U-28
🧱 접속 IP 및 포트 제한 (TCP Wrapper)
파일 및 디렉터리 관리
위험도: 중💡 쉽게 말하면
안내데스크가 "찾아오는 사람 전원에게 회사 카드를 발급"해 주는 상황입니다. hosts.allow/deny가 비어 있으면 서비스 포트에 누구나 접근을 시도할 수 있죠. 관리망 직원 카드만 발급받도록 명단을 만들어야 합니다.
안내데스크가 "찾아오는 사람 전원에게 회사 카드를 발급"해 주는 상황입니다. hosts.allow/deny가 비어 있으면 서비스 포트에 누구나 접근을 시도할 수 있죠. 관리망 직원 카드만 발급받도록 명단을 만들어야 합니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 공격자가 인터넷의 임의 IP에서 관리 서비스를 두드린다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# TCP Wrapper 설정 확인
#
cat /etc/hosts.allow /etc/hosts.deny
(모두 비어 있음 — 제한 없음)
→ 임의 IP에서 서비스 접근 시도 가능 (취약)
✓ 안전한 설정
# 허용 목록·기본 거부 설정
#
sshd: 10.0.10. ← /etc/hosts.allow
ALL: ALL ← /etc/hosts.deny (기본 거부)
→ 관리망만 접속 허용 (양호)
🔧 조치 방법
/etc/hosts.allow에 허용 서비스·IP를 최소로 명시합니다./etc/hosts.deny에ALL: ALL로 기본 거부를 설정합니다.- 방화벽과 함께 이중으로 관리망 접근을 제한합니다.
✅ 점검 체크리스트
- 허용 IP가 최소한으로 명시되었는가
- 기본 거부(deny) 정책이 설정되었는가
점검기준: 파일 및 디렉터리 관리 > 접속 IP·포트 제한(TCP Wrapper)