Catégorie : Sécurité

1 février 2018 / starmate

Identifier les fichiers modifiés à une date précise

Afficher les fichiers modifiés entre 10h45 et 10h55 le 9 décembre 2017

find . -type f -newermt "2017-12-09 10:45:00" ! -newermt "2017-12-09 10:55:00"

Afficher les fichiers modifiés en décembre 2017 qui ne sont pas des fichiers .log

find . -type f -newermt "2017-12-01" ! -newermt "2017-12-31" -not -name "*.LOG" -a -not -name "*.log"

Afficher les fichiers modifiés le 9 décembre 2017

find . -type f -newermt "2017-12-09" ! -newermt "2017-12-10"

Afficher les fichiers dont le dernier accès remonte 9 décembre 2017

find . -type f -newerat 2017-12-09 ! -newerat 2017-12-10

Afficher les fichiers dont les droits ont été changés le 9 décembre 2017

find . -type f -newerct 2017-12-09 ! -newerct 2017-12-10

Deplacer les fichiers vieux de X jours (ici 180) dans un repertoire

find . -maxdepth 1 -mtime +180 -type f -exec mv "{}" /home/backup \;

1 février 2018 / starmate

Enquête caractère par caractère ce que vous venez de copier

On commence par installer Xsel pour pouvoir accéder au presse-papiers X et aux tampons de sélection de la souris:

sudo apt-get install -y xsel

Pour afficher le texte selectionné:

xsel

Pour afficher le texte copié dans le presse-papier (ctrl+c):

xsel -b

Il nous suffit donc de vider notre presse-papier dans hexdump:

xsel -b | hexdump -c

11 novembre 2017 / starmate

Entropie sous Linux

Nous pouvons consulter le niveau d’entropie disponible dans le fichier suivant:

/proc/sys/kernel/random/entropy_avail

Si le niveau d’entropie disponible est inférieur à 1000, le noyau va avoir des difficultés à générer des nombres aléatoires lorsque cela lui sera demandé. Le noyau va donc attendre tranquillou jusqu’à ce qu’il collecte suffisamment d’entropie. Idéalement, on aura une valeur avoisinant les 2000.

Le serveur SSH par exemple, qui utilise de l’entropie, peut souffrir de lenteurs lors de l’établissement de connexions si celle-ci vient à manquer. Cela affecte particulièrement les machines virtuelles.

Pour palier ce problème, le paquet haveged permet d’alimenter le noyau en entropie.

apt-get install -y haveged

yum install -y haveged

On active le service

systemctl enable haveged

On va augmenter le niveau d’entropie à 2048 bits en éditant le fichier suivant:

vi /etc/default/haveged

Puis on modifie ce paramètre:

DAEMON_ARGS="-w 2048"

On redémarre le service:

systemctl stop haveged systemctl start haveged

Pour voir le niveau d’entropie maintenant optimisé:

watch -n 0,1 cat /proc/sys/kernel/random/entropy_avail

20 juin 2017 / starmate

Supprimer les métadonnées d’une photo

Pour cela nous devons installer exiv2:

apt-get install -y exiv2

Nous pouvons maintenant voir les métadonnées d’une photo via la commande suivante:

exiv2 /Photo/Divers/2016-12-04_13.34.46.jpg

File name : /Photo/Divers/2016-12-04_13.34.46.jpg File size : 1114471 Bytes MIME type : image/jpeg Image size : 2048 x 1536 Camera make : Oneplus Camera model : One Image timestamp : 2016:12:04 13:34:45 Image number : Exposure time : 1/500 s Aperture : F2.8 Exposure bias : 0 EV Flash : No flash Flash bias : Focal length : 3.6 mm Subject distance: ISO speed : 100 Exposure mode : Aperture priority Metering mode : Center weighted average Macro mode : Image quality : Exif Resolution : 2048 x 1536 White balance : Auto Thumbnail : image/jpeg, 41311 Bytes Copyright : Exif comment :

Pour voir toutes les métadonnées (EXIF, IPTC et XMP):

exiv2 -pa /Photo/Divers/2016-12-04_13.34.46.jpg

Pour supprimer les métadonnées (par exemple avant de publier sur internet):

exiv2 rm /Photo/Divers/2016-12-04_13.34.46.jpg

Pour renommer une photo avec la date de prise de vue :

exiv2 -r %Y%m%d_:basename:_sujet rename /Photo/Divers/2016-12-04_13.34.46.jpg

Modifier le champ Copyright:

exiv2 -M"set Exif.Image.Copyright Ascii starmate.fr" /Photo/Divers/2016-12-04_13.34.46.jpg

Suppression du champ Copyright:

exiv2 -M"del Exif.Image.Copyright Ascii starmate.fr" /Photo/Divers/2016-12-04_13.34.46.jpg

Pour enlever 3 jours (-D), ajouter 5 mois (-O) et ajouter 10 heures (-a) à la date de prise de vue:

exiv2 -v ad -D -3 -O +5 -a +10:00:00 /Photo/Divers/2016-12-04_13.34.46.jpg

Modifier la date de prise de vue au 4 décembre 1984 à 11h34 et 55 secondes:

exiv2 -M"set Exif.Photo.DateTimeOriginal Ascii 1984:12:04 11:34:55" /Photo/Divers/2016-12-04_13.34.46.jpg exiv2 -M"set Exif.Photo.DateTimeDigitized Ascii 1984:12:04 11:34:55" /Photo/Divers/2016-12-04_13.34.46.jpg

Pour renseigner le champs « auteur »:

exiv2 -M"set Exif.Image.Artist Ascii starmate production" /Photo/Divers/2016-12-04_13.34.46.jpg

Pour renseigner le champ description :

exiv2 -M "set Exif.Image.ImageDescription Ascii Anniversaire de Marie" /Photo/Divers/2016-12-04_13.34.46.jpg

Afficher une métadonnée en particulier (par exemple Exif.GPSInfo.GPSLatitude) :

exiv2 -g Exif.GPSInfo.GPSLatitude /Photo/Divers/2016-12-04_13.34.46.jpg

Extraire uniquement la valeur de la balise Exif.GPSInfo.GPSLatitude :

exiv2 -g Exif.GPSInfo.GPSLatitude -Pv /Photo/Divers/2016-12-04_13.34.46.jpg

Afficher tous les champs disponibles :

exiv2 -P k /Photo/Divers/2016-12-04_13.34.46.jpg

Afficher les informations de géolocalisation:

exiv2 pr -p a /Photo/Divers/2016-12-04_13.34.46.jpg | grep -i GPS

Petit script pour éditer les informations de géolocalisation à la volée:

#!/bin/bash # Modification des metadonnées de geolocalisation a la volee ##1 - Entrez le chemin du repertoire ou se trouve les photos. ##2 - Entrez l’extension de fichier en respectant la casse, c'est-à-dire, en majuscules ou minuscules (jpg, JPG, etc..) ##3 - Entrez la latitude (N) ou (S) : N ou S Cela se transformera en North ou South sur les tags exif ##4 - Entrez la latitude sous la forme "48/1 13/1 24/1",(exemple pour une latitude: 48°, 13min et 24sec). ##5 - Entrez la longitude (E) ou (O) : E ou O cela se transformera en East ou West ##6 - Entrez la longitude sous la forme "9/1 52/1 51/1", (exemple pour une longitude: 9°, 52min et 51sec). ## echo -n "1 - Entrez le chemin des photos, sans oublier le slash "/" à la fin " read chemin echo -n "1 - Entrez l'extention des photos: " read extension echo -n "2 - Entrez la latitude, N ou S : " read latref echo -n "3 - Entrez la latitude sous cette forme "48/1 13/1 24/1" : " read lat echo -n "Entrez la longitude, E ou O : " read longref echo -n "Entrez la longitude sous cette forme "9/1 52/1 51/1" : " read long for i in $chemin*.$extension do exiv2 -M"set Exif.GPSInfo.GPSLatitudeRef $latref" $i exiv2 -M"set Exif.GPSInfo.GPSLatitude $lat" $i exiv2 -M"set Exif.GPSInfo.GPSLongitudeRef $longref" $i exiv2 -M"set Exif.GPSInfo.GPSLongitude $long" $i done echo "TERMINE"

18 mai 2017 / starmate

Comment détecter la faille WannaCry avec NMAP

Voici comment détecter rapidement les machines vulnérable à l’exploit WannaCry grâce à Nmap (version 7 minimum) et du plugin associé à l’exploit : smb-vuln-ms17-010.nse.

Vous pouvez vérifié votre version de Nmap avec la commande suivante:

nmap -V

Nmap version 5.51 ( http://nmap.org )

Si vous avez une version inférieur à la 7, il faudra compiler Nmap à partir de la dernière version disponible (nmap-7.40.tar.bz2 actuellement).

cd /usr/share/ wget https://nmap.org/dist/nmap-7.40.tar.bz2 bzip2 -cd nmap-7.40.tar.bz2 | tar xvf - cd nmap-7.40 ./configure make make install

Maintenant que Nmap est installé et en version au moins égale à la 7.4, nous allons installer le plugin nécessaire pour identifier les machines vulnérable à Wannacry.

Pour cela nous devons trouver le répertoire contenant les scripts Nmap, vous pouvez pour cela vous aider de cette commande:

locate -i *.nse

locate -i nmap | grep -i script

Une fois trouvé, on se rend dedans et on télécharge le plugin:

cd /usr/share/nmap-7.40/scripts/ wget https://raw.githubusercontent.com/cldrn/nmap-nse-scripts/master/scripts/smb-vuln-ms17-010.nse

On met à jour la base de donnée de Nmap:

cd /usr/share/nmap-7.40/ ./nmap --script-updatedb

Pour scanner une machine en 192.168.0.33 et générer le résultat dans un fichier HTLM:

./nmap -sC -p 445 --script smb-vuln-ms17-010.nse 192.168.0.33 -oX scan.xml && xsltproc scan.xml -o "wannacry_192.168.0.33_`date +%d%m%y`.html"

On peut ensuite consulter le fichier HTML contenant rapport généré par Nmap:

Pour scanner le réseau 192.168.0.0/24 et générer le résultat dans un fichier HTLM:

./nmap -sC -p 445 -max-hostgroup 3 -open --script smb-vuln-ms17-010.nse 192.168.0.0/24 -oX scan.xml && xsltproc scan.xml -o "wannacry_192.168.0.0-24_`date +%d%m%y`.html"

On peut ensuite consulter le fichier HTML contenant rapport généré par Nmap:

Pour scanner une liste d’adresse IP et générer le résultat dans un fichier HTLM:

vi ip.txt

Dans le fichier ip.txt nous allons mettre toute nos adresse IP à scanner (une adresse ip par ligne) et on le donne en argument à Nmap:

./nmap -sC -p 445 -max-hostgroup 3 -open --script smb-vuln-ms17-010.nse -iL ip.txt -oX scan.xml && xsltproc scan.xml -o "wannacry_listeIP_`date +%d%m%y`.html"

Si aucune machine vulnérable à l’exploit SMBv1 n’est détectée (ou que le service n’est pas activé, patché ou pas), la sortie sera vide.
Si une machine à le protocole SMBv1 activé mais qu’il a été patché, la sortie affichera « Could not connect to ‘IPC$’ « .

Mais si une machine vulnérable à l’exploit SMBv1 est détectée (service activé et non patché), voici la sortie que vous allez avoir:

Starting Nmap 7.40 ( https://nmap.org ) at 2017-05-18 12:16 CEST Nmap scan report for 192.168.0.33 Host is up (0.0013s latency). PORT STATE SERVICE 445/tcp open microsoft-ds MAC Address: 00:0C:29:E5:8A:29 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 13.61 seconds

Et voila, vous savez maintenant le nombre machine Windaube qu’il faut patcher…