도구 사용 가이드¶

레드팀이 같은 도구를 쓰더라도 사용 방식이 다르다 — 흔적(IOC)을 통제하고, 필요하면 소스를 수정해 위협 프로파일에 맞게 다듬는다.

취약점 스캐너¶

레드팀은 일반 취약점 스캐너를 거의 쓰지 않는다 — 시끄럽고 트래픽이 많아서 발각된다.

돌리기 전에 자문:

꼭 써야 한다면: 필요한 검사만 좁게 설정하거나, 들켜도 되는(소모성) 위치에서 실행.

레드팀식 사용법 — 속도·흔적·출력을 통제:

nmap -sT -T2 -n -Pn -oA <날짜시간_대상> -p 80,443,8080 10.10.10.1-100

옵션	이유
`-sT`	완전 연결 스캔. 반만 여는 `-sS`보다 오히려 보안 장비 경보가 적음 — 특히 천천히 돌릴 때
`-T2`	느린 속도 설정. 탐지 회피와 정보 수집 속도의 균형
`-n`	DNS 조회 끄기 — 대상 DNS 서버에 쿼리 흔적을 남기지 않음
`-Pn`	생존 확인 생략 (기본 ICMP/TCP 탐색 패킷 생략)
`-oA`	3가지 형식으로 결과 저장 — 기록·재가공용
`-p`	사전 조사로 좁힌 포트만 스캔

일부러 블루팀 반응을 끌어내려면 시끄러운 스캔도 전략이 된다 — 중요한 건 어떤 흔적이 생기는지 알고 선택하는 것.

공격 코드·정보 수집·사후 작업 모음집으로는 훌륭
Meterpreter는 알려진 흔적이 많아 C2 용도로는 부적합 — 소스를 수정해 줄일 수는 있으나 한계
~/.msf4/msfconsole.rc 설정 파일로 로깅 활성화 (spool, ConsoleLogging, SessionLogging, TimestampOutput 등)

웹 서버 안에서 OS 명령을 실행하게 해주는 서버 측 코드 — 훌륭한 장기 백업 통신 수단.

대표 예: China Chopper, WSO, C99, B374K

장점: 웹 애플리케이션은 관리가 허술하고 결함이 많아 네트워크 진입문으로 효과적. 필요할 때만 쓰는 요청식 통신.

한계·남는 흔적: