Nmap 5.30 Beta 1

Fyodor l'a annoncé sur son twitter, une nouvelle béta de Nmap est disponible. 37 nouveaux scripts l'accompagne ce qui augmente à 117 le nombre de scripts NSE

En plus des scripts, une version alpha de test de Nping est disponible. Il s'agit d'un générateur de paquet. La base de données utilisée par le "passwords.lst" NSE a également été améliorée. Il contient à présent 5000 entrées contre 200 précédemment.

Une centaine de changements sont présents par rapport à la version précédente.

Je vous conseille de vous inscrire aux flux RSS pour rester au courant : http://seclists.org/rss/nmap-hackers.rss

Plus d'informations : http://seclists.org/nmap-hackers/2010/3
Téléchargement : http://nmap.org/download.html

Mac OS X : Mise à jour importante

Apple a diffusé hier une de ses plus grosse mise à jour de sécurité notée 10.6.3 pour Mac OS X Snow Leopard, couvrant pas moins de 92 vulnérabilités connues.

La mise à jour, considérée comme "critique", couvre les défauts qui pourraient conduire à l'exécution de code à distance, la divulgation de l'information et d'attaque par déni de service.

Dans certains cas, un pirate pourrait prendre le contrôle complet d'un Mac par le simple affichage d'une image ou d'un film ou encore plus simplement en utilisant le vérificateur orthographique.

La mise à jour des vulnérabilités critiques concerne AppKit, QuickTime, CoreMedia, CoreTypes, diskimages, ImageIO et RAW Image pour Apple et Apache, ClamAV, MySQL, PHP pour l'Open-source

jacknsee : apprendre la sécurité réseau

Jacknsee est un outil éducatif de sécurité réseau vraiment très simple d'utilisation. Son but est d'enseigner les techniques utilisées couramment pour attaquer un réseau : Man in the middle, DoS, attaque par dépassement de tampon.

Il suffit de télécharger, installer et mettre un place un petit lab pour commencer. Un premier scénario est d'ailleurs chargé au lancement de l'application : une attaque par "Man in the middle" en utilisant la compromission du cache arp (arp cache poisoning).

Demo vidéo : http://jacknsee.sourceforge.net/demo.html
Téléchargement : http://jacknsee.sourceforge.net

Source : http://pentestit.com/

Skipfish : Scanner pour l'audit Web

Michal Zalewski annonce un nouveau scanner Web Open Source destiné à aider les développeurs et les professionnels de la sécurité dans leurs tâches d'audit des sites et des applications Web.

Développé en C, il devrait afficher de très bonnes performance :
- 500 requêtes/seconde pour un test distant.
- 7000 requêtes/seconde pour un test sur la machine cible.

Peu de ressources serai nécessaire aux tests grâce à un subtile mélange de technologies avancées (multiplexage, caching, compression, entêtes minimalistes, ...).

Detection de keylogger sur linux

C'est l'excellent site de l' ABC de la sécurité informatique qui nous l'annonce, Lynis aura bientôt un module de détection de keylogger sur Linux.

En informatique, un keylogger est un équipement ou un logiciel espion qui enregistre les touches frappées sur le clavier d'ordinateur.

Certains enregistreurs de frappe sont capables d'enregistrer les URL visitées, les courriers électroniques consultés ou envoyés, les fichiers ouverts, voire de créer une vidéo retraçant toute l'activité de l'ordinateur.

Dans la mesure où les enregistreurs de frappe enregistrent toutes les frappes de clavier, ils peuvent servir à des personnes mal intentionnées pour récupérer les mots de passe des utilisateurs du poste de travail. Cela signifie que l'utilisateur doit être particulièrement vigilant lorsqu'il utilise un ordinateur accessible par d'autres utilisateurs (poste en libre accès dans une entreprise, une école, une bibliothèque ou un lieu public comme un cybercafé).

10ème édition des Big Brother Awards : la chasse est ouverte !

Communiqué de Privacy France, 3 mars 2010.

Putain... 10 ans! 10 ans déjà que les Big Brother Awards (BBA) France décernent, tous les ans, leurs prix infâmants. Créés en 1998 au Royaume-Uni, lancés en France en l’an 2000 et repris, depuis, dans près d’une vingtaine de pays, les BBA sont la seule cérémonie ayant vocation à disparaître.

Las, les promoteurs zélés de la société de surveillance et des atteintes à la vie privée sont toujours aussi nombreux, et les BBA se voient contraints, une fois encore, d’organiser la traditionnelle "Orwell Party", pionnière de ces cérémonies de remises des prix qu’évitent soigneusement ceux-là mêmes qui y sont primés. Elle se déroulera le 29 mai 2010 à la Belle Etoile, QG de la compagnie de théâtre Jolie Môme, à Saint-Denis.

Web Security Dojo : Environnement de formation à la sécurité des applications Web.

Dojo est un environnement complet open-source de formation pour réaliser des tests de pénétration pour éprouver la sécurité de Web-applications. On pourrai résumer Dojo par une simple addition : Outils + Cibles = Dojo.

Comment c'est fait :
Divers outils de test web de sécurité des applications (les outils) et des applications web vulnérables (les cibles) ont été ajoutés à une installation propre d'Ubuntu v9.10 (donc un environnement complet).

Pourquoi faire ?
Le but de Dojo est de vous apprendre et de vous faire pratiquer différentes techniques de tests de sécurité sur des Web App. Il est idéal pour les classes de formation et conférences ou pour se former car il n'a pas besoin d'une connexion réseau. Le Dojo contient tout le nécessaire pour démarrer - les outils, les cibles, et la documentation.