Study Record

1. 공격 원리 ☞ TCP의 SYN 신호를 IP를 랜덤으로 설정하여 지속적으로 보내 공격 대상의 백 로그 큐를 고갈시키는 Dos 공격 방법 중 하나이다. TCP SYN 신호를 받은 서버가 클라이언트에게 SYN+ACK 신호를 보내면 클라이언트에게서 ACK 신호가 오기를 기다리는 'Half Open' 상태가 되고 백 로그 큐에 연결이 저장된다. 일정 시간이 지나고 나서도 ACK 신호가 오지 않으면 연결이 초기화가 되는데 TCP SYN Flooding 공격은 사용하지 않는 ip를 랜덤하게 설정하여 지속적으로 상대 서버에게 SYN 신호를 보내고 ACK 를 보내지 않아 백 로그 큐가 꽉 차게 되어 더 이상 서비스를 하지 못하게 만든다. 2. 공격 실습 공격 대상(Linux) : 192.168.20.200 공격자(..

SSH 패킷 분석 - 종단이 아닌 이상 복호화를 못한다. - Diffie Hellman 알고리즘을 사용하여 키 교환을 함 - 복호화가 잘 안되는 방식으로 만들어졌다. - HTTPs , SMTPs , POP3s , IMAPs 은 전부 ssl/tls 를 기반으로 만들어졌다. 따라서 이러한 암호화된 패킷을 분석해 달라고 요청이 왔을 때 복호화를 해야 분석할 수 있기 때문에 키를 상대편에서 달라고 해야 한다. ping 테스트 했는데 ping이 안된다고 죽어있는 아니다. - 보안장비가 막고 있는 경우 - 서버에서 ping을 막고 있는 경우 대안 - nmap && hping3 CMD hping3 -> Dos/DDos 공격에 유리 , 새로운 패킷을 생성할 수 있다. hping3 hping3 - 여러가지 프로토콜들을 ..

주로 본격적인 공격을 하기 전에 패킷을 모으기 위해 사용된다. ARP reply 신호를 지속적으로 보내 상대방의 arp cache 테이블에 MAC 주소를 변조시켜 패킷 감청 (패킷 스니핑)을 하기 위한 공격이다. 증상 네트워크 부하량이 늘어난다. (ARP 맥 주소를 계속 갱신해주어야 하기 때문에 부하량이 걸린다.) arp cahche 테이블에 똑같은 ip는 다른데 MAC 주소가 같은 것이 있다. 대응 방안 arp 테이블에 정적으로 MAC 주소를 설정한다. 보안 솔루션 제품을 사용한다. (arpwatch, ips 등) 네트워크 장비를 Port Security 기능을 사용한다. ttl 값 : 128(window) , 64(linux) , 55 (네트워크 장비) mtu - 네트워크 상에서 데이터 단위 (ifc..