초기 접근 — 포트별 체크리스트
여러 박스를 풀면서 매번 같은 포트를 보고도 뭘 먼저 확인해야 할지 헤맸던 경우가 많아서, 자주 나오는 포트별로 “이 포트 열려있으면 뭐부터 시도”를 체크리스트로 정리함 OSCP 명령어 모음과 같이 보면 좋음
포트별 우선 확인 사항
| 포트 | 서비스 | 먼저 해볼 것 |
|---|---|---|
| 21 | FTP | 익명 로그인(anonymous/빈 비번) 시도 |
| 22 | SSH | 버전 확인 → 알려진 CVE 있는지, 키 기반 로그인 흔적 |
| 80/443 | HTTP(S) | whatweb으로 스택 확인 → 디렉토리/서브도메인 퍼징 |
| 139/445 | SMB | enum4linux-ng -A, null session 시도, 공유 폴더 나열 |
| 389/636 | LDAP | 익명 바인드 가능한지, 도메인 정보 나열 |
| 3389 | RDP | 버전 취약점(BlueKeep류), 자격증명 무차별 대입은 최후수단 |
| 5985 | WinRM | 확보한 자격증명으로 evil-winrm 접속 시도 |
초기 스캔 순서 (내 루틴)
# 1. 빠른 전체 포트 스캔으로 열린 포트만 추림
nmap -p- --min-rate=1000 -T4 <IP> -oN quick.txt
# 2. 열린 포트만 대상으로 서비스/버전 상세 스캔
nmap -sC -sV -p<발견한 포트들> <IP> -oN detailed.txt
# 3. 웹이면 별도로 디렉토리 퍼징 병행
ffuf -u http://<IP>/FUZZ -w /usr/share/wordlists/dirb/common.txt순서를 지키는 이유
-p-풀스캔을 처음부터-sC -sV까지 같이 돌리면 시간이 오래 걸림 “열린 포트 찾기”와 “각 포트 상세 분석”을 분리하면 훨씬 빠르게 다음 단계로 넘어갈 수 있음
도메인 환경(AD)이라는 신호 포착
- 389/445/88(Kerberos) 포트가 같이 열려 있으면 AD 환경일 가능성이 높음 → BloodHound 정찰로 전환
/etc/hosts에 도메인 매핑을 안 해두면 이후 도구들이 도메인을 못 찾는 경우가 많아서, AD 냄새가 나면 가장 먼저 호스트 파일부터 잡아둠
더 채워야 할 것
- 자주 안 나오지만 나올 때마다 헤맸던 포트(예: 1433 MSSQL, 6379 Redis)도 별도로 정리해두면 좋을 것 같음
- 웹 취약점 스캔 자동화 도구(nikto, nuclei) 사용 타이밍도 이 체크리스트에 언제 넣을지 고민 중