다음 화면은 DoS 공격을 실시한 TCP Dump이다. 네트워크 패킷들… | [정보보안기사 필기] 22년 1회차 기출문제 상세 페이지

다음 화면은 DoS 공격을 실시한 TCP Dump이다. 네트워크 패킷들의 특징으로 보았을 때 무슨 공격을 한 것으로 보이는가?
16:50:52.357500 IP (tos 0x0, ttl 64, id 15412, offset 0, flags [none], proto ICMP (1), length 28)
    192.168.0.10 > 192.168.0.10: ICMP echo request, id 6409, seq 8527, length 8
        0x0000:  4500 001c 3c34 0000 4001 bd48 c0a8 000a
        0x0010:  c0a8 000a 0800 bda7 1909 214f
16:50:52.357536 IP (tos 0x0, ttl 64, id 61920, offset 0, flags [none], proto ICMP (1), length 28)
    192.168.0.10 > 192.168.0.10: ICMP echo request, id 6409, seq 9295, length 8
        0x0000:  4500 001c f1e0 0000 4001 079c c0a8 000a
        0x0010:  c0a8 000a 0800 baa7 1909 244f
16:50:52.357561 IP (tos 0x0, ttl 64, id 28711, offset 0, flags [none], proto ICMP (1), length 28)
    192.168.0.10 > 192.168.0.10: ICMP echo request, id 6409, seq 9807, length 8
        0x0000:  4500 001c 7027 0000 4001 8955 c0a8 000a
        0x0010:  c0a8 000a 0800 b8a7 1909 264f
16:50:52.357585 IP (tos 0x0, ttl 64, id 22490, offset 0, flags [none], proto ICMP (1), length 28)
    192.168.0.10 > 192.168.0.10: ICMP echo request, id 6409, seq 10319, length 8
        0x0000:  4500 001c 57da 0000 4001 a1a2 c0a8 000a
        0x0010:  c0a8 000a 0800 b6a7 1909 284f

UDP 플러딩(flooding)

SYN 플러딩(flooding)

Bonk 공격

Land 공격

덤프에 찍힌 패킷은 출발지 IP와 목적지 IP가 192.168.0.10 으로 동일하다. 자기 자신을 향하도록 주소를 위조한 패킷을 퍼붓는 Land 공격이다.
공격을 받은 시스템은 응답을 자기 자신에게 되돌려 보내게 되어, 같은 처리를 맴돌며 CPU와 연결 자원을 소진한다. 화면의 패킷은 모두 ICMP echo request 이고 length 28, ttl 64 로 크기·형태가 동일한 것이 수십 마이크로초 간격으로 반복된다.
UDP 플러딩이나 SYN 플러딩이라면 프로토콜이 각각 UDP, TCP SYN 이어야 하는데 여기서는 proto ICMP 로 기록돼 있다.
Bonk 공격은 조각 순서 번호(offset)를 조작해 재조립을 방해하는 방식인데, 이 패킷들은 offset 0, flags [none] 으로 단편화 자체가 없다.