u00e9rant pas les param\u00e8tres POST\u00a0:<\/p>\n Figure 1 – Bug de parsing (Extrait de la pr\u00e9sentation du SSTIC – slide 2\/27)<\/em><\/span><\/p>\n <\/span><\/p>\n Le client communique avec Werkzeug<\/em> qui sert d\u2019interm\u00e9diaire et qui va traiter la \u00ab connection queue \u00bb de la mani\u00e8re d\u00e9finie par Flask, c\u2019est-\u00e0-dire sans prendre en compte les param\u00e8tres POST ici, avant d\u2019envoyer la requ\u00eate au serveur. Les param\u00e8tres POST sont alors stock\u00e9s dans la \u00ab connection queue \u00bb puis seront envoy\u00e9s au serveur en pr\u00e9fixe de la prochaine requ\u00eate. Ce comportement s\u2019explique \u00e9galement par la gestion des connexions des nouvelles versions de Werkzeug qui forcent le mode \u00ab keep-alive \u00bb (lorsque les options \u00ab threaded \u00bb et \u00ab processes \u00bb sont activ\u00e9es dans la configuration). Ce mode permet d\u2019indiquer au serveur de conserver la m\u00eame \u00ab connection queue \u00bb pour l\u2019ensemble des prochaines requ\u00eates \u00e9mises. Ceci conduit \u00e0 un d\u00e9faut de CSD, exploitable de cette mani\u00e8re :<\/p>\n Figure 2 – Exploitation d’une CSD (Extrait de la pr\u00e9sentation du SSTIC – slide 12\/27)<\/em><\/p>\n Se pose alors la question de comment aller plus loin \u00e0 partir de cette premi\u00e8re vuln\u00e9rabilit\u00e9 pour augmenter la s\u00e9v\u00e9rit\u00e9 d\u2019un sc\u00e9nario d\u2019attaque sur cet environnement. En se renseignant sur une ancienne vuln\u00e9rabilit\u00e9 de redirection libre affectant Werkzeug qui avait \u00e9t\u00e9 corrig\u00e9e, l\u2019auteur a contourn\u00e9 le patch en faisant d\u00e9buter la partie localisation r\u00e9seau de l\u2019url par des doubles slash\u00a0; cette partie sera enregistr\u00e9e comme l\u2019h\u00f4te de la prochaine requ\u00eate. La redirection engendr\u00e9e est de type 308, \u00ab\u00a0permanent redirect\u00a0\u00bb, ce qui met en cache l\u2019information de la nouvelle localisation dans le navigateur.<\/p>\n En combinant l\u2019attaque CSD et la redirection libre, un attaquant est en mesure de forger un formulaire effectuant les actions suivantes\u00a0lors de son envoie par une victime :<\/p>\n Cette d\u00e9couverte a donn\u00e9 lieu \u00e0 la CVE-2022-29361, la preuve de concept au format vid\u00e9o set disponible ici<\/a>. La rem\u00e9diation<\/a> r\u00e9sulte en la correction de la gestion des connexions \u00ab\u00a0keep-alive\u00a0\u00bb de Werkzeug, en coupant la connexion lorsqu\u2019une requ\u00eate HTTP est \u00e9mise puis que sa r\u00e9ponse est envoy\u00e9e.<\/p>\n <\/strong><\/em><\/p>\n Les outils d\u2019analyse de code peuvent \u00eatre pr\u00e9sents dans le quotidien d\u2019un pentester, notamment pour des audits de code ou des tests d\u2019intrusion en bo\u00eete blanche. Ce sujet a \u00e9t\u00e9 trait\u00e9 par deux conf\u00e9rences sur l\u2019outillage de recherche automatique de vuln\u00e9rabilit\u00e9s, et par une troisi\u00e8me sur le dump de javascript au cours de la navigation d\u2019un utilisateur.<\/p>\n Un premier outil d’analyse de code source, Semgrep<\/a><\/strong>, a \u00e9t\u00e9 pr\u00e9sent\u00e9 par Claudio Merloni comme une aide \u00e0 la recherche de vuln\u00e9rabilit\u00e9s. Diff\u00e9rents prismes d\u2019analyses sont possibles pour identifier des d\u00e9fauts de s\u00e9curit\u00e9, de configuration ou de syntaxe par exemple et se traduisent par l\u2019application de r\u00e8gles pour retrouver des motifs d\u00e9finis. Ces r\u00e8gles sont d\u00e9clar\u00e9es sous forme de fichiers YAML. La communaut\u00e9 tr\u00e8s active de l’outil lui permet de supporter un large panel de langages ainsi que de disposer d’une riche biblioth\u00e8que de r\u00e8gles d\u00e9di\u00e9es.<\/p>\n Dans un premier temps l’outil parse les fichiers de code source \u00e0 l’aide de tree-sitter<\/a> afin de repr\u00e9senter le code sous forme d’arbre (AST) pour ensuite pouvoir l’analyser. Diff\u00e9rents modes d\u2019analyse sont disponibles\u00a0: search<\/em>, taint<\/em>, extract<\/em> ou join<\/em>. Le principal mode, search<\/em>, propose d\u2019analyser les fichiers un \u00e0 un pour une question de rapidit\u00e9, et d\u2019effectuer une analyse \u00ab\u00a0intra proc\u00e9durale\u00a0\u00bb\u00a0; il peut \u00eatre am\u00e9lior\u00e9 \u00e0 l\u2019aide du mode taint<\/em>. Ce mode permet de suivre une variable non fiable (issue d\u2019une entr\u00e9e utilisateur par exemple) tout au long de sa cha\u00eene d\u2019ex\u00e9cution. Le mode extract,<\/em> quant \u00e0 lui, correspond \u00e0 l\u2019analyse de code inclus dans un autre langage en prenant en compte plusieurs fichiers (par exemple pour analyser l’ensemble du JavaScript dans des fichiers HTML). Finalement, le mode join<\/em> permet de lier les r\u00e9sultats trouv\u00e9s \u00e0 l’aide de r\u00e8gles diff\u00e9rentes et de mettre en avant le potentiel lien existant, ce qui peut s’apparenter \u00e0 de l’analyse inter proc\u00e9durale.<\/p>\n L\u2019utilisation de semgrep et ses diff\u00e9rents modes permet de mettre en lumi\u00e8re des vuln\u00e9rabilit\u00e9s pr\u00e9sentent dans un code source, comme illustr\u00e9 durant la pr\u00e9sentation avec la d\u00e9tection de SSRF et de SQLi.<\/p>\n La pr\u00e9sentation<\/span><\/a> qui a suivi, a quant \u00e0 elle r\u00e9pondu \u00e0 la question : Est-ce que les outils d’analyse automatique de code fonctionnent dans la vraie vie ? En r\u00e9ponse \u00e0 cette probl\u00e9matique, l’auteur, Kevin Denis (@0xMitsurugi<\/em>), s’est donn\u00e9 une semaine pour utiliser un de ces outils, Weggli, qui reprend la philosophie de Semgrep, c’est-\u00e0-dire la recherche de motifs dans du code.<\/p>\n La premi\u00e8re \u00e9tape a donc \u00e9t\u00e9 de trouver des motifs. Pour ce faire, une piste a d\u2019abord \u00e9t\u00e9 suivie\u00a0: \u00e9crire des vuln\u00e9rabilit\u00e9s puis g\u00e9n\u00e9rer des r\u00e8gles pour les d\u00e9tecter. Ce processus manquait cependant de r\u00e9alisme r\u00e9duisant consid\u00e9rablement les chances de trouver des vuln\u00e9rabilit\u00e9s sur des environnements en production \u00e0 l’aide des motifs d\u00e9finis.<\/p>\n Finalement, une autre piste s\u2019est av\u00e9r\u00e9e plus fructueuse, celle de travailler en amont sur les motifs pouvant \u00eatre source de d\u00e9fauts et de les affiner pour d\u00e9tecter des vuln\u00e9rabilit\u00e9s cibl\u00e9es, en s\u2019int\u00e9ressant par exemple \u00e0 l\u2019utilisation de fonctions sensibles comme strcpy<\/em> et strncpy<\/em>. L’auteur a divis\u00e9 ses r\u00e8gles, disponibles sur github<\/a>, en 3 cat\u00e9gories :<\/p>\n La principale probl\u00e9matique rencontr\u00e9e \u00e9tait de trouver un \u00e9quilibre entre la pr\u00e9cision des motifs pour rep\u00e9rer les d\u00e9fauts et le nombre de faux positifs relev\u00e9s. En effet, moins les motifs sont pr\u00e9cis et plus le nombre de r\u00e9sultats remont\u00e9s augmente, ce qui fait augmenter le nombre de r\u00e9els d\u00e9fauts mais \u00e9galement de faux positifs, rendant l\u2019analyse plus difficile.<\/p>\n Pour illustrer sa r\u00e9ponse \u00e0 la probl\u00e9matique initiale, l’auteur a appliqu\u00e9 ses r\u00e8gles \u00e0 Qemu, Samba et VLC, et a trouv\u00e9 des d\u00e9fauts dans Samba et VLC. La vuln\u00e9rabilit\u00e9 remont\u00e9e sur VLC a donn\u00e9 lieu \u00e0 la CVE 2022-41325<\/a>, dont l’exploitation est relativement simple en l’absence d’ASLR, pouvant mener au crash de VLC ou \u00e0 de l’ex\u00e9cution de code arbitraire sous certaines conditions.<\/p>\n Cette pr\u00e9sentation a donc mis en \u00e9vidence que les outils d\u2019analyse de code, avec l\u2019aide d\u2019un chercheur en s\u00e9curit\u00e9 (ou un pentester), peuvent effectivement permettre de d\u00e9couvrir des v\u00e9ritables vuln\u00e9rabilit\u00e9s.<\/p>\n Par ailleurs, l\u2019analyse JavaScript de l\u2019activit\u00e9 d\u2019un utilisateur sur son navigateur a \u00e9t\u00e9 pr\u00e9sent\u00e9e<\/span><\/a> par Erwan Abgrall, par le biais de l\u2019outil ChromeDump<\/em><\/a><\/strong>. Celui-ci permet de r\u00e9cup\u00e9rer le code JavaScript ex\u00e9cut\u00e9 au cours d’une navigation dans Chrome \u00e0 l’aide des Chrome devtools protocols et des Websockets. Bien que le cas d’usage premier soit plut\u00f4t l’analyse d\u00e9fensive d’une application Web compromise, ce qui a d’ailleurs fait l’objet de la pr\u00e9sentation, l’outil ne semble pour autant pas d\u00e9nu\u00e9 d’int\u00e9r\u00eat dans le cadre d’un pentest. En effet, l’outil propose de r\u00e9cup\u00e9rer le profil de navigation, l’activit\u00e9 JavaScript, de conserver les URL, les ressources, les requ\u00eates et les r\u00e9ponses \u00e9chang\u00e9es, et de r\u00e9cup\u00e9rer les captures d’\u00e9cran pour les diff\u00e9rentes actions effectu\u00e9es. De plus, une fonctionnalit\u00e9 d’unpacking<\/em> permettant de d\u00e9sobfusquer les premi\u00e8res couches de JavaScript est disponible. Ces r\u00e9sultats pourraient permettre de mieux appr\u00e9hender certains comportements applicatifs du c\u00f4t\u00e9 client.<\/p>\n <\/strong><\/em><\/p>\n D’autres pr\u00e9sentations peuvent \u00e9galement \u00eatre int\u00e9ressantes du point de vue des tests d’intrusion pour am\u00e9liorer les recommandations propos\u00e9es aux clients, telles que celle sur l’outil Mercator<\/span><\/a> permettant de cartographier un SI, ou encore sur les outils gmsad<\/a> et OpenWec<\/a> d\u00e9velopp\u00e9s par le CEA pour \u00e9tendre certains concepts Windows \u00e0 des environnements Linux.<\/p>\n <\/span><\/a><\/a><\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":" [et_pb_section fb_built=\u00a0\u00bb1″ _builder_version=\u00a0\u00bb4.21.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row _builder_version=\u00a0\u00bb4.21.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb width=\u00a0\u00bb86.2%\u00a0\u00bb min_height=\u00a0\u00bb2656.4px\u00a0\u00bb custom_margin=\u00a0\u00bb|127px||2px||\u00a0\u00bb custom_padding=\u00a0\u00bb5px|0px||0px||\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb4_4″ _builder_version=\u00a0\u00bb4.21.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb […]<\/p>\n","protected":false},"author":38,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-226543","post","type-post","status-publish","format-standard","hentry","category-non-categorise"],"yoast_head":"\nLes pr\u00e9sentations et le m\u00e9tier de pentester<\/strong><\/em><\/h1>\n
D\u00e9couverte et exploitation de vuln\u00e9rabilit\u00e9s cha\u00een\u00e9es<\/strong><\/em><\/h3>\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/01.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/02.png\")
<\/em><\/p>\n\n
Outils d\u2019analyse de code<\/strong><\/em><\/h3>\n
Recherche automatique de vuln\u00e9rabilit\u00e9s via Semgrep
<\/strong><\/span><\/h4>\nRecherche automatique de vuln\u00e9rabilit\u00e9s via Weggli<\/strong><\/span><\/h4>\n
\n
\n
Analyse JavaScript<\/strong><\/span><\/h4>\n
Enrichir ses recommandations<\/strong><\/em><\/h3>\n