사전 공격(Dictionary Attack) 실습

이번 포스팅에선 사전 공격에 대해 알아보고 DVWA의 타깃 계정에 대한 암호를 알아낸다.

 

사전 공격(Dictionary Attack)이란?

: 사전 대입 공격이라고도 불리며, 암호를 알아내기 위해 사전의 단어를 순차적으로 입력하는 공격 기법을 말한다.

 

 

- 테스트 입력 후 패킷 확보

 : 공격대상 서버인 DVWA에 우선 테스트 계정을 입력한다. Burp Suite를 실행하여 해당 패킷을 수집한다.

( 좌 )  공격대상 계정과 테스트 암호 입력  ( 우 ) Burp suite 를 통해 요청 확인

 

테스트용 비밀번호 우클릭 >Send to Intruder,  테스트 비밀번호를 제외한 다른 하이라이트 제거

 

- 사전 업로드 후 공격 시작

: 해당 암호 입력 패킷을 Intruder에 입력, 준비된 사전(Dictionary)을 업로드하여 공격을 시작한다.

Payloads 탭  > Load > Dictionary 업로드  > Start Attack

 

- 계정 정보 확인

 : Burp Suite의 응답 길이를 통해 ‘charley’가 패스워드임을 알 수 있다.   

아이디: 1337 / 패스워드: Charley => 로그인 성공

  

- 로그(log) 확인

: 사전의 암호 값을 계속해서 대입하기 때문에 공격 대상 서버에는 아래 경로로 로그인 시도 흔적이 남는다.

cd /var/log/apache2

tail -30 access.log | more

Dictionary를 통한 여러 로그인 시도가 로그로 남아있다.

 

- 대응방법

• 암호 생성 시 단순 나열은 지양하고 특수문자나 대소문자를 섞어 설정한다.
• 비밀번호 입력 횟수 제한을 설정하고 횟수 초과 시 잠금 조치되도록 한다.
• *Captcha를 활용하여 자동화 스크립트를 방지한다.

 

*CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart)

자동화 판별 프로그램으로 사용자가 실제 사람인지 컴퓨터 프로그램인지를 구별할 때 사용되는 방법이다.

---

참고자료

 

http://wiki.hash.kr/index.php/%EC%82%AC%EC%A0%84%EA%B3%B5%EA%B2%A9

사전공격 - 해시넷