Cours TLS-SEC et Cryptis https://tls-sec.skyblue.team/ Recent content on Cours TLS-SEC et Cryptis Hugo -- gohugo.io fr-FR Corrections des TP https://tls-sec.skyblue.team/corrections.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/corrections.html <h2 id="tp-reverse">TP Reverse</h2> <p>Vous trouverez une correction du TP PipeServer contenant une base de donnée IDA et un fichier Python permettant d&rsquo;exécuter l&rsquo;exploit ici: <a href="https://tls-sec.skyblue.team/documents/reverse/correction_tp_pipeserver.zip">correction_tp_pipeserver.zip</a></p> <p>Pour trouver l&rsquo;adresse de la structure <code>EXCEPTION_REGISTRATION_RECORD</code>, débuggez PipeServer avec IDA en mettant un breakpoint dans la fonction responsable de vérifier le nom d&rsquo;utilisateur et le mot de passe. Une fois votre EIP dedans, ouvrez le menu &ldquo;Debugger&rdquo; &gt; &ldquo;Debugger windows&rdquo; &gt; &ldquo;SEH List&rdquo;. L&rsquo;adresse dans la pile du SEH record vous est indiquée. Comparez-la à celle de &ldquo;Str1&rdquo; pour savoir quelle taille doit faire votre buffer afin de pouvoir l&rsquo;écraser.</p> TP Reverse

Vous trouverez une correction du TP PipeServer contenant une base de donnée IDA et un fichier Python permettant d’exécuter l’exploit ici: correction_tp_pipeserver.zip

Pour trouver l’adresse de la structure EXCEPTION_REGISTRATION_RECORD, débuggez PipeServer avec IDA en mettant un breakpoint dans la fonction responsable de vérifier le nom d’utilisateur et le mot de passe. Une fois votre EIP dedans, ouvrez le menu “Debugger” > “Debugger windows” > “SEH List”. L’adresse dans la pile du SEH record vous est indiquée. Comparez-la à celle de “Str1” pour savoir quelle taille doit faire votre buffer afin de pouvoir l’écraser.

TP Forensique

Vous pourrez trouver une correction du TP de forensique ici: correction_tp_forensics.pdf

Cette correction ne va pas jusqu’à l’analyse de x86.exe, vous pouvez la trouver ici: x86_exe.pdf.

]]> Machines virtuelles https://tls-sec.skyblue.team/vm.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/vm.html <p>Afin de pouvoir suivre les TP le plus simplement possible, nous vous proposons des machines virtuelles qui contiennent tous les outils nécessaires. Ces machines sont au format <a href="https://en.wikipedia.org/wiki/Open_Virtualization_Format">OVA</a>, qui est <em>normalement</em> standard.</p> <table> <thead> <tr> <th style="text-align: left">Description</th> <th style="text-align: center">Lien</th> </tr> </thead> <tbody> <tr> <td style="text-align: left">Machine de reverse engineering (Windows 10)</td> <td style="text-align: center"><a href="https://tls-sec.skyblue.team/documents/vm/VM%20Reverse%202026.ova">VM Reverse 2026.ova</a></td> </tr> <tr> <td style="text-align: left">Machine de forensique (Ubuntu)</td> <td style="text-align: center"><a href="https://tls-sec.skyblue.team/documents/vm/vm-forensics.ova">vm-forensics.ova</a><br><strong>Nom d&rsquo;utilisateur:</strong> <code>forensics</code><br><strong>Mot de passe:</strong> <code>forensics</code></td> </tr> </tbody> </table> Afin de pouvoir suivre les TP le plus simplement possible, nous vous proposons des machines virtuelles qui contiennent tous les outils nécessaires. Ces machines sont au format OVA, qui est normalement standard.

Description Lien
Machine de reverse engineering (Windows 10) VM Reverse 2026.ova
Machine de forensique (Ubuntu) vm-forensics.ova
Nom d’utilisateur: forensics
Mot de passe: forensics
]]> Mini-TP reverse https://tls-sec.skyblue.team/mini.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/mini.html <p>Archive contenant les programmes à explorer avec <a href="https://github.com/horsicq/DIE-engine/releases">Detect-it-Easy</a></p> <ul> <li><a href="https://tls-sec.skyblue.team/documents/reverse/mini.zip">mini.zip</a></li> </ul> <hr/> <p>Lien vers Godbolt:</p> <ul> <li><a href="https://godbolt.org/z/qhxbMMse7">https://godbolt.org/z/qhxbMMse7</a></li> </ul> Archive contenant les programmes à explorer avec Detect-it-Easy

Lien vers Godbolt:

]]> PDF des slides du cours https://tls-sec.skyblue.team/cours.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/cours.html <ul> <li>Slides du cours de reverse: <a href="https://tls-sec.skyblue.team/documents/reverse/cours-reverse-tlssec.pdf">cours-reverse.pdf</a></li> <li>Slides du cours de forensique: <a href="https://tls-sec.skyblue.team/documents/forensics/cours-forensics.pdf">cours-forensics.pdf</a></li> </ul>
  • Slides du cours de reverse: cours-reverse.pdf
  • Slides du cours de forensique: cours-forensics.pdf
    • ]]>         TP - Analyse forensique https://tls-sec.skyblue.team/tp-forensics.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/tp-forensics.html <h2 id="mini-tp---découvrir-les-artefact-forensique-windows">Mini-TP - découvrir les artefact forensique Windows</h2> <details> <summary>Les temps MACB, et le Body file</summary> <p>Téléchargez <a href="https://tls-sec.skyblue.team/documents/forensics/01 - mactime.zip">01 - mactime.zip</a> et dézippez-le. Votre machine SIFT devrait déjà contenir les outils nécessaires à l&rsquo;analyse du fichier TXT contenu dans le ZIP.</p> <p>Afin de formater le fichier au format Body en quelque chose de plus lisible, nous allons utiliser <code>mactime</code>. Lisez sa page de manuel afin de vous familiariser avec.</p> <p>Répondez aux questions suivantes:</p> Mini-TP - découvrir les artefact forensique Windows
    Les temps MACB, et le Body file

    Téléchargez 01 - mactime.zip et dézippez-le. Votre machine SIFT devrait déjà contenir les outils nécessaires à l’analyse du fichier TXT contenu dans le ZIP.

    Afin de formater le fichier au format Body en quelque chose de plus lisible, nous allons utiliser mactime. Lisez sa page de manuel afin de vous familiariser avec.

    Répondez aux questions suivantes:

    • Quand le fichier suivant a-t-il été créé ? : C:\Users\Gérard\Documents\emacs-22.3\README.W32 (le temps “B”)
    • D’où provient-il ? (Qu’est-ce qu’il fait ici ?)
    • Quelle est la date de dernière modification de son contenu ? (le temps “M”)
    • Identifiez-vous un problème dans ces deux dates ? Comment l’expliquer ?
    Les journaux d'événements Windows Téléchargez 02 - evtx.zip et dézippez-le.

    Nous allons utiliser evtxexport pour transformer le fichier EVTX en un fichier XML lisible par un humain. Lancez la commande suivante afin de procéder à l’export:

    $ evtxexport -f xml sysmon.evtx

    Répondez aux questions suivantes:

    • Quel est le nom de la machine depuis laquelle ce fichier EVTX a été extrait ?
    • Observez les différents événements, et le cours. Quel est l’EventID qui correspond à la création d’un processus ?
    • Quel fichier est identifié par le hash 29EFD64DD3C7FE1E2B022B7AD73A1BA5 ? Quelle était la ligne de commande utilisée pour le lancer ?
    Extraction d'informations depuis des ruches de registre

    Téléchargez 03 - registry.zip et dézippez-le. Installez regripper depuis APT, ou regrippy depuis PyPI.

    Lisez la documentation de regripper ou regrippy.

    Répondez aux questions suivantes:

    • Listez les programmes lancés automatiquement lors de la connexion de Gérard.
    • Lequel vous paraît suspect ?

    TP - Réponse à incident, analyse d’une machine compromise par un groupe APT

    Mise en situation: vous venez de recevoir un mail d’alerte du Security Operations Center.

    Les équipes réseaux nous ont informé avoir vu passer du trafic suspect qui semblerait provenir d’un ordinateur portable d’un de nos employés. Les paquets sont à destination de l’IP 63.32.214.139, qui est bien connue, et est associé à Equation Group. Nous avons effectué une capture de la machine en suivant la procédure, vous trouverez les fichiers en pièce jointe.

    L’archive contenant les fichiers importants de la machine, un Body file du disque dur, et une capture mémoire, peut se télécharger ici: tp-forensics.zip (2.6 GiB)

    Nous utiliserons Volatility afin d’analyser le dump de mémoire: voici une cheatsheet contenant les plugins les plus utilisés. Pour analyser les fichiers extraits depuis la machine, référez-vous aux slides du cours.

    L’analyse de cet incident est relativement longue: prenez des notes sur ce que vous observez afin de pouvoir y revenir. Elle est plutôt guidée par rapport à une vraie réponse sur incident: l’idée est de guider votre analyse vers les bons indices afin que vous puissiez arriver au bout aujourd’hui. N’hésitez pas à demander de l’aide !

    Etape 1: identification du point d'entrée
    • Quel début de piste pouvez-vous identifier dans le message du SOC ?
    • Comment pouvez-vous identifier les processus liés à cet IoC ?
    • Listez les processus liés à cet IoC. Vous devriez en trouver 2.
    • Réponse (surlignez): x86.exe et WINWORD.exe
    Etape 2: analyse de maldoc
    • Récupérez la ligne de commande complète utilisée pour lancer Word
    • Grâce à cette ligne de commande, identifiez le fichier ouvert dans Word
    • Identifiez quand il a été créé
    • Récupérez-le (depuis la mémoire)
    • Analysez-le, en utilisant olevba pour lister les macros. Lisez ensuite cet article sur le Remote Template Injection, et vérifiez que vous observez bien cette technique dans votre document.
    • Récupérez le template chargé par Word et analysez ses macros
    Etape 2 bis: déterminer la source du fichier

    Nous allons étudier le contenu de l’USN Journal de la machine compromise afin de mieux comprendre d’où provient le document Word en question. L’USN Journal est un artefact du système de fichiers NTFS qui liste les changements récents sur un volume, tel que les nouveaux fichiers, les renommages, et les suppressions.

    Le fichier contenant ces informations se nomme $UsnJrnl:$J, et est situé dans le dossier caché $Extend à la racine du disque.

    Vous pourrez utiliser PoorBillionaire/USN-Journal-Parser afin de parser ce fichier.

    pip install git+https://github.com/PoorBillionaire/USN-Journal-Parser
    • Identifiez les lignes correspondant au fichier Word dans le Body file donné avec le dump. Quels Alternate Data Streams pouvez-vous identifier ?
    • Qu’est-ce que cela signifie ?
    • Parsez l’USN Journal avec le script
    • Cherchez la ligne correspondant à la création du document. Observez les modifications ayant eu lieu peu avant. Que pouvez-vous en déduire concernant l’origine du document
    Etape 3: analyse de malware
    • Récupérez le fichier x86.exe
    • Cet exécutable est un malware d’une famille bien connue. Laquelle ?
    • Grâce à cette information, extrayez sa configuration
    • Déterminez son processus parent
    • Déterminez comment ce processus en est venu à exécuter ce malware
    ]]>         TP - Reverse engineering https://tls-sec.skyblue.team/tp-reverse.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/tp-reverse.html <p>Le TP peut être téléchargé ici: <a href="https://tls-sec.skyblue.team/documents/reverse/tp-reverse.zip">tp-reverse.zip</a>.</p> <p>Vous pouvez aussi récupérer une cheatsheet pour IDA qui reprend les raccourcis clavier les plus utilisés: <a href="https://tls-sec.skyblue.team/documents/reverse/ida_cheatsheet.pdf">ida_cheatsheet.pdf</a>.</p> <p>Une fois à la fin du TP, vous aurez l&rsquo;occasion de faire exécuter un shellcode par l&rsquo;application: vous pouvez utiliser celui-ci, qui ouvrira <code>calc.exe</code>.</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-python" data-lang="python"><span style="display:flex;"><span>shellcode <span style="color:#f92672">=</span> <span style="color:#e6db74">b</span><span style="color:#e6db74">&#34;</span><span style="color:#ae81ff">\x31\xdb\x64\x8b\x7b\x30\x8b\x7f\x0c\x8b\x7f\x1c\x8b\x47\x08\x8b\x77\x20\x8b\x3f\x80\x7e\x0c\x33\x75\xf2\x89\xc7\x03\x78\x3c\x8b\x57\x78\x01\xc2\x8b\x7a\x20\x01\xc7\x89\xdd\x8b\x34\xaf\x01\xc6\x45\x81\x3e\x43\x72\x65\x61\x75\xf2\x81\x7e\x08\x6f\x63\x65\x73\x75\xe9\x8b\x7a\x24\x01\xc7\x66\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7\x8b\x7c\xaf\xfc\x01\xc7\x89\xd9\xb1\xff\x53\xe2\xfd\x68\x63\x61\x6c\x63\x89\xe2\x52\x52\x53\x53\x53\x53\x53\x53\x52\x53\xff\xd7\xcd\x29</span><span style="color:#e6db74">&#34;</span></span></span></code></pre></div> Le TP peut être téléchargé ici: tp-reverse.zip.

    Vous pouvez aussi récupérer une cheatsheet pour IDA qui reprend les raccourcis clavier les plus utilisés: ida_cheatsheet.pdf.

    Une fois à la fin du TP, vous aurez l’occasion de faire exécuter un shellcode par l’application: vous pouvez utiliser celui-ci, qui ouvrira calc.exe.

    shellcode = b"\x31\xdb\x64\x8b\x7b\x30\x8b\x7f\x0c\x8b\x7f\x1c\x8b\x47\x08\x8b\x77\x20\x8b\x3f\x80\x7e\x0c\x33\x75\xf2\x89\xc7\x03\x78\x3c\x8b\x57\x78\x01\xc2\x8b\x7a\x20\x01\xc7\x89\xdd\x8b\x34\xaf\x01\xc6\x45\x81\x3e\x43\x72\x65\x61\x75\xf2\x81\x7e\x08\x6f\x63\x65\x73\x75\xe9\x8b\x7a\x24\x01\xc7\x66\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7\x8b\x7c\xaf\xfc\x01\xc7\x89\xd9\xb1\xff\x53\xe2\xfd\x68\x63\x61\x6c\x63\x89\xe2\x52\x52\x53\x53\x53\x53\x53\x53\x52\x53\xff\xd7\xcd\x29"
    ]]>         TP: Windows NT 4.0 https://tls-sec.skyblue.team/nt4.html Mon, 01 Jan 0001 00:00:00 +0000 https://tls-sec.skyblue.team/nt4.html <script src="libv86.js"></script> <script> window.onload = function() { var emulator = new V86({ screen_container: document.getElementById("computer"), memory_size: 64 * 1024 * 1024, vga_memory_size: 20 * 1024 * 1024, bios: { url: "/documents/reverse/nt4/seabios.bin", }, vga_bios: { url: "/documents/reverse/nt4/vgabios.bin", }, hda: { url: "/documents/reverse/nt4/hdd.img.zst", //async: true, size: 134217728, }, cdrom: { url: "/documents/reverse/nt4/installer.iso", async: false, size: 546971648, }, autostart: true, cpuid_level: 2, acpi: false }); emulator.add_listener("screen-set-size", function() { setTimeout(function() { var s = document.getElementById("computer").querySelector("canvas").style.cssText; s = s.replace(/(width|height):[^;]+;/, ""); document.getElementById("computer").querySelector("canvas").style.cssText = s; }, 500); }); emulator.add_listener("download-progress", function(file) { let percent = Math.round((file["loaded"] / file["total"]) * 100); document.getElementById("files").setAttribute("value", file["file_index"]+1); document.getElementById("percent").setAttribute("value", percent); if (percent == 100 && file["file_index"] == 3) { document.getElementById("download").setAttribute("style", "display:none;"); } }); let el = document.querySelector("#computer"); el.addEventListener("click", async function(e) { await el.requestPointerLock(); }); document.getElementById("ctrlaltdel").addEventListener("click", function() { emulator.keyboard_send_scancodes([ 0x1D, // ctrl 0x38, // alt 0x53, // delete // break codes 0x1D | 0x80, 0x38 | 0x80, 0x53 | 0x80, ]); }); }; </script> <p id="download"> <progress id="files" max="4" value="0"></progress><br> <progress id="percent" max="100" value="0"></progress> </p>


    Fichiers nécessaires:

    Contenu du TP

    Keygen pour Windows NT 4

    Ce TP va vous guider dans l’analyse de l’algorithme de vérification de clés CD de Windows NT Workstation 4.0. Une fois que nous l’aurons compris, nous allons pouvoir terminer le processus d’installation sans pour autant avoir acheté de clé !

    Avant l’avènement des DRM connectés, les éditeurs de logiciels voulaient rendre plus difficile la copie illégale de leurs produits. Une solution assez simple était de demander à l’utilisateur une clé semi-aléatoire écrite dans le manuel: de cette manière, le manuel physique était nécessaire à l’installation, et il était plus difficile de partager le logiciel avec n’importe qui. Bien sûr, ça n’était pas une protection parfaite: windows XP CD avec la clé écrite au marqueur

    Les versions de Microsoft Windows avant Windows 98 utilisent un algorithme très simple, que vous allez retrouver et analyser. On travaillera sur Windows NT 4, une des premières versions commerciales de Windows à proposer le noyau NT, qui est encore utilisé dans les version modernes de Windows.

    Ingrédients nécessaires:

    Questions:

    • Lancez la VM contenant l’installeur. Progressez jusqu’au moment où une clé CD vous est demandée. Rendez-vous compte que vous êtes bloqué !
    • Prenez une capture d’écran de cette fenêtre.

    Les programmes Windows peuvent, en plus du code exécutable, embarquer un grand nombre de “ressources”. Celles-ci correspondent aux icônes, images, boîtes de dialogue, chaînes de caractères, etc. utilisées par le programme. https://en.wikipedia.org/wiki/Resource_(Windows)

    • Avec Resource Hacker, baladez vous dans les ressources de “syssetup.dll”
    • Retrouvez la boîte de dialogue correspondant à la capture d’écran que vous aviez prise. Quel est son “nameID” ? https://learn.microsoft.com/en-us/windows/win32/menurc/dialog-resource
    • Ouvrez “syssetup.dll” dans IDA. Afin de présenter ce dialogue à l’utilisateur, l’application va devoir le référencer par son “nameID”. Cherchez ce nameID dans le programme. Vous devriez trouver 3 références à cette valeur dans du code (segment .text)
    • Les trois références sont dans la même fonction: rendez-vous y.
    • Quels sont les ID des deux champs texte dans le dialogue demandant la clé CD ? Cherchez ces ID dans la fonction. Avec quelle fonction de l’API Win32 sont-ils utilisés ?

    Continuez votre analyse de la fonction trouvée dans “syssetup.dll”, et des fonctions annexes, afin de répondre aux questions suivantes:

    • Quelle taille doit faire la première partie de la clé CD ?

    • Quelle taille doit faire la deuxième partie de la clé CD ?

    • Quelle taille doit faire la troisième partie de la clé CD ?

    • Des restrictions sont-elles imposées sur la troisième partie de la clé ?

    • A quoi correspond la première partie de la clé, à votre avis ?

    La validation de la deuxième partie de la clé est un peu plus complexe: avoir une table ASCII sous les yeux peut être une aide intéressante.

    • Quelles sont les conditions pour que la deuxième partie soit valide ?
    • Les trois parties sont-elles liées entre elles ?

    Avec les connaissances obtenues, trouvez une clé CD valide (aide: il en existe une triviale, utilisez des zéro). Utilisez-la pour terminer le processus d’installation. Une fois terminé, connectez-vous avec le compte par défaut pour la suite du TP !

    ]]>