네트워크 보안 - 포트 스캔(port scan) with Wireshark, nmap

 

개요

포트 스캔(port scan)은 운영 중인 서버에서 열려 있는 TCP/UDP 포트를 검색하는 것을 의미한다. 

 

 

실습 사전 준비

Windows 환경에 와이어샤크와 파이썬을 준비한다. 포트 스캐닝 도구인 nmap이 설치돼 있어야 한다. 

 

와이어샤크 세팅

와이어샤크를 실행시키고 "Adapter for loopback traffic capture"를 눌러 로컬 내에서 일어나는 트래픽들을 모니터링한다. 

 

다음 아래에 스크립트를 작성해 각각 TCP, UDP 서버를 열어준다. 

 

tcp_server.py

import socket

def start_tcp_server(host, port):
    server_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    server_socket.bind((host, port))
    server_socket.listen(1)  # 최대 1개의 클라이언트 연결 허용

    print(f"TCP 서버가 {host}:{port}에서 실행 중입니다.")

    while True:
        client_socket, client_address = server_socket.accept()
        print(f"{client_address}에서 연결됨.")

        # 클라이언트와 통신하려면 client_socket을 사용합니다.

        client_socket.close()

if __name__ == '__main__':
    host = '0.0.0.0'  # 서버 호스트 주소
    port = 12345  # 서버 포트 번호
    start_tcp_server(host, port)

 

udp_server.py

import socket

def start_udp_server(host, port):
    server_socket = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    server_socket.bind((host, port))

    print(f"UDP 서버가 {host}:{port}에서 실행 중입니다.")

    while True:
        data, client_address = server_socket.recvfrom(1024)
        print(f"{client_address}에서 메시지 수신: {data.decode()}")

        # 클라이언트에게 응답을 보내려면 server_socket.sendto()를 사용합니다.

if __name__ == '__main__':
    host = '0.0.0.0'  # 서버 호스트 주소
    port = 12345  # 서버 포트 번호
    start_udp_server(host, port)

 

---

 

 

Open Scan

• TCP Open
  • 포트가 열려 있을 경우 SYN+ACK이 온다. 
  • 포트가 닫혀 있을 경우 RST가 온다. 
  • 3-way handshake(SYN, SYN+ACK, ACK)가 성립되므로 로그가 남기게 된다. 

 

사례 1) 포트가 열려 있을 경우

> nmap -sT -p 12345 172.30.1.44

PORT      STATE SERVICE
12345/tcp open  netbus

Nmap done: 1 IP address (1 host up) scanned in 0.26 seconds

 

 

 

사례 2) 포트가 닫혀 있을 경우

> nmap -sT -p 12345 172.30.1.44

PORT      STATE    SERVICE
12345/tcp filtered netbus

Nmap done: 1 IP address (1 host up) scanned in 2.27 seconds

 

 

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec37/full-opentcp-connect-scans

 

 

• UDP Open
  • 포트가 열려 있을 경우와 IDS/IPS, 방화벽 등에 필터가 된 경우에는 응답이 오지 않는다. 
  • 포트가 닫혀 있을 경우에는 ICMP Unreachable 패킷을 수신받는다. 

 

사례 1) 포트가 열려 있을 경우

> nmap -sU -p 12345 172.30.1.44

PORT      STATE         SERVICE
12345/udp open|filtered italk

Nmap done: 1 IP address (1 host up) scanned in 2.28 seconds

 

 

사례 2) 포트가 닫혀 있을 경우

> nmap -sU -p 12345 172.30.1.44

PORT      STATE  SERVICE
12345/udp closed italk

Nmap done: 1 IP address (1 host up) scanned in 0.25 seconds

 

 

---

 

 

3. Stealth Scan

세션을 완전히 성립하지 않고 공격 대상 시스템의 포트 활성화 여부를 알아내기 때문에 대상 시스템에 로그가 남지 않는다. 

※ Windows는 Stealth Scan(SYN 스캔 제외)을 시도하면 무조건 응답이 RST가 오므로 이런 경우에는 대상 시스템이 Windows 시스템인 것으로 판단할 수 있다. 

 

 

위 사진은 Open Scan을 시도하였을 때 서버에 클라이언트가 연결 됐다는 로그가 남은 것이다. 

 

Stealth Scan을 시도하면 이번엔 위 사진처럼 클라이언트의 연결 로그가 남지 않게 된다. 

 

 

• TCP FIN 스캔
  • FIN 플래그를 설정하여 보낸다. 응답이 없으면 열려 있는 것으로 판단한다. 
  • RST 패킷이 되돌아오면 닫혀 있는 것이다. 

> nmap -sF -p 12345 172.30.1.44

 

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec40/fin-scans

 

 

• TCP ACK 스캔
  • 포트의 오픈 여부를 판단하는 것이 아닌, 방화벽 정책을 테스트하기 위한 스캔
  • 대상 방화벽이 상태 기반(Stateful)인지 여부, 대상 포트가 방화벽에서 필터링되는지 여부

> nmap -sA -p 12345 172.30.1.44

 

 

 

• NULL 스캔
  • NULL 플래그(모든 플래그가 0)를 설정하여 보낸다. 응답이 없으면 열려 있는 것으로 판단한다. 
  • RST 패킷이 되돌아오면 닫혀 있는 것이다. 

> nmap -sN -p 12345 172.30.1.44

 

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec41/null-scans

 

 

• Xmas 스캔
  • 여러 플래그를 동시에 설정하여 한꺼번에 보낸다. 응답이 없으면 열려 있는 것으로 판단한다. 
  • RST 패킷이 되돌아 오면 닫혀 있는 것이다. 
  • 마치 크리스마스 트리 장식처럼 반짝이는 것이 이름이 유래이다. 

> nmap -sX -p 12345 172.30.1.44

 

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec39/xmas-scans

 

 

 

• SYN 스캔
  • Open 스캔과 대비하여 Half-Open 스캔이라고도 부른다. 
  • SYN을 보내 SYN+ACK이 오면 열린 것으로 판단하고, RST 패킷을 보내 접속을 끊어버린다. 
  • nmap에 아무런 스캔 옵션을 주지 않으면 SYN 스캔이 기본 옵션이 된다. 

> nmap -sS -p 12345 172.30.1.44

PORT      STATE SERVICE
12345/tcp open  netbus

Nmap done: 1 IP address (1 host up) scanned in 0.25 seconds

 

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec38/stealth-scans

 

 

 

 

참고: 

https://itwiki.kr/w/%ED%8F%AC%ED%8A%B8_%EC%8A%A4%EC%BA%94

IT위키

 

https://subscription.packtpub.com/book/penetration-testing/9781788995177/4/ch04lvl1sec36/port-scanning

Port scanning | Hands-On Penetration Testing with Kali NetHunter