액티브 스캐닝(Active Scanning) (1)

지난 글에 이어, 이번 글에서는 조금 더 적극적이고 공격적인, 로그가 남는 스캐닝인 액티브 스캐닝에 대해 정리해보고자 한다.

액티브 스캐닝은, 패시브 스캐닝과 달리 공격의 대상이 되는 호스트에 직접 스크립트 혹은 명령어를 전달하여 결과를 확인하는 스캐닝 기법들을 일컫는다.

 

패시브 스캐닝과 마찬가지로, 간략한 기법들을 소개하고자 한다!

 

DNS Scanning

DNS Scanning이란, 공격하고자 하는 웹 서버에 대한 Domain name service 정보를 획득하는 스캐닝 기법을 일컫는다. 

DNS(Domain Name Service)란, 간단히 말해 특정 ip 주소를 가진 페이지가 어디인지 묻고 답하거나 그 반대의 과정을 통해 정상적인 페이지로 패킷이 전송될 수 있도록 돕는 서비스를 일컫는다.

DNS는 모두 NS(Name Server)라고 하는 일종의 서버들로 구성되어 있다. DNS에 어떠한 정보를 요청하는 경우, DNS는 각 Name server에 요청에 대한 질의를 던지고 응답을 받는다.

이러한 NS에 대한 스캐닝을 수행함으로써, 해당 호스트가 참조하고 있는 NS가 무엇인지 알 수 있으며, 해당 NS의 정보를 유출하거나, 내용을 변조하여 피싱 공격 등에도 사용할 수 있다.

주로, host나 nslookup 명령어를 이용하여 특정 호스트에 대한 ip 정보를 획득할 수 있다.

이 때, NS에 대한 정보를 얻기 위해서는 host -t ns "웹주소" 와 같은 명령어를 통해 해당 웹주소의 NS 정보를 획득할 수 있다.

(예시 : host -t ns example.com)

 

NS들은, 마스터와 슬레이브간의 정보를 동기화하기 위해 AXFR 등의 쿼리를 이용하여 정보를 동기화한다.

당연하게도, 서버에 별도의 설정을 적용하지 않는 경우, 제3자가 해당 정보를 획득할 수 있는 방법도 있다. 이를 Zonetransfer 공격이라 칭한다.

(여기서의 설정이란, 해당 정보를 요청하는 쿼리에 대한 권한 설정을 의미한다고 한다.)

Zonetransfer 공격을 수행하는 방법은 매우 다양하며(dig, host 등의 명령어 이용) 해당 공격을 테스트 하기 위해 공개된 웹 페이지 또한 존재한다. (zonetransfer.me 라는 사이트로, 외국에 서버를 두고 있어 반응이 조금 느릴 수 있으나 해당 공격을 테스트하기에 매우 좋다.)

본 글에서는 host 를 이용한 공격 방법을 소개하고자 한다.

 - host -t ns "웹주소" 를 통해 얻어낸 NS의 이름을 "A"라고 하자

 - host -l "웹주소" "A"를 통해 A에 저장된 정보를 획득한다. (-l 옵션은 DNS AXFR 쿼리를 전송하는 것이다.)

 

물론, 이를 한번에 수행해주는 좋은 도구가 있다.

dnsenum이라는 도구로, dns와 관련된 모든 스캐닝을 한번에 수행해준다.

dnsenum "웹주소" 를 입력하면, 해당 웹주소에 관련된 NS를 비롯한 정보를 수집하고, zonetransfer공격을 자동으로 수행하여 결과를 보여준다.

타 호스트의 주소 확인하기 - fping

보통, 해당 호스트 혹은 서비스가 살아있는지 확인하기 위해 ICMP request 질의를 이용하는 ping 명령어를 사용한다.

그러나, ping은 특정 IP를 지정해주어야 하기에 내가 속한 네트워크의 호스트들이 가진 IP를 알아내는데는 알맞지 않다.

이를 위해서 사용하는 도구가 fping으로, fping은 특정 대역을 지정하여 모든 IP 주소에 ping을 던져준다.

사용법은 다음과 같다.

  - fping -g 192.xxx.xxx.x/24 (g 옵션이 대역에 전부 던져주는 옵션이고, 이후에는 대역을 이야기한다.)

  - -q -a 옵션을 통해 죽어있는 호스트는 표시하지 않을 수 있다. 자세한 내용은 man page 참조

 

타 호스트의 주소 확인하기 - nmap

nmap은 호스트들의 ip 대역을 검사하거나, 특정 호스트에 대한 포트 등의 정보를 수집할 수 있는 강력한 툴이다.

fping의 경우, 윈도우를 OS로 사용하는 호스트가 관측되지 않는다. 이는 윈도우의 기본 방화벽이 ping을 막기 때문이라고 한다.

nmap은 이를 알아서 해결해주기때문에 윈도우 OS 또한 함께 조사할 수 있다.

  - namp sn 192.168.56.1/24 와 같은식으로 명령어를 수행하면 해당 대역에 대해 스캔이 시작된다.

 

추가. xxx.xxx.xxx.xxx/24 와 같은 표기에서 /24는 subnet mask를 의미한다. 즉, 255.255.255.0을 의미하기에 192.168.56.1/24는 192.168.56.1부터 192.168.56.255 까지 모든걸 스캔하는 것이다.