ISS열기
Iss는 internet security scanner의 약자로서 원격 호스트의 포트 스캔을 기본으로 하는 security checker이다. 주로 public하게 공개되어 있는 호스트 (이를테면 bbs를 돌리는 호스트나
anonymous ftp 서비스를 지원하는 호스트)를 스캔할 목적으로 제작되었다. 이들이 발표하면서 내건 프레이즈로 internet security simulator라는 말이 실감이 날텐데, Satan이 발표된 후 많은 논란이 일자 iss측은 자신들도 이미 그 기능을 갖춘 iss
를 이미 발표했었다고 했다. 하지만 인터페이스가 상당히 좋지 않기 때문에 그리 좋은 평가는 받지 못했다. 그럼에도 불구하고
한번에 넓은 범위의 호스트들을 한꺼번에 빠른 속도로 스캔할 수 있다는 장점이 있다.
이 툴이 할 수 있는 범위는 bbs 계정이나 guest
계정이나 기타 open되기 쉬운 기본적인 security hole들에 관하여 지정된 범위의 ip안에 든 호스트 들의 포트를 스캔해 준다. 일반 유저도 손쉽게 구해서 사
용할 수 있기 때문에 외부cracker들의 호스트 해킹의 준비 작업으로 사용될 소지도 있다.
이런 경우에
는 은행의 내부 도면도를 외부 도둑에게 넘겨주는 것과 같은 효과를 빚어 내게 된다. 더구나 자신의 호스트를 스캔하더라도 팻치
는 안하고 어느 버그가 있다는 정도만 지시를 해준다. Satan의 경우 우매한 시스템 관리자들이 자신의 호스트를 외부에서 스캔한
뒤 how_to_hack의 과정을 보여주는 대로 실행하면서 procedure 및 patch 방법까지 익히고 직접 patch를 받아올 수 있게 한 반면
iss는 그러한 점이 상당히 부족하다고 말할 수 있다. 더구나 인터페이스가 문자 기반이기 때문에 처음 시도를 해보는 초보 시스
템 관리자에게 오히려 satan을 사용할 것을 권해주고 싶다. 또한 내부 소스코드가 지극히 간단하다. 어쩌면 단순한 port스캔에
그칠 수가 있는데 이에 대해 해커들은 오히려 더 좋은 도구를 사용하여 해킹을 시도하고 있으므로 더욱 기능을 강력히 해야될
것으로 본다.
positive
- iss 는 스켄 범위에 지정된 여러 호스트를 빠른 속도로 체크할 수 있다.
- 딸려나오는 부가적인 tool들을 이용하여 exploit에 이용할 수 있다.
negative
- iss 의 interface는 사용자들이 사용하기에 그렇게 좋은 도구는 아니다.
- iss 는 빠른 속도로 port check와 hole을 알아 낼 수 있다. 하지만 자세한 부가 설명 이 없으므로 이를 이해하
려면 어느 정도의 수준이 필요하다.
- 외부에서의 port 스캔 등은 뛰어나지만 자체적인 내부의 OS 차원 버그는 체크를 해 주지 못한다.
ISS 가져오기
공개 버전은 아래에서 쉽게 구할 수 있다.
ftp://ftp.cert-kr.or.kr/pub/Security/tools/iss13.tar.gz
ftp://ftp.iss.net:/pub/iss/iss13.tar.gz
http://iss.net/iss
Iss의 상업용도 있는데 훨씬 인터페이스와 기능이 막강하다고는 하나 성능 및 인터페이스를 비교할 때 satan에 비해 기능이 많
이 떨어지는 편이어서 상업용을 구태여 구할 이유가 없다.
또한 관련 FAQ나 논의 사항들을 comp.answers, comp.security.unix, comp.security.misc, alt.security, comp.unix.admin, alt.
answers에서 얻어 볼 수 있다.
ISS의 설치
iss는 iss외에 독립적으로 구동할 수 있는 도구(netbug,strobe,ypx)를 갖는다.이들은 iss를 주로 하여
부가적 기능을 가지면서 독립적인 성격을 가진다.
1.iss의 생성
돌아가기
우선 소스를 가져온다.(주소를 찾아가 다운받는다)
$ pwd
/security/bin
$ ls
iss13.tar.gz
$ /usr/local/bin/zcat iss13.tar.gz | tar xvf -
iss/
iss/Changes : iss development history
iss/Makefile : make file for iss
iss/iss.1 : manual for iss
iss/iss.c : iss main source
iss/readme.iss : readme file for iss
iss/telnet.h : iss.c header file
iss/nfsbug.shar : shell archive file for nfsbug:이 자체도 독립적인 도구임
iss/ypx.shar : shell archive file for ypx:이 자체도 독립적인 도구임
iss/strobe.tar : strove tar file:이 자체도 독립적인 도구임
ls
Changes iss.1 nfsbug.shar strove.tar ypx.shar
Makefile iss.c readme.iss telnet.h
make : this procedure process producting iss
cc -c iss.c -o iss.o
cc -o iss iss.o
생성된 iss를 가지고 원하는 스캔을 하면 된다. 위의 소스는 Solaris l.x에서는 컴파일이 잘 되지만 Solaris 2.x에서는 라이
브러리를 잘 지정하지 못한 경우 컴파일이 안될 수가 있다.
2.nfsbug의 생성
돌아가기
이럴때 소스에서 에러가 발생한 System V 계열의 include 헤더화일
들을 /usr/ucbinclude 아래에 있는 헤더화일들로 바꾸어 준다.
$ chmod +x *.shar : for run shell archive files
$ mkdir nfsbug
$ mv nfsbug.shar nfsbug
$ cd nfsbug
$ pwd
/security/iss/nfsbug
$ nfsbug.shar
Extracting Makefile
Extracting mount.x
Extracting nfs_prot.x
Extracting nfsbug.c
$ make : for making nfsbug
rpcgen mount.x
cc -ggdb -I. -c mount_clnt.c -o mount_clnt.o
cc -ggdb -I. -c mount_xdr.c -o mount_xdr.o
rpcgen nfs_prot.x
cc -ggdb -I. -c nfs_prot_clnt.c -o nfs_prot_clnt.o
cc -ggdb -I. -c nfs_prot_xdr.c -o nfs_prot_xdr.o
cc -ggdb -I. -c nfsbug.c -o nfsbug.o
……
생성된 nfsbug라는 화일은 nfs file handle guessing 및 NFS 상의 hole들을 체크해 준다.
3.strobe의 생성
돌아가기
$ cd..
$ pwd
/security/iss
$ tar -xvf strobe.tar
위의 명령을 실행시키면 다음과 같은 화일들이 생성된다.
$ ls
COPYRIGHT INSTALL VERSION strove.c
CREDITS Makefile strobe.man strobe.services
HISTORY TODO strobe.1
COPYRIGHT : 저작권이 기록되 있는 화일
CREDITS : 저자목록과 각 저자들의 한일을 기록한 화일
HISTORY : development 과정기록된 화일
INSTALL : install에 필요한 화일
Makefile : make시 필요한 화일
TODO : strobe의 하는 일
VERSION : version 표시
strobe.man : manual file
strobe.1 : manual file
strove.c : strobe main file
strobe.services : strobe가 check하는 포트 리스트
$ cd strobe
$ make
위의 명령을 실행시키면 strobe.o와 strobe가 생성된다. 여기에서 strobe.tar는 iss pack-
age에 딸려나오는 서브 프로그램이다. 생성된 strobe라는 화일은 역시 스캐너로서 요즘 bugtraq메일링 리스트에서 논의되고 있
는 도구이다. TCP port를 빠르게 스캔한다.
4.ypx의 생성
돌아가기
$ su
……
# make install: for install strobe, man pages
# exit
# pwd
/security/iss/strobe
$ cd..
$mkdir ypx
$ mv ypx.shar ypx
$ cd ypx
$ pwd
/security/iss/ypx
ypx.shar를 편집하여 헤더의 도큐먼트를 따로 저장하고 ypx.shar를 실행시킨다. 즉, 첫 라인부터 다음 내용이 나오기 전까지를
삭제한다.
#! /bin/sh
# This is a shell archive. Remove anything before this line, then unpack
# it by saving it into a file and typing "sh file". To overwrite existing
$ ypx.shar
shar : Extracting "MANIFEST" (504 characters)
shar : Extracting "Makefile" (540 characters)
shar : Extracting "README" (2437 characters)
shar : Extracting "nhost.c" (2553 characters)
shar : Extracting "nhost.h" (122 characters)
shar : Extracting "yp-check.c" (2779 characters)
shar : Extracting "ypx-add.c" (558 characters)
shar : Extracting "ypx-add.h" (117 characters)
shar : Extracting "ypx-boot.c" (1202 characters)
shar : Extracting "ypx-func.c" (2809 characters)
shar : Extracting "ypx-main.c" (1974 characters)
shar : Extracting "ypx-sm.c" (783 characters)
shar : Extracting "ypx-1" (2435 characters)
shar : End of archive (of 1).
You have unpacked all 1 archives.
$ make
cc -g -c ypx-main.c -o ypx-main.o
cc -g -c ypx-func.c -o ypx-func.o
cc -g -c ypx-add.c -o ypx-add.o
cc -g -c ypx-sm.c -o ypx-sm.o
……
이렇게 함으로서 ypx가 생성되었다. 여기에서 생성된 ypx는 Rob Nauta가 제작한 도구로서 YP&NIS 상의 hole들을 체크해 준다.
위와 같은 과정을 거쳐 총 네 개의 독립적으로 구동되는 도구 (iss, strobe, nfsbug 그리고 yps)를 얻을 수 있다.
ISS 사용하기
1.iss의 사용
돌아가기
기본적으로 rusers -l targethost를 수행한다.
옵션에 대한 설명은 아래와 같다.
- d 옵션 : default account에 대한 스캔을 생략한다.
( 예 : Sun 기종의 default id 인 sync 등 )
-
m 옵션 : mail port의 스캔을 생략한다. sendmail version 정보 등은 이 옵션을 지정 했을 때 얻어낼 수 없다.
- v 옵션 : v 옵션을 사용할 경우 mail smtp 포트에서 debug 옵션이 사용가능한지 그 외의 정보를 얻는 것을 생략한다. 사
용하지 않을 경우는 다음과 같은 것을 알 수 있다. Target host의 mail aliases를 얻어 내고 싶을 때 사용한다. 능숙한
해커라면 여기 에서 얻어낸 정보를 이용하여 .rhosts 화일을 sendmail hole을 이용하여 target host 내에 생성시키는 것이
가능하게 된다. ( 예 : 이를 이용하여 bbs, guest, lp 등의 id를 집중 검색한다.)
- f 옵션 : ftp port의 검색을 생략하고 싶을 때 사용한다. 이 옵션을 사용하지 않은 경 우 anonymous ftp site가 있는지를
특히 검색한다. (고전적인 attack이지만 ftp의 정보 를 이용하여 .rhosts를 상대방 호스트에 넣는다든가 .forward를 심어 넣
는데 이용할 수 있다.)
- r 옵션 : rpc call을 이용하여 정보를 얻어내는 과정을 생략한다.
(예 : rpcinfo -ptargethost)
- y 옵션 : 독립적으로 구동될 수 있는 프로그램인 ypx를 호출하여 yp 상에 있는 hole 을 찾아낸다.
- e 옵션 : mount정보를 보여준다. 익숙한 해커라면 이 정보에서 얻어지는 것이 every- one으로 마운팅 되어 있는가를 확
인하려 할 것이다. 단지 모든 mount 정보를 보여주 는 것이 아닌 attack에 유효한 everyone mounting 정보만을 보여준다.
- p 옵션 : 모든 포트를 다 조사한다.
- q 옵션 : quick search, 우선 target으로 정해준 호스트 리스트에서 address와 name을 알아내기만 한다.
- o 옵션 : 스캔한 정보를 default file인 ISS.log 화일로 남기지 않고 다른 화일로 남긴 다.
iss
ISS v1.3 (Internet Security Scanner)
Usage : iss -msrdyvpqefo #1 #2
-m Ignores checking for mail port.
-s xx number of seconds max to wait
-r Ignores Checking for RPC calls
-d Ignores Checking Default Logins such as sync
-y Try to get pw via Ypx
-v Ignores finding Mail Aliases for decode, guest, bbs, lp
-p Scans one Host for all open TCP ports (disables all other options)
-q Turns off Quick Scan so it finds hosts even with no name.
-e Only logs directories that can be mounted by everyone
-f Ignores Checking FTP port for logging in as anonymous
-o <file> send output to non ISS>log file, "-" is stdout
#1 is the inetnet network to start searching on
#2 is the inetnet network to end searching on
(ie. 128.128.128.1 128.128.128.25 will scan all hosts from
128.128.128.1 to 128.128.128.25).
Written By Christopher Klaus ([email protected])
Send me suggestions, bugs, fixes, and ideas. Send flames > /dev/null
$ iss -yp 143.248.0.1 143.248.9.9
위의 명령어는 143.248.1.1부터 143.248.9.9범위에 들어가는 모든 호스트를 검색한다. 즉, 143.248.x.x.를 모두 검사하는 효과
이다.
ISS를 사용한 검사에 대한 예제
2.Nfsbug의 사용
돌아가기
이 도구는 world wide exportable file system을 반견하고 현재 export를 하고 있는 것을 공격자 입장에서 mount할 수 있는지
없는지 portmapper를 이용하여 결정한 후 알려준다. File handle guessing도 해주어 이 소스를 고쳐서 공격용 도구로 사용할 수
있다. 즉, file handle guessing에 성공하는 즉시 target 호스트에 원하는 permission의 화일을 생성시킬 수 있다. 이는 실제로
구현될 수 있는데 이를 이용하여 permission이 7777인 shell을 만들었다면 그 호스트에 잠입하여 생성된 shell을 수행하여 root
권한을 얻을 수 있게 된다. 이 도구는 주로 nfs에 관련된 버그들만을 체크한다.
nfsbug의 옵션은 아래와 같다.
- m 옵션 : mount 상황을 체크하는 것을 생략한다.
- p 옵션 : portmapper를 이용한 체크를 생략한다.
- h 옵션 : file handle guessing을 생략한다.
- v 옵션 : file로 저장하지 않고 직접 stdout으로 보내준다.
Nfsbug의 사용예
$ [kus-sakai] nfsbug
Usage : nfsbug [-mphv] host . . .
$ [kus-sakai] nfsbug -v baram.kaist.ac.kr
Connected to NFS mount daemon at baram.kaist.ac.kr using TCP/IP
Connected to NFS server at baram.kaist.ac.kr using UDP/IP
Failed : /home1 : Permission denied
Failed : /home2 : Permission denied
Failed : /home4 : Permission denied
Failed : /home6 : Permission denied
Failed : /var/spool/mail : Permission denied
Failed : /usr : Permission denied
Failed : /export/swap : Permission denied
Failed : /export/root/beta : Permission denied
fsirand pid = 0, gen = 1003963572
fsirand pid = 10, gen = 2023034216
fsirand pid = 20, gen = 1013326747
fsirand pid = 30, gen = 1951003303
fsirand pid = 40, gen = 50015918
fsirand pid = 50, gen = 818608633
fsirand pid = 60, gen = 23576966
……
Nfsbug에 대한 평가
Iss subrotine에서 호출 되기 때문에 독립적으로 구동시키기에 약간 어려움이 따른다. Iss의 기본 루틴에성 불러 사용하는 것
이 나으므로 iss에서 사용할 것을 권한다. 자체적인 리포트를 내주는 부분이 없고, 단순히 체크만 수행한다. 어느정도 수준이 되
지 않은 사람이라면 화면상에 떠오르는 메시지가 무슨 뜻인지도 모를 것이다.
3.Strobe의 사용
돌아가기
Strobe(Super optimised TCP port surveyor)은 ypx나 nfsbug와는 달리 iss에 속해 있지 않은 독립적인 도구이므로 ypx와 nfsbug
를 독립적으로 사용했을 때와 같은 한계점이나 제한점은 없다. 이 도구의 장점은 iss보다 훨씬 빠르고 flexible하다는 점이다.
업데이트된 strobe를 구하고자 할 때에는 다음에서 구할 수 있다.
ftp://suburbia.apana.org.au:/pub/users/proff/original/strobe.tgz
Strobe의 옵션은 아래와 같다.
- v 옵션 : stdout으로 출력한다.
- m 옵션, v 옵션 : 출력상의 차이일뿐 v 옵션과 대동소이하다.
- o 옵션 : 화일로 저장한다.
- b 옵션, e 옵션 : 스캔하고자 하는 포트의 범위를 지정할 수 있다.
- 기타 옵션 : iss와 대동소이하므로 자세한 설명은 생략한다.
Strobe의 사용예
$ [kus-sakai] strobe -n 120 -a 80 -i /etc/hosts -s -f -v -S services -o out
strobe 1.02 (c) 1995 Julian Assange -Proff- ([email protected]).
attempting port=1 host=127.0.0.1
127.0.0.1:1 Connection refused
attempting port=1 host=143.248.8.6
143.248.8.6:1 Connection refused
attempting port=1 host=143.248.8.5
143.248.8.5:1 Connection refused
attempting port=1 host=143.248.8.3
143.248.8.3:1 Connection refused
attempting port=1 host=143.248.8.4
……
4.ypx의 사용
돌아가기
Ypx는 NIS map을 network상을 통해 알아내는 도구이다. 이 도구를 사용하여 알아낸 정보를 통해 ypx를 이용하여 passwd 화일과
같은 중요한 화일을 원격으로 알아 낼 수 있는 것이 특징이다. 프로그램 개발자도 이 도구의 양면성을 인정하면서 나쁜 용도로
쓰이지 않기를 바라고 있다.
Ypx의 옵션은 아래와 같다.
- d 옵션 : debug mode이다. stderr로 출력한다.
- g 옵션 : domain name을 추측해 준다. 하지만 아주 초보적인 추측이므로 실패할 확 률이 높다.
- m 옵션 : (ypx -m mapname hostname domainname) NIS map을 알아낸다. 즉, 예로 서 passwd.byname을 알아낼 수
있다.
- o 옵션 : (ypx … -o outputfile) 화일로 저장이 된다.
- p 옵션 : (ypx -p portnumber hostname) 지정해 준 포트에 어떤 프로그램이 로드되 어 있는가를 보여준다.
- s 옵션 : hostname을 검색한다. 여기에서 검색된 hostname은 내부 코드에서 domain name 추측의 자료로 넘겨진
다.
Ypx의 사용예
$ [kus-sakai] ypx -m passwd.byname target.kaist.ac.kr Foo.Bar.AC.KR
audit:##audit:9:9::/etc/security/audit:/bin/csh
ftp:##ftp:400:400:Anonymous FTP:/home6/ftp:/bin/false
bin:##bin:3:3::/bin:
Ypx에 대한 평가
Exploit의 입장에서 보면, 이 도구에서 해주는 domain name 추측은 그야말로 유치원 수준이라 할 수 있다. Domain name에까지
신경을 쓰는 호스트라면 잡혀 나오지 않는다. 우선 domain name을 알아 내었다면 중요한 화일들을 얻어내는 것도 간단해질 것이
다.
시스템 관리자의 입장에서 보면, iss에서 호출하여 사용할 때는 iss의 리포트 안에 포함이 되므로 어느정도 문서를 얻을 수는
있으나 독립적으로 사용하기에 익숙지 않은 시스템 관리자들이 보기에는 해킹 도구라고 밖에 볼 수 없다.
Iss의 소스 분석
내부 함수들이 무슨 역할을 하는지 간략하게 기술해 보도록 하겠다.
- ctos( ) : socket을 열어서 접속을 한다. socket 프로그램의 기본이 되는 부분.
- usage( ) : argument가 다 들어오지 않았을 경우 옵션과 사용법을 출력해 준다.
- clrlog( ) : 기록으로 남길 log file 을 잡아주는 buffer를 초기화한다.
- do_log( ) : telnet을 이용하여 null passwd id를 추적해낸 후 기록한다.
- domainguess( ) : domain name을 추측하는 부분이지만 수준이 형편 없다. 아주 초보적인 추측 일 뿐이다. 이 함수가 powe
rful 하지 못하기 때문에 ypx가 제 기능을 발휘하지 못하는 한계가 되기도 한다. 이 함수는 sub 함수로 testdomain( )을 호출
한다.
- getsmtpname( ) : checksmtp에서 알아낸 smtp 포트에 접속하여 sendmail 버전 및 정보를 알아낸다.
- checksmtp( ) : smtp 포트를 알아낸다.
- checkftp( ) : anonymous ftp service를 하는지 여부를 체크한다.
- checkrpc( ) : rpcinfo를 이용하여 target host 의 rpc 정보를 알아낸다.
- checkall( ) : 결과를 수합한 후 출력 포맷에 맞게 출력을 한다.
- Probe_TCP_Ports( ) : target host 의 모든 tcp 상의 port를 스캔한다. 그 후 열려있는 port를 리턴해 준다.
- main( ) : 입력된 옵션에 따라 그에 맞는 함수를 호출한다.