搜索

[10426] 2016-08-24_老司机教你部署Cowrie蜜罐

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-08-24_老司机教你部署Cowrie蜜罐 老 司 机 教 你 部 署 C o w r i e 蜜 罐 R i p Z   F r e e B u f   2 0 1 6 - 0 8 - 2 4 0 . 蜜 罐 分 类 ： 蜜 罐 分 类 ： 低 交 互 ： 模 拟 服 务 和 漏 洞 以 便 收 集 信 息 和 恶 意 软 件 ， 但 是 攻 击 者 无 法 和 该 系 统 进 行 交 互 ； 中 等 交 互 ： 在 一 个 特 有 的 控 制 环 境 中 模 拟 一 个 生 产 服 务 ， 允 许 攻 击 者 的 部 分 交 互 ； 高 交 互 ： 攻 击 者 可 以 几 乎 自 由 的 访 问 系 统 资 源 直 至 系 统 重 新 清 除 恢 复 。 1 . c o w r i e 简 介 简 介 它 是 一 个 具 有 中 等 交 互 的 它 是 一 个 具 有 中 等 交 互 的 S S H 蜜 罐 ， 安 装 在 蜜 罐 ， 安 装 在 L i n u x 中 ， 它 可 以 获 取 攻 击 者 用 于 暴 力 破 解 的 字 典 、 输 入 的 命 令 以 及 上 传 或 下 载 中 ， 它 可 以 获 取 攻 击 者 用 于 暴 力 破 解 的 字 典 、 输 入 的 命 令 以 及 上 传 或 下 载 的 恶 意 文 件 。 攻 击 者 在 上 传 恶 意 文 件 后 ， 执 行 恶 意 文 件 的 操 作 均 会 失 败 ， 所 以 对 蜜 罐 本 身 来 说 比 较 安 全 。 的 恶 意 文 件 。 攻 击 者 在 上 传 恶 意 文 件 后 ， 执 行 恶 意 文 件 的 操 作 均 会 失 败 ， 所 以 对 蜜 罐 本 身 来 说 比 较 安 全 。 2 . c o w r i e 安 装 部 署 安 装 部 署 以 下 步 骤 均 为 以 下 步 骤 均 为 r o o t 权 限 执 行 权 限 执 行 l     添 加 非 r o o t 用 户 a d d u s e r   c o w r i e   – p   * * * * * * * ( 设 置 密 码 ， 一 路 回 车 即 可 )
l     安 装 各 种 p y t h o n 相 关 包 l     安 装 v i r t u a l e n v l     下 载 c o w i r e l     配 置 p y t h o n 虚 拟 环 境 l     改 变 / o p t / c o w r i e - m a s t e r 的 拥 有 者 l     建 立 c o w r i e 配 置 文 件 l     修 改 日 志 的 u m a s k 为 0 0 2 2 （ 默 认 为 0 0 7 7 ） a p t - g e t   i n s t a l l   p y t h o n - t w i s t e d p y t h o n - c r y p t o   p y t h o n - p y a s n 1   p y t h o n - g m p y 2   p y t h o n - m y s q l d b   p y t h o n - z o p e . i n t e r f a c e a p t - g e t   i n s t a l l   v i r t u a l e n v c d   / o p t g i t   c l o n e   h t t p : / / g i t h u b . c o m / m i c h e l o o s t e r h o f / c o w r i e c d   / o p t / c o w r i e - m a s t e r （ c o w r i e - m a s t e r 就 是 我 c o w r i e 蜜 罐 的 目 录 ， 如 果 目 录 不 一 致 ， 重 命 名 即 可 ） v i r t u a l e n v   c o w r i e - e n v s o u r c e   c o w r i e - e n v / b i n / a c t i v a t e ( c o w r i e - e n v )   $   p i p   i n s t a l l   t w i s t e d c r y p t o g r a p h y   p y o p e n s s l   g m p y 2 c h o w n   - R   c o w r i e : c o w r i e   / o p t / c o w r i e - m a s t e r c p   c o w r i e . c f g . d i s t   c o w r i e . c f g c d   / o p t / c o w r i e - m a s t e r v i   s t a r t . s h
l     修 改 蜜 罐 的 S S H 端 口 （ 默 认 为 2 2 2 2 ） 将 l i n s t e n _ p o r t 改 为 6 2 2 2 3 即 可 （ 最 好 大 于 6 0 0 0 0 ， 以 防 止 被 n m a p 默 认 扫 描 到 ） l     将 公 网 访 问 服 务 器 2 2 端 口 的 请 求 做 端 口 转 发 ， 转 发 到 蜜 罐 的 端 口 中 c d   / o p t / c o w r i e - m a s t e r v i   c o w r i e . c f g i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p - - d p o r t   2 2   - j   R E D I R E C T   - - t o - p o r t   6 2 2 2 3
l     将 真 正 的 （ 非 蜜 罐 ） S S H 管 理 端 口 改 为 6 5 5 2 2 （ 备 注 ： 在 第 一 次 改 S S H 端 口 时 ， 在 前 期 测 试 时 强 烈 建 议 同 时 保 留 2 2 与 6 5 5 2 2 ， 以 防 止 修 改 保 存 后 出 现 故 障 无 法 连 接 6 5 5 2 2 ） 此 处 切 换 为 此 处 切 换 为 c o w r i e 用 户 操 作 用 户 操 作 启 动 蜜 罐 3 .   数 据 库 安 装 部 署 数 据 库 安 装 部 署 c o w r i e 中 产 生 的 日 志 杂 乱 无 章 ， 即 使 放 到 日 志 分 析 工 具 中 也 很 难 制 定 规 则 去 筛 选 。 然 而 c o w r i e 具 备 将 攻 击 I P 、 时 间 、 历 史 执 行 命 令 等 记 录 直 接 存 在 数 据 库 中 ， 下 面 将 说 明 如 何 配 置 数 据 库 。 需 要 需 要 r o o t 权 限 或 者 权 限 或 者 s u d o l     安 装 m y s q l 基 础 环 境 l     配 置 数 据 库 与 表 使 用 r o o t 用 户 建 立 名 为 c o w r i e 的 数 据 库 并 将 该 库 中 的 所 有 表 授 权 给 c o w r i e 此 时 进 入 c o w r i e 安 装 目 录 中 ， 使 用 c o w r i e 用 户 登 录 数 据 库 ， 进 入 c o w r i e 库 中 ， 将 / o p t / c o w r i e /   d o c / s q l / m y s q l . s q l 作 为 数 据 源 即 可 制 成 多 个 表 。 v i   / e t c / s s h / s s h d _ c o n f i g c d   / o p t / c o w r i e - m a s t e r . / s t a r t . s h a p t - g e t   i n s t a l l   l i b m y s q l c l i e n t - d e v p y t h o n - d e v   p i p   i n s t a l l   m y s q l - p y t h o n   a p t - g e t   i n s t a l l   m y s q l - s e r v e r   p y t h o n - m y s q l d b m y s q l   - u   r o o t   - p E n t e r   p a s s w o r d :   * * * * * * *   m y s q l > C R E A T E   D A T A B A S E   c o w r i e ; m y s q l >   G R A N T   A L L   O N   c o w r i e . *   T O c o w r i e @ l o c a l h o s t   I D E N T I F I E D   B Y   ' y o u r _ p a s s w o r d ' ; m y s q l > e x i t
停 止 c o w r i e ， 修 改 配 置 文 件 中 的 数 据 库 配 置 ， 使 配 置 文 件 中 的 密 码 与 c o w r i e 数 据 库 用 户 密 码 一 致 。 保 存 后 退 出 ， 并 s u 到 c o w r i e 用 户 重 启 蜜 罐 c o w r i e 库 中 的 数 据 表 如 下 ： 4 .   配 置 文 件 说 明 配 置 文 件 说 明 d a t a / u s e r d b . t x t — — 设 置 外 部 连 接 蜜 罐 时 的 密 码 ， 可 以 设 置 稍 微 复 杂 但 是 在 攻 击 字 典 里 ， 诱 使 攻 击 者 进 行 暴 力 破 解 并 获 取 其 行 为 。 l o g / c o w r i e . j s o n 与       l o g / c o w r i e . l o g — — 均 为 日 志 c d   / o p t / c o w r i e - m a s t e r   m y s q l   - u   c o w r i e   – p E n t e r   p a s s w o r d :   * * * * * * *   m y s q l > U S E   c o w r i e ; m y s q l > s o u r c e   . / d o c / s q l / m y s q l . s q l m y s q l > e x i t . / s t o p . s h v i   c o w r i e . c f g . / s t a r t . s h
t x t c m d s / * — — 均 为 假 的 命 令 ， 其 实 打 开 就 会 发 现 完 全 就 是 t x t d l / * — — 攻 击 者 上 传 的 文 件 均 会 复 制 到 这 里 h o n e y f s / e t c / m o t d — — 自 定 义 欢 迎 / 警 告 b a n n e r 5 .   阶 段 成 果 阶 段 成 果 如 果 想 查 询 蜜 罐 中 是 否 有 攻 击 者 的 痕 迹 ， S S H 登 录 服 务 器 后 进 入 数 据 库 ， 使 用 c o w r i e 库 ， 查 询 a u t h 、 s e s s i o n s 、 i n p u t 等 表 即 可 。 公 网 恶 意 I P 可 以 从 s e s s i o n s 表 中 去 重 获 取 ， 算 是 少 量 的 威 胁 情 报 了 ， 部 分 恶 意 I P 如 下 。 记 录 攻 击 者 操 作 如 下 ：
由 上 图 可 以 看 到 攻 击 者 在 暴 力 破 解 成 功 后 执 行 的 命 令 ， 获 取 到 这 些 恶 意 文 件 后 进 行 分 析 ， 其 大 多 数 均 为 用 于 d d o s 的 恶 意 程 序 ， 例 如 ： 在 长 期 收 集 蜜 罐 中 的 攻 击 者 信 息 后 ， 可 以 制 定 恶 意 I P 列 表 直 接 在 防 火 墙 做 阻 断 * 本 文 作 者 ： R i p Z ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理