네트워크 계층 이해를 통한 ARP Spoofing 이해하기

라크네_라라_레깅스

네트워크(os) 계층의 이해

• 1 계층(물리계층) : 실제적으로 전기적 신호가 오가는 통로 역할을 수행 + 랜선 케이블이 하는 역할이 물리 계층이다.
• 2 계층(데이터 링크 계층) : 데이터 링크 계층은 각 포인트 간 데이터의 송수신을 담당하며, 통신을 할 때 사용하는 물리 주소(MAC Address)이다.
• 3 계층(네트워크 계층) : 각 호스트 간 경로에 맞는 데이터의 송수신을 담당하며, 통신을 할 때 사용하는 논리 주소(IP Address)이다.
• 4 계층(전송계층) : 두 컴퓨터의 특정한 프로세스까지의 데이터 송수신을 담당, 통신을 할 때 사용하는 주소는 포트 번호(port number)이다.
• 5 계층(세션계층) : 지속적인 연결을 가능하게 해주는 계층을 말한다.
• 6 계층(표현계층) : 주고받는 데이터의 번역을 담당
• 7 계층(응용 계층) : 프로그램으로 사용자 인터페이스를 제공하는 계층이다.

ARP Spoofing과 네트워크 계층의 관계

ARP Spoofing은 TCP/IP의 구조적인 취약점을 악용하는 해킹 기법이며, 2개 층의 MAC주소와 3 계층의 IP주소를 변조한다. 따라서, 감염당한 네트워크는 변조된 주소를 알아차리지 못하고 해커에게 데이터를 넘기게 됩니다.

 

ARP 프로토콜의 이해

IP주소로 MAC 주소를 찾는 프로토콜이며 ARP(Adress Resolution Protocol)는 주소 결정 프로토콜을 의미한다. IP 주소를 이용하여 48비트의 물리적 주소인 MAC 주소를 찾고 실질적으로 데이터를 주고받을 때는 IP주소가 아니라 MAC주소를 이용한다. 따라서 ARP 프로토콜은 (1) ARP Request (2) ARP Reply순서로 이루어진다.

 

MAC 주소를 얻는 과정

컴퓨터 A는 B에 패킷을 전송하고 이 때 B의 IP는 알지만 MAC은 알 수 없다고 가정한다. 그래서 네트워크 안의 모든 호스트에게 컴퓨터 B의 MAC 주소를 물어보게 된다.(이를 ARP Request, Broadcast라고 한다.)

 1) ARP Request를 한 경우 B가 직접 자신의 MAC 주소를 알려준다.

 2) 다른 컴퓨터가 B의 MAC 주소를 알려준다.

이렇게 MAC 주소를 알게되고, ARP Reply 패킷을 받고 A는 자신의 B의 MAC 주소를 갱신한다.

 

CMD를 통해 ARP - A를 입력하여 인터페이스 : 192.168.1.171이 자신의 IP임을 확인할 수 있고, 그 아래 192.168...,,, 등등으로 ARP 테이블에 MAC주소를 확인할 수 있다.

 

이에 따라 ARP 프로토콜의 구조적인 취약점은?

ARP 페이블은 가장 마지막에 오는 ARP Reply를 기준으로 갱신이 된다.

 

일반적인 네트워크에서의 인터넷 접속

- 인터넷 접속하기 위해서는 우리가 보내는 패킷이 게이트웨이를 거쳐 나가게 된다. 따라서 같은 네트워크에 있는 모든 컴퓨터는 하나의 게이트웨이로 패킷은 전송하게 된다. 반대로 게이트웨이는 특정 컴퓨터로 들어오는 패킷을 정확히 전달한다.

 

ARP Spoofing 기법의 수행 과정은?

1) ARP 테이블을 감염시키기

 - 먼저 게이트웨이에게 피해자의 MAC주소를 자신의 MAC이라고 속임

 - 이후에 피해자에게 게이트웨이의 MAC주소를 자신의 MAC이라고 속임

- 이로써 중간자 공격이 성립한다.

 이 경우 감염만 시키고 끝내면 피해자는 인터넷이 되지 않게 된다.

 

2) 감염된 패킷 재전송 하기

 - 피해자 릴레이 패킷을 필터링하여 피해자가 보내는 패킷을 포착(패킷을 변조해서 라우터에게 재전송해야지)

 - 패킷을 필터링하며 라우터가 피해자에게 보내는 패킷을 포착(라우터가 피해자에게 패킷을 보내려고 하는군)

 - 패킷의 정보를 수정하여 피해자에게 재전송(패킷을 변조해서 피해자에게 재전송)

 

* 감염된 컴퓨터는 인터넷이 느려지거나 인증서 오류가 간헐적으로 발생하지만 이용에 큰 문제가 발생하지 않는다. 이로서 ARP Spoofing을 성공할 수 있다.

라크네_브라탑