디지털 포렌식 - Linux Forensic

1. 네트워크 Birdged Adapter 모드로 설정
2. 게스트에서 ip addr 을 통해 IP 주소 확인 (inet 이후 문자열이 게스트의 ip주소)
3. 호스트에서 게스트로 ping을 전송 (ping *guestIP* )
4. Ubuntu에서 SSH 서버 설치 ( sudo apt install -y openssh-server )
5. 실행 상태 확인 ($ sudo systemctl status ssh) , active 라고 나오면 정상적으로 실행중

1. 호스트에서 게스트로 SSH 연결 수행 (꼭 호스트에서 게스트로 연결되어야 하는 것은 아님)
2. ssh [ID]@[IP] -p[포트]
3. SSH가 정상 연결되면 시스템의 터미널을 통해 직접 입력하는 것과 동일하게 시스템에 명령어를 실행시킬 수 있음

1. 운영체제 버전 확인을 위한 명령어

   $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 22.04.4 LTS Release: 22.04 Codename: jammy

2. 디스크 파티션 확인하는 명령어

   $ sudo fdisk -l # 일부 생략 Disk /dev/sda: 20 GiB, 21474836480 bytes, 41943040 sectors Disk model: VMware Virtual S Units: sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes Disklabel type: gpt Disk identifier: E4E85C38-9651-40C8-834C-65C30CD5EF56 Device Start End Sectors Size Type /dev/sda1 2048 4095 2048 1M BIOS boot /dev/sda2 4096 1054719 1050624 513M EFI System /dev/sda3 1054720 41940991 40886272 19.5G Linux filesystem Disk /dev/sdb: 14.75 GiB, 15833497600 bytes, 30924800 sectors Disk model: Flash Disk Units: sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes Disklabel type: dos Disk identifier: 0xf53bc2a7 Device Boot Start End Sectors Size Id Type /dev/sdb1 2048 30922751 30920704 14.7G 7 HPFS/NTFS/exFAT

3. 파일 시스템의 사용 가능한 공간을 표시해 주는 명령어($ df -h), 시스템 버전과 CPU 정보를 확인하는 명령어($ cat /proc/version, $ cat /proc/cpuinfo), 시스템 시간, 시스템 실행 이후 지속 시간, 현재 접속중인 사용자 수 등을 얻을 수 있음

1. /var 경로에 시스템 로그 저장 → 이에 대한 설정값은 /etc/rsyslog.conf 파일에 존재
2. $ cat /etc/rsyslog.conf 로 확인
3. 파일의 소유자, 그룹, 권한을 설정하고 로그를 임시 저장하기 위한 공간(spool)으로 /var/spool/rsyslog를 이용하고, 추가적인 설정은 /etc/rsyslog.d/*.conf를 통해 이루어짐

   $ cat /etc/rsyslog.d/50-default.conf # Default rules for rsyslog. # # For more information see rsyslog.conf(5) and /etc/rsyslog.conf # # First some standard log files. Log by facility. # auth,authpriv.* /var/log/auth.log *.*;auth,authpriv.none -/var/log/syslog #cron.* /var/log/cron.log #daemon.* -/var/log/daemon.log kern.* -/var/log/kern.log #lpr.* -/var/log/lpr.log mail.* -/var/log/mail.log #user.* -/var/log/user.log # # Logging for the mail system. Split it up so that # it is easy to write scripts to parse these files. # #mail.info -/var/log/mail.info #mail.warn -/var/log/mail.warn mail.err /var/log/mail.err ###### 하단 생략 ######

4. 활성화할 시스템 로그 종류 선택
5. 모든 로그를 활성화하기 위해 로그에 대한 주석 삭제 → 시스템 재시작 → 재부팅 후 /var/log폴더 로그 확인

1. Apache2, MariaDB, PHP 설치

   # apt update sudo apt update # install apache2 sudo apt install -y apache2 # install mariadb sudo apt install -y mariadb-server sudo mysql_secure_installation # install php sudo apt install -y php libapache2-mod-php php-mysql # 설치가 잘 되었는지 결과 확인 # Apache2는 웹 브라우저 이용해서 http://localhost 접속 sudo mariadb # mariadb 결과 확인 php -v # php 설치 확인

2. Apache2 설치를 확인하기 위해서 브라우저를 켠 후 http://localhost 에 접속해 아래 페이지가 나오는지 확인
3. mariadb 쉘에서 아래 커맨드를 입력해 데이터베이스를 구축

   create database dreamhack; # 데이터베이스 생성 use dreamhack; # 생성한 데이터베이스 선택 create table member( # member 테이블 생성 id varchar(10) not null, pass varchar(100) not null, name varchar(10) not null, primary key(id) ); insert into member values('guest', 'guest', 'guest'); # 테이블에 값 추가 insert into member values('root', 'veryverylongpassworditis', 'root'); select * from member; # member 테이블 값 조회

   

4. php 파일 생성 → 가상 머신 내에서 vim 에디터로 파일 생성

   

5. access.log 분석

   192.168.0.179 - - [13/Apr/2024:19:49:52 +0900] "POST /check_login.php HTTP/1.1" 200 521 "http://192.168.0.221/login.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36" 192.168.0.179 - - [13/Apr/2024:19:49:54 +0900] "GET /login.php HTTP/1.1" 200 572 "http://192.168.0.221/check_login.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36"

   IP 주소 192.168.0.179에서 [13/Apr/2024:19:49:52 +0900] 시간에 POST 메서드를 이용해 /check_login.php 페이지에 대해 HTTP/1.1 프로토콜로 응답을 보냄

   해당 응답은 상태 코드 200(요청 성공)을 반환했으며, 512 바이트 응답 메시지가 전송

   클라이언트의 Referer는 "<http://192.168.0.221/login.php>"이었고, User Agent는 "Mozilla/5.0 (Windows NT ...

6. error.log 분석

   [Sat Apr 13 20:11:47.811356 2024] [php:error] [pid 1009] [client 192.168.0.179:51667] PHP Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'guest'' at line 1 in /var/www/html/check_login.php:21\nStack trace:\n#0 /var/www/html/check_login.php(21): mysqli->query()\n#1 {main}\n thrown in /var/www/html/check_login.php on line 21, referer: http://192.168.0.221/login.php

   [Sat Apr 13 20:11:47.811356 2024]에 [php:error] 수준의 에러가 발생하였으며, 에러가 발생한 프로세스 ID는 [pid 1009]

   클라이언트의 IP 주소는 [client 192.168.0.179:51667]이며, 발생한 에러의 내용은 PHP Fatal error: ...

1. 오픈소스 SQL Injection 도구 sqlmap 이용

1. sqlmap을 호스트 pc에 설치, 게스트 pc로 공격 payload 전송
   💡

   페이로드(Payload)란?

   페이로드란 공격 과정에서 실제로 전송되는 데이터를 뜻함

   

   sqlmap -u "http://우분투서버IP/check_login.php" --data "id=guest&pw=guest"

2. access.log와 error.log 를 통해 URL, 응답 코드, 시간 정보, 에러 정보 등을 확인해 악의적인 사용자의 공격이 있었는지 확인할 수 있음

1. 네트워크 분석을 위해 ip addr 명령어로 현재 PC의 네트워크 인터페이스와 IP를 조사
2. 현재 시스템이 외부와 주고 받는 네트워크 패킷을 수집하려면 tcpdump 명령어 tcpdump -i [네트워크_인터페이스] -vv -w [파일이름] [표현식]
3. 옵션/필터 사용

1. 키로거가 동작하는 pc 에서 sudo tcpdump -i any -w ~/sample.pcap 명령어
2. tcpdump를 종료한 후 생성된 파일을 외부 pc로 옮기기
3. 분석 도구 설치 : WireShark