MEMORIES

Sysinternals의 보안 집합 툴 'Pstools'

아주 간단하면서도 서버 관리에 있어 유용하게 사용할 수 있는 툴들이 많다. 필자가 소개하는 툴들을 직접 테스트 해보면서 익힌다면 분명 관리자 측면에서 도움되는 부분이 있을 거라고 확신한다. 이번 호는 지난 호에 이어 'sysinternals'에서 제공하는 툴을 마무리 짓도록 하겠다.

지난 연재에 이어 계속해서 'www.sysinternals.com'에서 제공하는 툴을 소개하도록 하겠다. 상용화 툴이나 프로그램에 비해 보잘 것 없다고 생각할 수도 있지만, 이런 툴을 잘 활용한다면 분명히 관리 측면에서 도움이 되는 부분이 있을 것이다.

 ·PsList
작업관리자를 보면 서버에서 실행되는 모든 프로세스가 표시된다. 경험담이지만 간혹 백도어나 웜 등이 Pslist나 fport 같은 툴에서 안 보이는 때가 있다. 몇 년 전 어느 고객의 서버에 웜이 걸려있는 것을 확인했다. 그러나 작업관리자나 Pslist와 fport에서는 흔적을 발견할 수가 없었다. 오직 dos command에서 netstat 명령으로 불필요한 커넥션이 수백 개 맺어진 것만 확인할 수 있었다. 나중에 알게된 결과 레지스트리에서 관련된 것을 전부 hidden으로 처리했기 때문에 프로세스가 안 보이는 현상이 나타난 것이었다.

Name                             Pid Pri Thd  Hnd      VM      WS    Priv
Idle                               0   0   1    0       0      16       0
  System                           8   8  43  250    1732     276      28
    SMSS                         184  11   6   36    4352     408     152
      CSRSS                      208  13  11  654   51204    8144    1608
      WINLOGON                   232  13  18  419   40416    3320    6300
        SERVICES                 260   9  36  583   39556    7740    4436
          termsrv                372  10  13  104   48076    3568    1816
          svchost                500   8   9  338   26348    4756    1996
          spoolsv                532   8  15  154   33736    5932    3268
          svchost                564   8  18  346   40844    7604    3324
          LLSSRV                 588   9   9   76   17724    2404     768
          sqlservr               648   8  35  348  821836   23744   28716
          regsvc                 708   8   2   30   10240    1088     280
          mstask                 720   8   6  111   25564    3580    1148
          SMagent                760   8  10  285  204712    9356   10168
          SMMONI~1               852   8  16  414  212288   15644   13356
          WinMgmt                876   8   4  116   21904     672     836
          svchost                888   8   5  262   40300    8288    5272
            wuauclt             1952   8   3  143   33024    5528    4532
          dfssvc                 916   8   2   36   10332    1780     484
                                   .
                            .      
왼쪽의 Name 칼럼의 구조를 잘 살펴보기 바란다. 윈도우 탐색기의 트리구조로 돼 있다. 이 말은 부모 프로세스가 어떤 것인지를 나타낸다. 윈도우 기본 프로세스를 제외하면 거의 단독으로 프로세스가 움직이고 있는 구조를 볼 수 있다. -t 말고도 여러 가지 유익한 옵션이 있으니 이것은 직접 찾아보길 바란다.

 ·PsExec
이것은 원격에 있는 서버에서 파일을 실행하는 툴이다. 일반적으로 서버에서 어떤 프로세스를 실행하려면 그 프로세스에 해당하는 exe 파일이나 기타 다른 파일 확장자를 가진 것을 실행해야 한다. 이 툴은 그런 점을 감안해 내 컴퓨터에서 원격에 있는 서버의 실행 파일을 실행할 수 있게 하는 툴이다. 참고적으로 원격에서 어떤 것을 실행하려하면 권한이 있는 상태로 연결해야 한다.

실행 방법은 다음과 같다.
Psexec \호스트 아이피 or 호스트 네임 -u 사용자ID -p password -w 파일이 있는 디렉토리 경로 실행 파일명

필자는 'Psexec WW21.111.254.117 -u 사용자ID -p password -w c:windows notepad.exe'를 실행했다. 이 말은 21.111.254.117 서버에 있는 notepad.exe를 실행하겠다는 의미다. 실행하고 나서 명령을 수행한 자신의 컴퓨터는 (화면 1)의 오른쪽 도스창의 상태와 같이 되고, 왼쪽의 원격 서버의 작업 관리자를 보면 Notepad가 떠있다. Notepad 이외에 psexesvc.exe라는 프로세스도 떠 있다.

(화면 1)Psexec를 이용한 원격 실행

 지난 연재에서 언급했지만, 이 툴은 잘쓰면 약이요 잘못 쓰면 독이 된다. 해킹을 당한 서버에 들어가면 어김없이 볼 수 있다. 명령을 수행한 자신의 PC에서는 psexec 프로세스를 작업 관리자를 통해 죽이면 된다.

 ·PsFile
이 툴은 원격의 호스트에서 열린 파일을 조회하는 것이다. Psexec로 실행했다면 잘 실행됐는지 원격에서 확인할 수 있다.
실행 방법은 다음과 같다.

 F:utilSecurity and System toolsPsTools>psfile \21.111.254.117 -u 사용자 -p 암호

실행 결과는 다음과 같이 나타난다. in my place.mp3라는 파일이 실행되고 있음을 알 수 있다.

PsFile v1.01 - local and remote network file lister
Copyright (C) 2001 Mark Russinovich
Sysinternals - www.sysinternals.com

Files opened remotely on 21.111.254.117:

[701] F:MusicRockColdplay - In My Place.mp3
    User:   ADMINISTRATOR
    Locks:  0
    Access: Read
[710] PIPEsrvsvc
    User:   ADMINISTRATOR
    Locks:  0
    Access: Read Write

 ·PsGetSid
원격에 있는 사용자나 로컬 컴퓨터의 SID를 알아내는 툴이다. 이 툴은 USER2SID나 SID2USER라는 툴과 용도는 비슷하다. SID는 security ID인데 윈도우에서는 이것이 상당히 중요하게 여겨지며 이것으로 인해 사용자의 권한 등이 구분된다.
사용법은 다음과 같다.
F:utilSecurity and System toolsPsTools>psgetsid \아이피 또는 호스트네임 -u 권한이 있는 사용자명 -p 암호 SID를 알아내려고 하는 계정명

결과는 다음과 같이 출력된다.
PsGetSid v1.42 - Translates SIDs to names and vice versa
Copyright (C) 1999-2004 Mark Russinovich
Sysinternals - www.sysinternals.com

SID for IBM_SCONadministrator:
S-1-5-21-2261078218-1575539577-2876359229-500

·PsKill
간혹 작업 관리자에서 프로세스가 죽지 않는 경우가 있다. 프로세스가 실행 중이거나 다른 서비스나 프로세스와 연동돼 실행되고 있다면 죽지 않는다. PsKill은 프로세스를 죽여야 할 경우에 쓰는 툴이다. 로컬 뿐만이 아니라 원격의 컴퓨터에도 가능하다. 사용법은 다음과 같다.

Pskill PID 번호 or name

그렇게 어려운 것이 아니기 때문에 실행 부분을 쓰지 않겠다. 주의할 사항은 윈도우 관련 서비스 프로세스는 죽이지 말기를 바란다. 그 이후에 일어나는 일은 실행한 사람이 책임져야 한다.

 ·PsInfo
개인적으로 Ps툴 중에 가장 덕을 많이 본 툴이다. 필자가 현재 근무하는 곳에 처음 왔을 때 윈도우 서버가 123대 있었다. 123대의 시스템 환경을 짧은 시간에 모두 파악해야 했다. 마침 sysinternal을 기웃거리다가 psinfo를 발견했고 유용하게 사용했다.
여러 가지 시스템 사항이 나오지만 그 중 도움이 될만한 것들만 알아보겠다.
Uptime, Service pack, Install date, Processors, Processor speed, Physical memory, disk size, Application list, hotfix list 등이 출력된다. disk size, Application list, hotfix list의 결과값을 원한다면 명령 줄에서 옵션을 사용해야 한다. 역시 원격의 컴퓨터에도 사용 가능하다.
사용법은 다음과 같다.

Psinfo -옵션 \아이피 or 호스트네임 -u 사용자이름 -p 암호

결과물이 너무 길어 보여주지는 못하지만 직접 실행해 보면 유용성을 알 수 있을 것이다.

 ·PsLoggedOn
로컬 서버 또는 원격 서버에 누가 로그온을 하고 있는지 알아내는 툴이다. 실행 방법은 어렵지 않으니 결과값만을 가지고 이야기 하겠다.
F:utilSecurity and System toolsPsTools>psloggedon

PsLoggedOn v1.31 - Logon Session Displayer
Copyright (C) 1999-2003 Mark Russinovich
Sysinternals - www.sysinternals.com

Users logged on locally:
     2006-03-20 00:30:52    DEC1231dec1231

No one is logged on via resource shares.

옵션을 사용할 수 있지만 현재는 모든 결과를 본 것이다. 로컬 로그온이 dec1231이고 공유 폴더로 로그온한 사용자는 없는 상태다. 누가 서버에 로그온하고 있는지, 그 유형은 어떻게 되는지를 알아볼 때 쓰면 된다.

스크립트를 이용한 활용
이 이외에도 sysinternal에는 여러가지 유용한 툴들이 많다. 이런 툴을 잘 활용하면 관리자들의 작업 시간을 대폭 줄일 수가 있다. 또한 자신의 기술 노하우도 한단계 끌어올릴 수 있으니 잘 활용하기 바란다.
실제적으로 어떻게 사용하는지 간단하게 스크립트를 통해 예를 들어 보겠다.

REM ==============================================================
REM USAEG : ServerInfo.bat <ServerName> <Date> <UserID> <Password>
REM ==============================================================
REM %1 : ServerName
REM %2 : Date
REM %3 : UserID
REM %4 : Password
REM ==================================

net use z: \아이피dailylogfiles eapdlehd$  /user:사용자 아이디

echo ========================================================== > z:logdataps_%1.txt
echo Server IP  : %1 >> z:logdataps_%1.txt
echo ========================================================== > z:logdataps_%1.txt

date /T >> z:logdataps_%1.txt
time /T >> z:logdataps_%1.txt
echo ========================================================== >> z:logdataps_%1.txt

echo === Process List ========================================= >> z:logdataps_%1.txt

REM ******************************************************
pslist \%1 -u %3 -p %4 -e clussvc >> z:logdataps_%1.txt
pslist \%1 -u %3 -p %4 -e InoTask >> z:logdataps_%1.txt
pslist \%1 -u %3 -p %4 -e InoRT >> z:logdataps_%1.txt
pslist \%1 -u %3 -p %4 -e InoRpc >> z:logdataps_%1.txt
pslist \%1 -u %3 -p %4 -e sqlmangr >> z:logdataps_%1.txt
REM ******************************************************

echo === Service List ========================================= >> z:logdataps_%1.txt

REM ******************************************************
psservice \%1 -u %3 -p %4 query clussvc >> z:logdataps_%1.txt
psservice \%1 -u %3 -p %4 query InoTask >> z:logdataps_%1.txt
psservice \%1 -u %3 -p %4 query InoRT >> z:logdataps_%1.txt
psservice \%1 -u %3 -p %4 query InoRpc >> z:logdataps_%1.txt
REM ******************************************************

REM [System Log]
psloglist \%1 -u %3 -p %4 system -d 1 > z:logdatasyslog_%1.txt

REM [Application Log]
psloglist \%1 -u %3 -p %4 application -d 1 > z:logdataapplog_%1.txt

MOVE z:logdataps_%1.txt z:logdataps_%1.txt
MOVE z:logdatasyslog_%1.txt z:logdatasyslog_%1.txt
MOVE z:logdataapplog_%1.txt z:logdataapplog_%1.txt

net use z: /d

이 예제는 하나의 배치 파일 안에 실행될 명령들이다. Pslist를 모아서 텍스트 파일로 저장하고, 이번 연재에서 다루지 않은 Psservice로 서비스 상태를 체크하고 있다. 또한 Psloglist를 이용해 윈도우 서버의 이벤트 로그에서 애플리케이션과 시스템 부분의 이벤트 로그를 발췌한다. 서버 대수가 많아서 매번 점검하기가 번거롭다면 한번 이용 해볼만하다.
다음은 보안점검에 관련도니 예다.

title Obtaining live response details
echo off
@echo FRED v1.1 is running...
@echo FRED v1.1 - 2 April 2002 [modified for fire 10/2002] > a:audit.txt
@echo. >> a:audit.txt
@call win32makeline
@echo START TIME >> a:audit.txt
@call win32makeline
time /t >> a:audit.txt
@time /t
date /t >> a:audit.txt
@date /t
@echo. >> a:audit.txt
@echo. >> a:audit.txt
@call win32makeline
@echo PSINFO >> a:audit.txt
@call win32makeline
win32sysinternalsPsinfo >> a:audit.txt
@echo. >> a:audit.txt
@echo. >> a:audit.txt
@call win32makeline
@echo NET ACCOUNTS >> a:audit.txt
@call win32makeline
echo on
net accounts >> a:audit.txt
echo off
@echo. >> a:audit.txt
@echo. >> a:audit.txt
@call win32makeline

예제에서 보인 것 외에도 NET FILE, NET SESSION, NET SHARE, NET VIEW 등을 추가할 수 있다. 주로 Ps툴과 윈도우 서버에 내장된 명령어를 사용했다. 이용 목적은 서버가 침해 사고를 당했을 경우 초기에 대응할만한 사항들을 축출해 내는 것이다. 앞의 명령어와 사용법을 다 알고 있다고 가정해보자. 웜이나 백도어에 감염된 것을 발견하고 명령어를 하나씩 실행하면 많은 시간이 걸릴 것이다.
서버의 접속 정보 중에는 휘발성이 있어서 시간이 지나면 없어져 버리는 것도 있다. 특히 보안과 관련된 사항은 시간을 다투는 일이라 정보를 빨리 수집하는 것이 중요하다. 미리 스크립트를 구성해 놓는다면 필요한 정보를 원하는 때에 만들 수 있을 것이다.

작성자 : 이인석 | 프리랜서
작성일 : 2006년 4월호
 

원   문 : http://www.ionthenet.co.kr/newspaper/view.php?idx=10999
출   처 : Tong - 윙막님의 Windows Server통