Magazine High tech

Hack In The Box Kuala Lumpur...

Publié le 05 novembre 2012 par Sid

HITB 2012 logo

L

a dixième édition de Hack In The Box Kuala Lumpur s'est déroulée les 10 et 11 octobre derniers à, comme son nom l'indique, Kuala Lumpur, Malaisie. Au programme figuraient trois tracks proposant une grosse trentaine de talks au sujets assez variés. S'il a fallu faire des choix, ce derniers ont été, en ce qui me concerne, loin d'être aussi mauvais que pour d'autres conférences...

Voici donc un rapide résumé de ceux que j'ai pu voir, ou entrevoir, durant ces deux jours d'une conférence qui, au final, s'est révélée très intéressante.

Jour 0 : mardi 9 octobre 2012

L'arrivée en milieu d'après-midi à l'InterContinental Kulal Lumpur où se déroulait la conférence après près de seize heures de voyage a fait bu bien. Ça m'a en outre laissé le temps de flâner pendant les préparatifs, discuter avec les organisateurs et autres intervenants déjà présents, puis taper l'incruste au dîner des speakers qui se tenait le soir même à l'hôtel.

Jour 1 : mercredi 10 octobre 2012

  • "Practical exploitation of embedded systems", Andrea Barisani et Daniele Bianco (Inverse Path). Les auteurs font un retour d'expérience assez détaillé sur l'analyse de systèmes embarqués durant lequel ils partagent les techniques qu'ils utilisent pour accéder au système, dumper et analyser le firmware, injecter leur propre code, etc. Ils terminent par l'application au SMC d'Apple.
  • "Don't stand so close to me, an analysis of the NFC attack surface", Charlie Miller. Je ne suis pas resté très longtemps, la conférence se tenant à distance via Skype avec une qualité médiocre qui ne rendait pas l'expérience très sympathique à regarder. J'ai retenu de ce que j'ai vu et du parcours des slides une campagne de fuzzing NFC sous Android, avec un lot de vulnérabilités permettant l'exécution de code distante après un simple scan.
  • "Hackers, The Movie, A Retrospective", Don Bailey (Capitol Hill Consultants). Déçu de l'expérience Skype, je me suis rabattu sur cette intéressante présentation qui met en parallèle ce qu'on peut voir dans le film Hackers et dans la réalité. On notera une critique assez pertinente du système de confiance d'OpenSSH avec en particulier l'utilisation de l'agent SSH.
  • "Data mining a mountain of vulnerabilities", Chris Wysopal (Veracode). Je n'ai assisté qu'à la toute fin de la présentation et les questions qui ont suivi. Il s'agit d'un retour d'expérience sur l'analyse par Veracode de quelques dix mille applications. Il y a là-dedans pleins de chiffres intéressants, en particulier pour ceux qui veulent alimenter leurs propres présentations ;)
  • "OPSEC: Because Jail is for wufpd", The Grugq (COSEINC). Une présentation pas franchement technique présentant les dix commandements à appliquer quand on veut faire des bêtises[1] sous peine de se faire buster, ainsi que quelques outils adéquats, avec en particulier un projet de routeur anonymisant, PORTAL,. Il illustre son propos par le démantèlement de LulzSec.
  • "A historical look at the personal computer and the phreaking scene", John "Captain Crunch" Draper. Un voyage dans le temps sur les débuts du phreaking, le Homebrew Computer Club et quelques autres anecdotes sympathiques.
  • "Pwn@Home, an attack path to "jailbreaking" your home router", Frédéric Raynal et Gabriel Campana (QuarksLAB). Frédéric et Gabriel expliquent comment ils ont réussi à compromettre la double box d'un ISP lors de son audit en boîte noire. Plus que le résultat relativement attendu, c'est la méthodologie utilisée pour parvenir à leurs fins qui est intéressante. En démontrant au passage que non, la sécurité réseau n'est pas tout à fait morte ;)
  • "iOS6 Security", Mark Dowd and Tarjei Mandt (Azimuth Security). Je n'ai assisté qu'aux dernière minutes, mais ce maigre aperçu semble indiquer une bonne analyse des mécanismes de sécurité proposés par iOS 6 et les différentes manière de les contourner. La conclusion étant que cette dernière mouture de l'OS embarqué d'Apple est nettement plus sécurisé que ces prédécesseurs.
  • "IPv6 insecurity revolutions", Marc "Van Hauser" Heuse (THC.org). Un retour sur pas mal de choses dont l'auteur a déjà parlé çà et là. Si je n'adhère pas à l'idée sous-jacente qui voudrait que les gens fassent n'importe quoi parce que persuadés qu'IPv6 serait "plus sécurisé", je suis cependant assez d'accord sur la conclusion comme quoi la transition vers IPv6 annonce pas mal de problème de sécurité, et qu'il reste pas mal de choses à regarder sur le sujet.

Jour 2 : jeudi 11 octobre 2012

  • "Behavior-based methods for automated, scalable malware analysis", Stefano Zanero (Politecnico di Milano). L'auteur présente une technique d'analyse automatique de binaire visant dans un premier temps à identifier un programme malicieux, à en extraire le code responsable de ce comportement puis à le rapprocher de souches connues pour le classer. L'approche permet en outre d'identifier des sections de code dormantes par de tels rapprochement. Des résultats d'expérimentation avec un outil implémentation l'approche sont fournis. Un article plus détaillé est également en ligne.
  • "Innovative approaches to exploit delivery", Saumil Shah (Net-Square). Présentation originale et amusante de diverses techniques pour injecter du code malicieux à travers un navigateur. Ça commence avec l'utilisation des URLs courtes, pour continuer sur l'encapsulation de javascript dans une image : d'abord encodé en niveaux gris dans un PNG, puis directement dans GIF ou un BMP, et enfin dans le canal alpha.
  • La présentation sur PEDA/GDB ayant été annulée, elle a été remplacée par une table ronde dite "Open Bottle Panel Discussion" avec pleins de gens a priori intéressants. Au final, on a eu droit à une grosse troll session à base de private jokes d'un intérêt plus que discutable. Bref, une pure perte de temps...
  • "Messing up the kids playground, eradicating easy targets", Fyodor Yarochkin (P1Sec)[2]. Une présentation qui démarre sur un panorama de la cybercriminalité en Russie et des techniques de monétisation émergentes, en particulier via les services mobiles. La suite porte sur les résultats qu'une vaste analyse passive de trafic DNS, avec des découvertes intéressantes comme l'enregistrement de domaines pendant une trentaine de minutes par le truchement d'offres d'essai, pour finir sur un scanner de service destiné à détecter les webapps vulnérables avant que les mafieux ne les exploitent et les utilisent activement.
  • "Hacking Huawei VRP", Felix "FX" Lindner (Recurity Labs). Il s'agit de la fameuse conférence sur les routeurs chinois, sujet ô combien cher à monsieur le sénateur Bockel. On y découvre une tripotée de vulnérabilités venues tout droit des années 90, une prise en compte de la sécurité par le constructeur digne de la même période, une protection inexistante de l'accès physique mais pas vraiment de backdoor. Les conspirationnistes rétorqueront que le chemin entre vulnérabilité et porte dérobée n'est pas si long. Ce en quoi ils n'ont pas tout à fait tort...
  • "A scientific (but non academic) study of malware obfuscation technologies", Rodrigo Rubira Branco (Qualys). Juste vu les dernières minutes et la distribution de cachaça[3] pendant la séance de questions. Slides à creuser.
  • "Element 1337 in the Periodic Table, Pwnium", Chris Evans (Google). Un retour sur la seconde édition du programme Pwnium lancé par Google. Du contexte, des chiffres, des montants, une partie sur l'analyse de l'exploit de Vupen sur Chrome annoncé l'an dernier et une description pas forcément détaillée de l'exploit gagnant, lequel s'attaque à une faille dans le parser SVG puis s'échappe de la sandbox.

La conférence se clôture avec la remise des prix du CTF et du HackWeekDay, suivie d'une enchère de charité dont le clou aura certainement été la vente de la queue de cheval de Mikko Hypponen pour la modique somme de 7000MYR[4].
La journée se terminera au dernier étage d'un hôtel voisin pour une sympathique soirée d'anniversaire.

L'ensemble des slides de la conférence a été mis en ligne.
Je n'ai pas spécialement cherché d'autres compte-rendus, mais vous pourrez trouver celui de la team SCRT en particulier.
Des photos sont visibles chez moi d'une part et sur le site de la conférence d'autre part.

Notes

[1] Ce que l'auteur appelle être un "freedom fighter"...

[2] En collaboration avec Vladimir Kropotov, absent.

[3] L'ingrédient principal de la caïpirinha.

[4] soit un peu moins de 1800EUR.


Vous pourriez être intéressé par :

Retour à La Une de Logo Paperblog

Ces articles peuvent vous intéresser :

  • Vidéo : le « hack » Magic lantern de l’EOS 7D disponible

    Vidéo hack Magic lantern l’EOS disponible

    Pour les fans de vidéo avec un reflex et pour ceux qui disposent d’un Canon, le « hack » Magic lantern est maintenant disponible pour l’EOS 7D. Lire la suite

    Par  Photogeek
    HIGH TECH, IMAGE & SON , PHOTO & VIDÉO
  • Kuala Lumpur Jour et Nuit

    Vidéo timelapse réalisée par Rob Whitworth : 5 mois de travail, 400 heures, 4 appareils photo, 640 Go de données et 19997 photographies. Lire la suite

    Par  Pixfan
    HIGH TECH, IMAGE & SON , PHOTO & VIDÉO
  • [Box] My Little Red Carpet Box

    [Box] Little Carpet

    Ce matin, comme beaucoup d’abonnées, j’ai recue la box du mois de Mai …et comme je n’avais pas d’internet jusqu’a hier (merci la voisine) mais que je n’ai... Lire la suite

    Par  Virginiet
    CÔTÉ FEMMES, MODE FEMME
  • Colette Music Box

    Alors que nos yeux d’européens sont rivés vers l’est, à l’ouest il y a du nouveau et plus particulièrement au Canada. Rivales pour accueillir la superbe... Lire la suite

    Par  Christianpoulot
    CÔTÉ FEMMES, MODE FEMME
  • My Little Young Box…

    Little Young Box…

    Parce que la jeunesse c’est dans la tête, Evian a décidé de livrer sur votre paillasson tout ce qu’il vous fallait pour danser, jumper, faire des folies… De... Lire la suite

    Par  La Fille Aux Chaussures
    CÔTÉ FEMMES, PEOPLE
  • Glymm box mai 2012

    Glymm 2012

    Bonsoir à toutes J’ai reçue ma Glymm box le 16 mai, je sais je suis très en retard pour vous la présenter ( voir billet ci-dessous ) mais bon mieux vaut tard qu... Lire la suite

    Par  Elodie1987
    BEAUTÉ , CÔTÉ FEMMES
  • Beauty Revolution : Blooming Box

    Beauty Revolution Blooming

    Il y a quelques jours, je vous montrais en avant première sur la Fan Page : Safia Blog, une photo de la Blooming Box, un concept que j'adore (rappelez vous mon... Lire la suite

    Par  Safiaa
    BEAUTÉ , CONSO, SOINS CORPORELS

A propos de l’auteur


Sid 341 partages Voir son profil
Voir son blog

l'auteur n'a pas encore renseigné son compte l'auteur n'a pas encore renseigné son compte l'auteur n'a pas encore renseigné son compte