surreal

보안 분야에서 API를 사용하는 이유

• Salesforce와 Eboat가 최초의 API를 출시한 2000년 이후로 API 서비스는 급속하게 진화함
• 전자 상거래 웹서비스, 지불 지갑, 소셜 네트워크 서비스 등에서 사용되고 있음
• IT 보안 분야에서 API를 사용하는 사례
  •  멀웨어/바이러스 검색 및 치료: 악성코드 분석 API는 악성파일 여부 확인, 악성 코드 삽입 탐지
  • 웹 사이트 명성 진단: 피싱 도메인, 감염된 네트워크 페이지 탐지
  • 공격 영역 탐색: DNS 레코드, IP 주소, 도메인 등을 탐색하고 감사하여 도메인 도용 여부 등 확인
  • 버그 및 포상 현상금 프로그램: 해당 목표에 대한 정찰되는 정보를 찾는데 활용

파이썬을 이용한 shodan 검색

• 쇼단 API키는 무료 회원에게도 제공되지만, 필요한 데이터 양을 제공받기 위해서는 유료 Key 필요
• 개발자를 위한 몇 기능은 유료 Key에서만 제공되는 것이 많음

kali에서 shodan을 사용하려면 shodan 홈페이지에서 가입 후 Account에서 API 키를 확인해야한다.

API 키 입력을 위해 kali에서 shodan init API key 를 입력하면 아래와 같이 설정된다.

API 키 설정 후 아래와 같이 검색한 다음 아무 IP를 복사한다.

복사한 IP를 shodan host IP로 입력하여 아래와 같이 확인이 가능하다.

count 명령으로 몇개의 정보가 있는지 확인 할 수 있다.

search 명령은 홈페이지에서 검색하는 것과 동일하다.

다만 구분하기 힘들정도로 많이 나오기때문에 --fields ip_str,port,hostnames 옵션을 넣으면 IP와 port, hostname 정보만 결과로 얻을 수 있다.

stats 명령은 요약 정보를 불러오는 명령어이다. 같이 사용하는 옵션이 --facets 이다.

--facets는 기준점이고 stats는 요약이다.

아래는 product를 기준으로 product:d-link를 검색하여 통계를 내는 명령이다. 

검색이 끝나면 아래와 같이 상위 10개의 결과가 나온다.

상위 결과값을 늘리려면 shodan stats --facets product:20 product:d-link 처럼 product에 값을 주면 된다.

stats로 port 기준으로 검색을 한다면 기준을 port로 잡고 검색하면 된다.

그리고 한 네트워크대역만 검색을 하기위해선 검색옵션에 net: IP대역을 검색하면 된다.

• 검색 옵션 설명

hostname 옵션으로 naver.com을 검색했을때 나오는 내용이다.

net:"ip 대역"을 검색하면 아래와 같이 나온다

어떤 포트가 열려있는지 확인하려면 사진에 나와있는 more을 누르면된다

여기서 특정 포트를 누르면 검색옵션에 port가 추가되고 해당 포트에 대한 정보가 나오게된다.

포트번호 587을 눌렀을때 smtp 즉 메일서버라는 것을 확인할 수 있다.

DB에 대한 정보도 검색이 가능하다

네트워크/서버 정보 확인(www.shodan.io)

• 시스템 배너정보로부터 메타데이터들을 이용해서 특정 디바이스, 컴퓨터, 라우터, 서버의 정보 검색
• 특정 시스템 대상으로 공격 대상을 검색할 시에 유용하게 활용

쇼단 서비스 동작 순서

• 구글과 달리 웹 콘텐츠에 색인을 생성하지 않고, 인터넷을 사용하는 서버 또는 장비를 열려 있는 포트를 통해 배너 그래빙으로 정보 수집 후 색인을 생성하여 클라이언트에 반환되는 형식
• 반환된 데이터는 shodan 웹 인터페이스를 통해 사용자에게 장비에 대한 정보, 지원하는 서비스 등으로 보여줌

shodan으로 확인 가능한 정보

• HTTP header information
• HTTPS header and certificate information
• Serveral gaming server banners (Steam's A2S, Minevraft, and more)
• FTP banners
• NetBIOS server banner
• SSH header and server key data
• Telnet banner
• SMTP banner
• NTP banner
• SIP/VoIP banner
• DNS server configuration setting

네트워크/서버 배너 정보 사례 - 특정 IP 검색 결과

• 불필요하게 오픈된 포트 정보를 확인할 수 있음
• 직접 Nmap 스캔을 하는 것보다 더 효율적일 수 있음

• 서버의 응답(Response) 값에서 버전 정보 노출 여부 확인
• 버전과 비교하여 취약점 데이터베이스(Exploit-DB, www.exploit-db.com)와 연결된 정보를 제공