Inscription | Connexion

ACCUEIL e-BUSINESS ECONOMIE MANAGEMENT SOLUTIONS DÉVELOPPEURS VOTRE HIGH TECH VOTRE ARGENT EMPLOI - FORMATIONS

DSI Intranet/Extranet Systèmes-Réseaux Sécurité Référencement Emploi IT Acteurs IT Actualité Nominations Panoramas Dossiers Prestataires

En savoir plus

Quels outils OpenSource pour tester sasécurité ?

Dossiers Logiciels libres Failles

"Canvas ou CoreImpact sontpotentiellement plusdangereux, car ils

disposent degrandes basesd'exploits"(A.Rahbar - Sysdream)

"Mieux on connaitces outils et plusfacilement on pourras'en prémunir"(S.Roger - Solucom)

Test ADSL

Dubaï

Smic 2011

Solutions Voir un exemple

Journal du Net Voir un exemple

Emploi Voir un exemple

Développeurs Voir un exemple

Evénements et Etudes Benchmark

Voir un exemple

ANALYSE Sommaire Sécurité

Metasploit : un outil de hacking à double tranchantEnvironnement intégré de test d'intrusion Open Source, Metasploitparticipe à la détection de vulnérabilités et à la création d'exploits par leschercheurs. Un usage premier qui peut cependant être détourné. (06/11/2006)

Projet du médiatique - et parfois controversé -chercheur en sécurité, HD Moore, Metasploit est uneplate-forme de tests d'intrusion embarquant desfonctionnalités d'automatisation d'exploitation de failleset de création d'exploits.

Outil de prédilection pour nombre d'experts ensécurité, chercheurs, mais aussi d'administrateursréseau, Metasploit intègre une base d'exploits (plus d'une centaine), c'est-à-direde codes usant de vulnérabilités, pour exécuter arbitrairement une commandesur une machine.

En automatisant l'exécution de code, le framework permet de tester plusaisément un réseau informatique et de détecter les ordinateurs vulnérablesnécessitant l'application d'un correctif.

A cette base publique d'exploits, pour lesquels des correctifs existent dans lagrande majorité des cas, viennent s'ajouter d'autres codes implémentéslibrement par l'utilisateur pour conduire ses propres tests. Et c'est à ce niveauque Metasploit apporte le plus de bénéfices. "Il n'est plus nécessaire de modifiersystématiquement le code pour définir la charge appliquée à un exploit", déclareAli Rahbar, consultant pour le cabinet de sécurité Sysdream.

"L'utilisation avec succès d'une faille donne la possibilité d'exécuter sur unemachine cible un code, ce qu'on appelle la charge. Cette dernière peut être parexemple la création d'un compte ou la suppression de certains fichiers. Grâce àMetasploit, il est ainsi possible pour chaque exploit, de définir la charge que l'onsouhaite associer, en faisant appel à celles paramétrées dans le Framework",poursuit-il.

Avec ses plus de 70 charges ou payloads disponibles, Metasploit donne donc àl'utilisateur de nombreuses possibilités, tout en simplifiant le codage etl'utilisation des exploits. Or c'est justement cette simplicité qui suscitel'inquiétude. Un individu malveillant, sans la nécessité de posséder uneexpertise technique, pourra exécuter des exploits en s'appuyant sur la base dela plate-forme.

"Techniquement, Metasploit ne présente en lui-même aucun danger. C'est l'utilisation qui peut enêtre faite qui en fera ou non un outil malicieux. Dela même façon, l'application de contrôle àdistance VNC, bien qu'elle ne soit pas destinée àdes utilisations malveillantes, peut aisément

servir à du piratage", juge Loucif Kharouni, Anti-Threats Engineer chez Trend Micro.

Le consultant de Sysdream tient également àrelativiser les risques : "Metasploit est simple àutiliser si vous vous restreignez seulement aux

exploits connus. Cependant, le risque est faible qu'ils soient publiés avant qu'unéditeur n'ait développé un patch. Ou lorsque tel n'est pas le cas, le laps detemps est relativement réduit avant qu'ils ne soient reconnus par les IDS et lespare-feu."

Pour Ali Rahbar, la base gratuite peu fournie minimise en effet les risques.Malgré tout, les capacités d'évasion offertes par Metasploit risquent de fairesourciller plus d'un administrateur. Grâce à différents encodages des exploits(Web et non-Web), il devient possible de se soustraire à la détection par un IDSet un IPS.

Un module intitulé VoMM (eVade-o-Matic Module) permettra de dissimulerl'exploitation de vulnérabilité d'un navigateur à une application de sécurité baséesur un système de détection statique des signatures. Un exploit sur la faille VMLd'Internet Explorer crée par HD Moore a ainsi pu échapper à la détection de 26moteurs antivirus.

Une menace à laquelle Loucif Kharouni répondque "le nombre croissant de virus exploitant desfailles zero-day doit encourager les utilisateurs àmettre à jour leur système le plus rapidementpossible. Pour les entreprises, c'est plusproblématique. On ne peut pas exiger d'elles undéploiement un temps réel des correctifs.Toutefois, elles peuvent se reposer sur des

A VOIR EGALEMENT

Donnez votre avis !

Si les publicités sur internet vous interpellent,veuillez prendre quelques minutes pour répondreà notre questionnaire en ligne. Répondre auquestionnaire

Votre email

Toutes nos newsletters

Rechercher une technologie, une entreprise

SOLUTIONS

ActualitéActeursIntranet-ExtranetDSIEmploi ITSystèmes-RéseauxSécuritéMoteur-référencementDéveloppementTous les articlesTous les thèmes

BOURSE

RUBRIQUES

NominationsPanoramasQuizA lire ailleursRevue des faillesChoix logicielsVersionsNouveaux produitsSondagesTémoignagesChiffres clésTribunes

Tous nos articles

DossiersEnquêtesInterviewsClassementsConseilsAnalysesReportagesVidéoArchivesCorrections

Mot-clé

Toutes les offres

L'entreprise à l'affiche

SERVICES

AnnuairesEspace dirigeantsFormationsLogiciels ProPrestatairesSociétéVilles de France

Comparer les prixCours de Bourse

Cac 40 0.01 %Tous les cours

En savoir plus

Quels outils OpenSource pour tester sasécurité ?

Dossiers Logiciels libres Failles

Newsletter A propos Contact Publicité Société Presse Recrutement Données personnelles Mentions légales Plan Copyright © 2011 CCM Benchmark

Toutefois, elles peuvent se reposer sur desprotections amont pour éviter l'exploitation des vulnérabilités."

Loucif Kharouni et Ali Rahbar s'accordent également pour rappeler que dessolutions commerciales équivalentes à Metasploit sont disponibles sur lemarché. Pour le consultant, "des outils comme Canvas ou Core Impact sontpotentiellement plus dangereux car ils disposent de grandes bases d'exploits,dont beaucoup sont des failles zero-day. Ils sont de plus peu onéreux etbénéficient de mises à jour régulières."

Si Metasploit, en raison de sa gratuité, présente lerisque d'être employé à des fins malveillantes, il n'endemeure pas moins un outil pour les chercheurs ensécurité. Par son biais, ces experts peuvent identifierde nouvelles vulnérabilités et communiquerdirectement l'exploit à un éditeur de logiciel afind'apporter la preuve de leurs assertions.

Sylvain Roger de Solucom rappelle également que les entreprises ne peuventignorer l'existence d'applications comme Metasploit. "Il est nécessaire deconnaître leurs possibilités pour pouvoir appréhender les menaces qu'ellespourraient représenter. Mieux on connait ces outils et plus facilement on pourras'en prémunir".

Christophe AUFFRAY, JDN Solutions Sommaire Sécurité

Accueil | Haut de page

Nouvelles offres d'emploi sur Emploi Center

Auralog - Tellmemore | Publicis Modem | L'Internaute / Journal du Net /Copainsdavant | Isobar | MEDIASTAY

Cours de BourseEncyclopédieFiches pratiquesGuides d'achatHotspot Wi-fiLettres typesLivres blancsOffres d'emploiRéseau professionnelTéléchargementTest ADSLVoeux professionnels

RSSNewsletters

Analyse de site

Etudes

Forum

Stratégie Internet

FormationInformatiqueInternetManagement

CommunicationMarketinge-Commerce

Automobile

Cinéma

Copains d'avant

Dictionnaire

DSK : le procès

Fonds d'écran

Galerie photos

Guide de voyage

Journal des Femmes

Programme TV

Question / Réponse

Recettes de cuisine

Restaurant

Webmail

Les Mutuelles pour Sénior www.santiane.fr/Mutuel…

Pas de limite d'age, Aucun QS. 16 Mutuelles,210 contrats comparés

Implantation Pays Basque www.bayonne.cci.fr

Cadre et qualité de vie assurés Contactez laCCI

Safran recrute et offre www.emploi-safran.fr

De nombreux postes en systèmes embarqués,temps réel. Postulez !

Toutes Les Franchises Toute-La-Franchise.com

Le Site de Référence. Trouvez Votre Franchise& Devenez Franchisé