[네트워크] wireshark를 통한 메일주소 추출 with 스니핑, 스푸핑

[환경]

PPTP 서버: Ubuntu 18.04
클라이언트: Window7

공격자 PC: Kali Linux

 

오늘의 목표는 wireshark를 통해 (사내)메일 주소를 알아내는 것이다. 이 활동에서는 권한을 얻어 지나다니는 패킷을 도청해야 한다.

 

PPTP VPN 연결이 되어있는지 확인하였다.

패킷을 더블클릭 해서 들어갔더니 PPTP VPN으로 연동되어있다는 것을 확실하게 확인하였다.

nmap 명령어로 서버에 pptp 서비스가 1723번 포트로 연결되어있는 것을 확인하였다. -sT 옵션은 TCPDump를 사용한다는 뜻의 명령어이다.

Window7에서의 TCPDump를 하려고 했지만 모든 포트가 filtered 처리가 되며 포트가 열려있는지 닫혀있는지 확인이 불가능했다.

사용자 PC에서 50234번 포트로 PPTP 서버의 1723번 포트로 연결되어있는 것을 볼 수 있다.

같은 명령어로 서버에서도 확인하였다.

---

지금부터는 아래의 블로그를 따라하였다.

https://iforint.tistory.com/m/148

칼리 리눅스(Kali Linux) 로 ARP Spoofing (스푸핑), Sniffing (스니핑) 실습하기

 

1) 칼리 리눅스에서 Primiscuous(프리미스큐어스) 모드로 설정

: IP 주소와 MAC 주소가 다르더라도 모든 패킷을 수신할 수 있도록 하는 작업이다.

2) 윈도우에서 ARP 스푸핑 전, ARP 테이블을 확인한다.

3) 칼리 리눅스에서 ARP 스푸핑을 한다.

: 칼리 리눅스에 cmd창에 arpspoofing -t [TARGET_IP] [GATEWAY] 를 입력한다.

이때의 IP 주소와 게이트웨이 주소는 윈도우의 것을 입력한다.

4) 그 후, ARP 테이블을 확인한다.

5) 스니핑을 시작한다.

: 이제 윈도우에서 사용하는 인터넷 기록을 칼리의 wireshark에서 확인할 수 있다.

6) wireshark

wireshark에서도 PPTP 연결을 볼 수 있다.

DNS 서버에서 네이버 메일에 접속한 것을 확인하였다.

도착지 IP와 전송지 IP 주소도 확인이 가능하다.