SSL 에 대한 브로커 공격

1 브로커 공격 개술 브로커 공격 (Man - in - the - Middle Attack, MITM) 은 오래된 네트워크 침입 수단 이 고 오늘날 에 도 SMB 세 션 납치, DNS 사기 등 공격 은 전형 적 인 MITM 공격 이다.한 마디 로 MITM 공격 이란 정상 적 인 네트워크 통신 데 이 터 를 차단 하고 데이터 조작 과 탐지 하 는 것 이지 만 통신 하 는 쌍방 은 전혀 모른다.컴퓨터 통신망 기술 이 발전 함 에 따라 MITM 공격 도 점점 다양 해 지고 있다.애초 공격 자 는 랜 카드 를 혼잡 모드 로 설정 해 프 록 시 서버 로 위장 해 특정 트 래 픽 을 감청 하면 공격 이 가능 해 졌 는데, 이 는 HTTP, FTP, 텔 넷 등 많은 통신 프로 토 콜 이 명문 으로 전송 되 기 때문이다.이후 허브 대신 교환기 가 교체 되면 서 간단 한 탐지 공격 은 성공 하지 못 하고 ARP 기만 부터 해 야 했다.현재 점점 더 많은 서비스 업 체 (인터넷 뱅 킹, 메 일 로그 인) 들 이 암호 화 통신 을 사용 하기 시작 했다. SSL (Secure Sockets Layer 콘돔 연결 층) 은 광범 위 하 게 사용 되 는 기술 로 HTTPS, FTPS 등 이 모두 그 기초 위 에 세 워 졌 다.필 자 는 흔히 볼 수 있 는 Gmail 메 일 로그 인 을 예 로 들 어 SSL 에 대한 MITM 공격 의 두 가지 실현 방식 을 검토 할 것 이다.2. 환경의 구축 네트워크 환경: 전체 8902 ° 게 이 트 웨 이: 192.168.18.254;⋆ 공격 호스트: 192.168.18.102, VMware 가상 컴퓨터;⋆ 피 공격 호스트: 192.168.18.100, Windows 7, IE9;공격 대상: ● Gmail 메 일 로그 인 (HTTPS 프로 토 콜) ● 계 정: test [email protected]● 비밀번호: abcd 7890
3. SSL 을 겨냥 한 브로커 공격 3.1 Cain & Abel Cain & Abel 은 Oxid. it 사가 개발 한 Microsoft 운영 체제 에 대한 네트워크 공격 이기 로 조작 이 간단 하고 기능 이 강 하 며 특히 ARP 사기 공격 으로 유명 하 다.Cain 은 HTTP 를 겨냥 한 MITM 공격 뿐만 아니 라 HTTPS 공격 도 할 수 있다.기본 적 인 공격 과정 은 1) ARP 사기 로 공격 자가 모든 대상 호스트 의 네트워크 트 래 픽 을 캡 처 할 수 있 도록 한다.2) 공격 자 는 간단 한 중계 가 아니다. 한편, 서버 에서 브 라 우 저 와 SSL 악 수 를 하 는 동시에 SSL 고객 으로서 타 겟 서버 와 또 다른 SSL 악 수 를 한다.3) 두 개의 SSL 연결 을 통 해 공격 자 를 '중간인' 으로 만든다.SSL 악 수 를 할 때 인증 서 를 통 해 서로의 신분 을 검증 해 야 하기 때문에 공격 자 는 대상 서버 가 사용 하 는 비밀 키 를 모 릅 니 다. 이 경우 공격 에 성공 하려 면 공격 자 는 인증서 의 위 조 를 해 야 합 니 다. 브 라 우 저 는 사용자 에 게 경 고 를 보 내 고 사용자 가 이 인증 서 를 신뢰 할 지 여 부 를 스스로 결정 합 니 다.아래 상세 한 도문 설명 을 진행 하 겠 습 니 다.정상 Gmail 로그 인 화면 입 니 다.피 공격 자 는 인증 서 를 신뢰 할 지 여 부 를 선택해 야 합 니 다. 위 조 된 인증서 정 보 는 위의 그림 에서 실제 인증서 와 큰 차이 가 있 습 니 다.메 일 에 로그 인 한 화면 에서 인증서 오류 알림 을 볼 수 있 습 니 다.공격 자 는 Gmail 메 일의 로그 인 사용자 이름과 비밀 번 호 를 탐지 하 는 데 성공 했다.상기 분석 을 통 해 알 수 있 듯 이 사용자 가 위조 인증서 에 대한 판단 은 공격 이 성공 할 수 있 는 지 의 관건 이다. 만약 에 사용자 가 비교적 강 한 안전 의식 과 풍부 한 인터넷 지식 을 가지 고 있다 면 공격 당 할 가능성 이 크게 낮 아 질 것 이다. 왜냐하면 브 라 우 저의 안전 알림 은 매우 눈 에 띄 기 때문이다.필 자 는 인터넷 지식 이 계속 보급 되면 서 이런 공격 수단 의 생존 공간 이 계속 밀 릴 것 이 라 고 믿는다.3.2 sslstrip Cain & Abel 은 SSL 공격 을 실현 할 수 있 지만 인증 서 를 위조 하 는 한계 가 뚜렷 하 다. sslstrip 은 09 년 블랙 캡 대회 에서 Moxie Marlinspike 가 제기 한 SSL 공격 방법 으로 그 사상 은 매우 간단 하 다. 1) ARP 사기 로 인해 공격 자 는 모든 목표 호스트 의 네트워크 트 래 픽 을 차단 할 수 있다.2) 공격 자 는 주소 표시 줄 에 있 는 HTTPS 와 HTTP 에 대한 사용자 의 소홀 함 을 이용 하여 모든 HTTPS 연결 을 HTTP 로 대체 합 니 다.3) 동시에 대상 서버 와 정상 적 인 HTTPS 연결 을 구축한다.4) HTTP 통신 은 명문 전송 이기 때문에 공격 자 는 쉽게 탐지 할 수 있다.필 자 는 BackTrack 을 공격 플랫폼 으로 사용 할 것 이다. BackTrack 은 리 눅 스 를 바탕 으로 하 는 침투 테스트 도구 패키지 이다. 현재 국내 각 포럼 에는 BackTrack 을 사용 하여 무선 와 이 파이 비밀 번 호 를 해독 하 는 튜 토리 얼 이 많 지만 사실은 다른 분야 에서 도 매우 강력 한 기능 을 가지 고 있다.STEP 1: 커 널 패키지 퍼 가기 사용, 수정/proc/sys/net/ipv 4/ipforward 파일, 내용 은 1;#echo 1 > /proc/sys/net/ipv4/ip_forward 단계 2: 포트 리 트 윗, 10000 은 sslstrip 의 감청 포트 입 니 다.STEP 3: 셸 1, ARP 사기;#iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 10000 STEP 4: 셸 2, sslstrip 오픈;#arpspoof -i eth0 -t 192.168.18.100 192.168.18.254 단계 5: Gmail 메 일 에 로그 인 한 사용자 이름과 비밀 번 호 를 탐색 할 수 있 습 니 다#sslstrip -a -k -f 그렇다면 이런 방법 이 만능 인지 피 공격 자 브 라 우 저의 변 화 를 살 펴 보 자.웹 페이지 에 안전 하지 않 은 경고 나 알림 이 없 는 것 을 볼 수 있 습 니 다. 다만 기 존의 HTTPS 연결 은 HTTP 연결 로 바 뀌 었 고 현혹 성 을 높이 기 위해 웹 페이지 의 아이콘 은 은색 자물쇠 그림 으로 수정 되 었 습 니 다.그러나 가 짜 는 가짜 이기 때문에 한편 으로 는 인증서 의 정 보 를 볼 수 없습니다. 또한 인터넷 주소 앞 에 https:/를 입력 하면 웹 페이지 를 보 낼 수 없습니다.따라서 sslstrip 은 만능 공격 방법 이 아니다.4. 소결 본 고의 목적 은 주로 독자 에 게 네트워크 안전 기술 이 날로 발전 하 는 동시에 공격 방법 도 조용히 변화 하고 있다 는 것 을 알려 주 려 는 것 이다. SSL 암호 화 통신 을 사용 하면 통신 의 은밀 성과 완전 성 을 확보 할 수 있 는 것 이 아니다. 이 를 위해 필 자 는 두 가지 SSL 의 중개인 공격 방법 을 보 여 주 었 다. 전 자 는 일반적인 사고 이 고 후 자 는 다른 길 을 개척 했다.앞으로 여러분 들 은 경각 심 을 가지 고 당신 의 통신 이 공격 을 받 고 있 는 지, 특히 중요 한 조작 을 완성 할 때, 예 를 들 어 인터넷 뱅 킹 거래 등 을 정확하게 식별 할 수 있 기 를 바 랍 니 다.
http://software.intel.com/zh-cn/blogs/2011/10/11/ssl/?cid=sw:prccsdn2029