Network Security DAY_018 패킷분할공격, Ping of Death, Tear Drop, Smurf, syn flooding, 와이어샤크, wireshark, 네트워킹 해킹 , hping3, hping 스캐닝, 도스공격, DOS 공격

배울 내용:

패킷분할공격

Ping of Death

Tear Drop

Smurf

syn flooding 

와이어샤크 

wireshark

네트워킹 해킹 

hping3  

hping 스캐닝

도스공격

DOS 공격

 

 

 

 

 

 

 

 

 

 

 

 

 

> 패킷 분할 공격

1) Ping of Death 

 

패킷 크기 일정 크기(MTU) 보다 크게 생성해서 전송 (공격)

규정 크기 이상의 ICMP 패킷으로 시스템을 마비시키는 공격

 

 

패킷 분할 공격에는 헤더의 빨간색으로 색칠된 부분이 밀접한 관련이있다 

관련 설명은 아래의 링크로 가자 

 

https://sarimus.tistory.com/47

Network Security DAY_006 MAC address 구조 , TCP Header 구조, UDP Header 구조 , TCP UDP 헤더구조 , Ethernet Frame 구

 

 

 

 

 

Ping of Death 는 ICMP Header 에 넣어서 

5가지 (전송) 공격이 가능한다 

-> 1) IP ,  2) ICMP , 3) TCP , 4) UDP , 5) Scanning  

 

 

 

 

Ping of Death 공격하기 

 

Kali에서 hping3 --icmp -a 100.100.100.100 192.168.10.101 -d 65000 --flood 해서 

centOS(192.168.10.101)  에  Ping of Death 공격 전송하면 Wireshark 로 centos에서 봤을떄 아래처럼 보이게 된다 

 

 

 

 

 

 

 

 

그리고 gnome-monitor-system 으로 확인해보면 

 

 

네트워크 와 CPU 부분에 이상하게 높게 올라간 부분이 보인다 

이시간대에 Ping Of Death 공격이 들어간걸 확인할수있다 

 

 

필자는 잠시 켜놓고 바로 꺼서 이렇지만 만약 계속 공격하고있었으면 

CentOS에서 많이 느리게 동작하게 된다 

 

 

 

이렇게 --icmp 옵션은 -1 옵션이랑 똑같다 그리고 출발지를 rand-source로 랜덤하게 나오게하고 -d 를 65000정도로 flooding 시킨다 

 

 

 

 

 

 

 

 

 

2) Teardrop 

- 패킷 크기 일정 크기(MTU) 보다 작게 생성해서 전송 (공격)
- ID, Offset  , 순서번호(sequence Number) 조작 

 

공격대상 컴퓨터에 헤더가 조작(ID, Sequence Number, offset )된 일련의 ip 패킷 조각을
전송함으로써 , 서비스 속도를 느리게 하거나, 마비시키는 공격 기법이다 

 

 

 

 

sequence 넘버가 제대로 된 것들은  위에처럼 1~101 , 101~ 201 , 201~301 ... 

 

이런걸 조작하여 1~101 , 81~ 181 , 221~321 등으로  만들게 되면

 

중간에 없어진 패킷을 찾으면 버리는게 아니라  올때까지 기다리기 떄문에

 

이걸 Flooding 해버리면 기다려야하는게 너무 많기때문에

시스템이 마비가 될수밖에 없다

 

 

 

 

 

TearDrop 공격하기 

 

 

hping3 -a 100.100.100.100 192.168.10.101 --id 2222 -M 3333 -d 320 -p 21 --flood

 

 

 

 

 

이공격을 하게 되면 

 

 

 

 

centOS 쪽에서 wireshark 로 확인하면 어떠한 정보인지도 식별이 불가능하다 

 

 

 

 

 

 

잠깐 공격하고 종료했음에도 CPU 사용기록이 계속 지속적으로 심하게 요동치고 있는걸 볼수있고 

실제로 CentOS에서는 렉 걸린것 처럼 아무것도 할수없었다 

 

 

 

 

 

 

 

 

 

 

 

 

3) Smurf 

공격대상 컴퓨터의 변조된 원본 IP 주소를 가진 수많은 ICMP패킷들을 브로드캐스트 IP주소를 사용하여 공격
                                 (공격대상 IP 로 )             

 

여러 호스트가 특정 대상에게 다량의 ICMP Echo Request를 보내어 서비스 거부를 유발 시키는 공격

 

ICMP Echo Request :  8
ICMP Echo Reply : 0 

 

Smurf 공격은 공격자가 송신자의 IP 주소를 속여서 네트워크 상의 여러 호스트들에게

대량의 ICMP 에코 요청을 보내는 공격이다. 

 

이러한 요청들은 대상 호스트들이 네트워크 상의 모든 호스트에 에코 응답을 보내도록 유도하고 대상 호스트는 공격 대상의 IP 주소로부터 수많은 응답 패킷을 받게 되어 대역폭 과부하로 인해 서비스를 거부당할 수 있다. 

 

 

 

 

공격자가 라우터(3계층장비, 네트워크계층) 를통해서

모든 IP 에 브로드캐스트를 했을때  돌아오는 패킷을 victim 으로 수많은 응답 패킷을 받게 된다 

 

ex) 공격자의 ip 는 원래는 192.168.10.100 인데 ,  victim의 ip 인 192.168.20.200 으로 자신의 ip로 만들고 

192.168.10.255 로 브로드 캐스팅 한뒤에  아래에 있는 PC 4대 ip 들은 192.168.10.0/24 로 브로드 캐스팅하면

모든 PC에서 응답패킷이 공격자가아닌 victim에게 보내지게 된다 

 

 

옛날에는  Direct Broad Cast 라는게  3 계층을 전부 하나의 네트워크로 불러드릴수가 있었다 

그래서 외부에서도 smurf 공격이 가능하게 되게 되어 이러한 이유로 현재는

요즘 라우터나 최신 라우터들에겐 이러한 기능이 비활성화 되있거나 기능이 사라져있다 

 

 

 

Smurf 공격하기 

 

hping3 -a 192.168.10.101 192.168.10.255 --icmp --flood

 

로 출발지가 centos 주소인걸 알수있다

 

 

 

 

 

destination 이 192.168.10.255  되있고 info에 reply, request (ping)이면 smurf 공격

 

일반적으로 보면 info가 ping로 되어있어 핑으로 보이지만

한두개가아닌 수십 개로 돌아왔기 떄문에 smurf 공격 이다 

 

 

 

 

 

 

네트워크 잠깐 오른 부분이 공격을 시작하고 끊었을때의 기록이다

Ping of Death 와 Smurf 공격은 어느정도 느릴뿐이지 TearDrop은 완전히 렉걸려 사용이 불가 한걸볼수있다 . 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

4) LAND 

공격자가 패킷의 출발지/목적지 IP 주소나 출발지/목적지 포트번호를 동일(목적지 (공격대상자 ip 로 ))
하게 하여 전송함으로써, 공격대상의 컴퓨터가 느려지거나 ,동작이 마비되도록 하는 공격 

 

 

 

#hping3 -a 192.168.10.101 192.168.10.101 --icmp --flood 

 

 

 

 

 

출발지와 목적지주소가 동일하게 하여 공격을 했을때 wireshark에서의 패킷이 이런식으로 보인다 

 

 

 

 

 

실제 공격자의 IP 는 10.10.10.10 인데 10.10.10.20 으로 변조해서 victim의 ip 주소와 동일하게 하여 공격

 

 

 

 

gnome-monitor-system 으로확인했을때도 Tear Drop 만큼은 아니지만 꾀나 CPU 나 네트워크 사용이 올라간걸 볼수있다 

 

 

 

 

 

 

Scanning 

 

추가적으로 hping 으로 scanning 도 가능하다 

 

 

hping3 --scan 1-2048 -S 192.168.10.101 

 

이렇게 했을때 열려져있는 포트를 볼수있다

물론 nmap 으로 우린 주로 쓰기때문에 이러한 방법뿐아니라

hping  방법으로도 scanning 이 가능하다