암호화 실습: Wireshark를 활용한 SSH 접속 암호화 패킷 확인하기

Metasploitable2 SSH접속, Wireshark로 패킷 캡쳐 스니핑 가능할지 확인하기

 

1. Metasploitable2에서 새로운 계정을 생성한다. (ID: black, PW: icecream)

2. Window의 cmd를 통해 ssh접속을 시도한다.

$ ssh 192.000.5.130 -l black

(-ㅣ은 해당 계정으로 로그인하겠다는 뜻)

3. Wireshark 캡처를 시작하고, cmd를 통해 몇가지 리눅스 명령어를 전달해 패킷을 형성한다.

 

리눅스 명령어

• pwd // 현재 디렉토리 어디인지 확인
• whoami // 공격자들이 어떤 권한을 획득했는지 확인할 때 많이 사용됨
• ls -l 
• last // 마지막 로그인 시간
• w // 현재 접속자 목록
• lastb // 로그인 실패한 사용자
• lastlog // 모든 사용자의 로그인 내역
• history // 지금까지 사용했던 명령어 목록
• uname -r  // 커널 버전 확인

4. Wireshark에 캡처 된 패킷을 확인한다.

 

Follow > TCP내역을 확인하면, 처음엔 서로의 암호화키를 확인하고 교환하는 내용이 평문으로 적혀있다. (빨간색-Client, 파란색-Server) 틈틈히 Diffie-Helman, Sha256, RSA등의 암호화 방식들이 눈에 띈다.

 

암호화 체계가 확립된 후 (키교환 완료) 이하 내용은 모두 암호화(Encrypted)되었다.

Diffie-Hellman 키교환 내역 확인

키교환 이후 cmd창을 통해 전달한 명령어는 모두 암호화된 패킷으로 전달되어 내용 확인이 어렵다.

 

(작성보류)

Hash값 비교

공개키의 해쉬값을 확인한다.

 

SSH접속당시 : RSA key fingerprint is SHA256:BQHm5EoHX9GCiOLuVscegPXLQOsuPs+E9d/rrJB84rk.

 

black@metasploitable:/etc/ssh$ sha256sum ssh_host_rsa_key.pub
3f34b674e6c77bf4d6a0c335276a58c08dae54227bed8f8c0500eb2c3f71b85d  ssh_host_rsa_key.pub  // Base 64임

디코딩 결과 :  m~v惡<umm|4Mog7[

출처- https://www.base64decode.org/