eldraco/sapitoA mDNS sniffer and interpreter.
저자: Sebastian Garcia ([email protected], @eldracote), Veronica Valeros ([email protected], @verovaleros)
Sapito는 Python으로 작성된 멀티캐스트 DNS(mDNS) 스니퍼이자 해석기입니다. Sapito는 pcap 또는 인터페이스에서 패킷을 스니핑하고 결과를 해석합니다. 즉, Sapito는 mDNS 질의와 응답을 이해하여 메시지의 의미를 파악할 수 있습니다. 또한 MacOS 컴퓨터 및 여러 유형의 iPad와 같은 특정 장치를 식별할 수도 있습니다. 색상으로 구분된 출력은 중요한 정보를 강조하는 데 도움이 됩니다.
버그를 발견하면 도구의 출력과 함께 [email protected]으로 신고해 주십시오. 문제가 되는 패킷이 담긴 pcap이 있다면 버그 보고서와 함께 보내주시면 매우 유용합니다.
Sapito는 DockerHub에 최신 버전의 공개 Docker 이미지를 보유하고 있으며, Linux 시스템에서 잘 작동합니다(MacOS는 아직 지원되지 않음).
Sapito를 실행하려면:
docker run --rm --network host --name sapito -it stratosphereips/sapito:latest python3 sapito.py -i <interface>
이는 비디오 콘텐츠의 AirPlay를 가능하게 하는 네트워크 서비스에 대한 Bonjour 광고입니다. 즉, iOS 기기가 Apple TV를 비디오를 표시할 수 있는 "원격 디스플레이"로 발견할 수 있게 해줍니다.
이는 Apple TV Remote가 작동하게 만드는 네트워크 서비스 중 하나입니다. 즉, iPhone과 iPad에서 Apple TV 기기를 원격 제어하기 위한 앱 또는 Control Center 내장 기능입니다. 이 서비스는 iOS 기기가 AppleTV를 발견할 수 있도록 Bonjour를 통해 네트워크에 광고됩니다.
이 서비스는 Apple이 문서화하지 않은 것으로 보이지만, AirPlay 2 시스템이 작동하는 데 관여하는 것으로 보입니다.
이 네트워크 서비스는 Remote Audio Output Protocol(원격 오디오 출력 프로토콜)이라고 합니다. 기본적으로 AppleTV가 AirPlay 오디오 수신기로 작동한다는 것을 의미합니다. 이 Bonjour 광고는 iOS 기기가 Apple TV를 오디오를 보낼 수 있는 "스피커"로 발견할 수 있게 해줍니다.
이는 Bonjour Sleep Proxy입니다. 아이디어는 AppleTV가 현재 저전력 모드에 있는 다른 기기들을 대신하여 다양한 네트워크 쿼리에 응답함으로써 에너지 사용을 줄이는 것입니다. 예를 들어, 공유 iTunes 라이브러리나 공유 프린터를 제공하는 Mac일 수 있습니다. 그러면 Mac이 절전 모드에 있는 동안 AppleTV가 이러한 서버에 대한 네트워크 요청에 응답할 수 있습니다. 예를 들어 사용자가 네트워크에서 사용 가능한 공유 프린터 목록을 볼 수 있게 해줍니다. 그러나 사용자가 무언가를 인쇄하도록 선택하면 AppleTV가 Mac을 깨우고 요청을 Mac에 전달합니다.
이는 HomeKit에 관한 네트워크 서비스입니다. HomeKit은 가정 내 기기와 통신하고 제어하기 위한 Apple의 시스템입니다. 제어 가능한 전구, 블라인드, 초인종 등을 생각하면 됩니다. AppleTV는 이러한 환경에서 프록시 역할을 하여 사용자가 기기가 Bluetooth 전용이고 범위를 벗어나더라도 원격으로(즉, 집에 없을 때) 기기를 제어할 수 있게 해줍니다. 네트워크의 일반 HomeKit 기기는 대신 _hap._tcp로 광고됩니다.
이는 Apple TV Remote가 작동하게 만드는 또 다른 네트워크 서비스입니다. 이 서비스는 기기 인증과 관련이 있습니다. 즉, 예를 들어 Apple TV에서 Youtube 비디오를 재생하려는 경우 Apple TV는 기기가 인증된 후에만 허용하도록 요구할 수 있습니다. 실제로 인증은 Apple TV가 TV에 PIN 코드를 표시하고 사용자가 iOS 기기에 입력하는 방식으로 작동합니다. 이 PIN 코드는 "touch-able"로 광고되는 서비스를 사용하여 전송되어 기기를 인증합니다.
Known-Answer Suppression(알려진 응답 억제)1 때문입니다:
Known-Answer Suppression
멀티캐스트 DNS 질의자가 이미 일부 응답을 알고 있는 쿼리를 보낼 때,
DNS 질의 메시지의 응답 섹션에 해당 응답을 채워 넣습니다.
일반적으로 이는 Unique 레코드가 아닌 Shared 레코드에만 적용됩니다.
멀티캐스트 DNS 질의자가 이미 캐시에 Unique 레코드를 하나 이상
보유하고 있다면 이 질문에 대한 다른 응답을 기대해서는 안 되기
때문입니다. 이미 보유한 Unique 레코드가 완전한 응답을 구성하므로
쿼리를 보낼 이유가 없습니다. 반대로, 캐시에 일부 Shared 레코드를
보유하고 있다고 해서 멀티캐스트 DNS 질의자가 이 질문에 대한 추가
응답을 받지 못한다는 의미는 아닙니다. 이 경우 질의자가 이미 알고
있는 중복 응답의 반복 전송을 억제하기 위해 Known-Answer 목록을
사용하는 것이 유용합니다.
'RFC 6762: Multicast DNS'. https://www.rfc-editor.org/rfc/rfc6762#section-7.1 (2022년 10월 1일 접속). ↩