질문과 답변
서버 / IT 자산관리 프로그램 netclient 매커니즘이 궁금합니다.
2019.04.10 22:44
기업이나 학교에서 사용하는 netclient 프로그램이 자꾸 windows와 충돌을 일으켜 우회하려고 계속 공부중입니다.
netclient를 깔면 netclient 깔라는 페이지로 리디렉션이 안되고
user-agent 를 windows 이외의 것으로 바꿔도 리디렉션이 안되는 모양인데
프로그램같은 경우는 user-agent 항목을 건들 수가 없어 계속 로딩이 안되다가 프로그램이 팅겨버립니다.
wireshark 같은 프로그램으로 분석을 하려 했으나 그것도 제대로 안되서
고수님들께 여쭙고 싶은데...
서버에서 클라이언트의 PC가 netclient를 설치했는지 안했는지 검증하는 매커니즘이 궁금합니다.
또한 fake를 주어 실제로는 설치하지 않고 설치한 것 처럼 보일수 있는 방법이 있는지 궁금합니다.
댓글 [1]
-
DarknessAngel 2019.04.11 08:12
패킷 분석할떄 별도의 컴 쓰셨나요?
만일 안 쓰고 localhost를 지정해서 분석 시도하셨다라면 애초에 저런 소프트를 어떻게 쓰는지를 모른다는 결론이 나옵니다
별도의 컴에 프록시와 네트워크 분석 도구를 설치후 agent 설치된 컴에서 네트워크 연결을 프록시로 지정해서 부트부터 시작해서 패킷을 전부 다 켑쳐해서 분석해보세요
만일 암호화 해놨다라면 (보통 저런걸 로컬용이라 그런짓 잘 안 하지만) 인증서 생성후 설치해놔야 작동합니다인증 크렉등을 만드는거라면 이 패킷자체를 예뮬레이션해야겠지만, 목표는 그게 아니므로 거기까진 필요없고, 어떤 포트를 쓰는지 다 확인합니다 (어떤 포트를 쓰는지는 목적지를 기준으로 산출해주세요)
이제 VM에 윈도 하나 설치후 agent깔고 위에서 포트를 물려줍니다
다만 여기까지 해도 특정 포트자체를 통째로 후킹하거나 모니터링해버리면 VPN이나 프록시 이외의 방법으로 방어 불가합니다 (이 또한 표준 포트정돈 막았거나 감시중일테니 외부에 직접 서버 설치후 well known포트중 감시 안 되는 포트를 지정해서 접속해야 합니다) (어떤 포트가 괜찮은지만 알아내면 패킷자첸 kcptun이나 obfs등으로 위장하거나, shadowsocks등으로 2중 터널링하는등 방법은 많습니다)
추신 : 제가 적어둔게 뭔말인지 이해가 안 가실정도라면 그냥 포기하고 폰 + 노트북으로 테더링해서 때우세요 (Android Pie + Maigsk + OpenVPN정도면 대게의 경우 거의 완벽하게 보호됩니다)