스니퍼 (Sniffer), 중국어는 스니퍼로 번역될 수 있으며, 매우 위협적인 수동 공격 도구이다. 이 도구를 사용하면 네트워크 상태, 데이터 흐름 및 네트워크를 통해 전송되는 정보를 모니터링할 수 있습니다. 정보가 일반 텍스트로 네트워크를 통해 전송될 때 네트워크 감청을 사용하여 공격할 수 있습니다. 네트워크 인터페이스를 수신 모드로 설정하면 인터넷에서 전송되는 끊임없는 정보를 차단할 수 있습니다. 해커들은 종종 그것을 사용하여 사용자의 구령을 가로채곤 한다. 어느 백본 네트워크의 라우터가 해커에 의해 공격을 받아 대량의 사용자 비밀번호를 감지했다고 한다. 이 기사에서는 스니퍼의 원리와 적용에 대해 자세히 설명합니다.
첫째, 스니퍼 원리
1. 네트워크 기술 및 장비 소개
Sni 측정기의 개념을 설명하기 전에 먼저 LAN 디바이스의 몇 가지 기본 개념을 설명해야 합니다.
데이터는 네트워크에서 프레임 (프레임) 이라는 작은 단위로 전송되며 프레임은 여러 부분으로 구성되며 다른 부분은 다른 기능을 수행합니다. 프레임은 네트워크 드라이버라는 특정 소프트웨어를 통해 형성된 다음 네트워크 카드를 통해 네트워크 케이블로 전송되고 네트워크 케이블을 통해 대상 시스템에 도달하며 대상 시스템의 한쪽 끝에서 반대 프로세스를 수행합니다. 수신측 시스템의 이더넷 카드가 이러한 프레임을 캡처하여 운영 체제 프레임이 도착했음을 알리고 저장합니다. 이 전송 및 수신 과정에서 스니퍼는 보안 문제를 야기합니다.
LAN (LAN) 에 있는 각 워크스테이션에는 네트워크 상의 시스템을 고유하게 나타내는 하드웨어 주소가 있습니다 (인터넷 주소 시스템과 유사). 사용자가 패킷을 보내면 해당 패킷은 LAN 에서 사용 가능한 모든 시스템으로 전송됩니다.
일반적으로 네트워크의 모든 시스템은 통과된 트래픽을 "들을" 수 있지만 자체 패킷이 아닌 패킷에는 응답하지 않습니다. 즉, 워크스테이션 A 는 워크스테이션 B 에 속하는 데이터를 캡처하지 않고 단순히 무시합니다. 워크스테이션의 네트워크 인터페이스가 혼합 모드에 있는 경우 (혼합 모드에 대한 개념은 나중에 설명됨) 네트워크의 모든 패킷과 프레임을 캡처할 수 있습니다.
2. 네트워크 모니터링 원리
스니퍼 프로그램은 이더넷 기능을 이용하여 네트워크 어댑터 카드 (NIC, 일반적으로 이더넷 카드) 를 어수선한 (promiscuous) 모드 상태로 설정하는 도구로, 일단 이 모드로 설정되면 네트워크에 전송되는 모든 패킷을 받을 수 있다.
일반적으로 네트워크 카드는 자신의 주소와 관련된 패킷, 즉 로컬 호스트로 전송되는 패킷만 수신합니다. 스니퍼가 이런 방식으로 정보를 수신하고 처리할 수 있도록 시스템은 BPF 를 지원해야 하고, Linux 에서는 소켓 1 팩을 지원해야 한다. (알버트 아인슈타인, Northern Exposure (미국 TV 드라마), Northern Exposure (미국 TV 드라마) 그러나 일반적으로 네트워크 하드웨어 및 TCP/IP 스택은 로컬 컴퓨터와 무관한 패킷의 수신 또는 전송을 지원하지 않으므로 표준 TCP/IP 스택을 건너뛰려면 네트워크 카드를 처음에 말씀드린 혼합 모드로 설정해야 합니다. 일반적으로 커널은 이러한 의사 장치인 Bpfilter 를 지원해야 하며, 이러한 프로그램을 실행하려면 루트 권한이 필요합니다. 따라서 스니퍼는 루트로 설치해야 합니다. 로컬 사용자로만 시스템에 들어가면 스니퍼를 실행할 수 없기 때문에 루트 비밀번호를 불러올 수 없습니다.
스니퍼 (Sniffer) 와 같은 패턴을 기반으로 다양한 패킷을 분석하고 네트워크의 구조와 사용 중인 시스템을 설명할 수 있습니다. 이는 동일한 네트워크 세그먼트에서 전송되는 패킷을 수신하기 때문입니다. 암호, 다양한 정보, 비밀 문서 등 암호화되지 않은 정보를 캡처할 가능성도 있습니다.
이는 해커들이 자주 사용하는 전과를 확대하는 방법으로, 다른 호스트의 통제권을 빼앗는 데 쓰인다
3 스니퍼 분류
스니퍼는 소프트웨어와 하드웨어의 두 종류로 나뉘는데, 소프트웨어의 스니퍼는 NetXray, Packetboy, Net monitor 등이 있는데, 이는 값싸고, 학습이 쉽고, 교류도 쉽다는 장점이 있다. 단점은 네트워크의 모든 전송을 포착할 수 없고, 어떤 경우에는 네트워크의 실패와 작동을 제대로 이해할 수 없다는 것이다. 하드웨어의 스니퍼는 흔히 프로토콜 분석기라고 하며, 일반적으로 상업적이며 가격도 비교적 비싸다.
사실 이 글에서 언급한 스니퍼는 소프트웨어를 가리킨다. 가방을 잡아 열고 내용을 보고 비밀번호 등을 받을 수 있다. 스니퍼 (Sniffer) 는 하나의 물리적 네트워크 세그먼트 내에 있는 패키지만 잡을 수 있습니다. 즉, 당신과 청취하는 대상 사이에 라우트나 다른 마스크 브로드캐스트 패킷을 가질 수 없는 장치가 있어야 합니다. 따라서 일반 전화 접속 인터넷 사용자들에게는 스니퍼를 이용해 다른 사람의 통신 내용을 도청하는 것은 불가능하다.
4. 네트워크 감청목적
해커가 호스트를 성공적으로 점령하고 루트 권한을 얻었으며 동일한 네트워크 세그먼트의 다른 호스트를 공격하기 위해이 호스트를 사용하기를 원할 때, 그는이 호스트에 스니퍼 소프트웨어를 설치하고 이더넷 장치에서 전송된 패킷을 수신하여 관심있는 패키지를 찾습니다. 자격을 갖춘 패키지가 발견되면 로그 파일에 저장합니다. 일반적으로 설정되는 조건은' username' 또는' password' 라는 단어가 포함된 가방인데, 이런 가방 안에는 해커가 관심 있는 비밀번호 같은 것들이 들어 있다. 일단 해커가 어떤 호스트의 비밀번호를 가로채면, 그는 즉시 이 호스트에 들어갈 것이다.
스니퍼가 라우터나 라우팅 기능이 있는 호스트에서 실행되는 경우 네트워크에 들어오고 나가는 모든 패킷이 라우터를 통과하기 때문에 많은 양의 데이터를 모니터링할 수 있습니다.
스니퍼는 레벨 M 공격에 속한다. 즉, 공격자가 타겟 시스템에 진입한 경우에만 스니퍼라는 공격 수단을 사용하여 더 많은 정보를 얻을 수 있습니다.
스니퍼는 암호나 사용자 이름 외에도 중요한 정보, 인터넷으로 전송되는 금융 정보 등 더 많은 정보를 얻을 수 있습니다. 스니퍼는 이더넷에서 전송되는 거의 모든 패킷을 얻을 수 있습니다.
스니퍼는 비교적 복잡한 공격 수단이다. 일반적으로 해커 베테랑만이 그것을 사용할 수 있는 반면, 한 네트워크 초보자의 경우, 한 호스트에서 스니퍼를 성공적으로 컴파일하고 실행해도 유용한 정보를 얻을 수 없다. 보통 네트워크의 정보 트래픽은 상당히 크기 때문이다. 모든 패킷을 선별적으로 받지 않고 필요한 정보를 찾는 것은 매우 어렵다. 그리고 장시간 감청을 하면 스니퍼가 놓여 있는 기계의 하드 드라이브를 터뜨릴 수도 있다.