와이어샤크 기초 4. 침해사고 분석 기능 - Nlkto 패킷 분석

1. Merge 기능

• 패킷을 합함
• 여러 서버를 대상으로 공격이 들어오고, low 패킷을 쌓게 됨
• 그럼 웹 서버 쪽에서 공격자가 멈추면 패킷을 merge를 시켜 분석해야 함
• 큰 패킷을 분할하는 경우도 있음
• Merge packets chrologically (패킷을 시간 순으로 정렬 - 기본 선택)
• Prepend packets to existing file (현재 선택된 패킷이 맨 앞으로 정렬)
• Append packets to existing file (현재 선택된 패킷이 뒤 쪽으로 들어감)
• mergecap.exe를 사용하면 바로바로 사용 가능
• cmd로 들어가 'mergecap.exe -w 001.pca

2. Nlkto

• 내부적으로 다양한 플러그인을 진행하고 있고, 이걸 알아서 선택하고 디폴트로 돌리면 스캔함
• 버전 정보, 일부 불필요한 파일을 확인 가능
• 'nikto -h http://192.168.130.142'
• 칼리리눅스에서 실행한 명령어이

• 91.7이 Transmission Control Protocol인 것을 알 수 있음
• Hypertxt Transfer Protocol은 통신임
• Line-based text data는 어떤 정보가 노출됐을 때, 라인 정보를 의미함
• Compuserve GIF는 GIF 파일을 의미

• http.response.code == 200
• 이걸 가지고 여러 페이지 정보를 확인할 수 있음

• 보통 404에 집중되어 있음 (Nikto의 같은 경우)
• 크롤링, 무작위 대입 등 다양하게 시작됨
• 워드 프레스 분석할 땐, wp scan