효과적인 p2p 프로그램 차단

# tcpdump -l -i eth0 -w - src or dst port xxxx | strings

$IPTABLES -A FORWARD -m string --string "messenger.msn.com" -j DROP

$IPTABLES -A FORWARD -s 192.168.3.4 -m string --string "messenger.msn.com" -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "AUTH 2 DES" -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "REQS 3 DES " -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "FILE REQUEST%091%" -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "REQC NEW" -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "MSNSLP" -j DROP

$IPTABLES -A FORWARD -p tcp -s 192.168.1.0/24 -m string --string "multipart/form-data" -j DROP

$IPTABLES -A FORWARD -p tcp -m string --string "Password required for" -j DROP

$IPTABLES -A FORWARD -p TCP -s 211.47.64.0/24 -d 211.47.65.4 --dport 80 -m string --string "secure.server.com" -j ACCEPT

$IPTABLES -A FORWARD -p tcp -s 0/0 -d 211.47.65.4 --dport 80 -m string --string "secure.server.com" -j DROP

이렇듯 강력한 기능의 string 매치 기능은 다른 룰보다 앞쪽에 설정하여야 기능을 제대로 활용할 수 있다.

여기에서의 필터 설정은 캡처하여 보기를 원하는 패킷만 살펴본다는 의미이며 방화벽에서 패킷을 드롭(drop)하는 의미의 필터링과는 다른 의미이다.

tcp

port 53

host 192.168.1.3

host 192.168.1.3 and port 53

리눅스에서 유용하게 활용 가능한 패킷캡처 프로그램에 대해 살펴보도록 하자.

(1) tcpdump

tcpdump는 리눅스 등 유닉스 계열에서 제공되는 가장 대표적인 패킷캡처 프로그램으로 표준이라 할 만큼 매우 대중적으로 사용되는 유용한 도구이다.

많은 옵션 중 많은 패킷 캡처 프로그램에서 공통적으로 지원하는 중요한 옵션만 살펴보도록 하자.

# tcpdump -i eth1

별도의 옵션을 주지 않으면 tcpdump는 기본적으로 eth0 인터페이스의 트래픽을 모니터링한다.

따라서 eth0이 아닌 별도의 인터페이스를 통과하는 트래픽을 모니터링하려면 -i eth1과 같은 옵션을 주어야 한다.

# tcpdump port 80

특정 포트에 대한 트래픽(소스 또는 목적지에 관계없이)을 모니터링 하고자 할 때 사용할 수 있다.

만약 소스 또는 목적지 포트로 한정하여 모니터링하려면

‘tcpdump dst port 80’ 또는 ‘tcpdump src port 80’과 같이 사용하면 되나 흔히 소스목적지에 관계없이 사용이 가능한 port를 많이 사용한다.

# tcpdump host 211.47.66.50

특정 ip에 대한 트래픽(소스 목적지 관계없이)을 모니터링 하고자 할 때 사용할 수 있다.

마찬가지로 만약 소스나 목적지 IP에 대한 정보만을 보고자 한다면

‘tcpdump dst host 211.47.66.50' 또는 ‘tcpdump src host 211.47.66.50’과 같이 사용하면 되나 흔히 소스 목적지에 관계없이 사용이 가능한 host를 많이 사용한다.

# tcpdump port 80 -X

80번에 대한 트래픽을 hex와 ascii로 함께 보여준다.

주로 패킷의 헤더정보 뿐만 아니라 상세한 내용을 보고자 할 때 사용한다.

# tcpdump host 211.47.66.50 and port 80

소스나 목적지 IP에 IP가 211.47.66.50이고, 소스나 목적지 포트가 80 즉 http인 트래픽을 모니터링 하고자 할 때 사용한다.

여러 가지의 패킷필터가 있을 경우 위와 같이 and 또는 or를 사용할 수 있다.

# tcpdump port 80 and not host 1.1.1.1

소스나 목적지 포트가 80번인 트래픽 중에서 소스나 목적지 ip가 1.1.1.1이 아닌 트래픽을 모니터링 하고자 할 때 사용할 수 있다.

# tcpdump -i eth1 arp

eth1 인터페이스를 통과하는 arp 패킷을 보여준다.

# tcpdump -i eth1 -e

eth1 인터페이스를 통과하는 패킷에 대해 mac 정보도 함께 보여준다.

# tcpdump -i eth1 net 10.64.4.0 mask 255.255.255.0

eth1 인터페이스를 통과하는 패킷 중 소스나 목적지 ip 대역이 10.64.4.0/24 대역에 속하는 패킷을 보여준다.

# tcpdump -n

dump하는 패킷에 대해 ip나 포트번호 등에 대한 역질의(reverse lookup)를 하지 않는다.

(2) ngrep

다음으로 살펴볼 프로그램은 ngrep이라는 프로그램이다.

ngrep은 network grep의 의미로서, 홈페이지

(http://www.packetfactory.net/projects/ngrep/) 또는 http://rpmfind.net/에서 rpm 버전으로 다운로드 가능하다.

ngrep은 tcpdump와 비슷한 기능을 제공하지만 설치과정이 쉽고 바이너리 파일만 복사해서 바로 사용할 수 있을 만큼 가벼워서 모니터링 시 유용하게 사용 가능하다.

개인적으로는 tcpdump보다 이 프로그램을 더욱 많이 사용하고 있는데, 몇 가지 유용한 기능을 살펴보도록 하자.

# ngrep -qi -c 80 port 80

T 221.xxx.68.251:3414 -> 211.47.xx.xx:80 [AP]

GET /tt/site/skin/member/CONNECT_LIST/images/title_all.gif HTTP/1.1..

Accept: */*..Referer: http://www.server.com/tt/site/ttmember.c

gi?act=connect_list..Accept-Language: ko..Accept-Encoding: gzip, deflate..

If-Modified-Since: Tue, 21 Feb 2008 06:19:41 If-None-Match: "2a4043-77-

43fab0fd"..User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; M

axthon; i-NavFourF; InfoPath.1; .NET CLR 1.1.4322)..Host: www.server.com..

Connection: Keep-Alive..Cookie: WRITE=store_user_info=0&; X2VID=Z4402067

F93; oldserver=done; _home_server_public_html_tt_site_

SESSION_ID=ee641d3190188207f3320f075f1c2b10....

위의 경우 port 80번에 대한 패킷을 캡처한 것으로 패킷의 상세한 내용까지 보여주고 있는 것을 알 수 있다.

여기에서 -c 80은 출력되는 컬럼의 폭을 80자로 제한하여 가동성을 높이기 위한 설정이다.

# ngrep -qwi 'user|pass' port 110

T 211.47.xx.xx:2502 -> 211.47.xx.xx:110 [AP]

USER antihong..

T 211.47.xx.xx:110 -> 211.47.xx.xx:2502 [AP]

+OK User name accepted, password please..

T 211.47.xx.xx:4567 -> 211.47.xx.xx:110 [AP]

PASS sdlkjlfsdf.

이는 port 110번에 대한 패킷 중 대소문자에 관계없이(-i) ‘user’ 또는 ‘pass’ 라는 문자열이 보이는 패킷만을 보여주는 것으로, 특정한 문자열만을 캡처해서 보고자 할 때 유용하게 사용할 수 있다.

# ngrep -tW byline port 80

# T 2008/03/13 17:30:16.416882 222.xxx.xx.254:4767 -> 211.47.xx.xx:80 [AP]

GET /tt/site/skin/member/CONNECT_LIST/images/bt_profile.gif HTTP/1.1.

Accept: */*.

Referer: http://www.server.com/tt/site/ttmember.cgi?act=connect_list.

Accept-Language: ko.

Accept-Encoding: gzip, deflate.

If-Modified-Since: Tue, 21 Feb 2008 06:19:41 GMT.

If-None-Match: "2a403f-1eb-43fab0fd".

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; i-NavF;).

Host: www.server.com.

Connection: Keep-Alive.

Cookie: WRITE=store_user_info=0&; main_ttnews_276_no_popup=20060116;

_home_server_public_html_tt_site_SESSION_ID=9796a3f30d44736c7382e8a7ab42b6.

##

T 2006/03/13 17:30:16.418319 211.47.xx.xx:80 -> 222.235.xx.xxx:4767 [AP]

HTTP/1.1 304 Not Modified.

Date: Mon, 13 Mar 2008 08:30:16 GMT.

Server: Microsoft-IIS/5.0.

Connection: Keep-Alive, Keep-Alive.

Keep-Alive: timeout=15, max=99.

ETag: "2a403f-1eb-43fab0fd".

위와 같이 -t 옵션을 추가하면 패킷이 캡처되는 시간이 함께 보이고, -W byline을 추가하면 앞에서와 달리 캡처되는 내용들이 한 줄에 나열되지 않고 항목에 따라 여러 줄에 나누어 보여주므로 패킷을 분석하는데 편리하게 사용가능하다.