Alors maintenant c’est enregistrement systématique des sites intéressant sur mon blog, marre des bons liens qui disparaissent..

D’ici 1 mois ou 2 tout va aller très vite je vais commencer à faire quelques truc cool avec mon pc, comprendre, refaire les exemples, trouver des exemples,faire planter le truc,refaire planter le truc, etc…

à bientôt

http://www.l0t3k.org/security/ -> IDEM

http://nmap.org/man/fr/index.html -> N’évite pas d’acheter le bouquin

http://10minutemail.com/10MinuteMail/ -> Mail qui dure 10 minutes, évite le spam

http://www.ultravpn.fr/ -> VPN gratos français

Pour ma part j’utilise pour le moment ultravpn car c’est gratuit, on copie les fichiers du repertoire config contenant :

-ca

-client

-readme

-stealty connect (connection par tcp) que je renomme en “stealty”

dans le repertoire /etc/openvpn

sudo openvpn --cd /etc/openvpn --config /etc/openvpn/stealthy --script-security

et là, vous pouvez vérifier avecun navigateur console par exemple,

w3m google.fr -> mon-ip.org -> et hop !
Have fun !

Nessus 4.2

Aller ici et choisir Ubuntu 9.10 enfin si vous l’avez..
dpkg -i Nessus-4.2.0-ubuntu910_i386.deb

sudo /opt/nessus/sbin/nessus-adduser
aller ici choisir Home Feed pour la version gratuite, vous recevrez l’email avec votre serial, à refaire cette étape si vous réinstaller sur un autre pc.

sudo nessus-fetch --register xxxx-xxxx-xxxx-xxxx-xxxx

sudo reboot

C’est normal d’attendre 5 ou 10minutes lors du redémarrage pour pouvoir se servir de Nessus, le serveur charge les plugins.

http://localhost:8834/ ou l’ip de votre pc abritant Nessusd

#sudo vim /etc/ssh/sshd_config
#permit root login = no

——–
POSTFIX |
———

1°) Aller ici
2°) Aller ici

Lire attentivement, inutile de se prendre la tête.. car ça fonctionne chez moi donc pourquoi pas chez vous ?

——-

Sauvegarde du site

——-

Someday your beloved port 25 will be blocked by your ISP, at least for outgoing trafic. If you’re a Postfix user, let’s see how to circumvent this annoying limitation…

1) You have a local Postfix server that wants to talk to the outside world

You have to use your ISP’s SMTP server as a relay, with or without authentification.

Add a ‘relayhost’ directive to /etc/postfix/main.cf
For my ISP (orange.fr)
relayhost = [smtp-msa.orange.fr]:587

If the relayhost needs authentification, add these directives to main.cf
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_client
smtp_sasl_security_options = noanonymous

create a new file /etc/postfix/sasl_client
edit this file and add an entry like
[smtp-msa.orange.fr]:587 mylogin:mypass
mylogin:mypass => SMTP login and pass
#sudo postmap /etc/postfix/sasl_client (will create sasl_client.db file)

service postfix reload

2) Your MUA wants to reach your outside Postfix server ?

On your server, edit /etc/postfix/master.cf and uncomment the line starting with ‘submission inet’, like this :

submission inet n – n – - smtpd
-o smtpd_etrn_restrictions=reject
-o smtpd_client_restrictions=permit_sasl_authenticated,reject

service postfix reload

Configure your MUA (eg. thunderbird) to use the port 587

———————-

Mon fichier ressemble à ça pour envoyer du courrier avec mon FAI Orange,

# See /usr/share/postfix/main.cf.dist for a commented, more complete version

# Debian specific: Specifying a file name will cause the first
# line of that file to be used as the name. The Debian default
# is /etc/mailname.
#myorigin = /etc/mailname

smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no

# appending .domain is the MUA’s job.
append_dot_mydomain = no

# Uncomment the next line to generate “delayed mail” warnings
#delay_warning_time = 4h

readme_directory = no

# TLS parameters
smtpd_tls_cert_file = /etc/postfix/ssl/smtpd.crt
smtpd_tls_key_file = /etc/postfix/ssl/smtpd.key
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.

myhostname = gmail.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = ubuntu, localhost.localdomain, , localhost
relayhost = [smtp-msa.orange.fr]:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_command =
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
inet_protocols = all
smtpd_sasl_local_domain =
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination,
smtpd_tls_auth_only = no
smtp_use_tls = yes
smtp_tls_note_starttls_offer = yes
smtpd_tls_CAfile = /etc/postfix/ssl/cacert.pem
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_client
smtp_sasl_security_options = noanonymous
default_transport = smtp
#canonical_maps = hash:/etc/postfix/canonical

personne ne pourra utiliser le serveur hormis localhost,vous pouvez modifier pour que votre réseau puisse l’utiliser, ici pour sécure un peu mieu

modifier les alias pour que l’utilisateur logcheck devienne celui de votre choix, utile pour l’envoie du courrier
mon adresse c’est jean.moulin.gmail.com

#sudo vim /etc/aliases

logcheck:jean.moulin

#sudo postalias /etc/aliases

pour le gmail.com
votre fichier main.cf doit avoir myhostname=gmail.com

ensuite
#sudo cat /var/log/mail.log
affiche les erreurs donc les endroits à chercher pour dépanner

Bon ensuite quelque commande pour vérifier la configuration et voire si le serveur ne peut être utilisé de l’exterieur, (selon ma config je ne devrais pas pouvoir envoyer de mail si mon ip n’est pas localhost)

telnet monserveur 25

HELO test.com

MAIL FROM: fausse_adresse

RCPT TO: mon_adresse

DATA

coucou !

. ->pour terminer le message

quit

Un relay bloqué vous l’indiquera après RCPT TO: mon_adresse, à partir de ce moment là, aucun spammer, mais bon là le serveur Postfix est utilisé uniquement dans le but d’envoyer des petits messages à partir de cette machine, ensuite on pourrais le configurer autrement si le réseau s’agrandit et qui surtout demande d’être utilisé  autrement sinon on touche rien !

petit exemple d’une instrusion dans /var/log/mail.log :

connect from *-PC[192.168.1.52]
Feb 11 13:36:19 ubuntu postfix/smtpd[3141]: NOQUEUE: reject: RCPT from x-PC[192.168.1.52]: 554 5.7.1 <**@gmail.com>: Relay access denied; from=<google@gmail.com> to=<**@gmail.com> proto=SMTP helo=<**.com>

———
LOGCHECK|
——–

#sudo apt-get install logcheck syslog-summary
#sudo vim /etc/logcheck/logcheck.logfiles -> rajoute des ficher log a surveiller comme “/var/log/mail.log”

moi j’ai rajouter
/var/log/dpkg.log

#sudo vim /etc/logcheck/logcheck.conf -> rajouter l’email

#sudo -u logcheck logcheck -o -t -> pour vérifier, cela n’envoie pas de mail

pour la tache cron
#sudo dpkg-reconfigure logcheck
et vous suivez les instructions

si vous ne recevez pas de mail
#sudo cat /var/log/mail.log

et hop vous aller poser la question sur un forum,  privilégié un forum comme linuxfr.org, plus vaste, n’hésitez pas à poster votre question dans plusieurs forum s’ils ne répondent pas..
pour la sécurité le forum ixus reste une référence,

Voilà votre système est doté d’un serveur mail Postfix non accessible à tout le monde, uniquement à localhost donc ce n’est pas un futur relais à spam de toute magnière votre FAI le détectera et vous couper la connection, si inbus de votre volonté, il seront compréhensif et il faudra fixer ça

Vous avez un système qui vous envoie toute les heures dans votre email, des logs, mais des logs utile ! tout ceux qui ont était modifié et que vous n’avez pas lu, tant que vous avez inscrit le path du log à surveiller biensur, c’est primordiale un système pareil.

have fun !
—————————–

Nous avons besoin d’un système à jour.
Avant tout utilisation lit ça et ça .

On télécharge les sources via cvsup ensuite on compile d’abord le noyau ( lekernel) on reboot et après le userland (les programmes) et basta.

# pkg_add -v cvsup-16.1hp0-no_x11.tgz
# touch /etc/cvsup-file && vi /etc/cvsup-file
ajoute =>

# Defaults that apply to all the collections
*default release=cvs
*default delete use-rel-suffix
*default umask=002
*default host=anoncvs3.usa.openbsd.org
*default base=/usr
*default prefix=/usr
*default tag=OPENBSD_4_1
OpenBSD-src

# cvsup -g -L 2 cvsup-file */il télécharge les mises à jour */

Pour reconstruire le kernel par défaut de la branche stable :

# cd /usr/src/sys/arch/i386/conf
# /usr/sbin/config GENERIC
# cd /usr/src/sys/arch/i386/compile/GENERIC
# make clean && make depend && make

# cd /usr/src/sys/arch/i386/compile/GENERIC
# make install          */Installez le nouveau noyau de façon sûre*/
# reboot

Pour reconstruire les binaires systèmes :

# rm -r /usr/obj/*
# cd /usr/src
# make obj
# cd /usr/src/etc && env DESTDIR=/ make distrib-dirs
# cd /usr/src
# make build

Ceci va prendre du temps…

Vous pouvez aussi simplement patcher le système à la main avec des patchs.
voir ici et ici .

Salut besoin d’aide  sur Open ?
On va regarder les bases..

Pour l’installation d’Open je vous laisse consulter ce site web.

1 – Bases

# adduser [lambda] */Création d’un utilisateur car il est plutot chaud de se ballader en root n’importe où*/
# vi /etc/group */Pouvoir se connecter en root à partir du nouvel utilisateur IMPORTANT*/
ajouter => wheel:*:0:root,[lambda]
*/Fabrication des clées SSH via ssh-keygen , renommer la clée publique en authorized_keys .*/
# ssh-keygen -t rsa -b 1024 && cd ~/.ssh/ && mv id_rsa.pub authorized_keys
*/Copie de la clée privé id_rsa dans notre PC et la transformer avec puttygen pour Putty ou WinSCP.*/
# vi /etc/ssh/sshd_config */Modification du fichier sshd_config .*/

Port 22   */vous pouvez changer le port d’écoute*/
Protocol 2   */obliger les connections en protocole 2*/
PermitRootLogin no   */permettre de ne pas se logguer en root*/
RSAAuthentication yes
PubkeyAuthentication yes */authorise les connections via clée public et clée privée*/
AuthorizedKeysFile      .ssh/authorized_keys   */authorise les connections via clée public et clée privée*/
PasswordAuthentication no   */permet de bloquer les bruteforces et d’éviter qu’un mot de passe ne circule en clair sur le réseaux*/
PermitEmptyPasswords no */permettre de ne pas taper un vide en mot de passe*/

*/Communication à présent sécurisé, tout ce qui transite de votre PC jusqu’au Serveur est encapsulé et crypté voir Tutos visu. & vocal flash OpenSSH*/

2 – Moins il y a de service lancée sur un serveur et mieux il est protégé, il faut savoir faire un choix entre ergonomie et sécurité.

# touch /etc/rc.conf.local && vi /etc/rc.conf.local */Créer le fichier et l’éditez pour stopper des services au démarrage*/
j’ai ajouté =>

inetd=NO    */Super démon*/
check_quotas=NO   */comme son nom l’indique*/
ntpd=NO    */Serveur de synchro à l’heure mondial..*/
sendmail=NO   */Envoie de mail*/

3 – Se connecter root pour utiliser quelques fois des commandes est risquer alors ils ont inventés sudo.
sudo est une commande que l’on tape en simple utilisateur avant la commande qui néccessité root.
# visudo /*modifie la configuration de sudo*/
modifier =>

# Uncomment to allow people in group wheel to run all commands
%wheel ALL=(ALL)       ALL */Attention votre utilisateur doit etre dans le groupe wheel (voire ci-dessus)*/

Ainsi vous utiliserez toujours votre serveur avec sudo, vous pouvez démarrer par exemple PF à condition de respecter la syntaxe :
$ sudo pfctl -e

4 – L’installation des programmes est possible par ce procédé :
$ vi ~/.profile */modification de notre fichier personnel*/
ajouter ceci => */ajout de la variable dans le fichier qui nous permettra ainsi de l’utiliser*/

PKG_PATH=”ftp://ftp.openbsd.org.pub/OpenBSD/4.1/packages/i386/”
export PKG_PATH

$ sudo reboot

Vous vous connecter sur ce site ftp sur votre PC et avec l’option “Rechercher dans la page…” vous recherchez le programme que vous souhaitez installer vous le retenez et :

$ sudo pkg_add -v cvsup-16.1hp0-no_x11.tgz