justlce/cve-2016-6210-exploitÉnumération de noms d'utilisateur OpenSSH - CVE-2016-6210
CVE-2016-6210Publié par Eddie Harari sur Full Disclosure http://seclists.org/fulldisclosure/2016/Jul/51
En envoyant de grands mots de passe, un utilisateur distant peut énumérer les utilisateurs sur un système qui exécute SSHD. Ce problème existe dans la plupart des configurations modernes en raison du fait qu'il faut beaucoup plus de temps pour calculer le hachage SHA256/SHA512 que le hachage BLOWFISH.
Lorsque SSHD tente d'authentifier un utilisateur inexistant, il utilise une structure de mot de passe factice codée en dur dans le code source de SSHD. Sur cette structure de mot de passe codée en dur, le hachage du mot de passe est basé sur l'algorithme BLOWFISH ($2). Si les mots de passe des utilisateurs réels sont hachés avec SHA256/SHA512, alors l'envoi de grands mots de passe (10 Ko) entraînera un temps de réponse plus court du serveur pour les utilisateurs inexistants.
REMARQUE : M. Harari a testé cela sur opensshd-7.2p2, tandis que mes tests ont été effectués sur OpenSSH_6.9p1.
Le script est actuellement basé sur une plage de déviation de 10 à 30 % pour les temps de réponse des noms d'utilisateur valides par rapport aux invalides. Actuellement, seuls ceux >20 % sont acceptés comme noms d'utilisateur valides et ajoutés à la liste de sortie en conséquence (n'hésitez pas à modifier cela dans le script). Cela s'est avéré efficace pour moi.
Bringing this project over to Github from Bitbucket.