Transcript 제11장 해킹기술(4)[1]

정보 보호 응용
11. 해킹기술 (4)
- hacking & security -
충북대 네트워크 보안 연구실
[ jinmun @ gmail.com ]
1. 스니핑 개요
 스니핑
 “sniff’는 사전에서 ’코를 킁킁거리다‘라는 의미다
 스니핑 공격은 막는 것도 어려우며, 탐지 역시 쉽지 않다
 스니핑 공격은 수동적(Passive) 공격
 랜에서의 스니핑은 프러미스큐어스(Promiscuous) 모드에서 작동한
다.
 스니핑은 자신의 주소 값을 무시하고 모든 패킷을 받아들이는 상태
를 프러미스큐어스 모드라고 한다.
2007-01 정보보호응용
2
2. 스니핑 공격 도구
2.1 TCP Dump
 가장 일반적으로 쓰이는 스니핑 도구다.
 스니핑은 네트워크 관리를 위해 개발된 툴이다.
 Snort라는 IDS의 기반 프로그램이기도 하다.
 TCP Dump는 법적 효력이 있다. 하지만 위-변조는 쉽고 위-변조
여부확인 어렵기 때문에 증거로 인정 받지 못한다.
2007-01 정보보호응용
3
2.1 TCP Dump
Telnet Login 시 TCPDump 결과
계정 : wishfree의 경우
2007-01 정보보호응용
4
2.1 TCP Dump
Telnet Login 시 TCPDump 결과
패스워드 : qwer1234의 경우
2007-01 정보보호응용
5
2.2 Fragrouter
 Fragrouter
 받은 패킷을 릴레이해주기 위한 도구다
 스니핑에서 패킷을 정상적인 전달을 위한 패킷 릴레이가 필요
 세션이 끊어지면 스니핑을 계속할 수는 없다.
2007-01 정보보호응용
6
2.3 DSniff
 DSniff는 스니핑을 위한 자동화 도구다
 스니핑을 위한 다양한 툴이 포함되어 있다.
 DSniff는 암호화된 계정과 패스워드 읽어내는 능력이 있다.
 DSniff가 읽어낼 수 있는 패킷은 다음과 같다.

ftp, telnet, http, pop, nntp, imap, snmp, ldap, rlogin, rip,
ospf, pptp, ms-chap, nfs, yp/nis+, socks, x11, cvs, IRC,
ATM, ICQ, PostageSQL, Citrix ICA, Symantec pcAnywhere,
M.S. SQL, auth, info
2007-01 정보보호응용
7
2.3 DSniff
DSniff 설치 시 설치되는 툴
툴
기
능
filesnarf
NFS 트래픽에서 스니프한 파일을 현재 디렉토리에 저장한다.
macof
스위치를 허브와 같이 작동하게 하기 위하여 임의의 MAC 주
소로 스위치의 MAC 테이블을 오버플로우(Overflow)시킨다.
mailsnarf
SNMP와 POP 을 스니프하여 이메일을 볼 수 있게 해준다.
msgsnarf
채팅 메시지를 스니핑한다.
tcpkill
tcpnice
탐지할 수 있는 TCP 세션을 모두 끊는다.
ICMP source quench 메시지를 보내 특정 TCP 연결을 느리게
만든다. 속도가 빠른 네트워크에서 스니프할 때
arpspoof
ARP 스푸핑 공격을 실행한다.
dnsspoof
DNS 스푸핑 공격을 실행한다.
urlsnarf
CLF(Common Log Format)에서 HTTP 트래픽을 스니핑하여
선택된 URL을 알려준다.
2007-01 정보보호응용
8
2.3 DSniff
1) Dsniff를 이용한 패스워드 스니핑
Root# dsniff
2007-01 정보보호응용
9
2.3 DSniff
2) Tcpkill을 이용한 세션 끊기
R(eset) 패킷을 보내 tcp 세션을 끊는다
Root# tcpkill
2007-01 정보보호응용
10
2.3 DSniff
3) Tcpnice를 이용한 트래픽 속도 느리게 만들기
탐지된 연결에 수신 버퍼의 크기를 8로 알려 송신자의 송신 속도
를 느리게 만든다.
Root# tcpnice
2007-01 정보보호응용
11
2.3 DSniff
4) URLSNARF를 이용한 웹 서핑 감시
인터넷 사용자가 접속한 서버와 시간 등의 정보를 볼 수 있다.
Root# urlsnarf
2007-01 정보보호응용
12
2.3 DSniff
5) MAILSNARF를 메일 스니핑
sendmail 등으로 메일을 보내면 그 메일을 가로채서 내용을 읽을
수 있다.
Root# mailsnarf
2007-01 정보보호응용
13
2.3 DSniff
6) MSGSNARF를 이용한 메신저 통신 내용 스니핑
MSN 메신저로 얘기하는 내용를 가로채서 스니핑한다.
Root# msgsnarf
2007-01 정보보호응용
14
2.4 Sniffer Pro (Window)
 Sniffer Pro (Window)
 윈도우에서는 프러미스큐어스 모드가 지원되지 않는다
 WinPCAP과 같은 라이브러리를 이용해서 스니핑이 가능하다.
 윈도우 스니퍼는 네트워크 상태를 점검, 패킷의 통계 목적으로 이용.
2007-01 정보보호응용
15
3. 스위칭 환경에서의 스니핑
 허브는 랜에서 들어오는 모든 신호를 복사해서 모든 포트에 다시 뿌려
주는 역할을 한다. 스니핑을 이용한 공격은 간단하다.
 스위치는 포트별로 MAC 주소 값이 기록하여 브로드캐스트 패킷을 제
외한 모든 패킷은 그 패킷이 목적하는 장비에만 보낸다. 스위치는 스니
퍼를 저지하는 치명적인 장비가 되었다.
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
3.2 스위치 재밍(MACOF)
3.3 SPAN 포트 태핑(Tapping)
2007-01 정보보호응용
16
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
 ARP 리다이렉트
 ARP 리다이렉트 공격은 위조된 ARP reply 패킷을 보내는 방법을 사
용한다.
 자신의 MAC 주소가 라우터라며 브로드캐스트를 주기적으로 하는
것이다.
 ARP 스푸핑는 호스트 대 호스트 공격이며
 ARP 리다이렉트는 랜의 모든 호스트 대 라우터
2007-01 정보보호응용
17
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
 ICMP 리다이렉트
 두 개 이상의 라우터나 게이트웨이 운영에서 로드밸런싱(Load
balancing)을 한다. ICMP 리다이렉트를 사용하기도 한다.
 ICMP 공격은 공격자가 네트워크에 존재하는 또 다른 라우터 임을
각 호스트에게 알리게 된다.
 ARP 스푸핑은 모든 트래픽에 대한 리다이렉트를 가능
 ICMP 리다이렉트는 특정한 목적지 주소를 가진 패킷만을 리다이렉
트
2007-01 정보보호응용
18
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
 ICMP 리다이렉트 동작 원리
1. 호스트 A가 원격의 호스트 B로 데이터를 보낼 때 라우터 A가 디폴
트(Default) 라우터로 설정되어 있기 때문에 호스트 A는 원격으로
보내는 모든 패킷을 라우터 A로 보낸다.
2. 라우터 A는 호스트 B로 보내는 패킷을 수신하고 라우팅 테이블을
검색하여 라우터 B가 호스트 B에 도달하는데, 좀더 효율적으로 호
스트 A가 보낸 패킷을 라우터 B로 보낸다.
3. 라우터 A는 다시 호스트 A가 호스트 B로 향하는 패킷을 자신에게
전달하지 않도록 호스트 A에게 ICMP 리다이렉트 패킷을 보내 호스
트 A가 호스트 B로 보내는 패킷이 라우터 B로 바로 향하도록 한다.
4. 호스트 A는 라우팅 테이블에 호스트 B에 대한 값을 추가하고, 호스
트 B로 보내는 패킷은 라우터 B로 전달한다.
2007-01 정보보호응용
19
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
 ICMP 리다이렉트를 이용해서 스니핑
2007-01 정보보호응용
20
3.1 ARP 스푸핑, ARP/ICMP 리다이렉트
ICMP Redirect로 변환된 라우팅 테이블을 확인
Root# route -C
2007-01 정보보호응용
21
3.2 스위치 재밍(Switch Jamming)
 스위치 재밍(MACOF)은 스위치를 직접 공격한다.
 오버플로우(Buffer Overflow) 공격은 버퍼를 공격해서 시스템을 다
운시키기거나 오작동을 유발하기도 하며, 루트(Root) 권한을 얻어
내는 데 쓰이기도 한다.
 스위치 CPU와 같은 연산자가 있으며 MAC 테이블을 저장하기 위한
저장 공간이 있다.
 스위치 재밍은 MAC 테이블을 위한 캐시 공간에 버퍼 오버플로우 공
격을 한다
 MAC 테이블이 저장 용량을 넘으면 스위치는 원래의 기능을 잃게 되
어 더미 허브와 똑같이 작동한다.
2007-01 정보보호응용
22
3.3 SPAN 포트 태핑(Tapping)
 SPAN(Switch Port Analyzer)은 포트 미러링(Port Mirroring)을 이용
 포트 미러링이란 각 포트에 전송되는 데이터를 미러링하고 있는 포
트에도 똑같이 보내주는 것이다.
 주로 IDS를 설치할 때 많이 사용한다.
 SPAN은(시스코 용어) 다른 벤더들은 ‘Port Roving’
 허브와 같이 포트를 모니터링 위한 장비로서 ‘Splitter’라고 한다.
2007-01 정보보호응용
23
4. 스니핑 공격의 대응책
 스니퍼 탐지
 Ping을 이용한 방법
 ARP를 이용하는 방법
 DNS 방법
 유인(Decoy)방법
 ARP watch
 암호화
 SSL(Security Sockets Layer)
 SSH(Secure Shell)
 VPN (Virtual Private Network)
 PGP와 PEM, S/MIME
2007-01 정보보호응용
24