Aller au contenu principal

TP2 : Linux: le super site web monté vite fait "bien" fait

Ce TP mobilise des commandes Linux vues en 1S6, n'hésite pas à demander au prof si tu bloques sur une commande.

Bob Smith, un finissant du DEC s'est fait offir 5000 dollars par son oncle pour monter un petit site web pour l'entreprise familiale de plomberie. Il a:

  • créé une machine virtuelle Linux
  • parti le serveur Apache
  • déposé les fichiers HTML qu'un ami a produit pour le site
  • acheté un nom de domaine

Ta mission est la suivante:

Modifier la page de contact du site pour que le numéro
de téléphone soit remplacé par 555 555 9876 et le lien
mailto envoient les clients potentiels sur le ouch.hacked@cem.ca.

La personne qui administre le site s'appelle Bob Smith, né le 4 mars 1982 à Sherbrooke.
Il a 3 filles : Jane (5 juin 2001), Patricia (9 novembre 2011) et Sophie (10 décembre 2014).

Son courriel est bob@smith.org.

Il a déjà eu dans des fuites de données les hash de mot de passe en md5 non salés:
 - 90fe8213e6ffc82ba6bdea7c7d6bc97c et a6cf8d574e3498e3bb36d5be15b38cda
 - J'ai payé un service de crack qui m'a trouvé les mots de passe "Jane2001!" et "Patricia2011!" 
 - En espérant que ça aidera
 
Je paie 1000$ cash dans une enveloppe brune, échange sur un banc public dans un parc public.

Pour partir la machine virtuelle

  • ouvre un explorateur de fichier et va à \\ed5depinfo\Logiciels\_Cours\3U4\
  • copie le fichier tp2-linux.7z sur ton poste de travail
  • décompresse le fichier
  • ouvre la machine virtuelle fournie avec VMware Workstation
  • s'il te propose le choix entre "I copied it" et "I moved it", choisis "I copied it"
  • démarre la machine virtuelle
  • tu vas te connecter directement sur la machine depuis l'écran de VMware
  • login = guest password = guest
  • ouvre un terminal et tape la commande ip a pour obtenir l'adresse IP du serveur web
  • ça devrait te donner une adresse IP du genre 192.168.abc.xyz
  • ouvre un navigateur web sur ta machine Windows et tape http://adresse-IP-du-serveur/ pour voir le site web apparaitre

Attaque et collecte d'informations​

danger

Toute l'attaque doit se faire depuis ton poste Windows. L'attaquant n'a pas accès physique à la machine Linux. !!! Si ton attaque nécessite un accès physique, tu as mal compris la consigne et ta note sera 0.

Tu vas maintenant essayer d'accomplir ta mission. Si tu bloques, ton prof t'aidera mais il faut que tu gardes une trace de chaque commande / manipulation que tu utilises pour l'attaque.

Comme tu vises à devenir un pro, on va aussi te demander comment tu aurais protéger le système pour qu'il soit résistant aux attaques.

attention

ATTENTION: ton rapport sera personnel et tu t'exposes à du plagiat si tu reprends des parties d'un camarade.

Pour chaque manipulation, tu devras inclure une copie d'écran donc n'hésite pas à en prendre et les ajouter dans un dossier pendant tes recherches. On s'attend à voir l'écran

  • la commande qui t'a permis d'obtenir l'information
  • une courte phrase indiquant l'information collectée
  • une copie d'écran de l'information

Pour te partir, nmap​

  • Télécharger nmap sur https://nmap.org/download#windows
  • Installer nmap
  • Entre l'adresse IP du serveur dans Target et pars le scan
  • Il devrait y avoir le port 80 (serveur HTTP) ouvert
  • Si tu en trouves un autre ouvert, c'est le début de l'attaque

Ton rapport en mode "faille, exploit, fix"​

Faille 1 point​

Tu dois décrire la faille de sécurité que tu as exploitée.

Exploit 6 points​

Tu dois décrire les étapes en détails que tu as suivies pour exploiter la faille.

  • les commandes effectuées
  • les outils utilisés si nécessaire
  • une copie d'écran de la commande / résultat

Correctif 4 points​

ATTENTION : tu auras besoin du compte admin DaBoss pour préparer / valider les correctifs. Dès que tu as réussi l'exploit, demande à ton prof et il t'indiquera le mot de passe de ce compte.

Tu dois proposer 2 correctifs permettant de briser l'exploit que tu as utilisé.

Tu dois en documenter au moins 2 en expliquant

  • quelles commandes effectuer + copies d'écran
  • quelle étape de l'exploit il brise
  • une copie d'écran de l'exploit qui ne fonctionne plus.
  • une copie d'écran du site toujours fonctionnel
  • si le correctif entraîne une perte de fonctionnalité, tu dois la décrire

Les correctifs peuvent concerner :

  • le pare-feu et l'accès réseau,
  • les permissions des fichiers,
  • les sauvegardes,
  • les stratégies de mot de passe,
  • les antivirus etc.

Modèle de rapport​

attention

Votre rapport doit être en format Markdown. Il est obligatoire que votre fichier porte l'extension .md.

# Travail 2 par *nom* *prénom* *groupe*

## Faille 

Le serveur est vulnérable ...

## Attaque (exploit)

Voici les étapes détaillées pour pouvoir modifier le courriel / téléphone sur la page demandée:

- Description de l'étape + copie d'écran
- Description de l'étape + copie d'écran
- ...
- ...
   ...
- En rechargeant la page, on constate que le numéro de téléphone a été modifié


## Correctif 1

Commandes à effectuer ou étapes à mettre en place. 

Copie d'écran de l'exploit qui ne fonctionne plus.

## Correctif 2 (ne dépend pas du correctif 1)

Commandes à effectuer ou étapes à mettre en place.

Copie d'écran de l'exploit qui ne fonctionne plus.

Insérer une copie d'écran

Pour insérer une image dans un document MarkDown, il suffit d'ajouter le fichier (.png, .jpeg, etc.) dans ton dépôt, puis le référencer de la manière suivante:

![Titre de l'image](monimage.png)

Quant à la copie d'écran elle-même, je recommande d'utiliser le logiciel GreenShot. Il est gratuit et est déjà installé dans les laboratoires du collège. Tu n'as qu'à appuyer sur le bouton PrtScr de ton clavier, juste à droite de F12.