ハッカーはsnmp-checkでSNMPでデバイス一覧を表示する(Kali Linuxツール説明)

ホワイトハッカーの知識Kali Linuxツール,snmp-check,SNMPリフレクター攻撃,座学

SNMPでデバイスの一覧を表示するツールを理解するためにまとめてみました。
このsnmp-checkの動作確認は自分のドメインでテストを行っています。

snmp-checkとは

snmp-checkはSNMPでデバイスを一覧にして読める形式で表示するツールです。
これは、侵入テストやシステム監視に役立ちます。GPLライセンスで配布され、jshaw氏の「Athena-2k」スクリプトに基づいています。
snmpwalkと同様の機能を持っています。

機能(以下の一覧を表示します。)

  • コンタクト
  • 説明
  • ライトアクセスの検出(エニュメレーションによる個別対応)
  • デバイス
  • ドメイン
  • ハードウェアとストレージの情報
  • ホスト名
  • IISの統計
  • IPフォワーディング
  • リスニングUDPポート
  • ロケーション
  • motd(message of the day)
  • マウントポイント
  • ネットワークインターフェース
  • ネットワークサービス
  • プロセス
  • ルーティング情報
  • ソフトウェアコンポーネント
  • システムアップタイム
  • TCPコネクション
  • 総メモリ量
  • 稼働時間
  • ユーザーアカウント

ツールの場所

[Applications]→[01-Information Gathering]→[SNMP Analysis]→[snmp-check]

ツールと使用方法

snmp-check [OPTIONS] <target IP address>

例 snmp-check 192.168.1.7 -c public

【実行イメージ】少し端折って整形しています。

┌──(root__kali)-[/home/kali]
└─# snmp-check 192.168.1.7 -c public
snmp-check v1.9 - SNMP enumerator
Copyright (c) 2005-2015 by Matteo Cantoni (www.nothink.org)

[+] Try to connect to 192.168.1.7:161 using SNMPv1 and community 'public'

[!] 192.168.1.7:161 SNMP request timeout

[word_balloon id="1″ size="M" position="L" name_position="under_avatar" radius="true" balloon="talk" balloon_shadow="true"]テスト環境で実行していますが、たぶん「SNMPリフレクター攻撃」対策でリクエストを受け付けていないのかもしれません。(以下snmp-checkツールのまとめを参照願います。)[/word_balloon]

オプション

-p –port

SNMP port. Default port is 161.
SNMPポート。デフォルトのポートは161です。

-c –community

SNMP community. Default is public.
SNMPコミュニティ。デフォルトはpublicです。

-v –version

SNMP version (1,2c). Default is 1.
SNMPバージョン(1,2c)。デフォルトは1です。

-w –write

detect write access. (separate action by enumeration)
ライトアクセスを検出します。(エニュメレーションによる個別対応)

-d –disable_tcp

disable TCP connections enumeration!
TCPコネクションの列挙を無効にします。

-t –timeout

timeout in seconds. Default is 5.
タイムアウトを秒単位で指定します。デフォルトは5です。

-r –retries

request retries. Default is 1.
リクエストの再試行回数。デフォルトは1です。

-i –info

show script version.
スクリプトのバージョンを表示します。

-h –help

show help menu.
ヘルプメニューを表示します。

snmp-checkツールのまとめ

snmpwalkと同様の機能を持っているsnmp-checkですが、2014年頃にSNMPを悪用した「SNMPリフレクター攻撃」があったそうです。
「SNMPリフレクター攻撃」とはSNMPが使用する161/UDPポートを悪用した攻撃で、攻撃者が発信元のIPアドレスを攻撃対象のIPアドレスに変更して踏み台にしたSNMP対応機器へアクセスをします。そのSNMP対応機器から攻撃対象のIPアドレスへ大量の情報を送信してシステムをダウンさせます。

上記の攻撃により警察庁は、外部からのSNMP通信(あて先ポート161/UDPのアクセス)をファイアウォールで遮断する/不要なSNMPエージェントを停止することを推奨していました。

だからsnmp-checkの動作確認しても「SNMP request timeout」と表示されるのかな?と思った次第であります。
※【注意】ひょっとしたら誤っているかもしれません。(^^;