HtmlToText
contributeurs contact modifier ses trames en hexa publié le 25 février 2013 , par kpichardie dans non classé . bonjour à tous, cela fait longtemps que je n’avais pas rédiger un petit article. et pour vous faire plaisir celui-ci est bien réseau comme on les aimes. j’ai récemment eu besoin de tester des certificats et notamment les types de déclaration de common name dans les certificats. le point sur lequel je vais m’attarder est le format de common name, il en existe plusieurs mais ceux qui m’intéresse ici sont string et utf8. je rencontrais quelques problèmes avec certains certificats, alors j’ai donc commencer à comparer un ne posant pas de problème avec un posant des problèmes. je me suis rendus compte que la majeur différence venait du format des common name, celui qui fonctionnait était en string et celui qui ne marchait pas était en utf8. pour valider de manière simple mon test j’ai alors capturer les communications avec les 2 différents certificats. capture échange certificat string : capture échange certificat utf8 : ce n’est pas google que j’ai testé mais le principe reste le même, j’ai re-modifier la capture pour que le certificat soit délivré en utf8 au lieu de teletexstring normalement. mon problème étant avec les utf8 j’ai donc souhaiter re-modifier ma capture pour que l’envoi ce face en string. d’abord, j’ai repéré comment était déclaré google en utf8 : puis, j’ai repéré comment était déclaré le deuxième certificat en string : ici le common name est identique mais le plus important est de relever le octect chiffre hexa qui défini le type du common name. le deuxième octect représente le nombre de caractère dans le common name. il n’est donc pas nécessaire de le modifier. pour modifier première capture afin d’obtenir la deuxième, il faut l’enregistrer au format texte comme suit : vous pouvez ensuite éditer le texte avec notepad par exemple. vous pouvez ensuite rechercher les caractères qui vous intéressent et les remplacer : ici recherche : 0c\|0b\|2a\|2e\|67\|6f et remplacer par 14\|0b\|2a\|2e\|67\|6f une fois appliqué tous les envois de certificats google seront maintenant dans votre capture passeront de utf8 à string. vous n’avez plus qu’à ré-ouvrir le fichier texte avec wireshark et le sauvegarder en pcap pour le rejouer avec un tcpreplay par exemple. vous pouvez déjà bien vous amuser à modifier vos captures. no comments . les mumbos jumbos frames publié le 24 décembre 2012 , par kpichardie dans réseau , serveur , théorie , tutorial . bonjour à tous, aujourd’hui je vais vous parler d’un truc barbare, les « jumbos frames ». pour ceux d’entre vous qui côtoient le monde du réseau surement ce mot vous évoque quelque chose. alors, pour tout le monde je vais rapidement expliquer de quoi il s’agit et quel peut être le problème rencontré. d’abord les jambo frames ce sont de paquets réseaux dont la taille dépasse les paramètres de configuration du réseau aussi appelé mtu (maximum transmission unit). dans la pratique, les réseaux sont paramétrés avec une taille de paquet défini pour éviter les pertes, l’affaiblissement et garantir un réseau fonctionnel. dans le monde ethernet cette valeur est le plus souvent à 1500. si c’est plus ou moins standard, pourquoi verrait-on des jambos frames sur notre réseau et quel peut être l’impact. tout d’abord il faut savoir que les routeurs qui reçoivent des jambos frames doivent les fragmenter pour les router sur le réseau. ce procéder créé de la charge cpu pour les routeurs en plus de ses taches de routage ce qui n’est pas forcément une bonne chose. de plus certains équipements tel des firewall ou équipements drop ces trafics. dans la généralité avoir du trafic jambo frames n’est pas très bon pour un réseau, ce qui ne veut pas dire qu’il ne faut qu’il y en ait mais plutôt qu’il vaut mieux contrôler leur circulation. il existe aussi des mécanismes qui permettent de détecter la mtu utilisant les jumbos frames pour détecter le maximum utilisable. sachant que les routeurs retourne des paquets icmp au poste générant des jambo frames pour l’en avertir. je vais vous expliquer comment simplement trouver un host qui génère des jumbo frames. si vous possédez un firewall linux il est très simple de les détecter, tout d’abord en executant la commande : ifconfig eth0 link encap:ethernet hwaddr 00:90:0b:20:e1:89 up broadcast running promisc multicast mtu:1500 metric:1 rx packets:48740 errors:653 dropped:0 overruns:0 frame:653 tx packets:46690 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 rx bytes:12375281 (11.8 mb) tx bytes:14504062 (13.8 mb) memory:feae0000-feb00000 ici on voit que on reçoit des jumbo frames : rx (frames : 653) et on se rend compte que le serveur les drops (errors:653) maintenant, il faut s’assurer que les jumbos frames sont encore envoyés donc que l’activité supérieur à la mtu est encore présente dans notre réseau. apt-get install ethtool une fois installé vous pouvez consulter les jumbo frames grâce à la commande qui suit : ethtool -g eth0 ring parameters for eth0: pre-set maximums: rx: 4096 rx mini: 0 rx jumbo: 0 tx: 4096 current hardware settings: rx: 256 rx mini: 0 rx jumbo: 0 tx: 256 ici, plus de jumbo frames donc pas d’inquiétude il n’y a plus de soucis. néanmoins si j’en avait trouvé j’aurais pu les retrouver grâce à une capture tcpdump. voici la commande permettant de retrouver les machines qui génèrent des jumbos frames : tcpdump -c 2500 -s 0 -i eth0 -w jumbo.pcap -s 0 valeur par defaut de chaque paquet -i eth0 choix de l’interface eth0 -c 2500 nombre de paquet à capturer l’option la plus importante est l’option -s 0 qui permet de ne pas définir la size des paquets donc tous les paquets supérieur à la mtu seront aussi sauvés. il suffira alors de vérifier quels paquets sont supérieurs à la mtu via wireshark et retrouver les machines correspondantes. ce genre de problèmes est assez fréquent, et il est toujours bon de vérifier l’état de son parc. voila vous avez maintenant toutes les informations importantes sur les jumbos frames. tags: ethtool , jumbo frame , linux , mtu , tcpdump 1 comment . test de vulnérabilité reset-tcp publié le 10 décembre 2012 , par kpichardie dans admin , linux , réseau , serveur , théorie . bonjour à tous, j’ai récemment testé une vulnérabilité sur une de mes machines, nessus me révélant que ma machine était vulnérable aux reset-tcp. j’ai alors décider de tester moi même pour mieux comprendre le problème et je souhaitais vous partager les résultats. d’abord pour mieux combattreune vulnérabilité, il faut la comprendre. lorsqu’une session est établie des échanges s’effectue entre les deux machines pour la gardée ouverte et qu’elle puisse continuée. si pour une raison divers l’une des deux machine rencontre un problème par exemple pas de nouvelle requête pendant un certain temps, un mécanisme tcp permet de reset la connexion, pour de nouveau établir une session sur des bases saines. exemple directement pris de mes tests, si vous créez une communication en python via les lib scapy, au début de la communication le système voyant que la session qui est entrain de se déroulée n’est pas sous son contrôle, le système va de lui même envoyer des reset-tcp ou rst pour clore la connexion et si besoin la crée lui même. typiquement ici, le système s’aperçoit que quelque chose n’est pas normale et tente de reprendre le contrôle. donc quelle est la vulnérabilité ? passons maintenant du coté d’un malware ou d’un attaquant qui souhaite couper la connexion a un service. pour lui c’est simple, si vous êtes vulnérable il lui suffira d’envoyer des reset-tcp en se faisant passer pour vous, ce qui aura pour conséquence de couper votre connexion. pour tester, j’ai rapidement trouvé un script c qui permet d’envoyer en boucle les requêtes rst. disponible ici . alors comment l’utiliser : installer les librairies apt-get install libnet1-dev editer le fichier et remplacer les valeurs des adresses mac : exemple : u_char enet_src[6] = {0x9c, 0xaf, 0xca, 0x8f, 0x5a, 0xcf}; u_char
Informations Whois
Whois est un protocole qui permet d'accéder aux informations d'enregistrement.Vous pouvez atteindre quand le site Web a été enregistré, quand il va expirer, quelles sont les coordonnées du site avec les informations suivantes. En un mot, il comprend ces informations;
%%
%% This is the AFNIC Whois server.
%%
%% complete date format : DD/MM/YYYY
%% short date format : DD/MM
%% version : FRNIC-2.5
%%
%% Rights restricted by copyright.
%% See https://www.afnic.fr/en/products-and-services/services/whois/whois-special-notice/
%%
%% Use '-h' option to obtain more information about this service.
%%
%% [2600:3c03:0000:0000:f03c:91ff:feae:779d REQUEST] >> learn-it.fr
%%
%% RL Net [##########] - RL IP [#########.]
%%
domain: learn-it.fr
status: ACTIVE
hold: NO
holder-c: ANO00-FRNIC
admin-c: OVH5-FRNIC
tech-c: OVH5-FRNIC
zone-c: NFC1-FRNIC
nsl-id: NSL57276-FRNIC
registrar: OVH
Expiry Date: 08/04/2019
created: 08/04/2012
last-update: 08/04/2018
source: FRNIC
ns-list: NSL57276-FRNIC
nserver: dns100.ovh.net
nserver: ns100.ovh.net
source: FRNIC
registrar: OVH
type: Isp Option 1
address: 2 Rue Kellermann
address: 59100 ROUBAIX
country: FR
phone: +33 8 99 70 17 61
fax-no: +33 3 20 20 09 58
e-mail: support@ovh.net
website: http://www.ovh.com
anonymous: NO
registered: 21/10/1999
source: FRNIC
nic-hdl: ANO00-FRNIC
type: PERSON
contact: Ano Nymous
remarks: -------------- WARNING --------------
remarks: While the registrar knows him/her,
remarks: this person chose to restrict access
remarks: to his/her personal data. So PLEASE,
remarks: don't send emails to Ano Nymous. This
remarks: address is bogus and there is no hope
remarks: of a reply.
remarks: -------------- WARNING --------------
registrar: OVH
changed: 06/06/2018 anonymous@anonymous
anonymous: YES
obsoleted: NO
eligstatus: not identified
reachstatus: not identified
source: FRNIC
nic-hdl: OVH5-FRNIC
type: ROLE
contact: OVH NET
address: OVH
address: 140, quai du Sartel
address: 59100 Roubaix
country: FR
phone: +33 8 99 70 17 61
e-mail: tech@ovh.net
trouble: Information: http://www.ovh.fr
trouble: Questions: mailto:tech@ovh.net
trouble: Spam: mailto:abuse@ovh.net
admin-c: OK217-FRNIC
tech-c: OK217-FRNIC
notify: tech@ovh.net
registrar: OVH
changed: 11/10/2006 tech@ovh.net
anonymous: NO
obsoleted: NO
eligstatus: not identified
reachstatus: not identified
source: FRNIC
nic-hdl: OVH5-FRNIC
type: ROLE
contact: OVH NET
address: OVH
address: 140, quai du Sartel
address: 59100 Roubaix
country: FR
phone: +33 8 99 70 17 61
e-mail: tech@ovh.net
trouble: Information: http://www.ovh.fr
trouble: Questions: mailto:tech@ovh.net
trouble: Spam: mailto:abuse@ovh.net
admin-c: OK217-FRNIC
tech-c: OK217-FRNIC
notify: tech@ovh.net
registrar: OVH
changed: 11/10/2006 tech@ovh.net
anonymous: NO
obsoleted: NO
eligstatus: not identified
reachstatus: not identified
source: FRNIC
REFERRER http://www.nic.fr
REGISTRAR AFNIC
SERVERS
SERVER fr.whois-servers.net
ARGS learn-it.fr
PORT 43
TYPE domain
RegrInfo
DISCLAIMER
%
% This is the AFNIC Whois server.
%
% complete date format : DD/MM/YYYY
% short date format : DD/MM
% version : FRNIC-2.5
%
% Rights restricted by copyright.
% See https://www.afnic.fr/en/products-and-services/services/whois/whois-special-notice/
%
% Use '-h' option to obtain more information about this service.
%
% [2600:3c03:0000:0000:f03c:91ff:feae:779d REQUEST] >> learn-it.fr
%
% RL Net [##########] - RL IP [#########.]
%
REGISTERED yes
ADMIN
HANDLE OVH5-FRNIC
TYPE ROLE
CONTACT OVH NET
ADDRESS
OVH
140, quai du Sartel
59100 Roubaix
COUNTRY FR
PHONE +33 8 99 70 17 61
EMAIL tech@ovh.net
TROUBLE
Information: http://www.ovh.fr
Questions: mailto:tech@ovh.net
Spam: mailto:abuse@ovh.net
ADMIN-C OK217-FRNIC
TECH-C OK217-FRNIC
NOTIFY tech@ovh.net
SPONSOR OVH
CHANGED 2006-10-11
ANONYMOUS NO
OBSOLETED NO
ELIGSTATUS not identified
REACHSTATUS not identified
SOURCE FRNIC
TECH
HANDLE OVH5-FRNIC
TYPE ROLE
CONTACT OVH NET
ADDRESS
OVH
140, quai du Sartel
59100 Roubaix
COUNTRY FR
PHONE +33 8 99 70 17 61
EMAIL tech@ovh.net
TROUBLE
Information: http://www.ovh.fr
Questions: mailto:tech@ovh.net
Spam: mailto:abuse@ovh.net
ADMIN-C OK217-FRNIC
TECH-C OK217-FRNIC
NOTIFY tech@ovh.net
SPONSOR OVH
CHANGED 2006-10-11
ANONYMOUS NO
OBSOLETED NO
ELIGSTATUS not identified
REACHSTATUS not identified
SOURCE FRNIC
OWNER
HANDLE ANO00-FRNIC
TYPE PERSON
CONTACT Ano Nymous
REMARKS
-------------- WARNING --------------
While the registrar knows him/her,
this person chose to restrict access
to his/her personal data. So PLEASE,
don't send emails to Ano Nymous. This
address is bogus and there is no hope
of a reply.
-------------- WARNING --------------
SPONSOR OVH
CHANGED 2018-06-06
ANONYMOUS YES
OBSOLETED NO
ELIGSTATUS not identified
REACHSTATUS not identified
SOURCE FRNIC
DOMAIN
STATUS ACTIVE
HOLD NO
SPONSOR OVH
EXPIRY DATE 08/04/2019
CREATED 2012-04-08
CHANGED 2018-04-08
SOURCE FRNIC
HANDLE NSL57276-FRNIC
NSERVER
DNS100.OVH.NET 213.251.188.144
NS100.OVH.NET 213.251.128.144
NAME learn-it.fr
Go to top
learn-it.fr rapport :
Visitez le site