Assurance de la Scurit de l'Information
TP-1: Evaluation de la vulnrabilit et la scurit d'un service
Web
Objectif1. valuer les vulnrabilits lies un service Web en cours
d'excution. 2. appliquer un ensemble de rgles de scurit pour
amliorer le niveau de scurit d'un service web apacheMots cls:1.
serveur apache.1. wireshark: analyseur de trafic pour tester la
vulnrabilit des services.1. Vim: diteur de texte sous fedora.1.
Identification des vulnrabilits at application des contre-mesures1.
Faire une copie du fichier de configuration du serveur apache# cp
/etc/httpd/conf/httpd.conf httpd_backup.conf 1. Vrifier ltat du
service web1. Connecter au serveur web partir du lURL http://
127.0.0.1 ou bien http://localhost 1. netstat: pour
networkstatistics, est une commande qui affiche les informations
sur les connexions rseau.#netstat taunp | grep 801. utiliser la
commande service pour visualiser ltat du service httpd# service
httpd status
1. le service httpd est ltat stop, il faut lactiver pour pouvoir
lanalyser.1. Activer le service httpd #service httpd start
1. Vrifier la syntaxe du fichier de configuration
/etc/httpd/conf/httpd.conf, la commande httpd t assure cette
fonction et indique lemplacement de lerreur dans le fichier.# httpd
- t
1. Pas deurreur:
1. Aprs avoir introduire une erreur au dbut du fichier:
# httpd t 1. La premire tape faire pour un attaquant est de
collecter le maximum dinformation sur son victime, cest ce quon va
essayer de vrifier, si notre serveur est vulnrable ou non.1.
Plusieurs mthodes utilises pour collecter des informations, par
exemple1. Envoi des fausses requtes vers le serveur partir du
navigateur utilis.
1. Ouvrir une session telnet:# telnet 127.0.0.1 80 1. Ces
mthodes permettent au pirate de connaitre le systme dexploitation
du serveur, sa version et son numro du port (80).En fait, la
version d'un serveur web ou d'une autre application serveur est une
information trs utile aux pirates car en fonction de la version
utilise, ils peuvent tester diverses attaques et failles connues
sur ces versions. La meilleure protection face cela tant bien
entendu de cacher la version de son serveur webafin de rendre la
tche des attaquants plus longue et donc plus difficile.1. Pour
empcher la collecte des informations d'Apache2, il faut changer
quelques options dans sa configuration qui se situe par dfaut dans
/etc/httpd/conf/httpd.conf. on va modifier le champServerTokens
OSpuis mettre la valeur Prod la placed'OS.On peut galement modifier
le champ ServerSignature en le mettant Off.
# service httpd restart 1. Vrification partir le web
1. Aucune information nest affiche.1. Pour empcher un pirate
dintroduire des scripts dans notre serveur, on doit dsactiver le
module gci.
1. Crer un rpertoire (contenant des fichiers), sous
/var/www/html# mkdir secret /var/www/html
1. Accs au fichier secret partir du web
1. Le fichier secret nest pas scuris!!1. Pour liminer cette
vulnrabilit on doit modifier le fichier de configuration au
niveau:
1. Laccs au fichier secret est interdit.
1. Maintenant, on veut que laccs au dossier secret soit limit
pour les utilisateurs autoriss, une dmarche suivre:1. Crer le
fichier .htaccess dans secret# touch .htaccess 1. Le fichier
.htaccess doit contenir les lignes suivantes 1. Ajouter les
utilisateurs autoriss:1. cd /etc/httpd/1. htpasswd -c users
admin
1. vrifier la cration du fichier users et son contenu # cd
/etc/httpd/# ls l# vim users
1. le contenu du fichier users
1. vrifier si laccs au dossier secret est permis ou non.
Mme rsultat!!1. modifier le fichier de configuration pour faire
fonctionner la restriction daccs. # vim
/etc/httpd/conf/httpd.conf
1. http://127.0.0.1/secret
1. Laccs est maintenant limit aux utilisateurs autoriss.1.
Lanalyseur de trafic wireshark nous permet dvaluer le niveau de
scurit des donnes changes avec le serveur.
1. Le paquet GET contient les informations confidentielles
dauthentification. 1. Loutil follow TCP stream ne permet pas de
connaitre le login et le password dun utilisateur lgitime car ces
donnes sont encapsules dans le paquet TCP, donc impossible de les
dtecter directement. 1. Pour liminer ce danger, on peut utiliser
une mthode scurise pour lchange des informations, par exemple SSL,
assure le cryptage des informations confidentielles.1. Scuriser le
service web en utilisant SSL 1. Gnrer la cl # openssl genrsa - des3
out server.key 1024 1. Gnrer le certificat en utilisant la cl#
openssl req -new -x509 -days 365 -key server.key -out
server.crt
1. Question1: openssl genrsa: crer la paire de cls RSA -des3:
indique que la paire cl sera chiffre avec l'algorithme de DES3.
-out server.key: spcifie le nom du fichier de la paire de cls (dans
ce cas server.key). 1024: est la longueur de la paire de cls en
bits (1024 bits).Question2: # openssl req -new -x509 -days 365-cl
server.crt server.key-out gnrer et signer un certificat X.509
auto-sign appel "server.crt" en utilisant la paire de cls RSA gnre
prcdemment "server.key". -Days 365: la priode de validit du
certificat en jours. 1. Modifier le fichier de configuration
/etc/httpd/conf/httpd.conf 1. Ractiver le service web:# service
httpd restart 1. Tester la scurit du serveur
1. Le serveur est scuris, pour pouvoir y accder, on peut ajouter
une exception comme indiquer ici
A cette tape, cliquer sur obtenir le certificat pour accder la
page daccueil du serveur apache
1. On veut accder au dossier secret, une demande
dauthentification apparait, on va vrifier le niveau de scurit
assurer par SSL.1. On va faire recours loutil wireshark.
A laide de SSL, toutes les informations changes sont cryptes
comme le montre le follow TCP stream dun paquet captur.1. Dans ce
cas, on doit dfinir une ISSP (Issue Specific Security Policy) qui
traite toutes les vulnrabilits du serveur Web Apache.
1. Pour rsumer, ce laboratoire nous a permis de connatre
certaines des vulnrabilits du serveur Web Apache. Par consquent,
d'liminer ces faiblesses en ajoutant des nouvelles rgles nos
politiques de scurit. 1. Toujours vrifier la syntaxe dans les
fichiers de configuration. 1. Cacher les serveurs, OS, et les
versions du noyau du systme d'exploitation et d'information. 1.
L'accs doit tre contrl par un mcanisme d'authentification.1.
Lchange de renseignements doit tre protg pour assurer la
confidentialit. ComSec 2013-2014
