HACKING

Contourner la vérification par SMS sur n’importe quel site

De nos jours, plusieurs sites sur le Web, nous demandent de leurs indiquer notre numéro de téléphone pour confirmer notre identité et pour compléter une simple inscription. Mais voilà, donner son vrai numéro de téléphone à des inconnu, peut poser quelques problèmes de vie privée.

Alors pourquoi utilisent-ils ce système qui nous oblige à délivre notre numéro de téléphone mobile ?

  • Pour augmenter le niveau de sécurité de leur site web ?
  • Pour envoyer des annonces publicitaire sur ce numéro ?
  • Pour revendre nos numéro téléphonique à des annonceurs ?

Bref, je ne sais rien. Par contre, je sais qu’il existe une parade à ça : plutôt que de donner impunément votre numéro mobile, il existe une astuce pour contourner cette vérification par SMS : c’est de recourir à quelques services sur le web qui vous offrent des numéros de téléphones sur lesquels vous pouvez recevoir vos messages SMS. Parmi ces sites, je peux citer : http://receive-sms-online.info

contourner_sms-verification

L’avantage de receive-sms-online, c’est qu’il propose de nombreux numéros de tél, qui appartiennent à différents pays, très utile en cas de restriction que met en place certains sites web.

Comment contourner la vérification par SMS ?

  • Sélectionner un des numéros de téléphone disponibles pour recevoir un SMS en ligne.
  • Entrez ce numéro sur le site web demandant une vérification par SMS.
  • Une fois le SMS envoyé, cliquez sur le numéro pour voir les derniers SMS reçus.

verfication-sms

HACKING

Remplir automatiquement les captchas pour gagner du temps

Vous connaissez certainement les Captcha visant à vérifier que vous n’êtes pas un robot. Il utilisent des tests de Turing permettant de différencier de manière automatisée un utilisateur humain d’un ordinateur.

Cependant, cela est extrêmement agaçant. Car, il est difficile résoudre les CAPTCHAS qu’ils vous montrent afin de prouver que vous n’êtes pas un intrus.

Buster Captcha Slover for Humans est une extension de navigateur pour Mozilla Firefox et Google Chrome permettant de rendre les captchas moins frustrants sur Internet.

C’est une extension gratuite et open source qui vous aide à remplir les captchas automatiquement en utilisant la reconnaissance vocale.

Comment remplir un captcha automatiquement ?

Peut-être avez-vous remarqué que ces captchas disposent d’une alternative sonore au cas ou il s’affiche mal ou si la personne est handicapée. C’est là que Captcha Solver for Humans va agir:

L’extension va simplement utiliser la reconnaissance vocale pour remplir les captchas automatiquement afin que vous n’ayez pas à le faire. Les captchas qui sont vraiment tordus sont rapidement résolus en cliquant sur le bouton en bas du widget.

Il suffit de cliquer sur le bouton d’extension en bas du widget pour lui faire résoudre automatiquement le captcha audio.

Notez que la reconnaissance vocale n’est pas infaillible. Mais vous pouvez réessayer si l’extension n’a pas bien fonctionné la première fois.

Certes, il peut parfois être plus rapide de résoudre le captcha manuellement. Mais si vous en rencontrez un que vous ne pouvez pas résoudre, vous voudrez peut-être vérifier si Buster peut le résoudre pour vous.

HACKING

Changer votre voix en ligne facilement

Si vous lisez de temps à autre FunInformatique, vous connaissez surement le social engineering, une technique utilisée par les hackers pour obtenir des informations confidentiels auprès de ces victimes.

Sachez qu’avec un simple logiciel qui change votre voix, il est possible d’améliorer cette technique de social enginering.

Modulate est un logiciel en ligne qui permet de changer radicalement la voix de quelqu’un.

Par exemple transformer une voix homme en voix de femme. Mais aussi de pouvoir donner la voix de quelqu’un de connu pour n’importe laquelle de vos phrases.

Interface Modulate

Votre téléphone se met à sonner et au bout du fil une voix sûre d’elle qui vient vous poser quelques questions. Cette personne dit appartenir au service informatique de votre entreprise.

La voix est sensuelle, la personne a beaucoup d’humour et vous entendez dans le fond des bruits de bureau.

Pour vous pas de doute, cette belle jeune femme a un boulot bien ennuyeux et vous compatissez.

Pour ne pas être désagréable, vous acceptez de répondre à ses questions.

Au début d’ordre général (« Vous êtes plutôt yaourt au fruit ou nature »), les questions deviennent de plus en plus personnelles. Vous êtes tombé dans le piège. En moins de deux, vous avez donné le nom de jeune fille de votre mère, la marque de votre première voiture ou votre plat préféré.

Cela ne vous rappelle rien ?

Ce sont ces fameuses questions de sécurité qui permettent de retrouver ou de changer un mot de passe

Modulate est un service en ligne qui vous permettre de changer votre voix: changer de genre, plus grave ou plus aigué, imiter la voix de quelqu’un (en anglais) ou faire du TTS (Text to Speech).

HACKING

Surveiller l’activité d’un contact WhatsApp

Vous cherchez à surveiller l’activité d’un contact Whatsapp sur Android ou iOS ? Que ça soit votre enfant, ou votre conjoint, Wossip vous permet de surveiller l’activité de tous vos contacts Whatsapp.

Cette application vous indiquera combien de fois, pour combien de temps et à quelle heure votre enfant parle-t-il sur Whatsapp.

Tout ce que vous avez à faire est d’entrer le numéro de téléphone de votre contact et vous pouvez suivre son activité Whatsapp.

Vous recevrez une notification chaque fois que votre proche est en ligne, afin que vous puissiez voir s’il discute avec une petite amie ou un copain à l’école, par exemple.

Avec Wossip, vous aurez la possibilité de voir le nombre de connexions/déconnexions et le temps en ligne. Vous pouvez même voir la dernière consultation et être notifié instantanément lorsqu’un contact est en ligne.

Le mieux, c’est que même si vous êtes bloqué par un contact, Wossip fonctionne malgré tout.

On peut en effet afficher un véritable rapport des activités du contact : durée de connexion, date et heure de dernière connexion.

Whossip : comment ça marche ?

Il suffit de de s’inscrire au site web Wossip. Pour cela, je vous invite à suivre les instructions de cette vidéo:

Ensuite sélectionner les numéros de téléphone des contacts que vous souhaitez surveiller.

Oui, vous avez bien compris, pas besoin d’être en contact avec la personne pour espionner son compte WhatApp, tout du moins son activité WhatsApp.

Une fois que le contact a été sélectionné, on peut afficher son activité, voir son statut en ligne / hors ligne, heures de connexion / déconnexion, ainsi que des statistiques généraux sur l’utilisation de WhatsApp du contact en question.

L’application Wossip est payante. On doit payer 8€/mois pour continuer à espionner ses contacts tranquillement.

Si vous avez un iPhone et vous voulez également surveiller l’activité d’un contact Whatsapp, alors sachez que Wossip fonctionne également pour les utilisateurs iOS.

Comme sur Android, Wossip fonctionne comme un notifiant de statut en ligne de WhatsApp. Lorsqu’un utilisateur est actif sur WhatsApp, vous recevrez immédiatement une notification concernant sa présence en ligne.

Elle permet également de suivre le changement de son image de profil et son état du texte.

HACKING

Piratage d’un compte Facebook avec juste un SMS

Pouvez-vous imaginer qu’un seul SMS est suffisant pour pirater un compte Facebook ? Pas besoin d’utiliser des outils de piratage tels que des chevaux de Troie, phishing ou les Keylogger. Avec un simple message texte vous pouvez hacker un compte Facebook.

Ici , je vais vous expliquer comment un chercheur de sécurité britannique, « fin1te » à pu pirater un compte Facebook en une minute en envoyant un simple SMS.

Comme vous le savez, il existe une option permettant de lier votre numéro de téléphone à votre compte Facebook. Cela vous permet de recevoir les mises à jour de votre compte Facebook par SMS. Vous pouvez également vous connecter à votre compte en utilisant ce numéro plutôt que votre adresse e-mail.

Selon le chercheur, la faille était liée au processus de liaison de numéro de téléphone ou, techniquement, au fichier /ajax/settings/mobile/confirm_phone.php.

Cette page Web permet un utilisateur de soumettre son numéro de téléphone et son code de vérification, envoyés par Facebook.

Ce formulaire comporte deux paramètres principaux, l’un pour le code de vérification et l’autre profil_id, qui est le compte auquel le numéro est associé .

Comment pirater compte Facebook avec un message texte ?

Voici les étapes pour exécuter le piratage Facebook avec SMS:

  • Dans le code source de la page confirm_phone.php, remplacez la valeur de profile_id par la valeur profile_id de la victime.
  • Envoyez la lettre F au numéro 5100, qui est le shortcode SMS de Facebook en France. Vous recevrez un code de vérification de 8 caractères.
  • Entrez ce code dans la valeur du paramètre confirmation_code et soumettez le formulaire.
  • A cette étape, Facebook va lié le numéro de téléphone de l’attaquant au profil Facebook de la victime.
  • Enfin pour prendre le contrôle total du compte Facebook de la victime, le hacker doit simplement se rendre dans l’option Mot de passe oublié et lancer la demande de réinitialisation du mot de passe .

Facebook n’accepte plus le paramètre profile_id de l’utilisateur et l’équipe de développeur a corriger cette faille majeure. En contrepartie, Facebook à versé 20 000 $ US au chercheur « fin1te » sous forme de Bug Bounty .

HACKING

Phishing – C’est quoi ? Comment s’en protéger ?

Le phishing, est une technique de falsification utilisée par des pirates dans le but de voler votre identité et de récupérer vos informations sensibles comme les mots de passe et les numéro de carte crédits.

Il existe différentes variantes à l’hameçonnage. On notera le spear phishing et le in-session phishing qui sont respectivement l’hameçonnage ciblé (notamment à l’aide des réseaux sociaux) et l’hameçonnage de session (basé sur des pop-up pendant la navigation).

Comment fonctionne le Phishing ?

La technique consiste à faire croire à la victime qu’elle s’adresse à un tiers de confiance site vente, administration, banque, réseau social etc. Afin de lui récupérer des renseignements personnels.

C’est une forme d’attaque informatique reposant sur l’ingénierie sociale et il peut se faire par courrier électronique, par des sites web falsifiés, ou autres moyens électroniques.

Les messages phishing exploitaient la naïveté des usagers qui croyaient recevoir un message automatisé de l’entreprise de messagerie électronique. On demande à l’utilisateur de cliquer sur le lien pour être redirigé vers un site de la compagnie afin d’y entrer ses informations personnelles

Grace à cette attaque, les pirates obtiennent des informations personnelles telles que numéro de compte bancaire, numéro client, code confidentiel, mot de passe des réseaux sociaux. Après avoir récupéré ces informations, les pirates réalisent des transactions financières frauduleuses et revendent parfois ces informations volées.

Comment se protéger du Phishing ?

Vérifier l’URL avant d’accéder au site web

La première chose à faire c’est vérifier l’adresse web dans la barre d’adresse du navigateur lorsque on vous demande de cliquer sur un site Internet.

  • Une attaque simple: Il consiste à utiliser un nom de domaine mal orthographié, comme http://www.faceboook.com/ au lieu de http://facebook.com/. Bien sûr, l’attaquant aura préalablement acheté le nom de domaine mal orthographié.
  • Une attaque plus élaborée: C’est est l’utilisation d’une adresse Web contenant le symbole « @ ».
    Par exemple l’adresse Web: http://www.paypal.com:refID12344234324@funinformatique.com/ mène à https://www.funinformatique.com et non pas  http://www.paypal.com. Une variante à l’utilisation du ‘@’ consiste à utiliser un sous-domaine, par exemple http://www.paypal.com.example.com.

Donc pour éviter de tomber dans le phishing, il faut toujours vérifier l’adresse du site web vers lequel on vous demande de cliquer.  Il est préférable de saisir vous même l’URL pour accéder au service.

Il existe de nombreuses extensions pour le navigateur Firefox et Chrome qui vous aide à vérifier une adresse web avant d’y accéder. Parmi ces extensions, on trouve WOT, Netcraft ou encore Alerte Mot de passe.

Exemple mail de phishing

Vérifier l’orthographe du site web et de l’email reçu

La présence de fautes d’orthographe peuvent-être révélateurs d’une tentative de phishing. Malheureusement, les fautes d’orthographe ont diminuer dans les emails et les sites web frauduleux (la plupart sont maintenant rédigés dans un français impeccable et sans faute d’orthographe…).

Que faire lorsque vous êtes victime du Phishing ?

Lorsque vous êtes victime d’une arnaque de type phishing, il est nécessaire de réagir de la façon suivante :

  • D’abord, évidemment, ne pas paniquer, ne pas répondre au message reçu, ne pas payer une rançon, et ne pas ouvrir les pièces jointes potentielles attachées;
  • Changer rapidement vos mots de passe sur les services affecté par ces attaques ;
  • Aviser votre banque de l’attaque dont vous avez été victime ;
  • Ensuite comme le conseille la CNIL sur sa page, effectuer des captures d’écran du message en question, et signaler l’escroquerie sur internet-signalement.gouv.fr.
HACKING

Détecter et corriger une faille SQL avec Havij

Havij est un outil automatisé d’injection SQL qui permet aux testeurs de pénétration de trouver et identifier les vulnérabilités SQL d’une base données afin de s’en protéger.

En utilisant ce logiciel, un utilisateur peut récupérer les utilisateurs d’une base de données, les mots de passe, les tables et les colonnes, et même exécuter des commandes linux à distance sur le système d’exploitation du serveur hébergeur. 

La puissance de Havij qui le rend différent des autres outils hackers sont ses méthodes d’injection. Le taux de réussite d’une injection SQL  est supérieur à 95%.

Pour utiliser cet outil, il préférable de savoir comment fonctionne une injection SQL.

Pour commencer, télécharger l’outil havij puis lancez l’installation. Apres le lancement de l’outil une fenêtre se présente comme l’image ci-dessous:

Ensuite dans Target, mettez l’adresse de votre cible (ayant une faille SQL) exemple:

www.cible.com/index.php?id=la valeur de l’id

Puis cliquez sur Analyze.

Attendez jusqu’à ce que le Status redevient I’m IDLE. Apres vous pouvez récupérer toutes les tables de la base données du site en cliquant sur Tables puis get tables.

Et pour bien comprendre l’utilité de havij, je vous présente une vidéo très utile que j’ai trouvé sur YouTube  .

HACKING

Le navigateur web des hackers [ MANTRA ]

Mantra, est une collection d’outils hackers libres et open source intégrée dans un navigateur web, il est très pratique pour les testeurs de pénétration, les développeurs d’applications Web et les hackers.

Il s’agit en fait d’une version portable du navigateur Web Firefox regroupant une collection de modules utiles lors des tests d’intrusions. Pratique pour tout avoir sous la main, sans installer des tas de plugin trop lourds sur votre navigateur.

En effet ce navigateur jouit de plus de 40 extensions embarquées par défaut pour garder sous la main les outils indispensables à l’exécution de batteries de tests.  De la collecte d’informations, grâce à Flagfox ou PassiveRecon, aux utilitaires réseaux comme Fire FTP ou CrytoFox, Mantra se spécialise en premier lieu dans le test d’intrusion afin de renforcer la sécurité des sites Internet et des serveurs mais aussi de préserver la confidentialité des utilisateurs.

Parmi les extension qui contient Mandra on trouve :

Mantra est Téléchargeable ici (Windows, Linux, Mac).

HACKING

John The Ripper – Trouver le mot de passe d’une machine Linux

Pour trouver le mot de passe d’une machine Linux, c’est assez simple mais ça prend parfois du temps…

Tout d’abord, il vous faut un petit logiciel open source qui s’appelle  John The Ripper.

John The Ripper, c’est quoi ?

John the Ripper est un logiciel libre de cassage de mot de passe, il est capable de casser différents formats de chiffrement de mots de passe, notamment les mots de passes crypt (Unix), MD5, Blowfish, Kerberos, AFS, et les LM hashes.

La fonction de John est de tester toutes les combinaisons possibles soit d’une liste de mot, soit de manière incrémentale pour faire correspondre le hash du mot de passe crypté avec celui du mot testé.

Bref, vous l’aurez compris, ça peut prendre du temps si le mot de passe est bien long et bien complexe.

Installation de John The Ripper (sous Radhat)

Apres le Téléchargement de l’outil John, extraire le dossier a l’aide de la commande   :

# tar -xzvf john-1.7.2.tar.gz;

Ensuite entrer dans le répertoire ou vous avez extrait le fichier compressé, puis lancez les commandes suivantes:

# cd john-1.7.2/src

#make

Noter la catégorie de votre système puis taper:

# make clean votre_catègorie_système

Démarrer John comme suit:

# cd ../run

# ./john -test

L’outil est prêt pour l’utilisation.

Utilisation de John The Ripper

Tout d’abord   on crée un nouvel utilisateur sur notre système pour le test, qui se nommera funInformatique et on lui attribut le mot de passe ‘pass32’ :

#adduser FunInformatique

#passwd pass32

Ensuite on récupère son mot de passe crypté depuis le fichier /etc/shadow (contient les mots de passe cryptée de tous les utilisateurs) .

cat /etc/shadow | grep funinformatique > mpass

mpass c’est le nom de notre fichier qui contient le mot de passe crypté.

Enfin, pour pouvoir cracker ce mot de passe, on exécute John a l’aide de la commande suivante:

# ./john mpass

 

Une fois que John aura fini son travail, il ne vous restera plus qu’a afficher ce mot de passe avec la commande suivante :

# ./ john -show mpass

Ici, il aura fallu pas moins de 6 minutes 50 secondes à John pour trouver la solution :

Loaded 1 password hash (FreeBSD MD5 [32/32])
pass32 (funinformatique)
guesses: 1 time: 0:00:06:50 (3) c/s: 6280 trying: pass32

Comment s’en protéger ?

Une solution pour parer toutes ces techniques, est donc d’utiliser un mot de passe long comportant une multitude de caractères différents.

On devra également multiplier le nombre de mots de passe. En effet, utiliser le même et unique mot de passe pour protéger toutes ces données est fortement déconseillé. Et pour ne pas les oublier, je vous recommande d’utiliser un gestionnaire de mot de passe.

HACKING

La stéganographie: comment cacher un message secret ?

La stéganographie est une technique de camouflage électronique qui permet de cacher un texte au cœur d’une image, son ou dans une vidéo. On peut ainsi dissimuler des messages qui ne peuvent être récupérés qu’à l’aide d’un logiciel spécifique et d’une clé décryptage. Cette technique, fréquemment exploitée pour marquer les œuvres copyrights.

Les différentes techniques de la stéganographie:

Des différentes voies sont possibles pour cacher de l’information.

Message caché dans un texte écrit

Décaler une lettre de quelques pixels ne pose aucun problème sur une imprimante à laser et c’est pratiquement invisible à l’œil nu. En jouant sur les inter lettrages d’un texte très long et à raison de deux valeurs d’espacement correspondant à 1 et 0, il est possible de transmettre un message sous forme papier, qui ne révélera son vrai sens qu’une fois analysé par un scanner ayant une bonne précision.

Message caché dans une Image

Les documents « porteurs » sont généralement des images. Avant de cacher un document dans une image RVB, il faut faire une petite définition de ce qu’est une structure d’image.

  • Le pixel : c’est la plus petite unité affichable à l’écran. Un pixel est constitué de 3 octets : un octet pour la composante rouge, un octet pour la composante verte et un octet pour la composante bleue. C’est pour cela que l’on parle de RVB (Rouge Vert Bleu).
    A partir de ces trois octets, on peut donc avoir 256*256*256 = 16777216 couleurs différentes, ce qui est largement plus que ne peut distinguer l’oeil humain.
  • L’image : Ce n’est ni plus ni moins que le stockage dans un fichier de tous les pixels RVB composant l’image finale. Par exemple, une image 800×600 pixels correspond à 800x600x3 = 1440000 octets.

Cacher l’information dans l’image :  L’astuce est d’utiliser un bit à chaque octet RVB qui compose chaque pixel de l’image. En effet, en retirant 1 bit, on dégrade l’image, mais ce n’est pas visible à l’oeil nu.
De ce fait, on peut récupérer ce bit à chaque fois et l’utiliser pour stocker les données que l’on souhaite. Nous récupérons donc 1/8e de la taille de l’image pour cacher une information ou un document.

Dans notre exemple, une image 800×600 pixels permet de stocker une information de 180000 octets. Cela peut être, par exemple, pour stocker un document Word a l’intérieur de l’image…

 Exemple:

  • L’image initiale du château de Chambord. Elle est composé de 256 lignes de 256 points colorés (appelés pixels).
  • L’image transformée du château de Chambord. Quelques points sont modifiés en suivant une règle convenue entre l’envoyeur du message et le receveur. L’image est très peu altérée. En prenant une image comportant plus de points, il est impossible de déceler qu’elle cache un message.
  • Angle supérieur gauche de l’image 2, où l’on voit nettement les points qui ont été colorés en noir et dont l’analyse des coordonnées fournit le message DEMAIN A L’AUBE.

Le Watermarking

Il s’agit d’une technique pour protéger les images numériques, en insérant une signature invisible et permanente à l’intérieur des images numériques sur Internet, afin de lutter contre la fraude et le piratage et d’assurer la protection des droits de propriété intellectuelle. Ainsi, en cas de litige de droits d’auteurs, le watermark sera montré pour prouver l’originalité de l’oeuvre.

Image avec Watermarkingn numérique

Message caché dans un Son

De faibles variations, imperceptible pour l’oreille, dans les basses fréquences ou ce que l’on appelle le bruit de fond peuvent contenir une grande quantité d’information. Un grésillement infime peut cacher des secrets. Evidemment, ce bruit doit de préférence être transmis de façon numérique sans quoi les vrais pertes de transmission pourraient effacer entièrement le message caché.

Afin de rester indécelable, le bruit artificiel doit posséder les propriétés statistiques d’un vrai bruit de fond.

Conclusion

Apres tout, quoi de plus inoffensif qu’une image, son ou un texte ? Le problème avec la stéganographie, c’est qu’elle est non seulement difficile à détecter mais également complexe à décrypter. Deux particularités qui en font un vecteur d’attaque très intéressant pour les hackers.

 

Categories

news