테스트 사이트 - 개발 중인 베타 버전입니다

arp 스푸핑한 서버 어떻게 찾나?

· 13년 전 · 1471
 
오늘 게이트웨이 맥을 변조하여 뿌린 윈도우 서버가 있었습니다. 
사전에 발견하여 조치를 해야 하는데 좋은 방법이 있는지 찾아 보았는데, arpwatch를 
알게 되었습니다.
 
ARP Spoofing and arpwatch
 
test os: centos5.5
 
 
1. arp 테이블 확인
 
 
[root@localhost ~]# arp -a
? (192.168.56.100) at 08:00:27:5C:30:F4 [ether] on eth0
? (192.168.56.1) at 0A:00:27:00:00:00 [ether] on eth0
 
 
 
2. arpwatch 설치
 
 
yum install arpwatch
 
/var/arpwatch/arp.dat
 
 
3. 설정
 
1) 환경 설정
[root@localhost ~]# vi /etc/sysconfig/arpwatch
 
# -u <username> : defines with what user id arpwatch should run
# -e <email>    : the <email> where to send the reports
# -s <from>     : the <from>-address 
OPTIONS="-u pcap -e 'linuxmaster@xxx.com' -s 'test server (Arpwatch)' -n '192.168.56.0/24'"
 
 
2) 실행
 
[root@localhost ~]# /etc/init.d/arpwatch start
Starting arpwatch:                                         [  OK  ]
 
 
 
* 참고 
 
맥 제조 회사 알수 있음.
 
/var/arpwatch/ethercodes.dat
 
0:0:0   XEROX CORPORATION
0:0:10  SYTEK INC.
0:0:11  NORMEREL SYSTEMES
0:0:12  INFORMATION TECHNOLOGY LIMITED
0:0:13  CAMEX
0:0:14  NETRONIX
0:0:15  DATAPOINT CORPORATION
0:0:16  DU PONT PIXEL SYSTEMS     .
0:0:17  TEKELEC
...중략
 
맥 제조 회사 최신 정보로 갱신
wget http://standards.ieee.org/regauth/oui/oui.txt
mv oui.txt /var/arpwatch/ethercodes.dat
 

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

게시글 목록

번호 제목
8265
20403
20402
20401
20400
8259
20399
20398
8255
8249
8246
8242
20396
8240
20395
20394
31033
28385
20393
28380
20392
28377
20391
20390
20389
20388
20387
20386
20385
20384
20383
20382
8238
20380
20379
28376
28372
20378
20377
8235
20375
20374
20373
20372
20371
20370
28370
20369
28366
20368
20367
20366
20365
20364
20363
20362
20361
20360
20359
8231
20358
20357
20356
20355
20354
20353
20352
20351
20350
20349
20348
20347
20346
20345
20344
20343
20342
20341
20340
20339
20338
20337
20336
20335
20334
20333
20332
20331
20330
20329
20328
20327
20326
20325
20324
20323
20322
20321
20320
20319