UDP SCAN

● 개요
→ UDP를 이용한 포트 스캔을 말한다.
→ UDP를 사용하는 대표적인 서비스 : DHCP, DNS, SNMP, TFTP 등
→ TCP에 비해 매우 느린 포트 스캔을 한다.
→ DHCP 신호 순서
0.0.0.0 255.255.255.255 DHCP 342 DHCP Discover - Transaction ID 0xc8dfeef0
192.168.100.10 255.255.255.255 DHCP 342 DHCP Offer - Transaction ID 0xc8dfeef0
0.0.0.0 255.255.255.255 DHCP 348 DHCP Request - Transaction ID 0xc8dfeef0
192.168.100.10 255.255.255.255 DHCP 342 DHCP ACK - Transaction ID 0xc8dfeef0

● 특징
→ 포트가 열려 있을 때
: 공격자 → UDP 패킷 전송 → 공격대상 → 무응답 → 공격자
→ 포트가 닫혀 있을 때
: 공격자 → UDP 패킷 전송 → 공격대상 → ICMP Unreachable
패킷 전송 → 공격자
● 명령어
→ nmap
→ unicornscan
: UDP 스캔에 소요되는 시간을 단축
: 정보 수집 툴이면서 상관관계 탐지 툴이기도 하고 속도가 빠르고 정확함

● 실습 환경
→ Kali(128)
→ CentOS(nameserver 목적,130)

● 실습 1
→ 응답을 받지 못한 경우라면 포트가 열려있는지(Open) 차단되었는지
(Filtered)를 파악할 수가 없다

         (kali) # nmap –sU www.gusiya.com

source Destination Protocol Length Info
192.168.10.128 192.168.10.130 UDP 114 36427 → 1070 Len=72
192.168.10.128 192.168.10.130 UDP 82 36427 → 62699 Len=40
192.168.10.128 192.168.10.130 UDP 82 36427 → 40805 Len=40
192.168.10.128 192.168.10.130 UDP 42 36427 → 17573 Len=0
192.168.10.128 192.168.10.130 UDP 82 36427 → 49216 Len=40

192.168.10.130 192.168.10.128 ICMP 110 Destination unreachable (Host administratively prohibited)
192.168.10.130 192.168.10.128 ICMP 70 Destination unreachable (Host administratively prohibited)
192.168.10.130 192.168.10.128 ICMP 110 Destination unreachable (Host administratively prohibited)

● 실습 2
→ version 스캔을 통해 응답이 있는 경우에만 open으로 변경된다

(kali) # nmap -sUV -T4 -F --version-intensity 0 www.gusiya.com

192.168.10.128 192.168.10.130 DNS 72 Standard query 0x0006 TXT version.bind

192.168.10.130 192.168.10.128 DNS 136 Standard query response 0x0006 TXT version.bind TXT NS version.bind

→ Standard query : 동작이 되어있다

● 실습 3
→ 패키지 없는 것 확인

→ 패키지 설치

         (kali) # apt install unicornscan
         

→ 명령어

         (kali) # unicornscan -m U -lv www.gusiya.com
         (kali) # unicornscan -m U -lv www.gusiya.com:21-3306
         (kali) # unicornscan -m U -lv www.gusiya.com:21-3306 -r -10000

→ 실습 결과
: 위의 명령어를 입력하면 터미널 창에서는 아무것도 나타지 않지만 wireshark에서는 나타난다

(kali) # unicornscan -m U –lv www.gusiya.com:21-3306

192.168.10.128 192.168.10.130 DNS 74 Standard query 0x00e1 A www.gusiya.com
192.168.10.128 192.168.10.130 DNS 74 Standard query 0x33e4 AAAA www.gusiya.com
192.168.10.130 192.168.10.128 DNS 123 Standard query response 0x00e1 A www.gusiya.com A 192.168.10.130 NS ns.gusiya.com A 192.168.10.130

192.168.10.130 192.168.10.128 DNS 118 Standard query response 0x33e4 AAAA www.gusiya.com SOA ns.gusiya.com
192.168.10.128 192.168.10.130 DNS 87 Standard query 0xb21a PTR 130.10.168.192.in-addr.arpa

192.168.10.130 192.168.10.128 DNS 162 Standard query response 0xb21a PTR 130.10.168.192.in-addr.arpa PTR www.gusiya.com PTR ns.gusiya.com NS ns.gusiya.com A 192.168.10.130

(kali) # unicornscan -m U –lv www.gusiya.com:21-3306 (UDP 스캔)
      : 소스는 192.168.10.128만 나오고 명령어에서 지정한 포트의 범위에 
      있는 포트들만 출력한다

source Destination Protocol Length Info
192.168.10.128 192.168.10.130 UDP 60 54348 → 3171 Len=18
192.168.10.128 192.168.10.130 UDP 60 35051 → 991 Len=18
192.168.10.128 192.168.10.130 UDP 60 7376 → 552 Len=18
192.168.10.128 192.168.10.130 UDP 60 50989 → 811 Len=18

(kali) # unicornscan -m U -lv www.gusiya.com:21-3306 -r 10000
        : 초당 전송속도 설정(기본이 300)
        
        DNS 스캔

192.168.10.128 192.168.10.130 DNS 74 Standard query 0xd7c3 A www.gusiya.com
192.168.10.128 192.168.10.130 DNS 74 Standard query 0x08c1 AAAA www.gusiya.com
192.168.10.130 192.168.10.128 DNS 123 Standard query response 0xd7c3 A www.gusiya.com A 192.168.10.130 NS ns.gusiya.com A 192.168.10.130

192.168.10.130 192.168.10.128 DNS 118 Standard query response 0x08c1 AAAA www.gusiya.com SOA ns.gusiya.com
192.168.10.128 192.168.10.130 DNS 87 Standard query 0xb0b6 PTR 130.10.168.192.in-addr.arpa

192.168.10.128 192.168.10.130 DNS 69 Standard query 0xba90 A localhost
192.168.10.128 192.168.10.130 DNS 72 Standard query 0x000a TXT VERSION.BIND
192.168.10.130 192.168.10.128 DNS 162 Standard query response 0xb0b6 PTR 130.10.168.192.in-addr.arpa PTR ns.gusiya.com PTR www.gusiya.com NS ns.gusiya.com A 192.168.10.130

192.168.10.130 192.168.10.128 DNS 127 Standard query response 0xba90 A localhost A 127.0.0.1 NS localhost AAAA ::1
192.168.10.130 192.168.10.128 DNS 148 Standard query response 0x000a TXT VERSION.BIND TXT NS version.bind

UDP Scan
source Destination Protocol Length Info
192.168.10.128 192.168.10.130 UDP 60 57117 → 1063 Len=18
192.168.10.128 192.168.10.130 UDP 60 51043 → 3071 Len=18
192.168.10.128 192.168.10.130 UDP 60 61775 → 176 Len=18