※ Scanner의 활용

예전부터 전략과 전술중 가장 선행되어야 할것이 知彼知己였다..이 불변의 진리는 오늘날의 Hacking에도 적용되느니....
오늘은 知彼에 해당하는 스케너의 종류를 알아보고 효율적인 attack을 위한 스케너의 활용에 대해서 공부해 봅시다.

1. 스케너란?

스케너란 시스템의 보안상 헛점을 찾아내는 보안도구를 의미한다. 간단하게 포트스켄 뿐만이 아니라 여러가지 버그 및 알려진 보안상의 문제점등과 또한 시스템 관리차원의 내부 스케너도 있다.
스케너의 종류는 무진장 많지만 크게 나누다면 다음과 같다.

 1) 시스템 스케너

시스템 스케너란 시스템 내부에서 잘못된 퍼미션이나 기타 보안상의 문제점들을 체크하는 도구이다.

▶ 잘못된 파일퍼미션 발견 (Suid중심의 애매한 설정등)
▶ 일반 계정의 오류나 문제점 발견
▶ 잘못된 Uid또는 Gid발견

시스템 스케너는 일반적으로 시스템을 관리하는 차원에서 활용되며, 방대한양의 시스템 관리에 필수 적이라고 할수 있다.

대표적인 프로그램으로는 COPS(The Computer Oracle and Password System), Tiger등이 있다.

 2) 네트웍 스케너

네트웍에 연결된 시스템의 가능한 서비스 및 떠있는 포트등의 위험성들을 체크하는 도구이다.

대표적인 프로그램으로는 ISS(Internet Securty Scanner), SATAN(Security Administrator's Tool for Analyzing Networks), SAINT(Security Administrator's Intergrated Network Tool), nmap, Shadow Scan등등이 있다.(설치 및 사용법은 각자 알아서..^^)


2. 시스템 스케너의 활용

앞서 스케너의 개괄적인 설명에서 시스템 스케너란 시스템 내부의 오류를 찾아주는 도구라 하였다.
지나번 시간의 Tripwire도 시스템 내부 스케너에 속한다고 볼수 있다.

그럼 대표적인 시스템 스케너인 COPS를 살펴보고 그 활용방안을 생각해보도록 하자

 1) COPS(The Cumputer Oracle and Password System)

▶ 퍼미션 검사(파일 / 디렉 / 디바이스등)
▶ 디폴트한 패스워드의 검사
▶ 시스템 파일등의 내용과 형식 검사
▶ 리모트 프로그램과 Crontab등에 의하여 실행되여지는 프로그램검사
▶ 중요 파일에 대한 CRC(Cyclic Redundancy)검사
▶ Setuid / Setgid 파일의 존재여부와 권한 검사
▶ FTP설정 문제검사
▶ 사용자 홈디렉의 초기파일 검사
▶ 버그검사, 보안구멍 검사 

☞ http://metalab.unc.edu/pub/Linux/system/security/cops_104_linux.tgz
☞ ftp://coast.cs.purdue/pub/tools/unix/cpos

 2) COPS의 설치

각자 알아서...

 3) COPS의 실행

다음은 cops의 실행모습을 보여준다.

$ ./cops -v -s . -b cops.err

위의결과 cops라는 디렉에 날짜로된 이름의 파일들이 생성될것이다..내용을 보면

ATTENTION:
Security Report for Sat Oct 28 04:12 PDT 2000
from host leon.cybersoldier.net

****root.chk****

~ 중략 ~

****pass.chk****
Warning! Password Problem: null passwd:  +  shell:
****ftp.chk****
ftp-Warning! Incorrect permission on "ls" in /home/ftp/bin!
****bug.chk****
Warning! /usr/bin/sendmail could have a hole/bug! (CA-88:01)

예를 들어서 위와 같은 메세지가 나온다면 password에 빈 패스워드가 있는다는 경고와, ftp의 퍼미션 문제, 그리구 마지막으로 버그체크 를 함으로서 (CERT의 버그리포트) 시스템에대한 내부 스켄을 마치게 된다.

나머지 사안은 독자분들이 한번 실행해보시길..


3. 네트웍 스케너의 활용 

네트웍 스케너는 우리가 흔히 사용하는 Port스케너에서 부터 시스템의 보안 오류등을 체크해주는 스케너 까지 그종류가 다양하다..여러가지 유형의 스케너가 있으나 대표적이고 유명한 스케너만 소개하도록 하겠다.

 1)SATAN(Security Administraor's Tool for Analyzing Networks)

▶ FTP(파일전송 프로토콜)결점 스케닝
▶ NFS(네트웍 파일시스템)결점 스케닝
▶ NIS(파일 정보시스템) 패스워드
▶ rsh(리모트쉘) 억세싱 가능성
▶ Rexd 결점
▶ sendmail 보안
▶ TFTP
▶ X-sever보안 및 접근제어

☞ ftp://ftp.porcupine.org/pub/security/satan.tar.Z

SATAN을 리눅에서 설치 하려면 다음 설정 파일이 필요한다

☞ http://recycle.jlab.org/~doolitt/satan/tcp_scan.diff2
☞ http://recycle.jlab.org/~doolitt/satan/BSD-4.4-includes.tar.gz

설치는 알아서들...하시구..

  2)SATAN의 실행

$ satan

SATAN is starting up.

라구 나온다음..바로 SATAN제어판 홈페이지로 접속이되며..  SCAN작업 역시 웹브라우져상에서 실행된다. 비쥬얼 하므로 별도의 설명은 없어도 무난하다..

 3)nmap

nmap은 정말로 설명이 필요없는 너무나도 유명하고 널리 쓰이는 포트 스케너이다.

☞ http://www.insecure.org/nmap/

옵션만 잠시 알아보고 사용법은 머무나 간단하므로 여기저기 스케닝을 해보도록하자

namp[스켄종류][옵션][타게주소]

▶ 스켄종류

-sT : 일반적 방식
-sS : SYN스켄(음...네트웍 설명과 더불어 해야되는데 길어짐..일단 기록을 남기지 않는 스켄)
-sF : FIN스켄(이것두..유닉스 계열에 적용 방화벽 안쪽의 호스트 스켄시)
-sP : Ping
-sU : UDP스켄
-sR : portmap 에 접근할수 없는 RPC서비스 스켄
-b :  FTP를 통한 바운스 스켄

▶ 옵션

-f : 스켄시에 단편화 팻킷을 보냄
-i(파일명) : 파일로부터 주소를 읽어서 스켄
-F : 기본 서비스에 대한 빠른 스켄
-p(포트번호) : 지정한 포트검사(1-1024)(21,23,513)
-n : DNS기능 멈춤
-o(파일명) : 결과물 저장
-V : 설명모드 

4. 스케너 방어

에궁 힘들다..스켄에 대한 법적 논란이 계속되고 있는 요즘...(여러분들도 한번 생각해보세요)
스케너에 대한 방어 기술이 난로 인기를 끌고 있다..간단히 소개만 하도록 하겠다

-. courtney : SATAN / SAINT방어
-. lcmplnfo : ICMP 스켄 / 폭탄방어
-. scan-detector : UDP스켄 탐지
-. klaxon
-. Psionic PortSenty : 소스에 주석처리가 잘되어있음..공부용

※ 스케너는 날이 갈수록 좋아지고 있구 그방어 기법들도 날이 갈수록 늘어 나고 있다. 우리가 타겟을 목표로 해킹을 시도한다면 최초로 선행 되어야 하는 것이 바로 스케닝이다..또한 시스템의 관리자라면 그러나 스케닝이 누구에 의해서 되고 있는가를 주시할 필요성이 있다..간혹 스케너에 너무 의존하는 시스템 관리자들은 역으로 믿는 도끼에 발등을 찍히는 경우도 있으므로 시스템 관리자는 꾸준한 시스템 관리와 보안에 노력해야 한다...