|
http://www.hackerschool.org/HS_Boards/zboard.php?id=Free_Lectures&no=1392%3C/a%3E [복사]
호환 : 중급 이상의
요즈음 DDoS에 대한 관심이 크게 일면서 관심받기 좋아하는, 봇넷을 악용하는 분들이 이러한 프로그램을 많이 사용하고 계시는 것으로 알고 있습니다.
그런데 자신이 이러한 봇넷에 당했는지, 아니면 감염되었는지가 일반 사용자 분들을 불안하게 합니다.
인터넷에 검색해봐도 무작정 백신 프로그램을 사용하라는 말밖에 나오지 않습니다.
(사실 백신 프로그램을 사용하는 것은 큰 도움이 됩니다.)
그리고 모 그륩(굳이 이름은 말하지 않겠습니다) 등에서 이러한 프로그램이 유출되고 있고, 누구나 쉽게 사용할 수 있도록 대중화 되고 있다는 점도 있고..
어어..글쓰는 능력이 떨어져서 자꾸 강좌가 삼천포로 빠지네요.
하여간에..이러한 DDoS 공격 프로그램은 대중화 되어있긴 해도(솔직히 그게 좋은것은 아니죠), 사용자조차 알 수 없는, 확인되지 않은 루머가 인터넷상에 퍼지고 있습니다.
그러면 DDoS 공격 프로그램에 대한 루머를 파헤쳐 보도록 하겠습니다.
1.공격받고 있을 때 실행 -> cmd -> netstat -na를 쳐보면 공격자 IP가 나온다
-땡, 틀렸습니다!
DDoS 공격 프로그램은 공격자가 직접 공격하는것이 아니라 공격자가 조종하는 봇(좀비 PC라고도 합니다.)에 의해 공격됩니다.
고로 공격받고 있을 때 netstat -na를 쳐봐야 들어오는 IP들은 봇들의 IP 뿐입니다.
2.자신이 봇이 되었을 때 netstat -na 쳐보면 마스터의 IP가 나온다.
8080 혹은 80, 8000, 5000대 숫자들이 붙은 것이 마스터의 IP이다.
-맞기도 하지만 대부분은 - 땡, 틀렸습니다!
netstat는 연결된 컴퓨터들의 목록을 출력하여 줍니다.
고로 반드시 봇 마스터 뿐만이 아니라 정상적인 타 서비스의 IP도 나올 수 있으며
정상적인 웹 서버도 80번이나 8080번 포트를 사용하고 있으므로 오인될 수 있으며
네이트온 메신저 또한 5004번 포트를 사용하기 때문에 오인될 수 있습니다.
고로 인터넷을 사용하는 모든 프로그램을 종료한 뒤 실행하는게 비교적 정확하며
DDoS 공격 프로그램 자체가 중국어라서 DDoS 공격툴 사용자 분들이 포트번호를 바꾸지 않아서 80번 혹은 8080번 포트를 사용하시는 것이지 이 또한 타 해킹툴들과 같이 변경이 가능합니다.
즉 엉뚱한 포트로도 봇을 모을수가 있으므로, 반드시 80번이나 8080번을 사용한다고 단정지을 수는 없습니다.
3.봇 파일들은 반드시 51.5KB이다.
-맞기도 하지만 역시 땡, 아닙니다!
DDoS 공격툴계의 폭스바겐 비틀(뭐래)에 비유할 수 있는 한 봇 파일의 용량이 51.5 KB이긴 하나 자체 지원하는 패커들로 패킹할 시 용량이 달라질 수 있으며, 타 파일을 바인딩하거나 타 패커를 사용할 시 용량이 달라집니다.
혹은 직접 파일을 건드려 더 크게 만들어 버릴 수 있고요.
4.봇 파일들은 백신에 잡히기 때문에 백신을 사용하면 봇에 감염되지 않을 수 있다.
-딩동댕..이지만 아닐수도 있습니다.
신종 봇 파일이나 타 패커로 패킹한 봇 파일은 종종 백신에 탐지되지 않을 수도 있습니다.
너무 많은 것을 알려준 건가..
요즘에는 중국 각지에서 개발된 DDoS 공격툴을 DDoS 공격자들이 사용하시기 때문에
백신에서 탐지를 하지 못하는 툴이 많습니다.
혹시 당신이 백신이 잡지 못하는 DDoS 공격툴을 가지고 계시다면, 서버를 생성해 알약의 "신고하기"버튼을 눌러 보내주시길 바랍니다.
(하긴..양심이 있으시다면 DDoS 공격툴 자체를 사용하시지 않으시겠지요.
그냥 참고만, 참고만 하여 주세요.)
그러면 기본 설정으로 만들어진 봇 파일을 직접 치료하여 봅시다..
시작 -> 제어판 -> 관리 도구 -> 서비스 로 들어갑니다.
MS Media Control Center라는 서비스 이름이 있다면 봇에 감염된 것입니다.
설명 부분이 Provides support for media palyer. This service can't be stoped. 입니다.
C:\WINDOWS\System32\svchost.exe -k krnlsrvc이 파일 경로이고요.
이 서비스를 중지하신 뒤 "사용 안 함"으로 바꾸어 주시고 재부팅 하면 봇 파일은 남아있으나 실행되지는 않으므로 봇 마스터의 손아귀에서 어느정도 벗어날 수 있습니다.
또한 의심스러운 타 서비스를 중지하시는 것도 좋으실 것입니다..
의심스러운 서비스의 특징은
1 - 약어가 많다
2 - 설명 란이 공란이다
3 - This service can't be stoped. 등의 "끄지마라"는 문구가 있다.
대략 이정도...
끄기전 반드시 한번쯤 검색해 보시는 것도 좋으실 듯 합니다.
부록 - 공격에 당하시는 분들의 대처 자세.
일단 절대로 꿇리시면 안됩니다.
봇 수가 엄청나게 많으면 중국발 DDoS를 의심하실 수 있는데
대부분의 봇들은 타 봇 마스터에게서 구매된 봇입니다.
고로 한 봇에 여러 봇 파일을 사용한단 것이고..
결국은 안정성이 떨어집니다.
그래서 공격이 오래 지속되는 것이 아니므로 끝까지 버팁시다.
예산을 들여서(음?) DDoS 방어장비를 구매하거나 추가 회선을 넓힙시다.
개인 사용자는 봇의 수가 50~60정도의 봇이 때리는데요.
그냥 방화벽 규칙에서 막으시면 됩니다.(..)
어째..마무리가 화장실에서 일보고 안 닦고 나온 듯 하지만
이상으로 짧은 강좌를 마무리하겠습니다, 감사합니다!
..잠깐. 이거 강좌던가.. |
Hit : 6898 Date : 2010/02/17 10:28
|
1583, 
1/80 
별빛을담아
