[Wireshark] SMB 프로토콜로 전송했던 공유파일 복원하기

 

Warning

공부를 목적으로 작성한 포스팅이므로, 불법적인 행위로 이어질 시 책임지지 않습니다. 하지마세요.

---

SMB(Server Message Block)?

파일 공유 프로토콜

ex) 회사의 파일 서버에 접속해서 공유된 엑셀 파일을 열거나 저장할때 쓰임.

---

와이어샤크 위키에서 SMB 샘플 패킷을 주워다가 실습을 하겠다.

 

와이어샤크 위키 설명 포스팅: https://itpop.tistory.com/40

 

난 smbtorture파일로 실습함.

https://wiki.wireshark.org/SampleCaptures#smb31-handshake

SampleCaptures - Wireshark Wiki

 

파일을 오픈하고 smb or smb2라고 필터창에 입력하면 smb패킷만 확인이 가능하다.

 

파일 > 객체 내보내기 > SMB

 

아래와 같이 많은 파일들이 있는 것을 확인 가능하다.

내용 유형에 R는 파일을 읽기 모드, W은 쓰기 모드로 파일에 접근한 것을 의미. 물론 R&W는 둘 다.

 

 

파일들을 저장해서 확인해보면 다양한 텍스트파일을 확인할 수 있다.

 

---

 

[추가적으로 진행할 수 있는 시나리오]

서버에 있는 공유 파일을 삭제하면 휴지통에 들어가지 않고 영구적으로 삭제되어 버림.

이 삭제된 공유 파일 데이터를 복원할 수 있는 방법을 실습(물론 삭제 전부터 패킷을 캡처하고 있어야 함.)

 

---

[Review]

네트워크 캡처 파일로 텍스트 파일이나, 엑셀, word파일 모두 복원 가능하다는 사실을 눈으로 확인하고 나니까 통신 내용을 암호화하는 것이 얼마나 중요한지 알게 되었다.

 

SMB라는 프로토콜은 파일 공유라는 편리함을 가지고 있지만, 편리한 만큼 다양한 취약점이 존재하고 Wannacrypt 인 워너크라이 랜섬웨어의 전파방법으로 취약점이 이용되기도 했다. 

 

사용하기 편리 == 공격자도 편리하게 접근할 수 있다

역시 이 법칙은 어딜가나 진리이다.

 

가용성을 높이면 그만큼 취약해지기 마련이다. 

 

---

[Refer]

와이어샤크를 이용한 패킷캡처 철저 입문

https://www.igloo.co.kr/security-information/%EB%9E%9C%EC%84%AC%EC%9B%A8%EC%96%B4-%EA%B3%B5%EA%B2%A9%EC%97%90-%ED%99%9C%EC%9A%A9%EB%90%98%EB%8A%94-%EC%B7%A8%EC%95%BD%EC%A0%90%EB%93%A4/

https://asec.ahnlab.com/ko/1067/