TFTP Honey Pot Results
TFTP 허니팟 실험 결과에 따르면, 한 달 이상 운영된 TFTP 허니팟은 하루에 20에서 50개의 TFTP 패킷을 기록했으며, 대부분의 트래픽은 UDP 포트 69를 이용한 TFTP 형식의 데이터였습니다. 이 트래픽은 주로 7개의 정보 보안 회사들로부터의 정기적인 스캔으로 확인되었는데, 이들은 Shadow Servers, Censys, Driftnet, Shodan, Secretive Palo Alto Networks, Netscout, Internet Census 등입니다.
이들 스캐너는 파일 이름이나 특정 데이터(예: /a, 8)를 요청하는 RRQ(Request for Option)를 보내거나, 파일 이름에 무작위 문자를 포함하는 요청을 통해 특정 IP 주소에서 TFTP 서버가 실행 중인지 확인하는 데 주력했습니다. 또한, 일부 요청은 파일 이름 외에 비표준 UDP 페이로드나 특정 설정 파일(예: boot.ini, pxelinux.0)을 요청하는 형태로 나타나 서버의 소프트웨어 구성이나 디렉터리 탐색 가능성을 확인하려는 시도로 분석됩니다.
이러한 탐색은 TFTP 서버가 특정 호스트에서 실행 중인지 식별하는 것이 주된 목적이었으며, 일부 요청은 서버 소프트웨어의 응답을 구분하려는 시도였습니다. 실험 결과, 대부분의 스캔은 취약점을 악용하기보다는 단순히 UDP 포트 69를 리스닝하는 IP 주소를 식별하는 데 중점을 두었습니다. 이는 악의적인 공격자가 아닌 정보 보안 회사들이 이러한 방식으로 서버를 탐색했음을 보여주는 역설적인 결과입니다.
이들 스캐너는 파일 이름이나 특정 데이터(예: /a, 8)를 요청하는 RRQ(Request for Option)를 보내거나, 파일 이름에 무작위 문자를 포함하는 요청을 통해 특정 IP 주소에서 TFTP 서버가 실행 중인지 확인하는 데 주력했습니다. 또한, 일부 요청은 파일 이름 외에 비표준 UDP 페이로드나 특정 설정 파일(예: boot.ini, pxelinux.0)을 요청하는 형태로 나타나 서버의 소프트웨어 구성이나 디렉터리 탐색 가능성을 확인하려는 시도로 분석됩니다.
이러한 탐색은 TFTP 서버가 특정 호스트에서 실행 중인지 식별하는 것이 주된 목적이었으며, 일부 요청은 서버 소프트웨어의 응답을 구분하려는 시도였습니다. 실험 결과, 대부분의 스캔은 취약점을 악용하기보다는 단순히 UDP 포트 69를 리스닝하는 IP 주소를 식별하는 데 중점을 두었습니다. 이는 악의적인 공격자가 아닌 정보 보안 회사들이 이러한 방식으로 서버를 탐색했음을 보여주는 역설적인 결과입니다.