SSH Downgrade Attack

SSH

: 네트워크 상의 다른 컴퓨터에 로그인하거나 원격 시스템에서 명령을 실행하고 다른 시스템으로 파일을 복사할 수 있도록 해 주는 응용 프로그램 또는 그 프로토콜을 가리킨다

 

SSH Version

- SSH1

- SSH2

- SSH1, SSH2 모두 지원

 

SSH1

- SSHV1 : SSH-1.5

- public-key를 이용하여 session-key를 암호화하는 방식을 사용

- 중간자 공격에 취약하다

 

SSH2

- SSHV2 : SSH-2.0

- Diffe-Hellman 방식의 암호화 사용

 

SSH1, SSH2 버전 모두 지원

- SSH-1.99

- Version Negotiation(버전 동기화) 과정이 Text로 노출되어있어 취약하다

 

SSH Downgrade Attack

: ARP Spoofing을 이용해 중간자가 되어서 취약한 Version인 SSH1로 연결을하게 만들어 Client와 Server가 주고 받는 내용을 훔쳐 보는 공격 기법이다

 

정상적인 SSH 세션의 연결과정

 

 

SSH Downgrade Attack 과정

 

 

실습환경

 

 

SSH Downgrade Attack 순서

1. Server에서 SSH 버전을 1, 2 모두 사용 가능하도록 설정을한다

2. hacker는 SSH Version 협상시 정보 변경을 위한 Filter를 생성한다

3. hacker는 명령어를 통해 ARP Spoofing과 생성한 Filter를 걸고 공격을 실행한다

4. Client에서 Server로 SSH 요청

5. hacker는 결과를 확인한다

 

1. Server에서 SSH 버전을 1, 2 모두 사용 가능하도록 설정을한다

 

- /etc/ssh/sshd_config 파일에 들어간다

 

- 사용가능한 Version을 1,2로 변경해준다

 

2. hacker는 SSH Version 협상시 정보 변경을 위한 Filter를 생성한다

 

- find / -name etter.filter.ssh 명령어로 파일 위치를 찾는다

 

- 명령어 : etterfilter etter.filter.ssh -o ssh.co

- 해당 디렉터리에 들어가서 컴파일을 해준다

 

- 컴파일된 파일을 root의 홈디렉터리로 옮겨준다

 

3. hacker는 명령어를 통해 ARP Spoofing과 생성한 Filter를 걸고 공격을 실행한다

 

- ettercap --help 명령어로 옵션 설명을 확인해준다

 

- 명령어 : ettercap -T -M ARP -F [ Filter 파일 ] [ Client MAC/IPs/Ports ] [ Server MAC/IPs/Ports ]

- 위 명령어로 ARP Spoofing과 함께 SSH Downgrade Attack 어택이 시작된다

 

- 실행하게되면 위와 같은 화면이 나오고 Client가 Server에 연결을 요청할때까지 대기한다

 

4. Client에서 Server로 SSH 요청

(Client는 Server에게 SSH 연결을 요청하지만 hacker가 요청을 받고 Server에게 보내준다)

- putty를 사용해서 Server( 192.168.1.12 )로 연결을 시도한다

- 이때 Server는 사용 가능한 SSH Version(SSH1, SSH2 둘다 가능) 정보를 hacker에게 보내고 hacker는 SSH1 Version만 사용가능하게 변조를 한뒤 Client에게 보내준다

 

- Client는 SSH1 Version으로 연결이 수립된다

- ID와 Password를 치고 계정에 로그인한다

 

5. hacker는 결과를 확인한다

 

- Client가 연결 요청을 했을때 Server는 1.99로 SSH1, SSH2 버전 모두 사용가능하다고 알려주었으나 hacker는 이를 변조하여 SSH1인 1.5만 가능하다고 Client에게 알려주는걸 확인할 수 있다

 

- 많은 로그가 올라와있는데 스크롤을 올려보면 Client에서 입력한 내용이 다 보이는걸 확인할 수 있다