1. netcat(nc) の使用方法 2005/02/06 伊原秀明 (Port139)

2. © Hideaki Ihara(Port139).2 netcat とは？ “Swiss Army knife” プログラム ネットワーク（ TCP/IP ）経由でデータの 送受信を行うことが可能 バックドアやポートスキャナとして利用 されることもある Windows を始め, Linux, Solaris, Mac OS X など様々なプラットホームで利用可能 （異なる OS 間でのデータ転送が容易に可 能）

3. © Hideaki Ihara(Port139).3 Forensics における netcat 揮発性情報（プロセスリスト,Netstat, メモ リ）やディスクイメージなどを、リモー トホストの記録媒体へ保存する為に使用 データの保存領域を、調査対象上に確保 できない場合に利用 （例） USB ドライブが接続できない

4. © Hideaki Ihara(Port139).4 netcat コマンドライン NC.EXE （ Forensic Acquisition Utilities ） 指定先への接続 : nc [-options] hostname port[s] [ports]... 入力のリッスン : nc -l -p port [options] [hostname] [port] オプション説明 --listen -l 接続を待つ（リッスン） --port -p [port] ポート番号（デフォルトは TCP ） --of -O [file] 出力ファイル名の指定 (-l または –L が必要） --source -s [addr] ローカルソースアドレス（待ち受けに利用する IP ） --verbose -v メッセージの冗長表示（ -vv でより詳細に） ※詳細なオプションについてはヘルプ（ nc --help ）を参照

5. © Hideaki Ihara(Port139).5 記録 netcat 構成図 指定された IP アドレス, ポート番号へデータを送信 受信側システム プログラム実行 netcat （送信） 送信側システム netcat （受信） TCP/IP netcat 実行 ① ② ③ ④ ⑤ ⑥ ⑦ 平文 安全なプログラ ム

6. © Hideaki Ihara(Port139).6 （例） netstat 結果の送信 送信側 (192.168.0.99) ②コマンドを実行 netstat –an | nc 192.168.0.1 8080 ③送信を終了 受信側 (192.168.0.1) ① 8080/TCP で待機 nc –l –p 8080 > netstat.log ④受信内容を確認 受信ポート保存ファイル名 相手先 IP アドレスポート番号 安全なプログラムを利用！ （絶対パスで指定） nc が自動的に終了しない場合は、 送信側から終了する（ Ctrl + C ） ※ netstat コマンドの実行結果を、直接リモートホストへ転送し保存する

7. 7 （例）ディスクイメージの送信 送信側 (192.168.0.99) ②コマンドを実行 dd if=\\.\C: bs=512 | nc 192.168.0.1 9999 ③送信を終了 受信側 (192.168.0.1) ① 9999/TCP で待機 nc –l –p 9999 > Cdrive.dd ④受信内容を確認 受信ポート保存ファイル名 相手先 IP アドレスポート番号 C; ドライブの内容を 512 バイトずつ 読み込んで標準出力へ表示 nc が自動的に終了しない場合は、 送信側から終了する（ Ctrl + C ） ※ dd コマンドを使い、 C ドライブの内容を直接リモートホストへ転送し保存する ※ dd if=\\.\C: bs=512 conv=noerror --log A:\dd.log --md5sum A:\dd.md5

8. © Hideaki Ihara(Port139).8 （例）ディスクイメージの送信 送信側 (192.168.0.99) ②コマンドを実行 nc 192.168.0.1 9999 --I \\.\C: -b 512 ③送信を終了 受信側 (192.168.0.1) ① 9999/TCP で待機 nc –l –p 9999 > Cdrive.dd ④受信内容を確認 受信ポート保存ファイル名 相手先 IP アドレスポート番号 nc が自動的に終了しない場合は、 送信側から終了する（ Ctrl + C ） ※ nc コマンドを使い、 C ドライブの内容を直接リモートホストへ転送し保存する C; ドライブの内容を 512 バイトずつ 読み込んで送信

9. © Hideaki Ihara(Port139).9 netcat 入手先 UNIX 用 netcat (unix) http://www.securityfocus.com/tools/137 The GNU Netcat http://netcat.sourceforge.net/ Windows 用 netcat 1.11 for Windows http://www.vulnwatch.org/netcat/ Forensic Acquisition Utilities ★ http://users.erols.com/gmgarner/forensics/ CryptCat Project netcat で暗号化通信を可能にしたもの http://farm9.org/Cryptcat/

10. © Hideaki Ihara(Port139).10 netcat 参考文献 オンラインソフトを使え ! 「第 12 回 Netcat 」 http://www.st.rim.or.jp/~shio/nwworld/netcat/ ～初級セキュリティ管理者必見～ 連載：不正侵入の手口と対策 第 4 回 攻撃者が侵入後に行うバックドアの設置例 http://www.atmarkit.co.jp/fsecurity/rensai/iprotect04/iprotect02.html