헌트 - 클라우드에서 온라인

프로그램:

이름

hunt - 네트워크 보안 감사 도구.

개요

사냥 [-V] [-V] [-NS 상호 작용]

기술

이 매뉴얼 페이지는 간략하게 설명합니다 사냥 명령. 이 매뉴얼 페이지는
원래 프로그램에 매뉴얼 페이지가 없기 때문에 데비안 GNU/리눅스 배포판.
대신 GNU Info 형식으로 설명서가 있습니다. 아래를 참조하세요.

독서 먼저

헌트를 사용하기 전에 무엇을 하고 있는지 알고 있는지 확인하십시오. 권장사항은 다음과 같습니다.
일부 테스트 연결에서 어떻게 작동하는지 테스트한 다음 현명하게 사용해야 합니다.
기본적으로 telnet만 사용하므로 "옵션"을 선택한 다음 "conn 정책 항목 추가"를 선택하려고 합니다.
연결이 모니터링됩니다.

개요

Hunt는 연결에 침입하여 이를 감시하고 재설정하는 프로그램입니다.
Juggernaut나 T-sight와 같은 어떤 제품에서도 찾을 수 없는 여러 가지 기능이 있습니다.
내 개발에 영감을 주었습니다. 저는 Juggernaut가 더 이상 유연하지 않다는 것을 알았습니다.
개발이어서 처음부터 시작했습니다(기능 및 디자인 개요 참조). 헌트가
이더넷에서 작동하며 이를 통해 감시할 수 있는 연결에 가장 적합합니다.
그러나 다른 세그먼트에 있는 호스트나 호스트에 대해서도 작업을 수행할 수 있습니다.
스위치 포트에 있습니다. 헌트는 로컬 네트워크 연결과
인터넷으로 가는/인터넷에서 오는 연결. 보는 모든 연결을 처리할 수 있습니다.

연결 하이재킹은 주로 Telnet 또는 rlogin 트래픽을 대상으로 하지만 다음과 같은 용도로 사용할 수 있습니다.
다른 트래픽에도 해당됩니다. 재설정, 감시, ARP, ... 기능은 모든 트래픽에 공통적입니다.
연결.

STYLE

연결
* 관심 있는 연결을 설정합니다.
* 진행 중인 연결 감지(SYN이 시작된 것만이 아님)
* ACK 스톰이 감지되어 정상적인 활성 하이재킹이 발생합니다.
* ARP 스푸핑/성공적인 ARP 스푸핑이 감지된 일반적인 하이재킹.
* 하이재킹 후 실제 클라이언트와 서버 간의 동기화(따라서
(연결을 재설정할 필요가 없습니다).
* 연결을 재설정합니다.
* 연결을 지켜보고 있습니다.

데몬
* 자동 연결 재설정을 위해 데몬을 재설정합니다. * ARP 스푸핑/릴레이 데몬
스푸핑된 호스트에서 모든 패킷을 전달하는 기능을 갖춘 호스트의 ARP 스푸핑. *
MAC 주소를 수집하기 위한 MAC 검색 데몬. * TCP 로깅을 위한 Sniff 데몬
특정 문자열을 검색할 수 있는 트래픽입니다.

주인 해결
* 전용 DNS 도우미 서버를 통한 지연된 호스트 확인.

패킷 엔진
* TCP, UDP, ICMP 및 ARP 트래픽을 감시하기 위한 확장 가능한 패킷 엔진입니다. *
시퀀스 번호와 ACK 스톰 감지를 통한 TCP 연결 수집

기타 * 어떤 호스트가 작동 중인지 확인합니다.

전환 된 환경
* 스위치드 포트의 호스트도 스푸핑, 스니핑 및 하이재킹을 당할 수 있습니다.

COMMAND LINE 매개 변수

-V 인쇄 버전
-v 자세한 정보(생성된 스레드의 pid를 인쇄)
-i 인터페이스 이 인터페이스에서 수신합니다. 기본값은 eth0입니다.

기술 설명

내가 사냥에 사용하는 몇 가지 기술적 문제에 대해 설명하겠습니다.
작동 방식과 기대해야 할 사항을 이해합니다. 중요한 용어는 IP입니다.
스푸핑, ARP 스푸핑 및 ACK 스톰. 이에 대해 잘 알고 있더라도 다음을 얻을 수 있습니다.
몇 가지 새로운 정보.

IP 스푸핑
패킷 소스 주소를 자신이 가장하는 호스트의 IP 주소로 설정합니다.

ARP 스푸핑
패킷 소스 하드웨어 주소(소스 MAC 주소)를 다음 주소로 설정합니다.
당신이 가장하는 진행자.

단순, 간단, 편리 최근활동 공격 반대 TCP 연결 - It is a 잘 알려진 유형
위조된 IP 주소와 함께 패킷을 보내는 공격의 경우
위조된 ARP 주소(클라이언트 및 서버의 실제 MAC 주소 - 가짜 주소 아님)
(추가로 설명) 이런 식으로 스트림에 명령을 강제로 적용할 수 있지만
(추가로 설명할 것처럼) 원래의 ACK 스톰을 수신할 가능성이 있습니다.
연결의 클라이언트 호스트는 Linux를 실행합니다.

ARP 스푸핑
나는 또한 이 용어를 원격 호스트가 내가 원하는 호스트라고 생각하도록 강제하는 데 사용합니다.
다른 MAC 주소가 있으므로 원격 호스트는 해당 MAC 주소로 응답을 보냅니다.
그리고 원래 클라이언트 호스트는 이를 수신할 수 없습니다(하지만 헌트는 감시하고 있습니다)
신중하게 모든 결과를 처리합니다) (호스트를 강제로 실행하는 방법 설명
네트워크에서 다른 호스트가 다른 MAC을 가지고 있다고 생각하도록 하려면 연습문제로 남겨두세요.
소스 코드를 읽어보시기 바랍니다.) ARP라는 용어를 사용한다는 점에 유의하세요.
ARP 강제 또는 그와 유사한 용어 대신 스푸핑이라고 합니다. 그러니 그렇게 하지 마세요.
혼란스럽습니다. ARP 스푸핑이라고 하면 호스트의 MAC 주소를 사용하는 것을 의미합니다.
가짜 MAC 주소. ARP 스푸핑(MAC을 강제로 강제한다는 의미)에 주의하세요.
ARP 항목에 만료 타이머가 있으므로 Solaris2.5에서는 작동하지 않습니다.
Solaris가 ARP 항목을 삭제하도록 쉽게 강제할 수 없습니다. 항목은 일반적으로 만료됩니다.
20분 이하(하지만 강제로 실행할 수 있는 기회가 있으며 사냥이 이 모드를 지원합니다).
Solaris의 만료 타이머는 다음과 같이 설정됩니다.

ndd -세트 /dev/ip ip_ire_플러시_간격 60000 /* 1 분 */
ndd -세트 /dev/arp arp_cleanup_interval 60 /* 1 분 */

위의 값을 모든 Solaris에 설정하도록 netadmin에게 요청하는 것이 좋습니다.
기계. Win95/NT4sp3, Linux2.0, OSF1 V4.0, HP-UX10.20은 보호되지 않습니다.
이 방법을 사용하면 설명된 기술을 쉽게 사용할 수 있습니다(실제로는 다음과 같습니다.
타이머가 있지만 Solaris와 같이 작동하지 않습니다. 사실 Solaris만이 그렇습니다.
예외). 실제로, 헌트는 가짜를 강제로 생성하려고 이 기술을 사용합니다.
클라이언트에 대한 서버의 MAC과 서버에 대한 클라이언트의 가짜 MAC. 그런 다음
서버와 클라이언트 모두 위조된 MAC에 패킷을 보내고 있습니다.
물론 처리해야 합니다). 그러나 가짜 호스트가 하나만 있으면 충분합니다.
다른 호스트의 MAC입니다. 이 상황에서도 ACK 스톰은 발생할 수 없습니다. 그래서 당신은
한쪽 끝이 Solaris이고 다른 쪽 끝이 Solaris가 아니더라도 이 기술을 사용할 수 있습니다.
다른 호스트에서 성공하면 그것으로 충분합니다. 그래서 유일한 문제는
연결은 두 Solaris 머신 사이에 있습니다. 그러나 루트가 있는 경우
연결이 진행 중이면 ARP 없이도 위에서 제안한 명령을 쉽게 푸시할 수 있습니다.
연결을 스푸핑하고 ARP 캐시 만료 타이머를 변경합니다.

ACK 폭풍
ACK 스톰은 대부분의 TCP 스택에 의해 발생합니다. (!!! Linux2.0은 예외입니다.
!!!). 서버에 대한 진행 중인 연결에 일부 데이터를 보낸다고 가정해 보겠습니다.
(클라이언트가 보낸 것처럼 - 예상 순서 번호 포함, ...). 서버가 응답합니다.
귀하가 보낸 데이터를 확인했지만 이 확인은 다음에 의해 수신되었습니다.
원래 클라이언트도 마찬가지다. 하지만 원래 클라이언트 관점에서 보면 서버는
클라이언트에 존재하지 않는 데이터를 인식했습니다. 그래서 이상한 일이 발생했습니다.
그리고 원래 클라이언트는 ACK와 함께 "올바른" 시퀀스 번호를 서버로 보냅니다.
하지만 TCP 규칙에서는 즉각적인 확인을 생성해야 한다고 명시하고 있습니다.
순서가 맞지 않는 세그먼트가 수신될 때. 이 ACK는 지연되어서는 안 됩니다. 따라서
서버는 존재하지 않는 데이터의 확인을 다시 클라이언트에게 보냅니다. 그리고
클라이언트 응답, ... 연결의 소스 호스트가 Linux인 경우에만
ACK 스톰이 발생하지 않습니다. ARP 스푸핑(강제)을 사용하는 경우 ACK
폭풍은 한쪽 또는 양쪽 끝에서 가짜 MAC을 사용하여 패킷을 보내기 때문에 발생할 수 없습니다.
해당 패킷은 다른 호스트가 아닌 헌트에 의해 수신됩니다.

연결 다시 쓰기
적절하게 구성된 단일 패킷을 사용하면 연결을 재설정할 수 있습니다(RST 플래그)
TCP 헤더). 물론 시퀀스 번호를 알아야 하지만 그것은 아닙니다.
항상 감시하는 헌트에 대한 문제입니다. 서버, 클라이언트 또는
둘 다. 한쪽 끝만 재설정하면 다른 쪽 끝은 데이터를 보내려고 할 때 재설정됩니다.
연결 재설정으로 인해 RST로 응답하는 첫 번째 호스트에
그것.

연결 냄새 맡기/감시하기
당신이 할 수 있는 가장 간단한 일은 의자에 조용히 앉아 사냥 결과를 지켜보는 것입니다.
목록에서 선택한 모든 연결에 대한 정보입니다.

연결 동기화
글쎄요, 그게 헌트의 주요 특징 중 하나예요. TCP에 데이터를 넣으면
스트림(단순 활성 공격 또는 ARP 스푸핑을 통해)을 동기화 해제합니다.
서버/원래 클라이언트 관점에서. 그 작업을 좀 한 후에
연결이 끊어지면 그냥 재설정하거나 원래 양쪽 끝을 동기화해 볼 수 있습니다.
다시 말해서, 그것은 쉬운 일이 아닙니다. 클라이언트의 사용자는 몇 가지를 입력하라는 메시지를 받습니다.
문자와 일부 문자는 클라이언트와 서버로 전송됩니다. 모든 것의 주요 목표는
클라이언트와 서버 모두에서 시퀀스 번호를 다시 동기화하는 것입니다.

스위치/세그먼트 교통 경로 변경
ARP 스푸핑을 사용하면 트래픽을 보내도록 강제로 전환할 수도 있습니다.
다른 세그먼트/스위치 포트의 호스트의 경우. 이는 스위치가
MAC이 귀하의 포트에 속한다는 것입니다. 스위치에 보안 기능이 있는 경우 주의하세요.
정책 및 MAC은 포트별로 명시적으로 설정되었지만 실제로는
"일반적인" 네트워크에서는 이런 구성을 본 적이 없습니다.

ARP 릴레이 악마
혼동하지 마십시오. 저는 이 용어를 책임이 있는 헌트 데몬에 사용합니다.
ARP에서 수신한 모든 데이터를 네트워크에 패킷 삽입(재라우팅)
위조된 호스트.

전환 된 환경
이제 사냥은 스위치된 호스트를 감시하고 하이재킹할 수 있습니다.
포트. 일반적으로 스위치 포트에서 호스트 트래픽을 볼 수는 없지만
첫 번째 ARP 스푸핑(ARP 스푸핑 데몬 메뉴 사용)을 통해 다음을 볼 수 있습니다.
호스트 간의 연결입니다. 먼저 arp 스푸핑을 수행하면 호스트가
귀하에게 트래픽을 보내드리고 그 시간부터 이들 간의 연결을 나열할 수 있습니다.
그러면 당신은 그들을 지켜보고 납치할 수 있습니다. 스위치가 일반적으로 받아들여진다는 것은
침입자와 스푸퍼 내부에서 다시 연결을 보호하세요. 글쎄요, 여전히 그렇습니다.
신중하게 설정된 스위치에 해당합니다. LAN에 연결된 스위치
포트 보안 구성이 없으면 LAN을 보호하는 데 아무런 도움이 되지 않습니다.

설계 개요

개발 모델은 자체 스레드에서 실행되는 패킷 엔진(hunt.c)을 기반으로 합니다.
그리고 네트워크에서 패킷을 캡처합니다. 패킷 엔진은 TCP의 정보를 수집합니다.
연결/시작/종료, 시퀀스 번호 및 MAC 주소를 수집합니다.
서버 관점에서 MAC 및 seq. 번호와 별도의 MAC 및 seq. 번호
클라이언트 관점에서. 그래서 하이재킹에 대비한 것입니다. 이 정보(seq.
숫자, MAC,

모듈은 패킷 엔진에 함수를 등록한 다음 새 함수가 호출될 때 이를 호출할 수 있습니다.
패킷이 수신됩니다. 모듈 기능은 모듈이 패킷에 관심이 있는지 여부를 판별합니다.
또는 그렇지 않고 패킷을 모듈 특정 패킷 목록에 넣을 수 있습니다. 모듈 기능
또한 매우 빠르게 수행해야 하는 경우 네트워크로 일부 패킷을 보낼 수도 있습니다.
모듈(일반적으로 다른 스레드에 있으므로 실행되도록 예약해야 함)을 가져옵니다.
목록에서 패킷을 추출하여 분석합니다. 이런 식으로 모듈을 쉽게 개발할 수 있습니다.
다양한 활동을 수행합니다.

네트워크에 대한 응답으로 전송되는 패킷은 구조에 의해 설명되므로
일부 기본 필드나 체크섬에 대해 신경 써야 합니다. 이때 TCP, ICMP에 대한 함수
그리고 ARP 트래픽은 이미 준비되었습니다. (UDP는 내가 어떤 곳에서도 사용하지 않기 때문에 누락되었습니다.
구성 단위)

호스트 확인(DNS)에는 별도의 데몬 세트가 사용됩니다. 그 이유는 다음과 같습니다.
gethostbyname/gethostbyname_r 함수는 뮤텍스로 보호됩니다. (내가 아는 한 - 그것은 너무
2년 전 - 지금은 시도하지 않았으므로 멀티스레드에서 진정으로 병렬로 실행할 수 없습니다.
환경. 따라서 일반적으로 사용되는 해결 방법은 일부 도우미 데몬을 시작하는 것입니다.
fork를 통해 gethostbyname을 실행합니다.

USER 환경

글쎄요, 사용자 환경이 그래픽하지는 않지만 여러분은 좋아하실 거라고 믿습니다.

모든 메뉴의 제목에는 사냥에 대한 상태 정보가 있습니다. 첫째,
어떤 메뉴로 작업하고 있는지 표시. 둘째, 헌트가 수신한 패킷 수
표시됩니다. Hunt는 패킷에 대한 일부 버퍼를 미리 할당합니다. 사용 가능 및 할당됨 상태
버퍼는 세 번째 값으로 표시됩니다. 높은 값에 대한 사용 가능한 버퍼 수가 낮습니다.
로드된 네트워크 또는 ACK 스톰 또는 하드웨어가 부족한 경우. 예를 들어, 제 경우에는
숫자 63/64는 일반적으로 하나의 버퍼만 사용되었음을 의미하는 것으로 표시되었지만
ACK 스톰, 322/323과 비슷한 것이 있습니다. 할당된 버퍼는
해제됨. 사용 가능한 버퍼 수가 적다는 것은 헌트에 버그가 있다는 것을 의미할 수도 있지만 내 생각에는
이런 종류의 버그에 대해 모든 모듈을 신중하게 디버깅했습니다. 마지막 지표는 다음을 보고합니다.
데몬(실제로는 스레드)이 실행 중입니다. 이들은 다음과 같습니다. R - 리셋 데몬, Y - arp 릴레이어, S -
스니퍼, M - MAC 발견자. 자세한 옵션을 켜면 추가
삭제된 패킷 수에 대한 정보 - 패킷이 조각이었는지(버그 참조) 또는
잘못 구성되었으며 TCP, UDP, ICMP 및 기타 프로토콜에 속하는 패킷의 수는 얼마입니까?
ARP. 사용자 입력을 위한 프롬프트에는 '*' 문자를 통해 알려주는 표시기가 있습니다.
헌트는 마지막 연결 수신 이후 연결 목록에 새로운 연결을 추가했습니다.

일반 인터페이스
모든 메뉴에서 x 키는 이스케이프 키로 작동합니다. 네트워크 마스크는 다음과 같이 표시됩니다.
ip_address/mask 표기법, 여기서 mask는 왼쪽에 있는 1의 개수입니다.
네트워크 마스크입니다. 예를 들어, 0.0.0.0/0은 모든 것을 의미하고 192.168.32.10/32는 다음을 의미합니다.
해당 호스트만 가능합니다.

대부분의 모듈은 다음이 사용됩니다:
l) 아이템 목록
a) 아이템 추가
m) 아이템 수정
d) 항목 삭제
이 텍스트에서는 l) a) m) d)로 지칭됩니다.

목록/감시/재설정 연결
헌트 패킷 엔진이 추적한 연결 목록을 얻을 수 있습니다.
연결 추적은 옵션 메뉴에서 지정됩니다. 대화형으로 수행할 수 있습니다.
이러한 연결을 감시하거나 재설정합니다. 또한 하이재킹을 수행할 수도 있습니다(다음 두 가지
메뉴 항목).

ARP/단순 공중 납치
ARP/Simple hijack은 데이터 삽입을 위한 대화형 인터페이스를 제공합니다.
선택된 연결. 두 연결 끝에 대해 ​​ARP 스푸핑을 수행할 수 있습니다.
한쪽 끝만 아니면 전혀 할 수 없습니다. ARP 스푸핑을 하지 않으면
아마도 첫 번째 문자를 입력한 후 ACK 스톰을 받을 것입니다. ARP를 할 때
스푸핑이 성공하면 체크가 됩니다. 성공하지 못하면 스푸핑을 원하는지 묻는 메시지가 표시됩니다.
성공할 때까지 기다리세요(물론 CTRL-C를 눌러서 대기를 중단할 수 있습니다).
연결에 일부 데이터를 삽입한 후 CTRL-]를 입력한 다음 다음을 수행할 수 있습니다.
연결을 동기화하거나 재설정합니다. 동기화를 선택하면 사용자는
몇 개의 문자를 입력하라는 메시지가 표시되고 입력하면 연결이 설정됩니다.
동기 상태. CTRL-C를 사용하여 동기화 프로세스를 중단할 수 있습니다.
그러면 연결을 재설정할 수 있습니다. CTRL-C는 중단에 널리 사용됩니다.
진행 중인 프로세스입니다. CTRL-](telnet과 유사)는 대화형을 마치는 데 사용됩니다.
연결에 데이터 삽입. ARP/Simple 하이재킹은 자동으로 수행되지 않습니다.
ACK 스톰을 감지한 후에 연결을 재설정해야 하므로 직접 해야 합니다.
또한 ARP/Simple hijack은 ARP 릴레이어와 함께 작동한다는 점에 유의하세요(추가 설명).
다른 연결에 영향을 미치지 않도록 합니다. 일반적으로 두 서버를 ARP 스푸핑하는 경우
그러면 ARP/Simple 하이재킹은 이 두 연결 간의 선택된 연결 하나만 처리합니다.
호스트이지만 이 두 호스트 간의 다른 연결은 동결된 것처럼 보입니다.
ARP 릴레이를 시작하면 다른 연결이 처리되고 다시 라우팅됩니다.
통해. 따라서 한 스푸핑된 호스트에서 다른 호스트로의 다른 연결은 영향을 받지 않습니다.
전혀. 두 개의 ARP 하이재킹을 수행하는 경우 ARP 릴레이어를 실행하는 것이 좋습니다.
서버. 일부 클라이언트 MAC을 서버에 ARP 스푸핑(강제)하는 경우
서버에서 해당 클라이언트로 가는 연결만 영향을 받습니다. 기타
서버에서 다른 컴퓨터로의 연결은 손상되지 않습니다.

단순, 간단, 편리 공중 납치
간단한 하이재킹을 통해 연결의 데이터 스트림에 명령을 삽입할 수 있습니다.
명령을 삽입하면 hunt는 특정 시간 초과까지 명령이 완료될 때까지 기다립니다.
그리고 ACK 스톰이 발생하지 않으면 다음 명령을 입력하라는 메시지가 표시됩니다.
연결을 동기화하거나 재설정할 수 있습니다. 다음을 사용할 수 있습니다.
ARP를 사용할 때 간단한 하이재킹을 위한 대화형 인터페이스/ARP 없이 간단한 하이재킹
스푸핑이지만 ARP의 전체 대화형 인터페이스/ARP 없이 간단한 하이재킹을 사용하는 경우
스푸핑을 사용하면 첫 번째를 입력한 직후 ACK 스톰을 받을 가능성이 높습니다.
char. 따라서 이 하이재킹 모드는 ACK 스톰을 처리해야 할 때 유용합니다.
단일 패킷으로 연결에 데이터를 보내기 때문입니다. ACK 스톰이 발생하면
진행 중이므로 헌트에서 서버로 다른 패킷을 전달하는 것이 매우 어렵습니다.
네트워크와 서버가 혼잡합니다.

데몬

나는 그것들을 데몬이라고 부르지만 실제로는 스레드입니다. 모든 데몬은 시작될 수 있으며
굽었습니다. 데몬에 어떤 규칙을 삽입하거나 수정했는데도 놀라지 마세요.
아무것도 없습니다. 데몬이 실행 중이 아닙니다. 시작해야 합니다. 모든 데몬은 기본적으로
구성을 변경할 수 있음에도 불구하고 중지됨. 데몬 메뉴의 일반 명령
위치 :

s) 데몬을 시작하다
k) 데몬을 멈추다
l) 구성 항목 목록
a) 구성 항목 추가
m) 구성 항목 수정
d) 구성 항목 삭제

다시 쓰기 악마
이 데몬은 진행 중인 연결의 자동 재설정을 수행하는 데 사용할 수 있습니다.
헌트는 볼 수 있습니다. 종료해야 할 연결을 설명할 수 있습니다.
src/dst 호스트/마스크 및 src/dst 포트. SYN 플래그가 꺼지면 지정된 모든
연결은 종료되어야 합니다(진행 중이더라도). SYN 플래그가 켜져 있다는 것은 다음을 의미합니다.
새로 시작된 연결은 재설정됩니다. 따라서 진행 중인 연결은
영향을 받지 않습니다. 데몬을 시작하는 것을 잊지 마세요.

ARP 악마
여기서 호스트의 ARP 스푸핑을 수행할 수 있습니다. src 및 dst 주소와 원하는 것을 입력합니다.
srcMAC. 그러면 dst는 src에 srcMAC이 있다고 생각하게 됩니다. 가짜를 사용할 수 있습니다.
현재 다운된 호스트의 MAC 또는 더 나은 MAC. 호스트가
모든 데이터를 보내드립니다(따라서 다른 곳에 있는 패킷도 볼 수 있습니다)
세그먼트 또는 일반적으로 볼 수 없는 스위치 포트) ARP 모듈은 다음과 같습니다.
호스트의 ARP 스푸핑을 차단하고 이를 처리하는 패킷에 대해서는 주의하십시오.
ARP 스푸핑에 대한 새로 고침 간격을 지정할 수도 있지만 반드시 그럴 필요는 없습니다.
그렇게 하려면 새로 고침 간격을 설정하세요. 나쁜 경험이 있거나
스푸핑된 호스트의 이상한 동작. 또한 호스트를 테스트할 가능성도 있습니다.
성공적인 스푸핑을 위해서는 스푸핑을 강제할 수 있는 기능이 필요합니다.
ARP 스푸핑을 테스트하면 무언가 잘못된 것처럼 보이거나 컴퓨터가 전송하지 않는 경우
헌트에 대한 트래픽. 첫 번째 스푸핑 패킷이 있는 경우 강제 옵션이 소수입니다.
스위치로 삭제되므로 스위치에서 호스트에 대한 헌트를 실행하는 경우
예를 들어 10초 동안 강제 모드를 실행한 다음 다음을 사용하여 중단할 수 있습니다.
스푸핑이 계속 실패하면 CTRL-C를 누릅니다. ARP 릴레이 데몬은 다음을 수행하는 데 사용됩니다.
ARP 스푸핑 연결의 ARP 릴레이. 호스트의 ARP 스푸핑을 삽입할 때
릴레이어가 실행 중이 아니더라도 ARP 스푸핑은 즉시 수행됩니다!!!. 하지만
ARP 스푸핑이 성공하면 연결이 동결된 것처럼 보일 것입니다.
(IP 라우팅이 아닌) 이러한 연결을 사냥을 통해 재라우팅하려면 시작해야 합니다.
ARP 릴레이어. 릴레이어는 ARP/단순 하이재킹과 잘 작동하므로 일단
ARP 릴레이를 사용하여 ARP 스푸핑된 호스트를 사용하면 ARP/단순 하이재킹을 쉽게 수행할 수 있습니다.
호스트가 이미 ARP 스푸핑을 당하고 연결을 인수한다는 것을 감지합니다.
즉시. 이 기술을 사용하면 쉽게 중간에서 사람이 될 수 있습니다.
호스트가 IP 게이트웨이가 아니더라도 연결 시작.
man에 대한 다른 애플리케이션 특정 프로토콜 핸들러를 작성하도록 권장합니다.
이 프레임워크를 사용하면 중간 공격이 정말 간단해집니다.

맡다 악마
스니프 데몬의 목적은 지정된 패킷을 기록하는 것입니다. 스니프 데몬은
또한 데이터 스트림에서 간단한 패턴(문자열)을 검색합니다(버그 참조)
섹션). 관심 있는 연결과 검색할 위치를 지정할 수 있습니다.
(src, dst, both), 무엇을 검색하고 싶고, 몇 바이트를 기록하고 싶고,
어떤 방향(src, dst, both)과 데몬이 어떤 파일에 써야 하는지. 모두
로깅된 파일은 .sniff 디렉토리에 저장됩니다. 로깅을 위한 기본 파일 이름
o,0t(ashnew-linesoor asmhex num.)로 구성됩니다. 옵션 하위 메뉴에서 방법을 설정할 수 있습니다.
새 줄을 기록합니다 (

맥 발견 악마
이 데몬은 지정된 IP에 해당하는 MAC 주소를 수집하는 데 사용됩니다.
범위. 데몬이 다시 수집을 시도하는 시간을 입력할 수 있습니다.
(기본값은 5분입니다).

주인 up 메뉴
호스트 업 모듈은 어떤 호스트가 업 상태인지(TCP/IP 스택을 사용하여) 판별합니다.
IP 범위를 지정하면 해당 공간에서 실행 중인 호스트를 검색합니다.
어떤 호스트가 무차별 모드의 네트워크 인터페이스를 가지고 있는지 판별할 수 있습니다.
무차별 모드는 일반적으로 호스트가 어떤 종류의 것을 실행하고 있음을 보여줍니다.
스니퍼/네트워크 분석기.

옵션 메뉴
옵션 메뉴에서는 다양한 사항을 조정할 수 있습니다.

l) a) m) d)
목록/추가/수정/삭제 연결 정책 기입
우선 어떤 연결을 추적할지 선택할 수 있습니다. 기본값
설정은 모든 호스트의 Telnet 연결을 확인하는 것이지만 이를 조정할 수 있습니다.
src/dst 주소/마스크 src/dst 포트 쌍의 사양에 따른 동작.
명령어: l) a) m) d) 관심 있는 것을 설정합니다.

c) 연결 청취 등록
진행 중인 연결의 시퀀스 번호 및 MAC을 설정할 수 있습니다.
연결 수신 중에 표시됩니다.

h) 주인 해결
호스트의 이름으로의 확인을 켤 수 있습니다. 확인이 지연되므로
호스트 이름을 즉시 가져오지 마십시오. 여러 연결을 나열해 보십시오.
시간이 지나면 호스트 이름이 표시됩니다. (나는 이 지연된 접근 방식을 사용했습니다.
(해결로 인해 발생할 수 있는 인터페이스 지연을 원하지 않았습니다).

r) 다시 쓰기 ACK 폭풍 시간 초과
이 시간 초과는 간단한 하이재킹에서 연결을 자동으로 재설정하는 데 사용됩니다.
ACK 스톰이 감지되었습니다. ACK 스톰은 다음에서도 수신할 수 있습니다.
호스트에 대한 ACK 스푸핑을 수행하지 않는 경우 arp/simple hijack을 사용합니다.

s) 단순, 간단, 편리 수송 중에 훔치다 시간 초과 럭셔리 다음 보기 cmd를
Simple hijack에는 대화형 연결 인터페이스가 없습니다. 즉, 다음을 작성해야 합니다.
연결 데이터 스트림에 삽입될 전체 명령입니다. 데이터가 없는 경우
이 시간 초과까지 연결을 통해 전송된 경우 다음을 묻는 메시지가 표시됩니다.
다음 명령.

q) ARP 요청/응답 패킷
ARP 스푸핑을 수행할 때 헌트가 보내는 요청 또는 응답 패킷의 수입니다.

t) ARP 의뢰 속이기 을 통하여 의뢰
헌트가 ARP 스푸핑 요청을 보낼지 아니면 ARP 스푸핑 응답을 받을지 여부를 선택하는 옵션입니다.
ARP 스푸핑을 차단하는 브로드캐스트 ARP 요청입니다.

w) 전환 된 환경
스위치 환경에 대한 최적화. 스위치되지 않은 환경에 완벽하게 작동합니다.
환경도 마찬가지입니다.

y) ARP 속이기 와 My 맥
전송된 스푸핑 ARP의 발신 MAC 주소를 내 (헌트) 이더넷 MAC으로 설정합니다.
때로는 바뀐 환경에서 도움이 됩니다.

e) 자료실 맥 이와 같은 서비스: IP 교통
MAC 주소가 IP 트래픽뿐만 아니라 모든 IP 트래픽에서 학습되도록 설정할 수 있습니다.
자동 응답(ARP)

p) 청취 중 페이지당 인쇄된 줄 수
자체 설명

v) 자세한 켜기/끄기
자체 설명

테스트 완료 환경

사냥 프로그램 요구 사항 :
* 리눅스 >= 2.2
* linuxthreads를 사용한 Glibc
* Ethernet

테스트 호스트:
리눅스 2.0, 리눅스 2.1, 리눅스 2.2, 솔라리스 2.5.1, NT4sp3/4, Win95, OSF V4.0D, HPUX 10.20,
아이릭스 6.2

테스트 네트워크 장비:
BayNetworks 28115, 28200, 300개 스위치 3Com SuperStack II 3000, 1000개 스위치

보안 노트

Telnet 및 비밀번호를 보내는 유사한 프로그램은 이미 알려져 있는 사실입니다.
일반 텍스트에서는 설명된 공격에 취약합니다. 일회용 비밀번호를 사용하는 프로그램
또한 쉽게 공격받을 수 있으며 실제로 누군가가 다음과 같은 프로그램을 실행할 수 있다면 쓸모가 없습니다.
사냥. 완전히 암호화된 트래픽만이 이러한 공격에 취약하지 않지만 다음을 수행할 수 있다는 점에 유의하십시오.
ACK 스톰 없이 ARP 스푸핑(강제)을 사용하면 중간자가 됩니다.
무언가를 시도할 수 있습니다. 또한 구성되지 않은 스위치는 스니핑이나
하이재킹. 스위치에서 포트 보안을 신중하게 구성해야 합니다.
스위치드 포트의 컴퓨터를 보호합니다.

공격을 감지하는 것은 쉬운 일이 아닙니다. ARP 스푸핑의 경우 다음을 감지할 수 있는 도구가 있습니다.
그것. ACK 스톰은 일부 정교한 네트워크 분석기에서 감지할 수 있습니다.
ACK 스톰의 패턴 또는 데이터가 없는 ACK의 통계). 헌트를 실행하는 경우
네트워크에서 ACK 스톰을 감지할 수 있습니다. 왜냐하면 헌트가 ACK 스톰을 감지할 수 있기 때문입니다.
패턴입니다.

성능 주의사항

충분한 전력으로 유휴 머신에서 헌트를 실행하고 있는지 확인하십시오(저는 PII-233을 사용했습니다)
128MB RAM) 및 기타 패킷 분석기 없이도 고급 기능을 사용할 수 있습니다.
ARP 스푸핑 또는 하이재킹 헌트는 자체 패킷을 삽입하여 빠르게 응답해야 합니다.
네트워크의 트래픽.

다운로드

이 소프트웨어는 다음에서 찾을 수 있습니다. http://www.gncz.cz/kra/index.html
또는에서
ftp://ftp.gncz.cz/pub/linux/hunt/

KNOWN 버그

* 일부 구조는 뮤텍스를 통해 제대로 잠겨 있지 않습니다.
* 연결을 보면 해당 연결의 일부 이스케이프 시퀀스가 ​​영향을 미칠 수 있습니다.
터미널. 터미널의 이름이 "Linux"인 것을 주의하세요("xterm" - X에서 실행하는 경우,
...) 그러나 이스케이프 시퀀스는 클라이언트 측 터미널을 위한 것이며 클라이언트 측 터미널이 아닐 수도 있습니다.
리눅스를 사용하면 엉망이 될 수도 있습니다.
* 스니프는 패킷 경계를 넘는 패턴을 검색할 수 없습니다.
이는 일반적으로 사용자가 입력한 입력 패턴을 검색할 수 없다는 것을 의미합니다.
1B 데이터 길이 패킷으로 전송됨.
* hunt는 조각 모으기를 지원하지 않으므로 IP 조각을 삭제해야 합니다.

곤충 수정 사항, 제안

버그 설명, 패치, 제안, 새로운 모듈 또는 성공 사례를 다음 주소로 보내주세요.
[이메일 보호]

감사의 글

저는 Sven Ubik에게 감사드리고 싶습니다. [이메일 보호] > 그의 귀중한 의견과
피드백.

FINAL WORD

이 소프트웨어는 내 여가 시간의 즐거움을 위해 작성되었으며 매우 좋았습니다.
TCP/IP 프로토콜의 연습. 이제 seq. 번호, ACK, 타임아웃, MAC에 익숙해졌습니다.
체크섬, ... 최고 수준까지. 저는 이 "사냥"에 대한 꽤 좋은 배경을 가지고 있기 때문에
도전은 내가 생각했던 것만큼 TCP/IP를 잘 알지 못했다는 생각을 하게 만들었습니다. 당신은
소스 코드를 읽고 이를 수정하거나 직접 모듈을 작성해 보세요.

이비인

이 매뉴얼 페이지는 내부 문서에서 변환되었습니다. 존 말러 < [이메일 보호]
> Debian GNU/Linux 운영체제에 대해서요.

사냥(1)

onworks.net 서비스를 사용하여 온라인으로 헌트를 사용하세요