Le Google Hack Honeypot repère les pirates d’applications web

Par Ludovic Blin, secuobs.com
Le 26/03/2007

---

Résumé : Le projet GHH (Google Hack Honeypot) de l’alliance Honeynet est un pot de miel en PHP capable de tromper, au moins temporairement, les pirates à la recherche de serveurs faciles à exploiter.



Les applications web, du fait de leur nombre important, de l’immaturité de leur code et de leur utilisation croissante sont des cibles de choix pour les pirates. En effet, celles-ci étant en général installées sur des serveurs, elles sont une cible particulièrement intéressante pour un attaquant.

Ainsi, selon un article de Jamie Riden, Ryan McGeehan, Brian Engert et Michael Mueter du Honeynet Project, un botnet rassemblant 400 serveurs pourrait offrir une bande passante particulièrement importante, équivalente à un réseau rassemblant des dizaines de fois plus de systèmes appartenant à des utilisateurs.

Ces 4 chercheurs, livrent dans cette étude les résultats des expériences qu’ils ont menés à l’aide de pots de miels imitant des applications web vulnérables, dans le courant de l’année 2006.

Plusieurs imitations d’applications vulnérables sont proposées par GHH. On retrouve plusieurs interfaces de type php shell (ou backdoor php, selon l’utilisation qui en est faite). Des versions vulnérables d’applications comme Squirrel Mail sont également imitées.

Les chercheurs ont effectué une typologie des tentatives d’exploitation de leurs pots de miel. Celles-ci peuvent être le fait de simples curieux, mais aussi de pirates à la recherches de serveurs pour leurs botnet ou de spammeurs.

Les tentatives de defacement ont également été nombreuses. Quelques tentatives d’utiliser ces serveurs comme hébergement de fichiers illégaux ont également eu lieu, tout comme des essais d’utiliser ces machines comme rebond pour scanner des hôtes vulnérables. Enfin, deux tentatives de phishing ont eu lieu, contre les sites Paypal et Orkut.

Au niveau des applications attaquées, Mambo prend la tête du classement, qui est dominé durant la première moitié de l’année par AWStats. L’outil de forum PHPBB est également régulièrement attaqué.

Enfin, les auteurs signalent que seule une faible partie des tentatives d’attaque utilisait un proxy (6%). Les connexions en provenance du système d’anonymisation Tor n’ont représenté que 0,01% des attaques (40 dont 7 uniques et 2 ayant lancé des commandes).

Ils concluent que les applications web représentent un risque important, du fait de la qualité du code, qui est en général assez faible, de la possibilité de réaliser des attaques en PHP et de celle d’utiliser des moteurs de recherche pour trouver rapidement des applications vulnérables à une faille donnée.

Le projet GHH : lien http externe url:[click]

L’article sur Honeynet.org : lien http externe url:[click]

Mini-Tagwall des articles publiés sur SecuObs :
sécurité, windows, exploit, réseau, vulnérabilité, microsoft, attaque, système, virus, audit, internet, fonction, présentation, données, outil, linux, bluetooth, shell, vista, gestion, trames, wishmaster, sysun, metasploit, engineering, paquets, téléphone, fonctions + de mots clés avec l'annuaire des articles publiés sur SecuObs

Archives Failles Secunia :
- SA32943 jailer updatejail Insecure Temporary Files - SA32794 Cain & Abel RDP Processing Buffer Overflow Vulnerability - SA32951 Slackware update for samba - SA32949 Debian update for imlib2 - SA32849 cpCommerce _functions.php Variable Overwrite Vulnerability + d'archives failles avec Secunia et SecuMail

Archives Mailing Full Disclosure :
- Re: Full-disclosure Security industry software license - Re: Full-disclosure Project Chroma: A color code for the state ofcyber security - Full-disclosure PLSA 2008-77 ffmpeg: Multiple DoS Vulnerabilities - Re: Full-disclosure More proof that Microsoft products are probably backdoored - Re: Full-disclosure More proof that Microsoft products are probably backdoored + d'archives Full Disclosure avec SecuMail

Archives Mailing Bugtraq :
- SECURITY DSA 1676-1 New flamethrower packages fix denial of service - USN-682-1 libvorbis vulnerabilities - USN-681-1 ImageMagick vulnerability - BMSA 2008-09 Two buffer overflow vulnerabilities in Rumpus v6.0 - Re: Re: Wrong report: BID 32287, Pi3Web ISAPI DoS vulnerability + d'archives Bugtraq avec SecuMail

Mini-Tagwall de l'annuaire video :
virus, spyware, vmware, firmware, biometric, lockpicking, wimax, password, spammer, kernel, malware, windows, iphone, symantec, phish, knoppix, adware, security, botnet, linux, tutorial, cryptography, internet, attack, server, wireshark, virtual, metasploit, intel, protect, openbsd, hitbsecconf2006, jailbreak, rootkit, ubuntu, norton, exploit, hijackthis, ettercap, samsung, screen, fingerprint, vista, flash, desktop + de mots clés avec l'annuaire des videos

Mini-Tagwall des articles de la revue de presse :
security, microsoft, windows, vulnérabilité, network, google, vulnerability, hacker, attack, inject, remote, mobile, server, exploit, apple, internet, iphone, black, yahoo, sécurité, malware, vista, intel, patch, crypt, drive, access, protect, virtual, laptop, linux, source, biometric, research, ebook, business, virus, office, phish, adobe, chine, facebook, opera, flash, wireless + de mots clés avec l'annuaire de la revue de presse