Aucune des r-commands ne chiffre son trafic : un attaquant sur le chemin lit tout ce qu'elles transportent, les mots de passe en clair envoyés par rexec et par rlogin en repli sur mot de passe, chaque commande exécutée et sa sortie complète, et des sessions interactives entières. Au-delà de la capture passive, les flux ne sont authentifiés qu'à l'établissement : ils peuvent donc être détournés pour injecter des commandes au nom de l'utilisateur authentifié, et les sessions capturées peuvent être rejouées. L'interception est souvent l'attaque la plus simple contre les déploiements hérités de r-commands, car elle ne nécessite ni devinette d'identifiant ni manipulation de confiance, seulement une position sur le réseau.
# capture across the r-command ports
tcpdump -i eth0 -A 'port 512 or port 513 or port 514' -w rcmds.pcap
tshark -r rcmds.pcap -q -z follow,tcp,ascii,0
Sous-thèmes#
- Sniffing de mot de passe : capture des identifiants depuis l'échange en clair.
- Interception de commandes : lecture des commandes et de la sortie en transit.
- Rejeu de session : rejeu des sessions r-command capturées.