Après le premier jour de Rooted CON 2010, il touchait le tour de la deuxième journée, qui selon l’horaire d’exposés aurait objectif différent de celui du premier jour, comme il est le technicien. De plus, le commencement du concours de CTF était programmé à la première heure, parallèlement au premier bavardage du jour, après une petite introduction. Les assistants sont arrivés peu à peu, jusqu’à compléter la salle, bien que c’était un jour férié et, comme on pouvait lire dans quelques twitters, la nuit précédente.
Ensuite, nous nous mettrons à commenter très brièvement chacun des exposés (donc nous avons vérifié, les exposés seront publiés, mais pas uniquement la présentation telle quelle).
FuckWALL – Bypassing firewalls, par Antonio López et Javier Medina
Que peut s’élargir un apparent commando inoffensif "net utilise" dans des environnements le Windows, et si non qui le disent à une bonne poignée de firewalls. Antonio et Javier, dans le premier exposé du 2 de ce mois de Rooted CON un client – serveur nous montraient un outil dessiné pour permettre la communication unidirectionnelle et bidirectionnelle depuis un host le client qui est mis sous monitorage par un firewall à un client sans qu’elle ne soit filtrée et sans l’avoir établie comme permise.
Pour cela, des personnels profiteront tant des faiblesses du dessin du bon ensemble de firewalls comme du driver de WebDAV de Microsoft. Dans la donnons on a pu voir l’outil FuckWALL dans un fonctionnement, et ses fonctionnalités.
Il s’initiait parallèlement, le concours CTF de Rooted CON 2010 à une autre salle du centre de conventions, après une petite introduction du système de la part des organisateurs. Les prix consistent en 3.000 euros pour le gagnant, 2.000 pour le deuxième et 1.000 pour troisième classé. 
Tous les assistants pourraient visiter la salle du concours, en pouvant connaître l’état en temps réel des épreuves et des ponctuations, qui ont été très grondées pendant le jour.
CCN-CERT, la réponse à des incidents pour l’administration publique
Marcos Monge nous a présenté les dernières nouveautés à l’égard du portail web du CCN-CERT, en montrant des cours d’instruction dans un format e-learning, des guides de sécurité de différents systèmes d’exploitation et de technologies. Un autre service intéressant est celui d’antivirus online et feed RSS pour être au courant en matière d’une vulnérabilité ou des nouvelles.
La sécurité comme système : Des facteurs limitantes et une évolution dans le temps, par Antonio Ramos
Antonio nous a enchanté avec un bavardage amène et amusant dans lequel s’est exposé le concept de facteur limitante, son importance de pouvoir l’identifier dans une organisation et ainsi investir dans ce qui est réellement nécessaire.
WifiSlax 4.0, par Sergio González
Dans cette occasion, Sergio nous a présenté ce qui cuit dans les serveurs de développement de la nouvelle version de la distribution WiFiSlax. Malheureusement, son intention dans un premier moment était de pouvoir libérer cette dernière version dans le propre Rooted CON, mais finalement à cause du retard du lancement de la troisième version de l’outil Maltego (qui réalisera dans la BlackHat l’Europe 2010 à Barcelone). D’entre toutes les nouvelles incorporations dans l’ensemble d’outils (Unhide a son creux dans ce résumé) de ce live, nous avons aussi pu connaître que la WifiSlax sera distribuée par une version d’airodump-ng non vulnérable à un 0day. Nous avons uniquement pu voir un "Thanks to Iñaki L." dans ce slide 
, donc nous verrons si nous pouvons obtenir plus d’information dans un avenir voisin.
En libérant un 0day dans la Rooted CON, par Rubén Santamarta
C’était l’un des exposés les plus espérés et que plus une attente générait, et finalement, encore en n’ayant pas de doute préalable sur ce sujet, Rubén n’a pas du tout fraudé. Nous avons pu voir grâce à des exemples concrets comment, en exploitant une vulnérabilité de type Cross-Site Scripting nous pouvons arriver à l’exécution lointaine de code arbitraire. L’ingénierie inversée a été claire protagoniste de cet exposé, qui a arraché une multitude d’applaudissements de la part des assistants.
Radare2 Preview, par Sergi Álvarez et j’ai Rongé
radare2 est un outil dont le développement a commencé parallèlement à de radare (éditeur d’hexadecimal avancé par console) de celui qui s’a l’intention d’arrêter de maintenir. Dans cette présentation (compilée on-demand certes…), après l’introduction de radare2 de la part de Sergi en majeure partie, j’ai Rongé il nous a montré quelques démonstrations en restant évident les fonctionnalités de l’outil. Le projet à suivre très de près.
Hackproofing Oracle Financials 11i et R12, par Joxean Koret
Enviable l’analyse de vulnérabilité réalisée par Joxean sur ce produit, en restant démontré que tous commettent des erreurs, en étant grands ou petits, et que ce qui commence un malheur, un malheur finit. On peut détacher le temps de réponse ou de réaction de la part de la compagnie avec le rapport de cette vulnérabilité. Une peine dont nous ne pouvions pas profiter d’un demo en direct avec l’exploitation de ces jugements, mais malgré tout, excellent.
{RootedPanel} – "Hackers Históricos" – le Groupe Apòstols, avec Jordi Murgó (savage) et Ramón Martínez (une rampe), mordra SecurityByDefault.com
Une broche d’or pour cette journée que mieux que pouvoir se rappeler des temps passés dans le scene underground avec deux des membres du groupe d’hacking l’Espagnol historique Apòstols, une rampe et savage.
Modéré par nos collègues Laura et Alejandro, ce RootedPanel nous a servi pour pouvoir connaître un peu plus qu’il a supposé ce groupe pour l’histoire de l’hacking à l’Espagne, différentes étapes par lesquelles ils ont passé : la première marquée par la nécessité d’obtenir une connexion à Internet et aux recours avec lesquels pouvoir apprendre plus et plus, et la deuxième par la fusion de certains des membres d’Apóstols avec un groupe hacker ToXyN. Sur ci-mentionnée vous pourrez trouver plus d’information grâce au post d’Yago Hackeos Mémorables : L’Indonésie.
Une table rassasie des anecdotes amusantes, d’opinions sur le passé, le présent et l’avenir, de tout cela grâce à quelques visiteurs d’exception.
En terminant, une journée avec beaucoup un contenu technique, très intéressant et, elle encore nous reste, la troisième journée du congrès Rooted AVEC 2010.
[+] Hashtag de Rooted CON 2010 : #rooted2010 [+] le Reportage de Quatre sur Rooted CON
Rooted CON 2010 : Un 2 de ce mois
March 21st, 2010 by admin
Rooted CON 2010 : Round One, Fight!
March 20th, 2010 by admin
Hier, comme nous vous avions déjà anticipé, elle a donné un commencement, la première séance d’activités et les exposés de la première édition du congrès de sécurité Rooted CON à Madrid.
SecurityByDefault a amplement pu, grâce à l’appui de l’organisation, couvrir l’événement et disposer d’un accès privilégié pour tous ses éditeurs. Depuis le dîner mercredi une nuit avec les rapporteurs (une pépinière du plus connu dans le secteur en Espagne) nous pouvions déjà risquer que l’expérience allait être annoncée.
Donc, et comme tout semblait promettre, les bavardages ont été un succès total (comme ainsi ils démontraient les applaudissements et les questions aux rapporteurs à la fin des mêmes). Dans des lignes générales, toutes ont été très intéressantes, bien que celles que plus d’espectación nous ont générées aient été les suivantes :
- Fighting Advanced Persistent Threat (APT) with Open Source Tools, donné par Jaime Blasco, dans lequel il fait comprendre assez combien il est difficile de lutter ou d’éviter les attaques nommées APT, par sa complexité, nouveauté et intégration de différentes pièces. Des exemples de ce type d’attaques ont été Ghostnet (la Chine contre le Tibet), l’Aurore (des attaques à Google, à Brique séchée, à Juniper…), etc. De la même manière, il nous propose une longue liste d’outils et de contre-mesures libres à tenir en compte pour calmer ce type d’attaques : OpenVAS, OSSEC, des outils SIEM, Snort, Suricata, OpenDPI, NfDump, Nfsen (comme plugins pour AS), Memoryze, Snare, etc…..
- Les grandes entreprises sont-elles préparées aux défis de la Société de l’information ? par Gianluca D’Antonio dans laquel avec un savoir faire extramadamente amène nous a enchantés avec un tas de conseils pour obtenir un plus grand rendement dans l’efficacité de travail, en orientant les individus de la Génération Et sur le monde patronal, l’importance des rôles, l’entente des tendances, la compréhension des risques de la société de l’information, etc…. en analysant même l’actuelle situation dans de diverses compagnies et secteurs.
- Une autopsie d’une intrusion : À l’ombre du chacal, par Pierre Sánchez, un exposé très intéressant sur le cybercrime appliqué aux établissements bancaires et des Caisses d’épargne. Il nous a surpris avec des histoires réelles de jugements de programmation, la mauvaise éducation et une conception des utilisateurs finaux à l’heure de faire des transferts et à l’heure de donner lieu à une fraude online. De la même manière nous a présentés l’outil libre KRAV (développée par ATCA) consistant dans un moteur de détection de la fraude basée dans scoring aux mouvements faits par des transferts et une alerte immédiate à des clients en cas de soupçonner d’une irrégularité.
- Une opération Triomphe Professionnel par Alejandro Ramos. Qu’est-ce que dire de notre collègue Alex, qu’avec son style amène et propre, de compter les choses, il a pas évité le sommeil caractéristique des heures postérieures à la nourriture, mais il nous a fait passer un petit peu amusant et intéressant. En vue de son expérience dans ces luttes, nous a donné un tas de règles à suivre sur ce que les entreprises cherchent, comment préparer un Curriculum Vitae pour ne pas être repoussé correctement de premières, triompher dans les entretiens, et tout le nécessaire pour nous défendre comme titans dans le monde professionnel.
Si vous vous êtes perdus un peu dans la Rooted, vous pouvez voir de nouveau les slides de la présentation d’Alex ici en bas :
La Rooted CON commence 2010
March 19th, 2010 by admin
Il a approcheté, le moment qui a fait de la publicité tant pendant ces derniers mois, dont au commencement nous arrivait une information avec compte-gouttes, mais que peu à peu à mesure que s’approchait la date, nous connaissions plus de détails : La première édition de Rooted CON arrive.
Moins d’un mois nous vous annoncions l’horaire avec les 3 jours qu’ils composeront le congrès, avec les bavardages qui parcourent des sujets comme ingénierie inversée, hacking, différentes techniques d’exploitation et de systèmes d’exploitation, etc. De plus, comme ils font de la publicité dans quelques valeurs d’exposés, quelque vulnérabilité de type deviendra publiques 0-day (non publiées auparavant et qu’uniquement les auteurs disposent de ses détails). 
Il se dispose aussi des horaires dans les formats XML, ICAL et HTML.
Notre collègue Alejandro donnera un bavardage sur une orientation professionnelle, une diplômée Operación Triunfo Profesional le premier jour, le 18 Mars, à 16:00 heure. De plus, au jour suivant comme broche finale du 2 de ce mois, SecurityByDefault modérera le RootedPanel d’un groupe d’hackers historiques qui nous compteront plus sur son histoire et ce qui était bougé dans le scene dans son époque, ses aventures…
Vous pourrez suivre toute l’information référante au congrès grâce à l’hashtag de twitter #rooted2010 spécialement créé pour cette Rooted CON 2010 et nous couvrirons l’événement en direct en notre compte le meilleur que nous taillons. Après ne pas avoir eu streaming online d’un vidéo ou d’un audio à l’origine, cette plate-forme devient une manière utile et confortable de pouvoir vous approcher tout ce qui arrive là-bas (bien que comme vous pourrez vous imaginer, nous publierons des chroniques de chaque jour, et attendons qu’encore beaucoup de posts sur cette expérience). Les photos que nous réalisons se pendront dans la direction suivante de TwitPic, de service associé à twitter. Là il est où vous pourrez trouver les photos d’autres événements auxquels SecurityByDefault a assisté.
Nous nous voyons dans Rooted CON!
Des revues de sécurité (online)
March 19th, 2010 by admin
Tranquilles que nous ne nous avons pas rendus fous, seul une grâce me faisait plus insérer une photo de la couverture de la revue Salut que d’une autre revue de sécurité que par une raison étrangère des jeunes filles n’ont pas l’habitude d’inclure dans un bikini.
Après toute la série de recettes avec les sources d’information que nous compilions peu à peu :
- Blogs intéressants de sécurité
- Des listes de courrier de sécurité
- Des forums de sécurité
- Podcasts de sécurité
- Twitters de sécurité
Le tour arrive aux revues dans le format digital de sécurité (que nous différencierons d’ezines underground et dont nous parlerons bientôt). Plusieurs d’elles ont été déjà nommées dans une entrée sur des revues dans un papier.
Gratuites :
- e. Security : http://www.ovecpubli.net/?q=es/revista - l’Espagnol
- (IN) Secure Magazine : http://www.net-security.org/insecure-subscribe.php - les Aines
- SecurityActs : http://www.securityacts.com/subscribe_online.php - les Aines
- InfoSecurity : http://www.infosecurity-magazine.com/magazine-subscription/ - les Aines
- Forensic Magazine : http://vicon-sub.halldata.com/site/VCP000225FNnew/init.do - les Aines
Avec prix de souscription :
- SIC : http://www.revistasic.com/ - 46,63 € (annuel, 6 nombres) – un papier
- RedSeguridad : http://www.borrmart.es/redseguridad.php - 50€ – un papier
- À + : http://www.revista-ays.com/index1280×1024.htm - 225 € – un papier
- ISSA Journal : https://www.issa.org / Members / Journal / - Pour des membres d’ISSA
- Information Systems Control Journal : http://www.isaca.org/Content/NavigationMenu/Members_and_Leaders/Publications/Journal/Information_Systems_Control_Journal_Home.htm - Pour des membres d’ISACA
Bientôt Asegur@it 7 à Barcelone
March 18th, 2010 by admin
Je me demande ce que penseront ceux qui ont eu à être bougés jusqu’aux Vallées fertiles pour assister à des événements internationaux comme la BlackHat et pour pouvoir voir certains des bavardages qui se rendront gratuitement dans le proche Asegur@IT qui a lieu à Barcelone le 24 Mars.
Si tu es par la zone bien sûr le rendez-vous est obligatoire et si non, une sécurité que vaut la peine le déplacement. La composition des bavardages est très intéressante. À la première heure, pour Leonardo et Christian nous réveillent bien, ils raconteront comment s’amuser en jouant avec satellites. Un ennemi public ?
Le bavardage suivant est complètement instructif et il traitera la technologie Forefront Unified Access Gateway 2010 de Microsoft et comme l’utilisent pour monter des serviteurs VPN.Después du café Nico et de Raúl, les artistes qui au Cálico Electrónico merveilleux nous avons connu tous par nous compteront ses aventures avec Nikodemo.com
Dans la ligne finale Dani Kachakil il parlera d’une forme d’exploiter des piqûres SQL dénommé "serialized" et pour celle qui a développé une application. Dans cette séance on fera une présentation de la nouvelle version de l’utilité et un demo de comme il s’utilise.
Pour prendre fin le jour, l’homme de la sudation à des raies et au bonnet en laine fermera l’événement avec une présentation de la dernière version de l’outil UN PHOQUE, publié peu de jours avant et le produit qui applique les contre-mesures : MetaShield Protecteur.
Le résumé par des heures de l’agenda qu’il a fermé est le suivant :
09:00 – 09:15 Registro09:15 – 10:00 Playing in 1.210:00 – 10:45 Secure HTTP-s VPN connections10:45 – 11:15 Café11:15 – 12:00 Nicodemo Animation12:00 – 12:45 Serialized SQL Injection12:45 – 13:30 MetaShield Protector 1.1 et PHOQUE 2.013:30 – 13:45 Tu Demandes à Satellite Environment
À cette date et avec la qualité de l’événement beaucoup de places disponibles n’ont pas à rester dès que si vous ne voulez pas rester dehors vous inscrire le plus tôt possible à sa page Web : http://www.informatica64.com/asegurait7/
Des partis politiques et de nouvelles technologies (un Cas d’étude)
March 18th, 2010 by admin
En paraphrasant l’Agent Smith de Matrix ‘C’était inévitable’. Selon quelque chose il se popularise entre la société, des éléments plus traditionnels entrent dans cela.
Dans le cas d’Internet et les partis politiques, c’ils sont allés peu à peu ‘en se modernisant’, d’abord c’était les pages Web, tout de suite se sont introduites dans les réseaux sociaux, plus tard Twitter est venu, et finalement : les blogs
Il fait relativement peu, le Parti de droite a présenté pour la première fois son nouveau ‘réseau de blogs’ où probablement les membres les plus détachés du parti vont écrire des réflexions, lire des commentaires, interagir avec les gens. Génial
Vraiment une réussite cela de 2.0-cerismo dans les partis politiques, je peux par exemple, partager une grande idée qui aide à ‘à lever le pays’ bien qu’il met seulement un message à Twitter à @cuenta-de-algun-partido. Ou je peux aussi m’instruire en lisant les réflexions sensées de, par exemple, Luisa Fernanda Rudi, personne qui me tombe tout près puisque j’ai vécu ses ‘années dorées’ quand j’étais mairesse de Saragosse (Et pas porqué, recommence à me venir à l’esprit une autre scène de Matrix, dans ce cas la fin de la IIIe).
Le problème de tout cela consiste en ce que pour qu’il fonctionne, pour qu’il ait une valeur, les hommes politiques doivent être vraiment impliqués, prêter une attention et une compréhension que c’est Bidirectionnel et non un jouet simple de propagande.
À la manière de ‘Cas d’étude’ nous prendrons un exemple vécu dans la première personne avec le PP et son réseau de Blogs. C’était moi qui me trouvais en sautant de blog-en-blog, en scrutant des points de vue, des idées, en me distrayant avec la vision particulière des hauts droits du PP, quand par un type de ma maladresse a dû écrire mal une URL et pas bien dont une forme je suis arrivé à cela : 
Dans cette situation elle m’a semblé une idée intéressante se mettre à l’épreuve tout le ‘monde 2.0′ que le Parti de droite a comme monté, dès que je lui ai envoyé un message voie Twitter à @PPopular en le comptant qu’il y avait quelque chose qu’il cherchait à rapporter. D’un génial commencement, @PPopular il m’a répondu avec une adresse postale de contact, tout de suite j’ai mis un mail avec l’information : Il semble que cela marche!! Mais non, le problème consiste en ce que déjà il y a quelques jours de cet e-mail et il ne consiste pas déjà en ce qu’ils ne l’ont pas résolu, c’est que je n’ai même pas obtenu la réponse au courrier. Si pour le PP n’est pas important son très nouveau réseau de blogs, permettez-moi qu’il occupe mon temps dans d’autres devoirs
Des erreurs SSL dans navigants, lesquels sont et sa solution : sec_error_untrusted_issuer
March 17th, 2010 by admin Avec cette image de la gauche, il m’a donné la bienvenue, le serveur de loteries et de paris (juegos.loteriasyapuestas.es) quand j’ai essayé de m’authentifier avec Firefox pour jouer la feuille de paris de toutes les semaines.
Pour éviter d’ajouter une Exception comment indienne j’ai l’habitude d’ouvrir le dernier bouton du message IE8 de mon Windows7 avec lequel ce problème ne se reproduit pas (nous compterons déjà le motif). Mais aujourd’hui j’ai décidé de le régler.
Le code de l’erreur qu’il se montre "sec_error_untrusted_issuer" indique que l’émetteur du certificat SSL qui se trouve chez le serviteur n’est pas l’un des organismes de la confiance de Firefox, qui ont surpassé la politique nécessaire pour que son recommandé une racine soit incluse dans l’application par défaut. Firefox, à la différence de l’Internet Explorer ou Chorme et aussi comme il opère, maintient un container indépendant au système d’exploitation de certificats, la racine qu’ils peuvent valider si un certificat a été signé ou non et si on peut identifier le serveur web de forme sûre.
Dans la majorité des cas ce problème se produit quand a été généré un certificat racine, un certificat public et privé spécifiquement pour un système avec l’objectif unique dont la communication entre un serviteur et un client est codé en perdant la possibilité de valider l’identité du système. Cela devient ainsi parce qu’en général il se paie par la signature de certificats et peu de gens utilisent une des options gratuites qui existe dans Internet. Si nous nous trouvons avec cela il ne restera plus, le remède à accepter l’exception.
Pour le cas du web qui couvre mes nécessités ludópatas il avait une autre solution. Le premier qu’il observe et qui doit être vérifié toujours sont les propriétés de certificat. Où entre l’un des paramètres il spécifie, celui qui est-ce qui est l’émetteur.
Par conséquent, s’il voulait que Firefox pût correctement vérifier la validité de ce certificat (et éviter l’erreur) serait nécessaire qu’il eût le certificat instalé racine de la FNMT dans son dépôt qui peut être consulté grâce à la navigation par les menus : Des outils-> les Options-> l’Avancée-> le Chiffrage-> Voir les Certificats-> les Autorités, devrait montrer un écran similaire à la suivante, où il n’y a pas de référence à la FNMT.
Pour installer le certificat racine la FNMT il a publié quelques instructions très simples de suivre qu’ils consistent à le décharger de sa page Web et à l’importer depuis la même fenêtre. On devrait finalement indiquer qu’il se confie à l’authenticité et finalement le sélectionner et battre sur "Éditer" pour accepter les casiers pour lesquels on veut utiliser.
Avec l’importation faite je ne recommencerai pas à avoir correctement des avis d’avertissement ni quand je ferai mes paris ni quand entre dans beaucoup d’autres services web qui s’offrent au citadin et qui sont signés par la FNMT.
Le procédé dans l’Opéra est similaire et il faudra importer pour éviter l’alerte. Une configuration-> les Options-> l’Avancée-> la Sécurité-> Administrer des certificats-> Des autorités :
Pour prendre fin, pour commenter que dans le cas de Chrome ou un Internet Explorer antiques, après avoir utilisé le container de certificats du système d’exploitation bien que l’on décharger le fichier et bien que l’on faire un double click sur lui, il sera automatiquement importé en suivant les pas jusqu’à prendre fin. Bien que dans Chrome ce soient un peu de plus de paranóicos et il vérifie qu’il n’accède pas à la liste de révocation (CRL), puisque la FNMT ne la publie pas, et par conséquent il prévient de ce que l’on ne peut pas vérifier malgré avoir le certificat correctement installé racine.
Actualisé le Top 25 erreurs plus dangereuses de programmation
March 17th, 2010 by admin
Il y a un an nous publions dans SbD la première version du Top 25 avec les erreurs les plus communes de programmation et avec de pires conséquences, élaboré dans la convention de sécurité été à la tête par SANS et MITRE, et qui a réuni des experts de sécurité informatique de toute la planète.
La version de 2010 a été actualisée et elle inclut des améliorations substantielles au sujet de la liste de 2009. La structure de la liste a été modifiée pour distinguer les mitigations et les principes de programmation sûre des faiblesses les plus spécifiques.
La version de 2010 introduit différents profils qui permettent aux développeurs et à d’autres utilisateurs de sélectionner les parties de la liste qui sont plus éminentes à ses intérêts. Il ajoute aussi le petit ensemble avec les mitigations effectives qui aident les développeurs à éliminer ou à réduire les diverses faiblesses qui les inquiètent. Enfin, de diverses faiblesses de haut niveau de la version de 2009 ont été substituées par les variantes de bas niveau qui sont plus accessibles au développeur.
En étant en tête de la liste de vulnérabilité : XSS (le Cross-site scripting), SQL Injection, et les erreurs de débordement de buffer. Les 25 erreurs sont la cause de presque toutes les attaques cybernéticiennes importantes, y compris qui ont récemment affecté Google et encore 33 grandes entreprises, ainsi que les infractions soufferts dans les systèmes militaires et les millions de petites entreprises et d’utilisateurs domestiques.
Sa première a coïncidé mardi, avec une impulsion renouvelée de la part des clients après avoir exigé aux développeurs de software la responsabilité de la sécurité de ses produits. Les experts en sécurité disent que les clients demandent que les produits sont plus sûrs en exigeant les fournisseurs qui remplissent les mesures de sécurité les plus communes, et qui les membres de l’équipe reçoivent une formation chez des techniciennes de programmation sûre.
Je me demande à combien d’équipes de développement une formation leur est donnée dans une sécurité, par expérience je vois que cela ne s’accomplit pas dans la plupart des cas. Espérons que la mentalité des organisations change dans un avenir pas très lointain, puisqu’il nuit à l’image de ses produits et de la compagnie, et principalement affectionnée à l’utilisateur final.
Vous pouvez trouver la liste ici.
Une sécurité dans Wordpress
March 16th, 2010 by admin
Dans le monde blogger, à tenir en compte, après le thème, l’une des premières choses est sur quel type de gérant de contenus fonctionnera le blog. S’il est élu Wordpress comme une base, nous avons aussi quelques options : utiliser Wordpress.org qui nous fournira d’une forme gratuite les services basiques pour héberger nos contenus (ayant à payer si nous voulons l’ajouter certains extra); ou descendre Wordpress et l’installer chez un serviteur web que nous avons déjà (l’Apache ou Nginx est recommandé.
Rien de nouveau je vais vous compter avec que, pour maintenir une installation de Wordpress la plus sûre possible, il est indispensable de disposer de la dernière version disponible et que le mot de passe d’administration doit être le plus complexe possible, avec des caractères pas alphanumériques, aléatoires, etc…..
Cependant, l’une des richesses de wordpress est le degré de personalización en forme de plugins développés qui existent, et entre ceux-ci il les a aussi consacrés à la sécurité.
Entre les autres nous pouvons ressortir :
- WP Security Scan : On crée un cil nouveau soi-disant Security, depuis lequel nous apparaît le résultat d’une analyse de sécurité de boîte blanche de divers points à un niveau de versionado, de serveur, de base de données, les utilisateurs (habiliter un autre utilisateur administrateur différent de l’"Admin" par défaut), checks d’une sécurité par obscurité (d’une version, de préfixes de tréteaux), créer etc….
- Wordpress Exploit Scanner : Ce plugin est plus dédié à savoir si notre installation a compromis ou non, plus que comme des recommandations ou des mesures préventives. Si nous n’avons pas de possibilité d’installer dans la machine que Wordpress héberge des systèmes de contrôle d’intégrité de fichiers comme d’AIDE ou d’Afick, nous pouvons toujours utiliser ce plugin pour analyser des certains paramètres généraux, des fichiers, une base de données, des permissions, etc….
- Wordpress Database Backup : Comme les administrateurs du blog nous devons établir une politique de backups fréquents, de manière que si le blog se trouve compromis, ou une mauvaise actualisation provoque une catastrophe qu’un backup nous fait avoir besoin de restaurer, nous avons cette possibilité. Plugins comme celui-ci nous permettent de générer backups sous demande ou même de les programmer avec une fréquence déterminée et de les recevoir en compte de courrier.
- SI Captcha Antispam : Pour éviter les commentaires ennuyeux automatisés avec Spam dans les posts, et j’habille que l’efficacité d’Akismet (inclus d’une série avec Wordpress) n’est pas grande chose (il génère un tas de faux positifs) cela cela peut être une bonne option.
Je de ma part, dans le blog "Le Puisard", en dehors d’utilisent divers des plugins que j’ai commentés pour analyser la sécurité du même, j’ai mis en application des mécanismes de contrôle d’accès pour l’administration de Wordpress dans la configuration du propre Apache, basés sur l’IP l’origine (Si je veux l’administrer ou je le fais depuis le réseau interne ou la voie VPN).
Order deny, allow
Allow from 192.168.1.27
Deny from All
En ce qui concerne les travaux de backup de base de données, soi-disant mysqlblasy a utilisé depuis quelques années un outil. C’est un script fait dans Perl pour faire un backup de toutes les bases de données que voulons d’un serviteur MySQL.
Si de plus nous voulons auditer l’état de notre Wordpress comme il peut faire n’importe lequel depuis Internet, nous pouvons utiliser un outil comme Plecost qu’en plus de faire fingerprinting de la base de Wordpress que nous disposons, il reconnaît les plugins et ses versions et est capable de nous montrer vulnérabilité avec liens CVE inclus en cas de trouver un plugin vulnérable. Une analyse avec cet outil (qui requiert la version 2.4 de Python comme minimum pour fonctionner correctement) peut être la guigne du gâteau pour le securización de l’installation de Wordpress et ses plugins.
Il tourne le troyano SubSeven après 6 ans
March 16th, 2010 by admin
Le projet de l’outil d’administration lointaine (avec des certaines fonctionnalités spéciales propres d’un troyano) SubSeven est revenu, après 6 ans en se reposant avec quelques vacances dues. L’été passé, son créateur, mobman, a rendu publiques ses intentions de reprendre ce projet, et la nouvelle version s’est déjà jetée finalement, un correspondant avec 2.3. 
C’est l’un des troyanos les plus fameux de l’époque, que toute personne voulait savoir comment utiliser, sans discriminer d’âge, de sexe, de condition ou de motivations. La majorité savait bien qu’il servait à entrer dans l’ordinateur de X et que tout le monde piquait par messenger. Programmé dans Borland Delphi, il a passé par plus de 15 versions, certains d’entre elles créées spécialement pour les occasions déterminées (Pour la huitième édition de DefCON, 2.1.5 dénommée une édition un anniversaire…). Si vous voulez fouiner avec celles-ci, à cette page vous aurez un résumé de toutes les publiées :
[+] http://www.hackpr.net/~sub7/downloads.shtml
Mais cette nouvelle version nous apporte plus deux curiosités que significatives, nécessaires pour ces temps qui courent, et je ne me réfère pas à que s’est incorporée une intégration avec twitter, il ni crée de groupes de facebook, ni ouvre les plateaux des CDs du nuage, ni dispose d’une étendue pour firefox, ni rien par le style :
- Le serveur du troyano, installé dans le PC qui désire administrer, sera celui qui connecte notre client par un port qui permettra d’établir la connexion entre les deux machines. Une dénommée technique de connexion inversée, obtiendra que nous nous épargnions cette partie de l’ingénierie sociale qui était utilisée avant "il exécute ce.exe, c’est un jeu chuli, mais seulement fonctionne si tu enlèves l’antivirus".
- Un paypal destiné tant à des donations a été ouvert comme à offrir, à qu’ils apportent 150 dollars, des serveurs indétectables (selon les créateurs) et j’accède à une documentation technique, à des connexions un client illimitées, un support personnalisé par e-mail, etc.
Avec le fichier qui inclut les fichiers typiques, comme il est les exécutables du serviteur, du client et l’éditeur du serveur, il a été aussi distribué (en plus du README qui inclut une révision des fonctionnalités de cette version) un manuel dans PDF que vous pourrez trouver dans le forum du projet http://subseven.org/forum/index.php dans lequel vous aurez besoin de vous inscrire, aussi comme pour décharger cette bête qui fait sauter tant d’alarmes.
[+] le Fichier README dans pastebin
[+] la Page officielle du projet SubSeven | Twitter du groupe @s7crew