스캐닝 공격 분석(Nmap, 와이어샤크 이용)

Nmap

: 네트워크 검색과 보안 진단을 위한 무료 공개 소스 유틸리티

- nmap 스캔 옵션

옵션 종류	내용
-sT	connect() 함수를 이용한 Open 스캔. Open Scan
-sS	세션을 성립시키지 않는 SYN Scan. Half Open Scan
-sF	FIN 패킷을 이용한 스캔. Fin Scan
-sN	NULL 패킷을 이용한 스캔. Null Scan
-sX	XMAS 패킷을 이용한 스캔. XMAS Scan
-sU	UDP 포트 스캔. UDP Scan
-sA	ACK 패킷에 대한 TTL 값 분석. ACK Scan
-sW	ACK 패킷에 대한 윈도우 크기 분석. Window Scan

 

 

Open Scan

# -P0: 스캔 전 ping 하지 않고, ICMP Echo Request를 허용하지 않는 호스트에 대한 스캔
# 1~1024 포트 스캔. -T3 옵션으로 시간차 스캔(Normal)
nmap -sT -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 공격자(192.168.93.137)와 공격대상(192.168.0.4) 간 3-WAY Handshake 확인 가능

- 공격대상으로부터 ACK가 수신되면 open / RST+ACK가 수신되면 close

 

 

Half Open Scan

nmap -sS -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 열린 포트: 공격대상(192.168.0.4)이 SYN+ACK를 보내면, 공격자는 RST 패킷 전송으로 즉시 연결 해제

 

 

FIN Scan

nmap -sF -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 공격자(192.168.93.137)가 공격대상(192.168.0.4)에게 보내는 FIN 패킷만 존재

  ( ∵ 방화벽에서 필터링. 아마도...)

 

 

NULL Scan

nmap -sN -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 공격자가(192.168.93.137)가 공격대상(192.168.0.4)에게 보내는 NULL 패킷만 존재

  ( ∵ 방화벽에서 필터링. 아마도...)

 

 

XMAS Scan

nmap -xX -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 공격자가(192.168.93.137)가 공격대상(192.168.0.4)에게 보내는 XMAS 패킷(FIN, PSH, USG flag 설정)만 존재

  ( ∵ 방화벽에서 필터링. 아마도...)

 

 

ACK Scan

namp -sA -P0 -p 1-1024 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- 모든 포트로부터 RST 패킷이 수신됨

  ( ∵ 방화벽에서 필터링. 아마도...)

  

 

Decoy Scan

nmap -sS -P0 -p 1-1024 -D 10.10.10.10 -T3 192.168.0.4

공격대상 Wireshark 패킷 분석

- Source IP가 10.10.10.10로 바뀜

 

 

 

공부하면서 학습 목적으로 작성한 포스팅이므로 내용이 완전하지 않습니다ㅠ 
계속해서 학습 후 지식이 좀 더 쌓이면 수시로 수정해나갈 예정입니다! 
틀린 내용은 둥글게 댓글 달아주시면 빠른 확인 후 수정하겠습니다. :)