테스트 사이트 - 개발 중인 베타 버전입니다

arp 스푸핑한 서버 어떻게 찾나?

· 13년 전 · 1462
 
오늘 게이트웨이 맥을 변조하여 뿌린 윈도우 서버가 있었습니다. 
사전에 발견하여 조치를 해야 하는데 좋은 방법이 있는지 찾아 보았는데, arpwatch를 
알게 되었습니다.
 
ARP Spoofing and arpwatch
 
test os: centos5.5
 
 
1. arp 테이블 확인
 
 
[root@localhost ~]# arp -a
? (192.168.56.100) at 08:00:27:5C:30:F4 [ether] on eth0
? (192.168.56.1) at 0A:00:27:00:00:00 [ether] on eth0
 
 
 
2. arpwatch 설치
 
 
yum install arpwatch
 
/var/arpwatch/arp.dat
 
 
3. 설정
 
1) 환경 설정
[root@localhost ~]# vi /etc/sysconfig/arpwatch
 
# -u <username> : defines with what user id arpwatch should run
# -e <email>    : the <email> where to send the reports
# -s <from>     : the <from>-address 
OPTIONS="-u pcap -e 'linuxmaster@xxx.com' -s 'test server (Arpwatch)' -n '192.168.56.0/24'"
 
 
2) 실행
 
[root@localhost ~]# /etc/init.d/arpwatch start
Starting arpwatch:                                         [  OK  ]
 
 
 
* 참고 
 
맥 제조 회사 알수 있음.
 
/var/arpwatch/ethercodes.dat
 
0:0:0   XEROX CORPORATION
0:0:10  SYTEK INC.
0:0:11  NORMEREL SYSTEMES
0:0:12  INFORMATION TECHNOLOGY LIMITED
0:0:13  CAMEX
0:0:14  NETRONIX
0:0:15  DATAPOINT CORPORATION
0:0:16  DU PONT PIXEL SYSTEMS     .
0:0:17  TEKELEC
...중략
 
맥 제조 회사 최신 정보로 갱신
wget http://standards.ieee.org/regauth/oui/oui.txt
mv oui.txt /var/arpwatch/ethercodes.dat
 

댓글 작성

댓글을 작성하시려면 로그인이 필요합니다.

로그인하기

게시글 목록

번호 제목
12487
12486
380
12484
12483
376
12482
12481
12479
12478
12477
12476
12475
12474
12473
12472
12471
12470
12469
371
12468
12467
12466
12465
12464