[정보 보안] TCP Dump 스니핑

 

2025.04.24 - [전공수업/정보보안] - [정보보안] 네트워크 보안 (3) - 스캐닝, 스니핑, 스푸핑, 세션 하이재킹

[정보보안] 네트워크 보안 (3) - 스캐닝, 스니핑, 스푸핑, 세션 하이재킹

 

 

이번 실습에서는 Ubuntu 22.04 서버에 xinetd + telnetd를 설치해 Telnet 서비스를 띄우고, Kali Linux에서 Telnet으로 접속한 뒤 tcpdump 로그인 정보가 평문으로 노출되는 모습을 확인하였다.

 

실습 환경

• Ubuntu 서버
  • 인터페이스: ens4
  • IP: 192.168.200.1
• Kali Linux(클라이언트)
  • IP: 192.168.200.81
• 같은 서브넷 192.168.200.0/24

 

1. 인터페이스 확인

 

ip a와 ifconfig 명령으로 사용할 인터페이스(ens) IP를 확인한다.

 

 

2. PROMISC 모드로 전환 (스니핑 준비)

 

스니핑을 위해 NIC를 프로미스큐어스 모드로 바꾼다.

ens4  RUNNING 옆에 'PROMISC'가 생긴 것을 확인할 수 있다.

 

스니핑을 위해 NIC를 모든 패킷을 받아보는 모드로 바꾼 것이다.

PROMISC는 모든 패킷을 상위 계층으로 올려줘서 tcpdump가 더 많은 트래픽을 볼 수 있다.

 

 

3. 텔넷 서버 설치 

텔넷 서버 구축 요약 과정

 

 

 

sudo apt -y install xinetd telnetd 명령으로 패키지 설치

 

 

 

설치된 것 확인

 

 

4. 텔넷 서버 설정

1) telnet 서비스 설정 파일 작성

 

/etc/xinetd.d 폴더로 이동해서 touch telnet 명령으로 빈 파일을 생성한다.

 

telnet 서비스의 설정을 등록하기 위해서 설정 파일을 만들어야 한다.

xinetd는 telnet 요청이 들어오면 이 파일의 설정을 보고 telnetd 프로그램을 실행한다.

파일이 없으면 telnet 연결이 되지 않는다.

 

 

service telnet
{
    disable = no
    flags = REUSE
    socket_type = stream
    wait = no
    user = root
    server = /usr/sbin/in.telnetd
    log_on_failure += USERID
}

 

nano로 telnet 파일을 열어서 위 내용 작성하고 저장한다.

 

 

2) 테스트 사용자 생성

 

접속 테스트를 위해 adduser 명령으로 teluser라는 이름의 사용자를 생성한다.

 

 

3) 서비스 실행

 

sudo systemctl restart xinetd
sudo systemctl enable xinetd
sudo systemctl status xinetd

 

 

4) 방화벽 설정

 

ufw allow 23/tcp 명령으로 방화벽에서 텔넷의 23번 포트를 허용한다.

 

 

5. TCP Dump로 스니핑

 

tcpdump -i ens4 -xX host 192.168.200.81 명령으로 스니핑 실행

• tcpdump → 패킷 캡처/스니핑 도구, 루트 권한으로 실행해야 함(sudo 사용)
• -i ens4 → 캡처할 네트워크 인터페이스를 지정
• -xX
  → -x는 패킷의 페이로드를 헥스 덤프(hex dump)로 출력.
  → -X는 헥스 옆에 ASCII 표현도 같이 출력
  → 즉 -xX는 헥스 + ASCII 덤프를 함께 보여줌(바이너리+사람 읽을 수 있는 텍스트 둘 다)
• host 192.168.200.81 → 필터: 192.168.200.81와 관련된 패킷을 캡처.

 

 

Kali Linux로 가서 telnet 192.168.200.1 명령으로 텔넷 접속 후 teluser로 로그인한다.

 

 

 

tcpdump -i ens4 -xX host 192.168.200.81 and port 23로 캡처한 헥스 덤프에서 74 65 6c 6c 75 73 65 72 0a 바이트열이 ASCII로 teluser임을 확인하였다.

로그인 사용자명이 암호화되지 않은 평문으로 네트워크에 그대로 노출된 것을 확인할 수 있다.

 

스니핑은 반드시 허가된 실습 환경에서만 수행해야 한다.

끝..