CTF-D [Sans Network Forensic [Puzzle 3] #1~#6]

 

10.42.42.253에서 포트스캐닝을 한 것을 찾을 수 있다.

 

10.42.42.253

 

 

 

---

 

닫힌 포트일 경우 공격자가 TCP SYN을 보내고 서버가 TCP RST, ACK을 보내므로 TCP SYN 또는 TCP Connect이다.

그런데 열린 포트일 경우(779,786,791,821번 프레임), 공격자가 TCP SYN을 보내고 서버로부터 TCP SYN, ACK을 받은 뒤에 공격자가 TCP ACK과 TCP RST, ACK을 보내는 것을 확인할 수 있다. 따라서 TCP Connect 스캔이다.

서버로부터 TCP SYN, ACK을 받은 뒤 공격자가 TCP RST를 보냈다면 TCP SYN 스캔이다.

 

---

 

10.42.42.25, 10.42.42.50, 10.42.42.56

3곳 모두에 포트스캐닝을 시도하였다.

반응형

---

 

00:16:cb:92:6e:dc

---

---