테스트 사이트 - 개발 중인 베타 버전입니다

arp 스푸핑한 서버 어떻게 찾나?

· 13년 전 · 1474
 
오늘 게이트웨이 맥을 변조하여 뿌린 윈도우 서버가 있었습니다. 
사전에 발견하여 조치를 해야 하는데 좋은 방법이 있는지 찾아 보았는데, arpwatch를 
알게 되었습니다.
 
ARP Spoofing and arpwatch
 
test os: centos5.5
 
 
1. arp 테이블 확인
 
 
[root@localhost ~]# arp -a
? (192.168.56.100) at 08:00:27:5C:30:F4 [ether] on eth0
? (192.168.56.1) at 0A:00:27:00:00:00 [ether] on eth0
 
 
 
2. arpwatch 설치
 
 
yum install arpwatch
 
/var/arpwatch/arp.dat
 
 
3. 설정
 
1) 환경 설정
[root@localhost ~]# vi /etc/sysconfig/arpwatch
 
# -u <username> : defines with what user id arpwatch should run
# -e <email>    : the <email> where to send the reports
# -s <from>     : the <from>-address 
OPTIONS="-u pcap -e 'linuxmaster@xxx.com' -s 'test server (Arpwatch)' -n '192.168.56.0/24'"
 
 
2) 실행
 
[root@localhost ~]# /etc/init.d/arpwatch start
Starting arpwatch:                                         [  OK  ]
 
 
 
* 참고 
 
맥 제조 회사 알수 있음.
 
/var/arpwatch/ethercodes.dat
 
0:0:0   XEROX CORPORATION
0:0:10  SYTEK INC.
0:0:11  NORMEREL SYSTEMES
0:0:12  INFORMATION TECHNOLOGY LIMITED
0:0:13  CAMEX
0:0:14  NETRONIX
0:0:15  DATAPOINT CORPORATION
0:0:16  DU PONT PIXEL SYSTEMS     .
0:0:17  TEKELEC
...중략
 
맥 제조 회사 최신 정보로 갱신
wget http://standards.ieee.org/regauth/oui/oui.txt
mv oui.txt /var/arpwatch/ethercodes.dat
 

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

게시글 목록

번호 제목
4132
17083
17082
17081
17080
17079
17078
17077
4127
17074
17073
17072
17071
17070
17069
17068
17063
17059
17057
4119
17053
17050
17049
17048
17047
17046
17045
17036
17035
17034
17033
17032
17031
17030
17029
17028
Linux umask
17027
17026
17025
17024
17023
17022
17021
17019
30314
17016
17014
17010
17009
17008
17007
17006
17005
17003
17000
30311
16992
16990
16983
16982
16976
16971
16969
16965
4110
16957
16955
16954
16948
16947
16946
16944
16941
16940
16939
16938
16937
16935
16934
16932
16931
16929
30304
16926
4098
30297
16923
4097
30296
16921
16916
16914
30288
16912
16908
16907
16906
16905
16904
16903