MISC 50

Ce proverbe [1] se prête bien à l'introduction d'un dossier qui se devait d'être traité dans un magazine tel que MISC. En effet, une population de lecteurs telle que celle qui régulièrement parcourt ces pages avec respect et intelligence [2] a nécessairement passé des heures sur diverses générations de plates-formes à essayer de résoudre des énigmes, sauver le monde, tuer des tas de trucs qui bougent ou bâtir des empires.

Obtenir les privilèges SYS dans une base de données Oracle est souvent facile durant un test d'intrusion interne. Il est cependant bien tentant de pouvoir exécuter des commandes sur l'hôte hébergeant cette base. Pour ce faire, on peut utiliser des exploits, avec tous les inconvénients que cela comporte (disponibilité du service, fiabilité d'un exploit souvent ancien, ...), ou exploiter des fonctionnalités documentées, ce que nous allons faire.

Les clés USB méritent qu'on y apporte un peu plus d'attention. Au-delà des petits morceaux de plastique qui nous permettent de transporter, copier, échanger des Go de fichiers, il y a aussi un support informatique qui amène ses faiblesses, principalement dues à sa banalisation. En les manipulant tous les jours sans aucune précaution, nous prenons des risques sans le savoir ou en pensant simplement que ça n'arrive qu'au cinéma !