포트 스캔 공격

포트스캐닝은 서버에 열려 있는 포트를 확인하기 위한 방법으로 NMAP이라는 도구를 사용해서

스캐닝을 수행한다.

1.UDP SCAN

공격자는 UDP Packet을 전송해서 스캐닝하는것으로 UDP의 특성상 신뢰성이 떨어진다.

Open된 경우 응답을 하지않는다.

Close된 경우 ICMP Unreachable 을 수신받는다.

2.TCP Open Scan

3-Way Handshaking 를 수립하고 Target System에서 쉽게 탐지가 가능하다.

로그기록이 남고 스캔 속도가 느리다.

Stealth Scan

Stealth Scan은 로그를 남기지않는다

그 종류에는 TCP Half Open Scan,FIN Scan,Xmas Scan,Null Scan방법이 있다.

1.TCP SYN Scan

TCP 연결시에 SYN패킷만 전송하고 응답 정보로 포트 오픈을 확인한다.

완전한 세션은 성립하지 않고 포트의 활성화를 확인하므로 로그가 남지 않는다.

SYN 패킷을 대상 포트로 발송하여 SYN/ACK패킷을 수신 받으면 Open 상태이다.

SYN패킷을 대상 포트로 발송하여 RST/ACK을 수신받으면 Close상태이다.

Half Open 혹은 Stealth Scanning이라고 한다.

2.FIN Scan

TCP에서 FIN은 연결 종료를 의미하며 공격자는 FIN을 전송하여 포트를 스캔한다.

Open된 경우 응답이 없다

Close된 경우 RST(Reset)응답을 받는다.

3.X-MAS Scan

공격자는 TCP FIN,PSH,URG Packet 전송하여 포트 오픈을 확인한다.

Open된 경우 응답이 없다

Close된 경우 RST응답을 받는다.

PSH(Push) - P : 밀어넣기

TELNET 과 같은 상호작용이 중요한 프로토콜의 경우 빠른 응답이 중요한데, 이 때 받은 데이터를 즉시 목적지인 OSI 7 Layer 의 Application 계층으로 전송하도록 하는 FLAG. 대화형 트랙픽에 사용되는 것으로 버퍼가 채워지기를 기다리지 않고 데이터를 전달한다. 데이터는 버퍼링 없이 바로 위 계층이 아닌 7 계층의 응용프로그램으로 바로 전달한다.

     URG(Urgent) - U : 긴급 데이터

Urgent pointer 유효한 것인지를 나타낸다. Urgent pointer란 전송하는 데이터 중에서 긴급히 전당해야 할 내용이 있을 경우에 사용한다. 긴급한 데이터는 다른 데이터에 비해 우선순위가 높아야 한다. 

EX) ping 명령어 실행 도중 Ctrl+c 입력

4.NULL Scan

공격자는 TCP NULL패킷을 전송하여 포트 오픈을 확인한다.

Open된 경우 응답이 없다.

Close된 경우 RST응답을 받는다.

TCP Fragementation

20Byte의 헤더를 2개로 분활하여 보안장비의 탐지를 우회하는 방법

첫번째 패킷은 IP주소정보가 있고 두번째 패캣은 Port정보만 있게 한다.

Nmap옵션

스캔종류	내용
-sT	Connect() 함수를 이용한 open스캔
-sS	세션을 성립시키지 않는 SYN 스캔
-sF	FIN 패킷을 이용한 스캔
-sN	NULL 패킷을 이용한 스캔
-sX	XMAS 패킷을 이용한 스캔
-sP	Ping을 이용한 호스트 활성화 여부 확인
-sU	UDP 포트 스캔
-sR	RPC 포트 스캔
-sA	ACK 패킷에 대한 TTL 값의 분석
-sW	ACK 패킷에 대한 위도우 크기 분석
-b	FTP 바운스 스캔

참고

https://m.blog.naver.com/PostView.nhn?blogId=lhj4128&logNo=220495327662&proxyReferer=https:%2F%2Fwww.google.com%2F

33. 다음 중에서 포트 스캔 공격을 했을 때 포트가 열린 경우 돌아오는 응답이 다른 하나는?

① 스텔스(Stealth) 스캔

② NULL 스캔

③ TCP Open

④ UDP 스캔

정답 3번

나머지는 응답이 오지않고 TCP의 경우에만  SYN/ACK를 받는다.