tcpdump 로 공격 패킷 분석

실습 > 패킷 확인

 

Victim : tcpdump
- tcpdump : 패킷을 분석하는 프로그램
Attacker : wireshark
- wireshark : 패킷 분석 프로그램

 

1. 설정파일 수정 (주석)
allow-transfer 를 주석처리하고 실행한다.
/etc/named.conf
//allow-transfer  { none; };  

/etc/named.rfc1912.zones 
zone "sbs.com" IN {
  :
  :(생략)
  allow-transfer { none; };  
};

2. 콘솔에서 패킷 확인
실행 순서 : 설치 -> 패킷 덤프 -> 공격 -> 패킷 분석
Victim ~# yum -y install tcpdump
Victim ~# tcpdump -i ens33 port 53 -n 
Attacker ~# dnsenum -f /usr/share/dnsenum/dns.txt sbs.com 
  :
  :(생략) <-- 들어오는 것을 분석한다.

 

3. 파일에 패킷 저장
실행 순서 : 패킷 저장 -> 공격 -> 패킷 전송 -> 패킷 분석
Victim ~# tcpdump -w dnsenumAttack.pcap -i ens33 port 53 -n 
Attacker ~# dnsenum -f /usr/share/dnsenum/dns.txt sbs.com 
Victim ~# tcpdump -w dnsenumAttack.pcap -i ens33 port 53 -n 
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
^C3014 packets captured
3014 packets received by filter
0 packets dropped by kernel

 

Victim ~# ll dnsenumAttack.pcap 
-rw-r--r--. 1 tcpdump tcpdump 342447 12월 29 20:54 dnsenumAttack.pcap

 

4. 패킷 전송

저장된 패킷을 Attacker쪽으로 원격 복사한다.

(Attacker : 192.168.108.102)
Victim ~# scp dnsenumAttack.pcap 192.168.108.102:

 

5. 패킷 분석
Attacker에서 와이어샤크를 실행해서 dnsenumAttack.pcap 파일을 분석한다.

Attacker ~# wireshark dnsenumAttack.pcap