[D+6] 네트워크 해킹과 보안 (2)

3. 네트워크 해킹과 보안

2) Scanning

▣ Scanning이란

- 침투 대상 서버 상태와 서비스 내역 및 활성화 상태를 확인하기 위한 절차

- 종류 : ICMP(IP Scan), TCP/UDP(Port Scan)

▣ ICMP

- Ping

☞ 네트워크와 시스템이 정상적으로 작동하는지 확인하기 위한 유틸리티.

☞ ICMP(Internet Control Messaging Protocol) 사용

☞ TCP/IP 네트워크에서 사용 

- Ping 획득정보

☞ OS정보 확인

☞ 그러나 절대적인 값은 아님. 관리자가 바꿀 수 있음.

☞ ping명령어 또는 Angry IP Scanner로도 확인 가능.

운영체제	ICMP Request 패킷 TTL	ICMP Reply 패킷 TTL
리눅스 커널 2.2~2.4	255	64
리눅스 커널 2.0	64	64
FreeBSD	255	255
솔라리스	255	255
HP-UX	255	255
윈도우 95	32	32
윈도우 98, NT	128	32
윈도우 2000	128	128

▣ UDP

- 공격자는 UDP 패킷 전송

☞ UDP로 열려있는 port만 전송.

- 서비스 Port 오픈 시 응답 무

- 서비스 Port 클로즈 시 ICMP Unreachable 회신

- UDP 특성상 Scan의 신뢰성 저하

☞ 패킷손실이 많기 때문에 Unreachable 메시지가 원래 와야할거보다 많지 않음.

- Nmap option: -sU

▣ TCP

- 공격자는 TCP 패킷 전송

- 서비스 Port 오픈 시 SYN+ACK 패킷 회신 후 ACK 전송

- 서비스 Port 클로즈 시 RST+ACK 회신

☞ RST 메시지는 reset을 뜻하며 그만할래 라는 뜻임.

- 신뢰성은 매우 높으나 3-way Handshaking과정 수행으로 로그 기록이 남음.

☞ 3-way Handshaking 하고나서부터는 데이터를 주고 받을 수 있으므로 로그가 남음.

- 그래서 안씀 ㅎ.

- Nmap option : -sT

▣ Stealth Scan

- 스캔하는 대상에 로그를 남기지 않음.

- 공격대상을 속이고 자신의 위치 또한 숨김.

(1) TCP Half Open Scan

- 공격자는 SYN 패킷 전송

- 서비스 Port 오픈 시 SYN+ACK 패킷 회신

- 공격자는 RST(reset)을 전송

- 완전한 세션을 성립하지 않고도 포트의 활성화 확인이 가능하며 로그가 남지 않음.

- 매우 빠름-> ACK을 통해 접속을 하지 않으니까.

- Nmap option : -sS

(2) FIN, Xmas, Null Scan

- TCP Half Open Scan이 통하지 않을 때 사용

- 공격자는 FIN(FIN), Xmas(URG, PSH, FIN), Null 패킷 전송.

- 서비스 Port 오픈 시 응답 무

- 서비스 Port 클로즈 시 RST+ACK 회신

- Nmap option : -sF(FIN), -sX(Xmas), -sN(Null)

i2sec 대구지점 23기 수료생.