【SIA's Studying Home】†

- SecuOnion 설치 & 공격 탐지

시아SIA — Wed, 24 Oct 2018 02:29:21 +0900

안녕하세요. 보안공부를 하고 있는 시아입니다.

오늘은 Security Onion OS를 설치하여, 로컬 내에서 공격을

탐지 해보도록 하겠습니다.

Security Onion 은 쉽게, IDS 전용 툴을 모아놓은 OS라고 생각 하시면 됩니다.

IDS는 무엇인가??

침입 탐지 시스템의 약자(Instrusion Detection System). 정보시스템의 보안을 위협하는 침입행위가 발생할 경우

이를 탐지, 적극 대응하기 위한 시스템. 차단을 목적으로 하는 방화벽과는 달리 각종 해킹 수법을 이미 자체에 내장하고 있어 침입행동을 실시간으로 감지·제어·추적할 수 있다.

다만 침입 자체를 탐지만 할 수 있고, 차단은 못한다는 점....

최근에는 IPS 라고 해서, 침입 탐지 시스템과 방화벽의 기능이 동시에 있는 침입 차단 시스템도 있습니다.

그럼 Security Onion 을 설치해보겠습니다.

https://github.com/Security-Onion-Solutions/security-onion/blob/master/Verify_ISO.md

에서 ISO 파일을 다운받아 주신 후,

VM에 ISO 파일을 삽입 한 후 실행해주세요.

Security Onion 의 경우 xUbuntu Linux 기반 OS입니다. 하드 용량은 넉넉잡고 20GB, 메모리는 1GB 로

진행하였습니다.

먼저 이런 화면이 뜨실 텐데요 install - start the installer directly 을 선택 해 주시면됩니다.

저의 경우엔 이미 설치가 되어있어서 install 옵션이 보이지 않습니다.

기본 설정에서 한국어 지원이 가능하니, 한국어를 선택하신 후 , 자신에게 맞는 설정을 하시면 설치가 자동으로

진행됩니다.

기본 설치가 완료된 후에는, sguil 을 설치해 줘야 하는데요, sguil 은 위에서 말씀드렸던, IDS TOOL 이라고

생각하시면 됩니다. 위 사진과 같이 Setup 을 눌러줍니다.

확인을 눌러줍니다.

네트워크 설정 부분인데요, 저의 경우 이미 설정이 되어있지만, 처음 설정을 하면 static으로 할지 DHCP로 할지

결정을 하라고 합니다. DHCP로 체크해주시면 됩니다.

VM에서 어짜피 NAT로 잡아줍니다.

평가판 모드와 상용 모드 중에서 선택하는 것입니다. 저희는 무료로 사용해야하기 때문에,

평가모드로 진행을 하겠습니다.

저장공간 확인.

그리고 Sguil 에서 사용할 ID와 PW 등을 설정해 주시면 자동으로 설치가 진행됩니다.

설치가 완료되시면,

Terminal을 켜서 sudo apt-get update 명령어와, sudo apt-get upgrade 명령어를 실행 시켜 줍니다.

여기까지 Security Onion OS 설치가 끝났습니다.

간략 실습

실습환경

공격자 : 칼리 리눅스 (192.168.28.130)

피해자 : 우분투 (192.168.28.128)

탐지 : SecuOnion

먼저 Security Onion 에서 Sguil 을 로그인 합니다.

Okay - Login

여기서 Select All 을 눌러준 후 Start Sguil 을 눌러줍니다.

이렇게 체크박스에 체크가 되어 있어야 합니다.

공격자 IP 와 피해자 IP를 다시 한번 확인해보겠습니다.

사진과 같이 칼리(공격자) 의 IP는 192.168.28.130 입니다.

우분투(피해자) 의 IP 는 192.168.28.128 입니다.

해당 홈페이지는 칼리(공격자) 의 PC 에서 들어간 홈페이지입니다. 우분투에서 아파치로 웹서버를 구축하여

해당 IP로 아파치 디폴트 페이지가 뜨게 됩니다. 저희는 이 기본 페이지에 OWASP-ZAP을 이용하여

스캔공격을 해보도록 하겠습니다.

주의! OWASP - ZAP을 실행 후 해당 홈페이지를 들어가야 OWASP-ZAP 에서 홈페이지를 선택 할 수 있습니다.

마우스 오른쪽 버튼 클릭 후 Attack - Scan Attack 을 진행 하게 되면, Scan 공격을 하는 것을 알 수 있습니다.

보시는 바와 같이 공격을 반복 할 때마다 192.168.28.130 -> 192.168.28.128 의 공격을 탐지 하는 것을

알 수 있습니다.

감사합니다.

First Report

시아SIA — Fri, 21 Sep 2018 04:11:42 +0900

안녕하세요 '-' / 보안병아리 SiA입니다.

오늘은 보안 공부를 하기 위한 실습환경을 구축하기 위하여 프리웨어인 Virtual Box 설치하고 Kali Linux, Ubuntu, CentOS, Window Server 2012, Window 7를 Virtual Box 안에 설치해보려해요~

여기서 잠깐! Virtual Box를 왜 사용하느냐?

일단 보안공부를 하시는 분이시면, 악성코드 분석을 하거나 공격기법, 툴을 통하여 실습을 할거라고 생각해요.

하지만! 악성코드 분석을 호스트 PC에서 하게된다면....? 네, 악성코드에 감염이 되어 랜섬웨어를 분석하는 경우엔 자신의 메인 PC 파일이 암호화 되는 경우가 생길수도있겠죠? 또한 공격기법을 다른 사용자 PC에 실습을 하게되면.. 빨간줄이 그어지곘죠? 그걸 방지하기 위해, 가상 OS를 설치하여 그 안에서 실습을 하는거예요.

먼저 아래의 링크에 가셔서 Virtual Box를 다운받아주세요.

다운로드 링크 https://www.virtualbox.org/wiki/Downloads

저는 윈도우환경에서 사용할 것이기 때문에 윈도우 용으로 다운로드 받았어요.

다운받으신 설치 파일을 실행하여 Virtual Box를 설치해주세요.

Virtual Box 를 실행하면,

위와 같은 화면을 볼 수 있어요.

먼저 우분투를 설치 해볼께요. 설치를 하기전에 아래의 링크에서 우분투 iso 파일을 미리 받아주세요.

다운로드 링크 https://www.ubuntu.com/download/desktop

저는 ubuntu 64-bit를 설치할거예요~

새로 만들기를 클릭하여,

종류 - Linux, 버전 - Ubuntu (64-bit) 를 선택해 주세요.

#4 Extract file from pcap

시아SIA — Wed, 20 Nov 2013 02:29:03 +0900

4번 문제입니다.

문제를 해석하면 pcap 로 부터 파일을 추출하라 가 되겠네요.

pcap 이라 하면 패킷분석 툴 Wireshark 의 패킷 파일의 대표적인 확장자라고 할 수 있습니다.

일단 http://www.wireshark.org/download.html 에서 자신에게 맞는 Wireshark 설치 프로그램을 다운받아서 실행해주세요~

설치를 완료하고

저기 download 글씨에 마우스 오른쪽버튼을 클릭하여 다른이름으로 저장하기를 클릭해주세요

어라? 근데 파일의 확장자명이 pcap 이아니라 txt 입니다. 그래도 혹시 모르니 txt 파일을 저장하여 열어봅시다.

?????????????!!!!!!!!!!!!!!!!!

뭐..뭐지... =ㅅ = ;;;

password 값이 있네요 ?? 한번 쳐봅시다.

는 FAIL

자 그럼 Wireshark 를 깔고 확장자를 pcap 으로 바꿔서 저장한 후 실행 해 봅시다.

이렇게 패킷이 나오는데요? 여기서

저 GET 방식으로 받는 수상한 패킷의 TCP Stream 을 한번 봐보도록 하죠?

또 똑같은 password 가 나오네요..?! 뭔가 다르겠지 하면서 쳐봤지만 역시 fail

그렇다면!!

이렇게 Export Objects - HTTP 를 이용하여 파일을 추출 해보도록 합시다.

역시나 파일이 하나 있네요?

Save As 로 저장해 줍시다.

자 나머지 폴더들은 신경ㅇ쓰지마세요 ;ㅅ; ... 정리를 안해놨더니 ㅋㅋ;;

일단 txt 파일로 저장해서 열어보면..?

.......

?!?!?!!

그렇습니다. 우리는 바로 삽질을 한것이었습니다.

저 역시 여기서 굉장히 헤맸습니다.

저 파일은 ELF 파일로 써 리눅스에서 열면 PASSWORD 값이 제대로 보인다는데요..

HACK-ME.ORG 에 있는 CRACK 부분에 Rot 방식으로 디코딩을하면 값이 나오네요~

#3 WWW Login Test

시아SIA — Tue, 19 Nov 2013 01:43:22 +0900

3번 문제입니다.

문제를 해석해보니 WWW 로그인 테스트 라고 되어있네요?

이게 도대체 뭘까요...? 하고 곰곰히 생각해보다 저 그림을 보니? 저장파일명이 tomcat 으로 되어있네요 ㅎㅎ.

Tomcat 이 뭔지 알아볼까요?

아파치 톰캣(Apache Tomcat)은 아파치 소프트웨어 재단에서 개발된 서블릿 컨테이너(또는 웹 컨테이너)만 있는 웹 애플리케이션 서버이다.

톰캣은 웹 서버와 연동하여 실행할 수 있는 자바 환경을 제공하여 자바 서버 페이지(JSP)와 자바 서블릿이 실행할 수 있는 환경을 제공하고 있다. 톰캣은 관리툴을 통해 설정을 변경할 수 있지만, XML 파일을 편집하여 설정할 수도 있다. 그리고, 톰캣은 HTTP 서버도 자체 내장하기도 한다.

아파치 톰캣은 Apache Licence, Version 2를 채용한 오픈소스 소프트웨어로서, 서블릿이나 JSP를 실행하기 위한 서블릿 컨테이너를 제공하며, 상용 웹 애플리케이션 서버에서도 서블릿 컨테이너로 사용하는 경우가 많다. 버전 5.5 이후는 기본적으로 Java SE 5.0 이후를 대응한다.

출저 : http://ko.wikipedia.org/wiki/아파치_톰캣

------------------------Wiki 백과----------------------------

즉 텔넷과 비슷한 거라고 보시면 됩니다. 저는 tomcat 을 이용하지 않고 netcat을 이용하여 이 문제를 풀어보도록 하겠습니다.

Netcat 이란?

Netcat(이하 nc로 표기)은 Network connection 에서 raw-data read, write를 할수 있는 유틸리티 프로그램이다. 일반적으로는 UNIX의 cat과 비슷한 사용법을 가지고 있지만 cat이 파일에 쓰거나 읽듯이 nc는 network connection에 읽거나 쓴다. 이것은 스크립트와 병용하여 network에 대한 debugging, testing tool로써 매우 편리하지만 반면 해킹에도 이용범위가 매우 넓다.

---------------------------------------------------------------------------------

넷켓을 이용해서 3번문제를 한번 풀어보도록 하겠습니다(넷켓을 이하 nc 로 하겠습니다.) 일단 맨 하단의 nc를 다운받으시고압축해제후 폴더명을 nc로 바꿔줍니다.

그리고 cmd 창을 실행 후

cd \

cd nc

nc.exe -p (포트번호 저흰 80 port를 쓴댔으니 80을 써야겠죠?) -l

여기서 -p 80 은 -port 80 을 의미합니다. 즉 서버를 80번 포트로 열으라는 말입니다.

-l 는 listen 을 의미하는 서버를 시작하고 접속을 받을 준비를 하는 것입니다.

이제 listen 상태로 대기를 한후

저기 보이는 connect 버튼을 누르게되면?

password가 나오네요~

이 패스워드는 사람마다 다 다르게 나와요~

netcat 다운로드

nc111nt.zip

#2 Easy Steganography

시아SIA — Tue, 19 Nov 2013 01:33:06 +0900

2번 문제입니다.

문제를 해석해보니 쉬운 스테가노그래피 라고 되어있네요.

스테가노그래피 란

이름은 정말 거창하고 멋있어보이긴 한데 별거 없다. 그냥 '글자를 감추는 통신 방법'을 말하는 것 .을 말합니다.

이렇듯 드라마 유령에 나오면서 유명해 졌죠?

하지만 이 스테가노 그래피 문제를 풀려면 전문 툴이 있어야하느냐?

답은?

NO!

일단 한번 메모장에 문제를 끌어 넣기 해보겠습니다.

어??

이게 뭐죠???

HINT 에는 30자라고 나와있는데.. 설마 이게 답이려고...?!

한번 해보세요 ㅋㅋㅋ..

혹은

Hex 라는 프로그램으로 이 그림을 까보겠습니다. (최하단에 파일 첨부 해놨습니다~)

앞에 확장자 명인 png 가 나와있네요? 그리고 뒷부분부터는 리버싱을 안배우셨다면 이해 하시기 힘들겁니다.

막 여러가지 문자열이 나와있습니다.

저기서 K 부분부터 딱 30자를 잘라서 답을 넣어보니?

정답이네요!

Hex Edit 입니다~

HxD.exe

#1 View Sourcecode

시아SIA — Tue, 19 Nov 2013 01:13:10 +0900

1번 문제입니다.

문제를 해석 해보면 소스코드를 보라고 되어있네요 ?

마우스 오른쪽 버튼을 누르고 소스보기를 해봅시다.

이렇게 소스코드를 보면서 내리다보면 PASSWORD 값을 획득 하실 수 있습니다 ^-^~