버프슈트(Burp Suite)

1. 버프슈트(Burp Suite) - 프록시(Proxy) 서버를 사용하여 클라이언트와 서버가 주고받는 패킷을 가로채 위변조가 가능하게 해주는 프로그램 - 웹 취약점 점검 또는 웹 해킹에 주로 사용 Burp Suite - App

ggonmerr.tistory.com

3.5) Intruder

- 사용자가 정의한 자동화 공격을 수행하기 위한 도구

- 어플리케이션을 테스트할 때 발생하는 모든 종류의 작업을 자동화하는데 사용할 수 있음

- Intercept된 상태에서 우클릭 > Send to Intruder를 선택하거나, Ctrl + I를 누르면 Intruder가 활성화

3.5.1) Positions

- 페이로드 구성 및 공격 유형을 결정하는데 사용

- [캡쳐 1]에서 §,§사이에 페이로드 설정

[캡쳐 1] Positions

- Attack type에는 4가지 유형이 있음

① Sniper : 단일 페이로드 집합이 사용되며, 정의된 각 위치에 차례로 페이로드를 삽입
② Battering ram : 단일 페이로드 집합이 사용되며, 정의된 모든 위치에 동일한 페이로드를 삽입
③ Pitchfork : 단일 이상의 페이로드 집합이 사용되어, 각 정의된 위치의 개수(최대 8개)만큼 사용. 각 페이로드가 정의된 위치에 동시에 삽입.
④ Cluster bomb : 단일 이상의 페이로드 집합이 사용되어, 각 정의된 위치의 개수(최대 8개)만큼 사용. 각 페이로드 집합을 순서대로 반복하여 모든 페이로드의 조합을 테스트.

 

- Payload Positions 영역

① Add § : 페이로드 추가
② Clear § : 모든 페이로드 제거
③ Auto § : 유효한 위치를 추측하여 그에 맞게 페이로드를 배치
④ Refresh : 새로고침

3.5.2) Payloads

- 하나 이상의 페이로드 집합을 구성하는데 사용

- 집합 개수는 Positions 탭에서 설정한 Attack type에 따라 달라짐

① Payload Sets : 하나 이상의 페이로드 집합 정의
② Payload Options : 페이로드로 사용되는 문자열의 단순 목록 구성
③ Payload Processing : 각 페이로드가 사용되기 전 다양한 처리 작업을 수행하는 규칙 정의
④ Payload Encoding : HTTP 요청 내에서 안전한 전송을 위한 URL encoding 설정

[캡쳐 2] Payloads

3.5.3) Resource Pool

- 리소스 할당량을 공유하는 작업 그룹

- 동시에 수행할 수 있는 요청 또는 요청을 수행할 수 있는 빈도 등을 설정

[캡쳐 3] Resource Pool

3.5.4) Options

- 공격에 영향을 미치는 옵션을 구성

① Request Headers : 공격 중에 구성된 request header 업데이트 여부 제어
② Request Engine : 공격 수행 시 HTTP 요청 수행 엔진 제어
③ Attack results : Attack results에 캡처되는 정보 제어
④ Grep - Match : 지정된 표현식이 포함된 결과 항목 플래그 추가 가능
⑤ Grep - Extract : 유용한 정보를 공격 결과 테이블로 추출 가능
⑥ Grep - Payloads : 사용된 페이로드 값이 응답 값에 포함되었는지 여부 결과 항목 플래그 추가
⑦ Redirections : 공격 수행 시 Burp의 Redirection 처리 방법 제어

[캡쳐 4] Options

3.6) Repeater

- HTTP 요청을 재전송하거나 응답을 분석할 때 사용

- Intercept된 상태에서 우클릭 > Send to Repeater를 선택하거나, Ctrl + R을 누르면 Repeater가 활성화

[캡쳐 5] Repeater

① Send : 요청 전송 

② Cancel

③ < / > : 전/후 요청 및 응답 확인

3.7) Sequencer

- 웹 어플리케이션에서 제공하는 값의 임의성을 분석하기 위한 기능

- 분석을 원하는 패킷 우클릭 > Send to Sequencer 선택 시 활성화

3.7.1) Live capture

- 분석을 원하는 패킷 우클릭 > Send to Sequencer 선택 시 Select Live Capture Request에 추가

[캡쳐 6] Live capture

- Token Location Within Response 영역은 어플리케이션의 응답 내에서 토큰이 나타나는 위치를 선택할 수 있음

① Cookie : 응답으로 쿠키가 설정된 경우, 분석할 쿠키 선택 가능
② Form fields : 응답에 HTML 양식 필드가 있는 경우, 분석할 양식 필드 값 선택 가능
③ Custom location : 사용자의 임의로 항목 정의 가능

- Live Capture Options 영역은 라이브 캡처 수행 시 HTTP 요청 및 토큰 수집에 사용되는 엔진을 제어 설정할 수 있음

① Nuber of threads : 실시간 캡처가 동시에 서버에 보낼 수 있는 요청 수
② Throttle between requests : 모든 요청 전 지연 시간 (과부하 방지 or 은밀한 요청에 유용)
③ Ignore token whose length deviates by _ charaters : 지정한 평균 토큰 길이 벗어나는 토큰 무시 설정

- 설정을 완료한 후 Start live capture를 누르면 라이브 캡처가 시작되며, 라이브 캡처 중에는 토큰 수, requests 수 및 네트워크 오류 수를 progress bar로 보여줌

[캡쳐 7] Start live capture

① Pause/Resume : 캡처 일시 중지/재시작
② Stop : 캡처 중지
③ Copy tokens : 현재 캡처된 토큰 클립보드에 복사
④ Save tokens : 현재 캡처된 토큰 파일에 저장
⑤ Auto analyze : 토큰 자동 분석 수행, 라이브 캡처 중 결과 주기적 업데이트
⑥ Analyze now : 최소 100개의 토큰이 캡처되면 Burp가 현재 샘플을 분석 후 결과 업데이트

3.7.2) Manual load

- 이미 생성된 토큰을 불러와 통계 분석을 수행할 수 있음

[캡쳐 8] Manual load

3.7.3) Analysis options

- 토큰에 대한 처리 방법과 분석하는 동안 사용하는 테스트 유형을 설정

- Token Handling은 분석 중 토큰 처리 방법을 제어

① Pad short tokens at Start/End : 각 토큰의 시작/끝 패딩 적용 여부 선택
② Pad with : 패딩에 사용될 문자 지정(보통 "0")
③ Base64-decode before analyzing : 토큰이 Base64 인코딩 된 경우 분석 전 디코딩 설정

- Token Analysis는 문자와 비트 레벨의 테스트에서 수행되는 분석 유형을 제어

[캡쳐 9] Analsis options

3.8) Decoder

- 데이터 암/복호화 및 해시 형식으로 변환

- 데이터 우클릭 > Send to Decoder 클릭 시 활성화

- 값 입력 후 우측 Decode as 등을 통해 암/복호화가 가능하며, Smart decode는 인코딩 값을 찾아 자동적으로 디코딩하는 옵션

[캡쳐 10] Decoder

3.9) Comparer

- 두 데이터 간 비교를 수행

- 복사/붙여넣기, 파일 로드, Send to Comparer를 통해 활성화

- 비교할 데이터 선택 후 Words(단어 수준의 차이), Byte(바이트 레벨에 존재하는 차이) 중 비교 형식을 선택하여 비교

[캡쳐 11] Comparer

3.10) Logger

- 버프슈트 로그를 기록

[캡쳐 12] Logger

3.11) Extender

- 자체 또는 타사 코드를 사용하여 기능 확장 가능

3.11.1) Extensions

- 설치된 모든 확장 기능을 확인할 수 있으며, 추가, 제거, 재정렬(Up/Down) 할 수 있음

① Details탭에서 해당 확장 기능 정보를 확인할 수 있고, Extension loaded를 체크하면 확장을 활성화할지 비활성화할지 선택할 수 있음
② Output탭에서 확장 기능의 표준 출력 스트림 세부 사항을 확인할 수 있음
③ Errors탭에서 표준 오류 스트림 정보를 확인할 수 있음

[캡쳐 13] Extensions

3.11.2) BApp Store

- Burp Suite 사용자가 작성한 Burp 확장 기능이며, 사용 가능한 BApps를 확인하여, 설치하여 사용할 수 있음

[캡쳐 14] BApp Store

3.11.3) APIs

- Burp 확장 기능을 개발하는 데 사용할 수 있는 API에 대한 세부 정보를 확인 가능
- 실행 중인 Burp 버전에서 사용할 수 있는 API 정보가 표시되어 있음

- Save interface files/Save Javadoc files는 확장 기능을 개발할 때 사용할 수 있도록 코드를 로컬 사본으로 저장하는 기능

[캡쳐 15] APIs

3.11.4) Options

- 확장 설정, Java 환경, Python 환경, Ruby 환경에 대한 설정 옵션

① Settings - 시작 시 확장을 어떻게 처리할 것인지 설정
(시작 시 자동으로 재로드할 것인지, BApp 자동으로 업데이트할 것인지)
② Java environment - Java로 작성된 확장 기능 실행을 위한 환경 구성 설정
확장 프로그램에서 라이브러리를 사용하는 경우 라이브러리를 로드할 폴더를 지정할 수 있음
③ Python environment - Python으로 작성된 확장 기능 실행을 위한 환경 구성 설정
Python 확장 기능을 사용하려면 Jython*을 다운로드 받고 경로를 설정해야 함.
Jython* : Java로 구현된 Python 인터프리터
④ Ruby environment - Ruby로 작성된 확장 기능 실행을 위한 환경 구성 설정
Ruby 확장 기능을 사용하려면 JRuby*를 다운로드 받고 경로를 설정해야 함
JRuby* : Java로 구현된 Ruby 인터프리터

[캡쳐 16] Options

 

참고

 

Burp Suite tools

Burp Suite contains various tools for performing different testing tasks. The tools operate effectively together, and you can pass interesting requests ...

portswigger.net

 

버프스위트(Burpsuite) 기능 활용

ி Repeater HTTP 요청을 재전송, 응답을 분석 할 때 사용한다. Intercept된 상태에서 우클릭 > Repeater를 선택하거나 Ctrl + R을 누르면 Repeater가 활성화된다. Repeater 탭으로 이동해서 send 버튼을 눌러 요..

jdh5202.tistory.com

 

 

0. Burp Suite 설치 및 사용방법

<목차> 0. 다운로드 1. 실행 2. Burp Suite 기본 설정 3. Burp Suite 기능  # Dashboard  # Target  # Proxy  # Intruder  # Repeater  # Sequencer  # Decoder  # Comparer  # Extender 4. Reference 0...

grini25.tistory.com

'도구 > 네트워크' 카테고리의 다른 글

버프슈트(Burp Suite)  (1) 2022.09.26
쇼단(Shodan)  (1) 2022.09.25
와이어샤크(WireShark)  (0) 2022.07.26
스노트(Snort)  (0) 2022.07.19

1. 버프슈트(Burp Suite)

- 프록시(Proxy) 서버를 사용하여 클라이언트와 서버가 주고받는 패킷을 가로채 위변조가 가능하게 해주는 프로그램

- 웹 취약점 점검 또는 웹 해킹에 주로 사용

 

Burp Suite - Application Security Testing Software

Get Burp Suite. The class-leading vulnerability scanning, penetration testing, and web app security platform. Try for free today.

portswigger.net

1.1) 프록시(Proxy)

- 사전적 의미는 대리, 대리인
- 클라이언트가 자신을 통해서 다른 네트워크 서비스에 간접적으로 접속할 수 있게 해 주는 컴퓨터 시스템이나 응용 프로그램
- 즉, 클라이언트와 웹 서버 사이에 껴서 데이터를 중계해주는 역할
- 서버와 클라이언트 사이에 중계기로서 대리로 통신을 수행하는 것을 가리켜 '프록시', 그 중계 기능을 하는 것을 프록시 서버라고 부름

[캡쳐 1] 정상 통신(위)과 Proxy를 이용한 통신(아래)

2. 기본 설정

- 클라이언트와 서버를 오가는 패킷을 캡쳐하기 위해 버프스튜와 브라우저에 Proxy 설정을 해주어야 함

- 8080 포트를 다른 서비스가 사용하고 있는 경우 다른 포트로 변경

- 최근 IE EoS로 다른 브라우저 사용 권장

[캡쳐 2] 버프슈트 Proxy 설정
[캡쳐 3] 브라우저 프록시 설정

- Proxy > Intercept  > Open browser를 통해 별도의 프록시 설정 없이도 패킷 캡쳐가 가능함.

[캡쳐 4] Open browser

- 패킷에서 한글이 깨지는 경우가 있는데, 설정된 폰트가 한글을 지원하지 않아 생기는 문제로, User options > Display에서 한글을 지원하는 폰트로 변경.

[캡쳐 5] 폰트 변경

3. 기능

3.1) Dashboard

- 2.x 버전부터 생긴 기능으로, 자동화된 활동을 한 눈에 모니터링 및 제어

[캡쳐 6] Dashboard

3.1.1) Tasks 영역

① New scan은 스캔 키능을 제공하며, Pro 버전에서만 사용이 가능

② 무료버전에서는 New live task를 통해 실시간 크롤링이 가능

3.1.2) Event log 영역

① 작업에 대한 Error, Info 등의 이벤트 로그 기록

3.1.3) Issue activity 영역

① 스캔 활동에 대한 결과가 기록되며, Pro 버전에서만 사용이 가능

 

3.2) Target

- 타겟 어플리케이션에 대한 정보 확인 가능

3.2.1) Site map

- 브라우저에서 방문한 모든 URL이 개별 항목으로 기록되며, 각각의 요청 및 응답에 대한 정보를 확인할 수 있음

- 도메인, 디렉터리, 파일 내용을 계층구조로 보여줌

- 필터를 통해 원하는 콘텐츠만 나타내도록 설정할 수 있음.

- request type 필터를 Show only in-scope items만 설정한 후 Site map에서 원하는 사이트에 마우스 우클릭 > add to scope로 scope를 지정해주면, 지정된 사이트에 대한 정보만 볼 수 있음.

[캡쳐 7] Site map
[캡쳐 8] Filter settings

3.2.2) Scope

- 공격하려는 대상의 범위에 대해 설정 가능

① Include in scope : 범위 내 표시
② Exclude in scope : 범위 내 차단

[캡쳐 9] Scope

- 공격 대상 범위 설정 후 [캡쳐 10]처럼 설정하면, 공격하려는 범위에 대해서만 Intercept할 수 있음.

[캡쳐 10] Is in target scope

3.2.3) Issue definitions

- 버프슈트 스캐너에서 탐지할 수 있는 문제점 목록

[캡쳐 11] Issue definitions

3.4) Proxy

- 가장 많이 활용되는 기능으로, 브라우저와 웹 서버간 모든 요청 및 응답을 가로채 조작할 수 있음

3.4.1) Intercept

- 브라우저와 웹 서버간 HTTP 요청을 가로채 표하며, 요청을 조작할 수 있음

① Forward : 요청/응답 조작 후 브라우저/웹 서버로 전송
② Drop : 메시지 삭제
③ Intercept on/off : Intercept 켜기/끄기
④ Action : 현재 표시된 메시지에 대해 수행할 수 있는 동작 메뉴 표시
⑤ Open Browser : 별도의 프록시 설정 없이 Intercept 가능한 브라우저 열기
⑥ inspector : 현재 표시된 메시지에 대한 정보 표시

[캡쳐 12] Intercept

3.4.2) HTTP history

- 버프슈트를 통과한 모든 요청 및 응답에 대한 기록이 저장

- 패킷을 선택해 요청 및 응답 메시지 확인, 필터링 및 주석 설정 가능

[캡쳐 13] HTTP history

3.4.3) WebSockets history

- 버프슈트를 통과한 모든 WebSockets 메시지에 대한 기록이 저장

- 패킷을 선택해 요청 및 응답 메시지 확인, 필터링 및 주석 설정 가능

[캡쳐 14] WebSockets history

3.4.5) Options

- Proxy listeners, HTTP 요청/응답 인터셉트, WebSocket 메세지 인터셉트, 응답 수정, 일치 및 교체, TLS 통과, 기타 옵션 설정 가능

[캡쳐 15] Options

① Proxy listeners - listeners 중 하나를 프록시 서버로 사용하도록 설정할 수 있음 (Burp Proxy는 listeners를 사용하여 브라우저의 HTTP 요청을 수신한다.)
② Intercept Client Requests - 클라이언트 요청 메세지 인터셉트에 대한 규칙을 지정할 수 있음
③ Intercept Server Responses - 서버 응답 패킷 인터셉트에 대한 규칙을 지정할 수 있음
④ Intercept WebSockets Messages - WebSocket 메세지의 인터셉트 여부를 개별적으로 설정할 수 있음
⑤ Response Modification - 자동 응답 수정을 통해 다양한 작업을 수행할 수 있음
⑥ Match and Replace - Proxy를 통해 전달되는 요청 및 응답의 일부를 자동으로 변경하는 데 사용
⑦ TLS Pass Through - TLS 연결을 통해 직접 전달할 대상 웹 서버를 지정하는 데 사용
⑧ Miscellaneous - Proxy 동작의 특정 세부 정보를 제어하는 옵션을 설정할 수 있음

 

 

 

버프슈트(Burp Suite) #2

버프슈트(Burp Suite) 1. 버프슈트(Burp Suite) - 프록시(Proxy) 서버를 사용하여 클라이언트와 서버가 주고받는 패킷을 가로채 위변조가 가능하게 해주는 프로그램 - 웹 취약점 점검 또는 웹 해킹에 주

ggonmerr.tistory.com

'도구 > 네트워크' 카테고리의 다른 글

버프슈트(Burp Suite) #2  (0) 2022.09.26
쇼단(Shodan)  (1) 2022.09.25
와이어샤크(WireShark)  (0) 2022.07.26
스노트(Snort)  (0) 2022.07.19

1. 쇼단(Shodan)

- 2009년 스위스 출신 프로그래머 존 매덜리(John Matherly)에 의해 개발

- 사용자가 다양한 필터를 사용해 인터넷에 연결된 다양한 유형의 서버(웹캠, 라우터, 서버 등)를 검색할 수 있는 검색 엔진

- 라우터, 스위치, FTP, 특정 웹 서버 등에 대한 정보를 수집 및 결과를 보여줌

- 보안 취약점을 가진 시스템을 찾아내어, 보안을 강화하기 위한 수단으로 개발

2. 필요성 및 목적

- 근본적인 기능은 IoT 보안을 강화하기 위해 그 취약점을 찾아내는 것

- 쇼단을 통해 자신이 관리하는 장비와 서비스의 보안 취약성을 파악

- 보안과 관련된 다양한 자료를 제공하고 전문가들을 보고서를 발행

- 특정 익스플로잇에 취약한 디바이스를 검색 : 취약한 장치를 찾는데 도움이 되지만, 해커도 쇼단을 사용하여 공격 대상에 대한 정보를 획득할 수 있음.

3. 검색필터

필터 설명 예시
city 입력한 도시에서의 검색 결과 linux city:"seoul"
country 입력한 나라에서의 검색 결과 wordpress country:"kr"
geo 입력한 위도/경도 좌표 근처의 검색 결과 apache geo:37.123456,127.123456
hostname 입력한 호스트 네임이 포함되는 결과 Server:"gws" hostname:"google"
net 입력한 클래스에 맞는 검색 결과 cisco net 127.0.0.1/24
os 입력한 os를 포함하는 정보 os:"ubuntu"
port 입력한 포트와 일치하는 검색결과 port:"8080"
before/after 입력한 날짜 전/후의 검색 결과 apache before:12/03/2017 after:11/03/2017
title HTML 의 title과 일치하는 정보 검색 title:"naver.com"
html HTML의 모든 소스 코드 중에서 해당 단어를 포함한 것을 검색 html:"ebay"
product 소프트웨어나 제품의 이름을 기준으로 검색 product:"cisco"
org 해당 기관을 포함한 검색 결과 webcam org:"korea telecom"
asn Asn(autonomous system number)을 기준으로 검색 asn:AS6846
category 카테고리 기준으로 검색. 사용가능한 카테고리는 ics와 malware category:"ics"
has_ipv6 검색 결과에 ipv6의 포함 여부를 true, false로 결정 has_ipv6:true
has_screenshot 검색 결과에 screenshot포함여부를 true, false로 결정 has_screenshot:true
ip 넷필터명을 기준으로 검색  
isp IPS를 기준으로 검색  
postal 우편번호를 기준으로 검색(미국에만 해당)  
region 주 이름을 기준으로 검색  
version 제품 버전을 기준으로 검색 apache version:2.4.10
vuln 취약점 CVE ID를 기준으로 검색  

 

'도구 > 네트워크' 카테고리의 다른 글

버프슈트(Burp Suite) #2  (0) 2022.09.26
버프슈트(Burp Suite)  (1) 2022.09.26
와이어샤크(WireShark)  (0) 2022.07.26
스노트(Snort)  (0) 2022.07.19

1. 포트 스캔 환경

대상자 192.168.56.107
스캐너 192.168.56.102

2. Open Scan

1) TCP Full Open Scan

- 명령 : nmap -sT 192.168.56.107

[캡쳐 1] 스캔 결과

- [캡쳐 1]에서 대상 시스템은 ftp(21), ssh(22) 포트를 오픈한 것으로 확인됨.

- [캡쳐 2]에서 열린 포트(22)의 경우 [SYN, ACK] 응답이 왔으며 닫힌 포트(23)의 경우 [RST, ACK] 응답이 확인됨.

- 포트가 열려있을 경우 연결을 설정한 후 RST 패킷을 보냄으로써 연결을 종료.

[캡쳐 2] 포트 오픈 유무에 따른 응답값

2) TCP Half Open Scan

- 명령 : nmap -sS 192.168.56.107

[캡쳐 3] 스캔 결과

- [캡쳐 3]에서 대상 시스템은 ftp(21), ssh(22) 포트를 오픈한 것으로 확인됨.
- [캡쳐 4]에서 열린 포트(22)의 경우 [SYN, ACK] 응답이 왔으며 닫힌 포트(23)의 경우 [RST, ACK] 응답이 확인됨.

- 포트가 열려있을 경우 RST 패킷을 보냄으로써 연결을 종료.

- 열린 포트에 대해 TCP Full Open Scan은 [캡쳐 2]를 통해 연결을 설정하는 것을 확인할 수 있지만, 해당 방식에서는 연결을 설정하지 않는것이 두 방식의 차이점임.

[캡쳐 4] 포트 오픈 유무에 따른 응답값

3) UDP Scan

- 명령 : nmap -sU 192.168.56.107

[캡쳐 5] 스캔 결과

- UDP 프로토콜의 비연결 지향 특성으로 인해 시간이 오래걸리는 것으로 판단됨.

[캡쳐 6] https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=itbank2002&logNo=220309404558

3. Stealth Scan

- 서버에 로그가 남지 않는 스캔 기법을 스텔스 스캔(Stealth Scan)이라고 함.

1) TCP FIN Scan

- 명령 : nmap -sF 192.168.56.107

[캡쳐 7] 스캔 결과

- [캡쳐 7]에서 STATE 값은(open|filtered) 포트가 열려있거나 방화벽에 의해 필터링 되고있다는 의미

- [캡쳐 8]에서 열린 포트(22)의 경우 응답이 없으며, 닫힌 포트(23)의 경우 [RST, ACK] 응답이 확인됨.

- 또한 [캡쳐 9]를 통해 FIN 플래그만 설정하여 전송한 것을 알 수 있다.

[캡쳐 8] 포트 오픈 유무에 따른 응답값
[캡쳐 9] 플래그 설정 값

2) TCP Xmas Scan

- 명령 : nmap -sX 192.168.56.107

[캡쳐 10] 스캔 결과

- [캡쳐 11]에서 열린 포트(22)의 경우 응답이 없으며, 닫힌 포트(23)의 경우 [RST, ACK] 응답이 확인됨.

- 또한 [캡쳐 12]를 통해 FIN, PSH, URG 플래그만 설정하여 전송한 것을 알 수 있다.

[캡쳐 11] 포트 오픈 유무에 따른 응답값
[캡쳐 12] 플래그 설정 값

3) TCP NULL Scan

- 명령 : nmap -sN 192.168.56.107

[캡쳐 13] 스캔 결과

- [캡쳐 14]에서 열린 포트(22)의 경우 응답이 없으며, 닫힌 포트(23)의 경우 [RST, ACK] 응답이 확인됨.

- 또한 [캡쳐 15]를 통해 플래그를 설정하지 않고 전송한 것을 알 수 있다.

[캡쳐 14] 포트 오픈 유무에 따른 응답값
[캡쳐 15] 플래그 설정 값

 

'도구 > 포트스캔' 카테고리의 다른 글

Nmap 포트 스캔 #1 개요  (0) 2022.08.17

1. Nmap과 포트 스캔

- Nmap이란 Port Scanning 툴로 호스트나 네트워크를 스캐닝할 때 사용하며, 보안툴인 동시에 해킹툴의 기능을 수행

- 포트 스캔이란 대상 서버에서 열려있는 포트를 확인하는 것

- 포트 스캔을 통해 공격 방법을 결정하거나, 대상 시스템의 구조 파악 및 정보 획득

2. Nmap 명령어 옵션

- man nmap 혹은 nmap --help(or namp -h) 명령으로 메뉴얼과 사용법 확인이 가능함.

문법 nmap [scan type] [option] <target>
Scan Type -sT - TCP Connect Scan
-sS - TCP SYN(Half-Open) Scan
-sU - UDP Scan
-sF - TCP FIN Scan
- TCP의 FIN 플래그를 설정하여 스캔
-sX - TCP Xmas Scan
- TCP의 URG, ACK, PSH, RST, SYN, FIN 플래그를 모두 설정하거나 일부를 설정하여 스캔
-sN - TCP NULL Scan
- TCP의 플래그를 아무것도 설정하지 않고 스캔
-sA - TCP ACK Scan
- TCP의 ACK 플래그를 설정하여 스캔
- 포트를 스캔하는 것이 아닌 방화벽의 룰셋을 테스트하기 위한 스캔임.
-D - Decoy Scan (실제 스캐너 주소 외에도 다양한 주소로 위장하여 스캔)
Port Option - p - 특정 포트 지정 ex) -p 22
- 특정 서비스 지정 ex) -p <서비스명>
- 여러 포트 스캔 ex) -p 22,53,80
- 일정 범위 스캔 ex) -p 1~1023
Output Option - v - 상세 내역 출력
- d - Debugging 정보
- oN, oX, oG, oA - 스캔 결과를 파일로 출력
- N : 일반 파일 형식 / X : xml 형식 / G : Grepable 형식 / A : 일반, xml, Grepable 형식
기타 - O - 대상 호스트의 운영체제 정보를 출력
- F - 빠른 네트워크 스캐닝
- T0 ~ T5 - 스캔 속도 지정 
- T0 (아주 느리게) ~ T5 (아주 빠르게)
target 호스트지정 - 특정 호스트네임을 지정 가능함
IP 주소 - 192.168.1.1 또는 192.168.1.0/24 또는 192.168.1.1-100 등의 방식

3. Port Scan 종류

구분 설명
Sweep - 특정 네트워크에 대해 해당 네트워크에 속해있는 시스템의 작동 유무를 확인 가능
- 대상이 사용하거나 소유한 IP 주소와 네트워크 범위 확인 가능
- 클라이언트 / 서버 구조이며, ICMP, UDP, TCP 방식 존재
Open Scan - TCP Full Open Scan
(TCP Connection Scan)
- 대상 시스템과 연결을 설정 (대상 시스템에 로그가 남음)
- 열린 포트 : SYN + ACK 응답
- 닫힌 포트 : RST + ACK 응답
- TCP Half Open Scan
(TCP SYN Scan)
- 대상 시스템과 연결을 설정하지 않음 (대상 시스템에 로그가 남지 않음)
- 열린 포트 : SYN + ACK 응답
- 닫힌 포트 : RST + ACK 응답
- UDP Scan - UDP는 비연결 지향 프로토콜이므로, 신뢰하기 어렵다.
- 열린 포트 : 응답 없음
- 닫힌 포트 : ICMP Unreachable 응답
Stealth Scan - TCP FIN Scan - TCP의 FIN 플래그를 설정하여 스캔
- 열린 포트 : 응답 없음
- 닫힌 포트 : RST 응답
- TCP Xmas Scan - TCP의 모든 플래그 또는 일부 플래그를 설정하여 스캔
- 열린 포트 : 응답 없음
- 닫힌 포트 : RST 응답
- TCP NULL Scan - TCP의 플래그를 설정하지 않고 스캔
- 열린 포트 : 응답 없음
- 닫힌 포트 : RST 응답
- TCP ACK Scan - 대상 시스템의 방화벽 룰셋(필터링 정책)을 확인하기 위한 목적
- 대상 방화벽인지 상태 기반인지 여부 및 대상 포트가 방화벽에 의해 필터링 되고 있는지 여부
- 방화벽 설정 : 응답 없음 or ICMP 응닶
- 닫힌 포트 : RST 응답
- Decoy Scan - 스캐너 주소 식별을 어렵게 하기 위해 스캐너의 주조 외에 다양한 위조된 주소로 스캔

 

- 참고

 

Options Summary | Nmap Network Scanning

Download Reference Guide Book Docs Zenmap GUI In the Movies This options summary is printed when Nmap is run with no arguments, and the latest version is always available at https://svn.nmap.org/nmap/docs/nmap.usage.txt. It helps people remember the most c

nmap.org

 

[MISC] Port Scan 요약 및 NMAP 옵션 요약

Sweeps : 특정 네트워크에 대하여 해당 네트워크에 속해 있는 시스템의 유무를 판단할 수 있고, 목표 네트워크에서 사용하거나 소유하고 있는 IP 주소와 네트워크 범위를 알아내는 기법 1.ICMP Sweep

3210w0.tistory.com

 

[네트워크] Nmap 포트스캔 옵션 정리

Definition 1. 스캐닝 방법 스캔 옵션 설명 TCP SYN 스텔스 -sS  * 프로토콜(TCP) 포트를 스캔하는데 가장 빠른 방법으로 지금까지 단연 인기 있는 스캔 방법이다. 이 스캔은 연결 스캔보다 더 비밀스러

4lugin.tistory.com

 

'도구 > 포트스캔' 카테고리의 다른 글

Nmap 포트 스캔 #2 포트 스캔  (0) 2022.08.17

1. 와이어샤크(WireShark)란?

- 네트워크 패킷을 캡쳐하고 분석할 수 있도록 해주는 오픈소스 도구

 

Wireshark · Go Deep.

What is SharkFest? SharkFest™, launched in 2008, is a series of annual educational conferences staged in various parts of the globe and focused on sharing knowledge, experience and best practices among the Wireshark® developer and user communities. Shar

www.wireshark.org

2.  동작 과정

[캡쳐 1] 와이어샤크 동작 과정

- 네트워크를 통해 Bob과 Allice는 대화를 주고받는다.

- 제3자는 WireShark를 이용해 패킷을 수신하여 저장한다.

- 이때, PCAP(Packet Capture) 확장자로 저장되며, PCAP는 네트워크 트래픽을 캡쳐하는 API 이다.

- WireShark는 자체적으로 패킷 캡쳐 기능을 제공하는 것이 아니라, 운영체제에서 제공하는 캡처 라이브러리를 이용해 패킷을 캡처한다.

* 운영체제별 캡처 라이브러리 : 유닉스_libpcap / 윈도우_Winpcap

3. 인터페이스

[캡쳐 2] 메인 화면

- WireShark 최초 실행 시 현재 호스트에 설치된 인터페이스를 볼 수 있다.

- 패킷 캡쳐를 하고자 하는 인터페이스를 [캡쳐 2]에서 선택한다

[캡쳐 3] eht1

① : 시작

 : 중지

: 다시시작

 : 캡쳐된 패킷을 나열한 부분

[캡쳐 4] 캡쳐 패킷 나열

No : 패킷이 수집된 순서 번호

Time : 패킷이 수집된 시간

Source : 출발지

Destination : 목적지

Protocol : 사용한 프로토콜

Length : 패킷의 길이

Info : 패킷의 상세 정보

 

⑤ : ④에서 주고 받은 패킷의 헤더 정보

 : 해당 패킷이 실제 주고받은 데이터 정보를 16진수로 나타냄

4. 사용예시

[캡쳐 5] ping 명령 수행 및 패킷 켭쳐 결과

- ping 명령을 수행한 후 캡쳐 결과를 확인해 보면 출발지(192.168.56.107)에서 목적지(192.168.56.102)로 ICMP 프로토콜을 사용해 request/reply를 송수신한 것을 볼 수 있다.

* ICMP (Internet Control Message Protocol)

  인터넷 제어 메시지 프로토콜로 주로 오류 메시지를 전송하는데 사용된다.

5. 필터링

- [캡쳐 5]를 통해 내가 보기를 원하는 패킷 외에 다양한 패킷이 캡쳐된 것을 확인할 수 있으며, 필터링을 통해 보다 직관적으로 패킷을 구별할 수 있다.

[캡쳐 6] Apply a display filter

- 해당 부분에 필터링 문법을 작성하고 엔터를 치면 설정한 문법에 따라 필터링이 수행된다.

[캡쳐 7] ip 값이 192.168.56.102인 패킷 검색

- 와이어샤크에서는 아래 조건 외에도 다양한 필터링 명령을 제공하므로, 적절히 조합하여 사용한다.

IP 필터링 Source&Destination 모두 ip.addr == 192.168.56.102
Source 조회 ip.src == 192.168.56.102
Destination 조회 ip.dst == 192.168.56.102
Port 필터링 Source&Destination 모두 tcp.port == 80
Source 조회 tcp.srcport == 80
Destination 조회 tcp.dstport == 80
비교 연산 같다 eq 또는 ==
다르다 ne 또는 !=
크다 gt 또는 >
크거나 같다 ge 또는 >=
작다 lt 또는 <
작거나 같다 le 또는 <=
논리 연산 논리곱 and 또는 &&
논리합 or 또는 ||
배타적 논리합 xor 또는 ^^
논리 부정 not 또는 !

 

'도구 > 네트워크' 카테고리의 다른 글

버프슈트(Burp Suite) #2  (0) 2022.09.26
버프슈트(Burp Suite)  (1) 2022.09.26
쇼단(Shodan)  (1) 2022.09.25
스노트(Snort)  (0) 2022.07.19

1. Snort

- 네트워크상의 실시간 트래픽 분석 및 패킷 로깅을 수행할 수 있는 오픈소스 네트워크 침입 탐지 시스템

2. 기능 및 동작 과정

2.1) 기능

패킷 스니퍼 네트워크 상 패킷 스니핑
패킷 로거 모니터링한 패킷 저장 및 로깅
네트워크 침입탐지 트래픽 분석 후 침입탐지

 

2.2) 동작과정

스니퍼 네트워크 패킷 수집
패킷 디코더 전처리기와 탐지 엔진이 파싱 할 수 있도록 정규화
전처리기 특정 행위가 발견된 패킷을 탐지 엔진으로 전송
경고/로깅 스노트 규칙에 매핑된 경우 경고 출력 및 기록

 

3. Rule

- 룰 헤더 부분과 룰 옵션 부분으로 구성

- Ex) alert tcp any any -> any any (msg:"Web Attack"; sid:10000002; rev:1)

룰 헤더 룰 옵션
Action Protocol Src IP Src Port Direction Dst IP Dst Port Option
탐지 후 행위 탐지 프로토콜 Src IP Src Port 탐지 방향 Dst IP Dst Port Option

※ Rule은 /etc/snort/rules/local.rules에 추가한다.

※ 모든 구성하는 모든 요소가 참이어야 룰이 실행됨

※ 각 구성 요소들은 AND 연산을 수행하는 것으로 간주하며, 동시에 다양한 규칙에 대해서는 OR 연산을 수행하는 것으로 간주함.

 

3.1) Action

- 패킷 탐지 시 해당 패킷 처리 방법 명시

alert 사용자가 설정한 규칙에 따라 경고 발생 및 로그 기록 
log 패킷에 대한 로그 기록
pass  패킷을 무시
drop  방화벽을 통해 패킷 차단 및 로그 기록(응닶 없이 차단)
reject  방화벽을 통해 패킷 차단 및 로그 기록(응답 후 차단)
sdrop  drop 과 동일 하나 로그 없음
active alert 발생 시키고 대응하는 dynamic rule을 활성화
복잡한 패킷이나 공격에 대해 적용 시 좀더 효과적인 탐지와 하나의 데이터에 대해서 다양한 검사 가능
dynamic 처음에 비활성화 상태로 있다가 activate 액션에 의해 활성화
활성화 된 이후에는 log액션 규칙과 동일

 

3.2) Protocol

- 탐지할 프로토콜을 지정

- TCP, UDP, ICMP, IP 네 가지 프로토콜 지원하며 any로 지정 시 모든 프로토콜을 나타냄

- 하나의 룰에는 하나의 프로토콜 지정 가능

 

3.3) Src IP[Dst IP], Src Port[Dst Port]

- 출발지 IP, Port와 목적지 IP, Port 지정

- IP 주소 지정 시 any를 이용하여 모든 IP를 지정할 수 있으며, 특정 IP를 명시할 수 있음

192.168.100.0/24 192.168.100.0 ~ 192.168.100.255
192.168.100.2/32 192.168.100.2 특정
! 특정 IP 혹은 대역을 제외 시킬 경우
[] 단일 IP와 네트워크 대역 등 연속적이지 않은 IP 지정
$EXTERNAL_NET
$HOME_NET
효율적인 IP 명시를 위하여 변수 사용 가능

- Port 역시 특정 포트 혹은 포트 범위 지정 가능

포트번호 특정 포트 번호
포트번호:포트번호 포트번호 ~ 포트번호
포트번호: 포트번호 이상 모든 포트
:포트번호 포트번호 이하 모든 포트

 

3.4) Direction

- 패킷의 방향성을 표시

- <-는 존재하지 않음

-> 출발지 -> 목적지
<> 양방향 지정

 

3.5) Option

- Option은 Snort의 핵심이며 편의성과 유연성을 결합

- 각 Option은 세미콜론(;)으로 구분하며, 콜론(:)으로 인수와 구분

msg 설정한 rule에 따라 패킷이 탐지될 경우 표현할 메시지
content 패킷에서 검색할 문자 혹은 바이너리 패턴
바이너리 형식으로 지정할 경우 |90 90 90|와 같이 지정
nocase 대소문자 구분하지 않고 content 검색
offset 검색을 시작할 byte 명시
depth offset 부터 검색할 byte 명시
distance 최초 content 매치 이후 지정한 byte 만큼 이동 후 content 탐색
within 최초 content 매치 이후 distance 부터 검색할 byte 지정

 

- 스노트에 관하여 잘 정리된 블로그

 

Snort 규칙 헤더 및 옵션 정보 (Snort Rule Header & Option Information)

White-Hat Hacker

koromoon.blogspot.com

 

'도구 > 네트워크' 카테고리의 다른 글

버프슈트(Burp Suite) #2  (0) 2022.09.26
버프슈트(Burp Suite)  (1) 2022.09.26
쇼단(Shodan)  (1) 2022.09.25
와이어샤크(WireShark)  (0) 2022.07.26

+ Recent posts