caster0x00/above수동 네트워크 보안 스니퍼로, 28개의 프로토콜(ARP, STP, OSPF, VLAN, SCADA)을 분석하여 트래픽을 발생시키지 않고 네트워크 장비의 취약점을 탐지합니다.
네트워크 취약점을 찾기 위한 네트워크 보안 스니퍼. 침투 테스터 및 보안 엔지니어를 위해 설계되었습니다.
___ __
/ | / /_ ____ _ _____
/ /| | / __ \/ __ \ | / / _ \
/ ___ |/ /_/ / /_/ / |/ / __/
/_/ |_/_.___/\____/|___/\___/
Above: Network Security Sniffer
Developer: Mahama Bazarov (Caster)
Contact: [email protected]
Version: 2.8.1
Codename: Rubens Barrichello
Documentation & Usage: https://github.com/caster0x00/Above
이 저장소에 포함된 모든 정보는 교육 및 연구 목적으로만 제공됩니다. 저자는 이 도구의 불법 사용에 대해 책임을 지지 않습니다.
침투 테스터와 보안 전문가 모두에게 도움이 되는 특화된 네트워크 보안 도구입니다.
Above는 네트워크 장비의 취약점을 찾기 위한 네트워크 보안 스니퍼입니다. 완전히 네트워크 트래픽 분석에 기반하므로 무선상에서 소음을 발생시키지 않습니다. 투명합니다. 전적으로 Scapy 라이브러리를 기반으로 합니다.
Above를 사용하면 침투 테스터가 네트워크 하드웨어의 취약점을 찾는 과정을 자동화할 수 있습니다. 발견 프로토콜, 동적 라우팅, 802.1Q, 해상도 프로토콜, ICS, FHRP, STP, LLMNR/NBT-NS 등.
최대 28개의 프로토콜 탐지:
MACSec (802.1X AE)
EAPOL (802.1X 버전 확인)
ARP (호스트 발견)
CDP (Cisco Discovery Protocol)
DTP (Dynamic Trunking Protocol)
LLDP (Link Layer Discovery Protocol)
VLAN (802.1Q)
S7COMM (Siemens) (SCADA)
OMRON (SCADA)
TACACS+ (Terminal Access Controller Access Control System Plus)
ModbusTCP (SCADA)
STP (Spanning Tree Protocol)
OSPF (Open Shortest Path First)
EIGRP (Enhanced Interior Gateway Routing Protocol)
BGP (Border Gateway Protocol)
VRRP (Virtual Router Redundancy Protocol)
HSRP (Host Standby Redundancy Protocol)
GLBP (Gateway Load Balancing Protocol)
IGMP (Internet Group Management Protocol)
LLMNR (Link Local Multicast Name Resolution)
NBT-NS (NetBIOS Name Service)
MDNS (Multicast DNS)
DHCP (Dynamic Host Configuration Protocol)
DHCPv6 (Dynamic Host Configuration Protocol v6)
ICMPv6 (Internet Control Message Protocol v6)
SSDP (Simple Service Discovery Protocol)
MNDP (MikroTik Neighbor Discovery Protocol)
SNMP (Simple Network Management Protocol)
Above는 두 가지 모드로 작동합니다:
이 도구는 작동이 매우 간단하며 인수로 구동됩니다:
.pcap 파일을 입력으로 받아 프로토콜을 찾습니다.pcap 파일로 기록하며, 파일 이름은 직접 지정합니다usage: above.py [-h] [--interface INTERFACE] [--timer TIMER] [--output OUTPUT] [--input INPUT] [--passive-arp] [--search-vlan]
options:
-h, --help show this help message and exit
--interface INTERFACE
Interface for traffic listening
--timer TIMER Time in seconds to capture packets, default: not set
--output OUTPUT File name where the traffic will be recorded, default: not set
--input INPUT File name of the traffic dump
--passive-arp Passive ARP (Host Discovery)
--search-vlan VLAN Search
얻은 정보는 침투 테스터뿐만 아니라 보안 엔지니어에게도 유용하며, 무엇에 주의해야 하는지 알 수 있습니다.
Above가 프로토콜을 탐지하면 공격 벡터 또는 보안 문제를 나타내는 필요한 정보를 출력합니다:
영향: 이 프로토콜에 대해 수행할 수 있는 공격 유형
도구: 공격을 시작하는 데 사용할 수 있는 도구
기술 정보: 침투 테스터에게 필요한 정보, 발신자 MAC/IP 주소, FHRP 그룹 ID, OSPF/EIGRP 도메인 등
완화 조치: 보안 문제를 해결하기 위한 권장 사항
출발지/목적지 주소: 프로토콜의 경우 Above는 출발지 및 목적지 MAC 주소와 IP 주소에 대한 정보를 표시합니다
Kali Linux 저장소에서 직접 Above를 설치할 수 있습니다
caster@kali:~$ sudo apt update && sudo apt install above
또는:
:~$ sudo apt-get install python3-scapy python3-colorama python3-setuptools
:~$ git clone https://github.com/caster0x00/above
:~$ cd above/
:~/above$ sudo python3 setup.py install
# Install python3 first
brew install python3
# Then install required dependencies
sudo pip3 install scapy colorama setuptools
# Clone the repo
git clone https://github.com/caster0x00/above
cd above/
sudo python3 setup.py install
macOS에서 방화벽을 해제하는 것을 잊지 마세요!
Above는 스니핑을 위해 루트 액세스가 필요합니다
Above는 타이머를 설정하거나 설정하지 않고 실행할 수 있습니다:
caster@kali:~$ sudo above --interface eth0 --timer 120
트래픽 스니핑을 중지하려면 CTRL + C를 누르세요
예시:
caster@kali:~$ sudo above --interface eth0 --timer 120
___ __
/ | / /_ ____ _ _____
/ /| | / __ \/ __ \ | / / _ \
/ ___ |/ /_/ / /_/ / |/ / __/
/_/ |_/_.___/\____/|___/\___/
Above: Network Security Sniffer
Developer: Mahama Bazarov (Caster)
Contact: [email protected]
Version: 2.8.1
Codename: Rubens Barrichello
Documentation & Usage: https://github.com/caster0x00/Above
[*] Start Sniffing
[+] Detected STP Frame
[*] Attack Impact: Partial MITM
[*] Tools: Yersinia, Scapy
[*] STP Root Switch MAC: 00:11:22:33:44:55
[*] STP Root ID: 32768
[*] STP Root Path Cost: 0
[*] Mitigation: Enable BPDU Guard or Portfast
[*] Vendor: Routerboard.com
스니핑한 트래픽을 기록해야 하는 경우 --output 인수를 사용하세요
caster@kali:~$ sudo above --interface eth0 --timer 120 --output above.pcap
CTRL+C로 도구를 중단해도 트래픽은 여전히 파일에 기록됩니다
이미 기록된 트래픽이 있는 경우 --input 인수를 사용하여 잠재적인 보안 문제를 찾을 수 있습니다
caster@kali:~$ above --input hsrp.cap
예시:
caster@kali:~$ sudo above --input hsrp.cap
___ __
/ | / /_ ____ _ _____
/ /| | / __ \/ __ \ | / / _ \
/ ___ |/ /_/ / /_/ / |/ / __/
/_/ |_/_.___/\____/|___/\___/
Above: Network Security Sniffer
Developer: Mahama Bazarov (Caster)
Contact: [email protected]
Version: 2.8.1
Codename: Rubens Barrichello
Documentation & Usage: https://github.com/caster0x00/Above
[+] Analyzing pcap file...
[+] Detected HSRP Packet
[*] HSRP Active Router Priority: 90
[+] Attack Impact: MITM
[*] Tools: Loki, Scapy, Yersinia
[*] HSRP Group Number: 10
[+] HSRP Virtual IP Address: 10.28.168.254
[*] HSRP Sender IP: 10.28.168.253
[*] HSRP Sender MAC: 00:00:0c:07:ac:0a
[!] Authentication: Plaintext Phrase: cisco
[*] Mitigation: Priority 255, Authentication, Extended ACL
[*] Vendor: Cisco Systems
공격자가 ARP 스캔으로 무선상에 소음을 만들지 않고 조용히 호스트를 발견하려는 경우에 매우 유용할 수 있습니다. 이 기능은 --passive-arp와 함께 실행되며, 발견된 모든 호스트는 above_passive_arp.txt 파일에 기록됩니다.
caster@kali:~$ sudo above --interface eth0 --passive-arp
[+] Starting Host Discovery...
[*] IP and MAC addresses will be saved to 'above_passive_arp.txt'
원하는 경우 호스트를 찾기 위해 ARP 프레임을 수신할 시간을 설정할 수 있습니다. 기본적으로 타이머는 설정되지 않습니다.
시작되면 터미널이 완전히 지워지고 IP 주소와 MAC 주소의 매핑으로 구성된 테이블이 표시됩니다:
+--------------------+------------------------------+--------------------+
| IP Address | MAC Address | ARP Type |
+--------------------+------------------------------+--------------------+
| 172.16.120.12 | f0:27:65:ba:1c:42 | ARP Response |
| 172.16.120.45 | 6d:9f:84:2b:33:ea | ARP Request |
| 172.16.120.78 | 3a:7c:19:d8:4e:21 | ARP Response |
| 172.16.120.103 | c4:12:76:ae:50:bb | ARP Request |
| 172.16.120.127 | 89:3b:df:92:6a:54 | ARP Response |
| 172.16.120.156 | b7:5d:49:cb:72:99 | ARP Request |
| 172.16.120.189 | 1e:47:ac:3d:15:f8 | ARP Response |
| 172.16.120.222 | 43:9a:df:e0:84:3c | ARP Request |
+--------------------+------------------------------+--------------------+
above_passive_arp.txt 파일의 내용은 다음과 같습니다:
caster@kali:~$ cat above_passive_arp.txt
Above: Passive ARP Host Discovery
Time: 2024-08-16 17:30:16
--------------------------------------------------
172.16.120.12 - f0:27:65:ba:1c:42
172.16.120.45 - 6d:9f:84:2b:33:ea
172.16.120.78 - 3a:7c:19:d8:4e:21
172.16.120.103 - c4:12:76:ae:50:bb
172.16.120.127 - 89:3b:df:92:6a:54
172.16.120.156 - b7:5d:49:cb:72:99
172.16.120.189 - 1e:47:ac:3d:15:f8
172.16.120.222 - 43:9a:df:e0:84:3c
이것이 Above가 ARP 프레임 학습을 통해 무선상에 소음 없이 세그먼트 내 호스트를 발견하는 방법입니다.
Above는 트래픽에서 VLAN ID도 찾을 수 있습니다. 이는 침투 테스트 중 어떤 상황에서 공격자가 트렁크 포트에 있을 때 유용한 옵션입니다. 문제는 트렁크 포트의 모든 트래픽이 VLAN 세그먼트에 속하는 802.1Q 태그로 태깅된다는 점입니다. Above는 무선 또는 트래픽 덤프에서 모든 VLAN ID를 추출할 수 있습니다:
caster@kali:~$ sudo above --interface eth0 --search-vlan
이 기능을 실행하면 터미널도 지워지고 테이블이 표시되고 업데이트됩니다:
+------------------------------+---------------+----------------------------------------+
|VLAN ID |Frames Count |How to Jump |
+------------------------------+---------------+----------------------------------------+
|120 |8 |sudo vconfig add eth0 120 |
|80 |8 |sudo vconfig add eth0 80 |
|251 |7 |sudo vconfig add eth0 251 |
|190 |6 |sudo vconfig add eth0 190 |
+------------------------------+---------------+----------------------------------------+
또한 이 기능의 결과는 above_discovered_vlan.txt 파일에 기록됩니다:
caster@kali:~$ cat above_discovered_vlan.txt
Above: Discovered VLAN ID
Time: 2024-08-16 17:41:19
--------------------------------------------------------------------------------
VLAN ID Frames Count How to Jump
--------------------------------------------------------------------------------
1 208 sudo vconfig add eth0 1
5 972 sudo vconfig add eth0 5
6 904 sudo vconfig add eth0 6
10 20 sudo vconfig add eth0 10
12 20 sudo vconfig add eth0 12
13 20 sudo vconfig add eth0 13
11 20 sudo vconfig add eth0 11
2000 1 sudo vconfig add eth0 2000
1000 2 sudo vconfig add eth0 1000
--------------------------------------------------------------------------------
이렇게 트래픽 작업만으로 VLAN 세그먼트에 대한 정보를 찾을 수 있습니다. 그러나 이는 특정 시나리오이며, 공격자가 트렁크 포트에 있을 경우는 드뭅니다. DTP로 운이 좋거나 관리자가 잊어버린 스위치 포트를 발견할 수 있습니다.
버전 2.8부터 Above는 MAC 주소, 특히 첫 24비트를 통해 공급업체를 식별할 수 있습니다. 이는 다운로드한 데이터베이스를 사용하여 고유 OUI와 공급업체 이름으로 구성된 사전인 above_oui_dict.py 모듈로 변환하여 수행됩니다.
Copyright (c) 2025 Mahama Bazarov. 이 프로젝트는 Apache 2.0 라이선스에 따라 라이선스가 부여됩니다.
제안 사항이나 버그를 발견하면 저장소에 이슈를 제출하거나 다음 주소로 연락 주세요: [email protected]