Sniffing - SSH downgrade Attack (ettercap)

* 여기에 기술된 내용을 보고 악의적인 이유로 이용할 시 법적 책임은 자신에게 있습니다.

스니핑은 도청하는 해킹 기법입니다.

맥 주소나 arp 테이블을 변조하여 전송되는 패킷을 받을 수 있습니다.

sniffing 툴에는 ettercap 라는게 있는데
Mitm 공격을 위한 툴입니다.
mitm은 중간자 공격이라는 공격 방법 중에 하나입니다.

이 방법을 통해서
암호화 처리되는 SSH 전송 패킷을 확인하는 작업을 해보겠습니다.

SSH는 암호화 전송 프로토콜인데
기본적인 암호화 기법은
1. 개인키와 공개키를 생성
2. 공개키를 공개
3. 비밀키를 생성
4. 공개키로 비밀키를 암호화
5. 개인키로 비밀키를 해석
6. 비밀키로 데이터를 암호화해서 주고받음

이런 식인데 중간에 해커가 가운데에서 키를 생성해
클라이언트의 공개키를 받고 해커의 공개키를 서버로 전달하며
서버는 해커에게 전달하고 서버에게 온 공개키는 해커의 비밀키로 해석하고
해커는 클라이언트에게 클라이언트의 공개키로 암호화해서 클라이언트에게 보냅니다.


SSH는
원격 컴퓨터에 안전하게 접속하기 위한 유닉스 기반의 명령 인터페이스 및 프로토콜
패킷이 암호화되어 전송됨
암호화되기 때문에 Sniffing 된다 하여도 해독 키가 없어 내용을 파악하기 어렵다.

SSH 프로토콜
SSH1
- public-key를 이용하여 session-key를 암호화하는 방식을 사용
- MiTM 공격에 취약하다.

SSH2
 - Diffe-Hellman 방식의 암호화 사용

SSH1과 SSH2를 모두 지원하는 경우
- Version Negotiation 과정이 Clear Text로 노출되어 위험


SSH Downgrade Attack

SSH 협상 시 Version 정보 변경을 위한 Filter를 생성

Linux server SSH 설정
Protocol 1,2 변경

 

해당 위치로 이동합니다.

etterfilter etter,filter.ssh -o ssh.co

 

SSH version 협상시 정보 변경을 위한 필터 생성

실행합니다.

 

컴파일 했던 파일 선택

 

위의 작업 그대로 터미널에서도 가능합니다.

etterfilter etter,filter.ssh -o ssh.co

 

위의 작업은 동일합니다.

ettercap -T -Marp -F ssh.co /host// /ssh//

 

/ // 이 문법은

mac/ip/ipv6/ports/
이것인데 ip만 사용했으므로 나머지는 비우고 /를 써주면 됩니다.
/ip// /ip//

원격에서 SSH로 접속하면
암호화가 크랙이 되어 그대로 보이게 된다.