Ettercap을 이용한 Packet Sniffing

- 용어

Sniffing - 도청

Packet Sniffing - 패킷을 도청, 주고받는 패킷을 확인 하는 것

- Packet Sniffing

- Packet Capture

- Packet Monitoring

- Packet Sniffing 하기

( win2008 ) ------- ftp --------> ( linux200 )

( kali ) sniffing

( kali )

Ethernet Switch 환경에서 패킷을 스니핑하기 위해서는 arp spoofing 과정을 선수적으로 사용해야 한다. 

( 패킷을확인하려면 패킷이 자신의 서버를 거처서 전송되어야 확인 가능 )

ettercap 툴을 사용하여 arp spoofing 과정을 수행한다. 

[ 툴 사용법 ]

# ettercap -G &    /* GUI 로 실행 */

# wireshark &     /* wireshark 실행 */

# ettercap -G &  실행

> Sniff > Unified sniffing

> 내부망인 linux200 과 win2008 서버를 공격할 것이므로 eth1 선택

> Hosts 검색 

> Host list 보기

> 같은 네트워크에 존재하는 Host들의 목록이 나타납니다. 

> 200번 서버 ( linux220 ) Target 1 선택

> 201 서버 ( win2008 )  Target 2 선택

> Mitm > ARP poisoning 선택

> Sniff remote connections 

> Start sniffing 선택

> ARP spoofing 설정이 끝났다. 툴을 이용하면 클릭 몇번으로 ARP Spoofing이 가능하다. 

> wireshark 를 확인해 보면 200번과 201번 서버에 ARP를 계속 보내는 것을 확인할 수 있다. ( ARP Spoofing이 잘 실행되고 있음을 알수 있다. )

( win2008 )

c:\> ftp 192.168.27.200

root/security1.

ftp>ls

ftp>quit

( kali )

> wireshark 패킷확인 ftp 검색

> root/ security1. 으로 로그인한 것과  무엇을 했는지 확인 가능하다.  

> win2008 서버는 아무 문제 없이 linux200 서버와 ftp 통신을 했지만 중간에 kali 서버가 패킷을 가로채 확인했다. ( Sniffing )

( ettercap 공격 중지하기 )

Mitm > Stop mitm attack(s) 클릭

Start > Stop sniffing 클릭