오랫동안 전통적으로 사용되어 온 원격 접속 방법
송수신자 간 데이터 평문 전송되어 보안에 취약하다.
스니핑에 취약, SUID 취약점.
텔넷의 경우 ID/PW가 다 보이는 것을 확인할 수 있다.
====================================================================
Setuid, Setgid 설정<참고:kdlp.org>
SUID(Set User-ID)와 SGID(Set Group-ID)가 설정된 파일의 경우, 특히 root 소유의 파일인 경우, BufferOverflow 공격과 Local 공격에 많이 사용되는 매우 보안상 관리가 필요한 파일들로 이들 파일들의 주기적인 관리가 필요함.
발생시 위험
BufferOverflow 공격과 Local 공격에 사용될 수 있는 기회 제공
대응법
보안에 취약한 root 소유의 setuid 파일들의 경우에는 꼭 필요한 파일을 제외하고는 그외 setuid, setgid 파일에 대하여 setuid, setgid 속성을 제거해주고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 진단 및 관리가 필요함.
설정 제거해야 할 Setuid, Setgid 파일 목록은 아래와 같음. 아래의 목록 이외에 Application에서 생성한 파일이나, 사용자가 임의로 생성한 파일등 특이한 파일의 발견시에도 Setuid 를 제거 해야 함. Setuid 제거시는 OS 및 응용프로그램등 서비스의 정상유무를 파악하면서 신중하게 진행해야 함.
제거 방법의 예 : # chmod -s file-name
주기적인 감사 방법의 예 :
# find / -user root -type f \( -perm -4000 -o -perm -2000 \) -exec ls -lg {} \;
반드시 사용이 필요한 Setuid 파일의 경우에는 특정 그룹에서만 사용하도록 제한하도록 함.
특정그룹에 사용을 제한하는 예 :
일반 사용자의 Setuid 사용을 제한함 (임의의 그룹만 가능함)
# /usr/bin/chgrp <Group_Name> <Setuid_File_Name>
# /usr/bin/chmod 4750 <Setuid_File_Name>
만약 Setuid 사용을 허락하고 싶은 계정인 mooky를 임의의 그룹에 넣고 싶다면 아래와 같이 함.
# usermod –G100 mooky
G : a list of Supplementary group 설정 변경
100 : the numerical value of the <Group>'s ID
텔넷 구축
1.설치 전 기존의 telnet패키지가 설치되어 있는지 확인한다.
2. yum 명령으로 telnet-server를 설치
===================================================================
설치가 다된 후 위 파일을 열어 수정한다.
===================================================================
disable = yes 를 no로 바꿨다.
===================================================================
xinetd를 restart 시켜 변경된 설정이 적용되게 한다.
===================================================================
chkconfig 명령으로 xinetd가 init3 init5에서 부팅시 동작하도록 설정되었는지 확인
xinetd 데몬이 잘 동작하는지 확인
===================================================================
netstat 명령으로 23번 포트(telnet포트)가 열려있는 지 확인
확인결과 모든 IP주소 대역을 듣고 있는 것(모든 IP주소에서 텔넷 접속 가능)을 확인
===================================================================
방화벽(iptables)에 23번 포트를 허용하는 지 확인하고 안되어 있음 추가하자.
===================================================================
23번 텔넷 포트로 나가고 들어오는 패킷을 허용하도록 추가해줬다.
===================================================================
iptables를 재 시작하여 변경된 설정이 적용되도록 한다.
===================================================================
설정이 끝난 후 텔넷을 접속한다. // 윈도우 클라이언트에서 텔넷 접속화면이다.
===================================================================
