PhanTap (유령 탭)

PhanTap은 레드팀을 위한 '보이지 않는' 네트워크 탭입니다. 대상 건물에 제한된 물리적 접근만으로도 이 탭을 네트워크 장치와 사내 네트워크 사이에 인라인으로 설치할 수 있습니다. PhanTap은 네트워크에서 조용히 동작하며, NAC(Network Access Control 802.1X - 2004)가 있는 네트워크에서도 피해자의 트래픽에 영향을 주지 않습니다. PhanTap은 네트워크의 트래픽을 분석하고 자신의 트래픽을 피해자 장치로 위장합니다. 원격 서버로 터널을 구축하여 사용자에게 네트워크 내 발판을 제공하며, 추가 분석 및 피벗(pivoting)을 가능하게 합니다. PhanTap은 OpenWrt 패키지이며 모든 장치와 호환되어야 합니다. 현재 테스트에 사용된 물리적 장치는 작고 저렴한 라우터인 GL.iNet GL-AR150입니다. PhanTap을 설명하는 자세한 블로그 게시물은 여기에서 확인할 수 있습니다.

기능:

• 투명한 네트워크 브리지.
• 무음: arp, 멀티캐스트, 브로드캐스트 없음.
• 802.1x 패스스루.
• 자동 구성:
  • 네트워크로 들어오는 트래픽 캡처(소스가 RFC1918이 아니고 목적지가 RFC1918인 경우), 목적지 IP와 MAC은 우리의 피해자, 소스 MAC은 우리의 게이트웨이,
  • 브리지 트래픽을 피해자의 MAC 및 IP 주소로 SNAT,
  • 라우터 기본 게이트웨이를 방금 감지된 게이트웨이의 MAC으로 설정.
• ARP, 멀티캐스트 및 브로드캐스트 트래픽을 검사하여 머신 IP 주소로의 라우트를 추가하고 머신 MAC 주소를 이웃 목록에 추가하므로, 로컬 네트워크의 모든 머신과 통신할 수 있습니다.
• 트래픽에서 DNS 서버를 학습하고 라우터의 DNS 서버도 동일하게 수정합니다.
• 동적 재구성을 위해 DHCP 패킷을 검사합니다.
• 새 IP 또는 DNS가 구성되면 명령을 실행할 수 있습니다(예: /etc/init.d/openvpn restart).
• 원하는 VPN 소프트웨어를 선택할 수 있습니다(예: 대부분의 방화벽을 통과하는 OpenVPN tcp 443 포트).
• (게이트웨이 IP를 사용하여) 피해자 머신과 통신할 수 있습니다.

설정

PhanTap은 GL.iNet GL-AR150로 테스트되었습니다. 이 장치는 OpenWrt에서 두 개의 분리된 네트워크 인터페이스(eth0, eth1)를 가지고 있습니다. 장치가 eth0.1, eth0.2 같은 인터페이스를 가진 내부 스위치(swconfig 기반)를 사용하는 경우, 802.1Q(태그된 VLAN) 같은 일부 특수 트래픽은 차단될 수 있지만 PhanTap은 작동해야 합니다.

• GL.iNet GL-AR150용 스냅샷 빌드를 설치합니다.
• OpenWrt 패키지 목록을 업데이트합니다.

opkg update

• PhanTap 패키지를 설치합니다:

opkg install phantap

• Wi-Fi를 구성하고 이를 통해 라우터를 관리하기 시작합니다.
• 장치를 재부팅하거나 /etc/init.d/phantap setup을 실행합니다.
• 해당 장치에서 인터페이스 이름을 확인합니다:

# uci show network | grep -E 'device=|ports='
network.loopback.device='lo'
network.@device[0].ports='eth0'
network.lan.device='br-lan'
network.wan.device='eth1'
network.wan6.device='eth1'
network.phantap.device='br-phantap'

이 예시에서는 인터페이스가 2개뿐인 GL-AR150을 사용하고 있습니다.

• 해당 인터페이스가 사용 중일 수 있는 네트워크 인터페이스에서 제거하려면 CLI에서 다음 명령을 사용합니다(GL-AR150을 사용한다고 가정):

uci delete network.@device[0].ports
uci delete network.wan.device
uci delete network.wan6.device

• CLI에서 다음 명령을 사용하여 인터페이스를 phantap 브리지에 추가하고 네트워크 서비스를 재시작합니다(GL-AR150을 사용한다고 가정):

uci add_list network.br_phantap.ports='eth0'
uci add_list network.br_phantap.ports='eth1'
uci commit network
/etc/init.d/network reload

• 이제 Phantap이 구성되었습니다. 피해자와 스위치 사이에 연결하면 자동으로 라우터를 구성하고 인터넷에 접속할 수 있게 합니다.

• 원격 연결을 위해 원하는 VPN을 추가할 수 있습니다. 일부 탐지 방법을 피하기 위해 OpenVpn을 TCP 443 포트와 함께 사용하여 PhanTap을 테스트했습니다.

• 또한 /etc/config/phantap에서 새 IP 또는 DNS가 구성될 때 실행할 명령을 추가할 수 있습니다(예: /etc/init.d/openvpn restart(OpenVpn 서비스 재시작)).

• 기본적으로 Wi-Fi를 비활성화하고 하드웨어 버튼을 사용하여 시작하는 방법도 살펴볼 수 있습니다 (https://openwrt.org/docs/guide-user/hardware/hardware.button).

제한 사항 또는 탐지 방법 :

• GL.iNet GL-AR150 및 대부분의 저가 장치는 100Mbps만 지원하는 반면, 최신 네트워크 트래픽은 1Gbps입니다.
• 피해자 장치가 연결 해제되거나 종료되어도 스위치 쪽 네트워크 포트는 계속 활성 상태로 유지됩니다.
• Linux 브리지가 일부 트래픽(STP/Pause 프레임/LACP)을 차단합니다.
• OpenWrt 페일세이프 모드는 문서(https://openwrt.org/docs/guide-user/troubleshooting/failsafe_and_factory_reset)에 설명된 대로 IPv4 및 IPv6 패킷을 전송합니다. 이는 부팅 초기에 발생하며 장치가 탐지될 수 있습니다. 이 구성은 U-Boot에 있으므로 런타임에 비활성화할 수 있는 간단한 해결책이 없습니다. U-Boot 파티션은 읽기 전용으로 마운트되며 해당 구성은 U-Boot 셸에서만 접근 및 수정할 수 있습니다(예: GL-AR150의 UART를 통해). 더 쉬운 해결책은 TARGET_PREINIT_DISABLE_FAILSAFE 옵션을 활성화한 상태로 OpenWrt를 컴파일하는 것입니다.

로드맵 :

• 링크가 활성화/비활성화될 때 탐지를 재시작하는 로직을 추가합니다.
• IPv6 지원을 추가합니다.
• 별도의 인터페이스 대신 스위치(swconfig)를 가진 장치의 제한 사항을 테스트합니다.