[Network] S07 TCP 세션 하이재킹

*TCP 세션하이재킹

// 통신되는지 먼저 확인

*TCP 세션하이재킹 - 실습

hunt yum 설치

hunt 소스 설치

# tar xvfz hunt-1.5.tar.gz

# cd hunt-1.5

# make

CentOS 5,6,7 설치 가능

- Rpmforge에서 제공

XP에서 서버로 telnet 접속

*TCP 세션하이재킹 – hunt 메뉴

// arp relayer daemon 을 먼저 띄우고 확인해야한다.

// hunt는 조작된 MAC address로 날아간다.

*TCP 세션하이재킹 - 실습

hint를 이용한 세션 하이재킹 - 스푸핑과 패킷릴레이

• 메뉴에서 [d) demon/rst/arp/sniff/mac]를 선택한다.

• [a) arp spoof + arp relayer daemon]을 선택한다.

• [s/k) start/stop relayer daemon]을 선택한다.
• fragrouter 와 동일한 역할을 한다.

• [a) add host to host arp spoof]를 선택 대상 호스트를 지정한다.

• 'FAILED' 메시지가 나오더라도 실제 성공한 경우가 많음으로 직접 각 시스템의 arp 등록 정보를 살펴본다.
• 각 시스템에 arp 정보가 지정된 mac주소로 변경이 되었다면 성공한것이다.
• telnet 세션이 정상인지 확인하고 최상위 메뉴로 올라간다.

// 1111111111

// 2222222222

// refresh interval sec - 몇초마다 보낼것인가 묻는것으로 너무 짧으면 피곤하다.

// 정상 패킷을 가지고 공격을 감지할 수 있는것은 얼마나 많이 오느냐이다.

• hint를 이용한 세션 하이재킹 - 세션 탐지와 하이재킹
• [l/w/r) list/watch/reset connections]을 선택해서 활성화된 세션을 확인한다.
• telnet 세션에 데이터 흐름이 있어야 확인이 가능하다.

• 공격당하는 두 시스템의 arp 목록을 확인한다.
• arp 스푸핑이 걸려있지 않으면 다음 과정은 진행되지 않는다.

• [a) arp/simple hijack (avoids ack storm if arp used)]를 선택 세션하이재킹을 시작한다.

// ping 을 보내보고 안되면 세션을 다시 맺는다.

// s나 d 만한다. d(명령어 안찍힐수 있다.)보단 s를 사용

• 하이재킹이 시작되면 클라이언트에서 입력한 내용이 공격자 화면에 출력되고 세션을 뺏을려면 ^C를 누르면 된다.

• vmware 환경에서는 보이긴 하지만 하이재킹은 수행되지 않는다.