搜索

[11809] 2017-09-21_蜜罐背后的影子系统探秘

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-21_蜜罐背后的影子系统探秘 蜜 罐 背 后 的 影 子 系 统 探 秘 糖 果 L 5 Q   F r e e B u f   2 0 1 7 - 0 9 - 2 1 * 本 文 原 创 作 者 ： 糖 果 L 5 Q ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 般 场 景 下 我 们 会 在 内 部 部 署 蜜 罐 系 统 ， 当 外 部 有 渗 透 时 ， 碰 到 蜜 罐 就 会 报 警 ， 蜜 罐 会 去 检 索 攻 击 源 的 位 置 ， 一 般 场 景 下 我 们 会 在 内 部 部 署 蜜 罐 系 统 ， 当 外 部 有 渗 透 时 ， 碰 到 蜜 罐 就 会 报 警 ， 蜜 罐 会 去 检 索 攻 击 源 的 位 置 ， 确 定 别 攻 击 机 器 的 确 定 别 攻 击 机 器 的 I P 端 口 ， 取 得 端 口 ， 取 得 p a y l o a d 数 据 ， 配 合 数 据 ， 配 合 I D S 我 们 可 以 捕 获 事 件 的 过 程 ， 然 后 采 取 对 应 防 御 措 施 。 我 们 可 以 捕 获 事 件 的 过 程 ， 然 后 采 取 对 应 防 御 措 施 。 还 还 有 一 种 办 法 ， 我 们 可 以 在 蜜 罐 被 触 碰 的 时 候 ， 把 流 量 引 入 到 一 台 具 体 的 机 器 上 ， 伪 装 成 一 个 正 常 的 服 务 ， 像 侦 有 一 种 办 法 ， 我 们 可 以 在 蜜 罐 被 触 碰 的 时 候 ， 把 流 量 引 入 到 一 台 具 体 的 机 器 上 ， 伪 装 成 一 个 正 常 的 服 务 ， 像 侦 查 机 一 样 ， 收 集 攻 击 服 务 。 我 们 以 查 机 一 样 ， 收 集 攻 击 服 务 。 我 们 以 W E B 服 务 为 例 ， 有 一 个 接 近 真 实 的 服 务 为 例 ， 有 一 个 接 近 真 实 的 H T T P 服 务 器 ， 主 动 或 是 被 动 的 配 合 蜜 罐 服 务 器 ， 主 动 或 是 被 动 的 配 合 蜜 罐 收 集 更 多 的 数 据 ， 当 蜜 罐 发 现 威 胁 收 集 更 多 的 数 据 ， 当 蜜 罐 发 现 威 胁 I P 时 ， 运 用 动 态 迁 移 技 术 ， 将 威 胁 服 务 引 到 到 一 个 提 新 预 备 好 的 时 ， 运 用 动 态 迁 移 技 术 ， 将 威 胁 服 务 引 到 到 一 个 提 新 预 备 好 的 W E B 服 务 ， 服 务 ， 记 录 攻 击 行 业 ， 还 原 威 胁 事 件 。 记 录 攻 击 行 业 ， 还 原 威 胁 事 件 。 负 载 均 衡 和 灰 度 测 试 的 W E B 服 务 就 是 根 据 特 定 的 用 户 和 被 访 问 机 器 的 负 载 情 况 ， 决 定 将 用 户 的 请 求 切 入 到 那 台 服 务 上 。 我 们 也 用 这 种 技 术 ，   对 有 可 以 行 为 的 攻 击 请 求 ， 进 行 环 境 切 换 。 我 们 用 O p e n r e s t y 的 上 流 反 向 代 理 来 实 现 这 种 模 式 。 1 . 基 础 环 境 安 装 基 础 环 境 安 装 系 统 最 主 要 依 赖 的 软 件 就 是 O p e n r e s t y ， O p e n r e s t y 的 安 装 如 下 ： 1 . 1   安 装 依 赖 软 件 安 装 依 赖 软 件 1 . 2   下 载 下 载 O p e n r e s t y 1 . 3   安 装 安 装 O p e n r e s t y
1 . 4   配 置 配 置 O p e n r e s t y 2 .   首 先 我 们 用 首 先 我 们 用 O p e n r e s t y 、 、 L u a 快 速 构 建 一 个 快 速 构 建 一 个 W E B 服 务 服 务 2 . 1   安 装 一 个 演 示 用 的 安 装 一 个 演 示 用 的 L u a   W e b 框 架 ， 名 叫 框 架 ， 名 叫 b l u e s 2 . 2   创 建 一 个 创 建 一 个 o p e n r e s t y   w e b 项 目 项 目 2 . 3   配 置 配 置 w e b 服 务 服 务


3 .   实 现 影 子 系 统 切 换 逻 辑 实 现 影 子 系 统 切 换 逻 辑 我 们 创 建 了 3 个 监 听 服 务 , 端 口 分 别 是 8 8 8 8 、 8 0 8 2 、 8 0 8 3 ， 8 8 8 8 是 主 代 理 服 务 ， 当 请 求 过 来 时 ， 判 断 当 前 的 请 求 I P 是 否 被 识 别 出 蜜 罐 、 I D S 发 现 的 威 胁 I P 。 我 们 主 要 通 过 在 b y _ b a l a n c e r 阶 段 对 访 问 者 的 I P 与 蜜 罐 的 威 胁 情 报 进 行 碰 撞 ， 发 现 当 前 访 问 的 I P 在 封 禁 列 表 里 ， 就 直 接 将 这 个 用 户 请 求 切 换 到 影 子 系 统 。 然 后 我 们 在 影 子 系 统 里 手 机 这 个 用 户 的 情 报 。 3 . 1   服 务 切 换 逻 辑 服 务 切 换 逻 辑
3 . 2   黑 名 单 维 护 逻 辑 黑 名 单 维 护 逻 辑 一 般 创 建 一 个 n g i n x 项 目 ， 需 要 手 动 创 建 目 录 和 配 置 文 件 ， 我 们 通 过 b l u e s 框 架 简 单 的 就 创 建 一 个 A P P ， b l u e s 实 现 了 比 较 基 础 的 库 ， 比 主 说 路 由 ， J S O N 处 理 等 库 。 这 样 一 来 ， 实 现 一 个 的 封 禁 I P 的 存 储 逻 辑 就 很 简 单 了 。
4 .   模 拟 攻 击 访 问 模 拟 攻 击 访 问 4 . 1   原 理 流 程 图 原 理 流 程 图
我 们 测 试 通 过 一 个 R E S T 接 口 ， 在 共 享 的 字 典 里 加 入 一 个 封 禁 的 I P , 这 个 I P 的 主 要 来 源 就 是 蜜 罐 报 警 给 出 的 ， 我 们 通 过 一 个 人 为 的 R E S T 设 定 时 你 要 测 试 的 I P ， 最 直 接 的 测 试 ， 就 是 从 日 志 里 选 出 一 个 I P ， 比 如 “ 1 0 . 2 3 6 . 6 6 . 2 9 ” ， 当 发 现 有 这 个 来 了 ， 就 直 接 把 请 求 引 入 到 8 0 8 3 这 个 服 务 ， 而 如 果 正 常 的 用 户 I P 是 不 会 加 上 封 禁 列 表 里 。 我 们 直 接 给 8 8 8 8 服 务 发 送 一 个 R E S T 请 求 ， 通 过 B l u e s 框 架 提 供 的 的 功 能 ， 记 入 到 封 禁 列 表 里 。 为 了 简 单 演 示 ， 我 们 的 u p s t r e a m 使 用 的 是 同 一 台 机 器 ， 但 真 的 影 子 系 统 ， 需 要 把 影 子 系 统 直 接 变 为 别 的 机 器 会 是 d o c k e r ， 或 是 d o c k e r 套 d o c k e r , d o c k e r 里 用 o p e n r e s t y 放 影 子 系 统 。 4 . 2   封 禁 封 禁 I P 4 . 2 . 1   我 们 通 过 我 们 通 过 s e t l i s t 接 口 添 加 模 拟 封 禁 接 口 添 加 模 拟 封 禁 I P 4 . 2 . 2   显 示 封 禁 列 表 显 示 封 禁 列 表 通 过 g e t l i s t ， 显 示 当 前 系 统 内 的 封 禁 I P 列 表 。 4 . 2 . 3   验 证 是 否 切 换 到 影 子 系 统 验 证 是 否 切 换 到 影 子 系 统 国 为 x x . x x x . 6 9 . 8 4 是 客 户 端 I P ， 当 再 次 访 问 时 ， 请 求 就 被 引 导 到 影 子 系 统   8 0 8 3 端 口 服 务 上 了 。 4 . 3   解 禁 解 禁 I P c u r l   - X   G E T   h t t p : / / 0 . 0 . 0 . 0 : 8 8 8 8 / s e t l i s t   - d   ' { " 1 " : " x x . x x x . 6 9 . 8 4 " } '
4 . 3 . 1   通 过 通 过 s e t l i s t 接 口 重 置 封 禁 接 口 重 置 封 禁 I P 4 . 3 . 2   显 示 封 禁 列 表 显 示 封 禁 列 表 4 . 3 . 3   验 证 是 否 切 换 到 影 子 系 统 验 证 是 否 切 换 到 影 子 系 统 我 们 可 以 看 到 ， 当 封 禁 列 表 里 I P 与 当 前 测 试 客 户 端 的 I P 不 匹 配 时 ， 用 户 会 引 导 到 正 常 的 服 务 端 口 上 ， 不 会 再 被 引 入 的 影 子 系 统 。 4 . 4   存 储 攻 击 行 为 日 志 到 存 储 攻 击 行 为 日 志 到 s y s l o g 服 务 器 服 务 器 用 户 的 请 求 数 据 在 O p e n r s e t y 的 日 志 中 都 可 以 看 到 ， 可 以 在 O p e n r e s t y 里 ， 直 接 配 置 把 日 志 发 送 到 远 端 的 s y s l o g 服 务 器 上 , 只 要 在 配 置 文 件 里 加 入 下 面 的 代 就 可 以 ： c u r l   - X   G E T   h t t p : / / 0 . 0 . 0 . 0 : 8 8 8 8 / s e t l i s t   - d   ' { " 1 " : " x x . x x x . 6 9 . 8 5 " } '
而 具 体 要 传 入 什 么 数 据 到 s y s l o g 服 务 器 都 是 可 以 定 制 的 ， 下 面 具 几 个 常 字 段 的 例 子 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理