搜索

[456] 2015-03-03_蜜罐技术学习笔记之GHH蜜罐

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2015-03-03_蜜罐技术学习笔记之GHH蜜罐 蜜 罐 技 术 学 习 笔 记 之 G H H 蜜 罐 A r k T e a m   2 0 1 5 - 0 3 - 0 3 最 近 开 始 研 究 W E B 蜜 罐 技 术 。 刚 开 始 的 时 候 对 于 W E B 蜜 罐 技 术 的 实 现 细 节 很 是 迷 茫 ， 就 打 算 找 现 有 的 开 源 W E B 蜜 罐 学 习 一 下 看 一 下 具 体 实 现 方 法 ， 最 后 选 择 了 G H H 蜜 罐 作 为 学 习 的 开 端 。 G H H ( G o o g l e   h a c k   h o n e y p o t ) 蜜 罐 是 针 对 搜 索 存 有 安 全 漏 洞 的 W e b 应 用 程 序 的 G o o g l e   H a c k i n g 技 术 来 诱 骗 针 对 W e b 应 用 程 序 的 攻 击 并 进 行 日 志 记 录 的 低 交 互 W e b 应 用 蜜 罐 。 G H H 提 供 了 不 同 类 型 的 W E B 应 用 蜜 罐 ， 每 个 都 可 以 独 立 安 装 。 G H H 提 供 的 蜜 罐 有 H a x p l o r e r 、 P H P _ S h e l l 、 P H P _ P i n g 、 A I M B u d d y L i s t 、 F i l e U p l o a d M a n a g e r 等 ， 下 载 地 址 为 h t t p : / / s o u r c e f o r g e . n e t / p r o j e c t s / g h h / f i l e s / G H H % 2 0 V 1 . 2 / H o n e y p o t s / 。 在 研 究 了 H a x p l o r e r 和 P H P _ S h e l l 两 个 蜜 罐 后 感 觉 G H H 提 供 的 功 能 还 是 有 限 的 ， 而 且 这 一 蜜 罐 已 经 很 久 没 有 更 新 了 ， 就 没 有 继 续 下 去 ， 因 此 在 这 里 主 要 介 绍 一 下 这 两 个 蜜 罐 。 H a x p l o r e r 是 一 个 基 于 W e b 的 文 件 管 理 器 蜜 罐 ， P H P _ S h e l l 是 一 个 用 于 S h e l l 程 序 的 蜜 罐 。 G H H 蜜 罐 并 不 是 独 立 的 应 用 程 序 ， 因 此 不 能 独 立 的 运 行 ， 需 要 依 赖 于 支 持 P H P 的 w e b 环 境 。 在 系 统 上 运 行 G H H 蜜 罐 ， 需 要 预 先 搭 建 一 个 支 持 P H P 的 W e b 服 务 器 。 图 1   P H P _ S h e l l 蜜 罐 G H H 蜜 罐 1 . 1 版 本 的 安 装 在 《 虚 拟 蜜 罐 ： 从 僵 尸 网 络 追 踪 到 入 侵 检 测 》 一 书 中 有 所 介 绍 。 现 在 从 网 上 能 下 载 到 的 最 新 版 本 为 G H H 1 . 2 ， 跟 1 . 1 版 本 相 比 做 了 一 些 改 变 ， 在 G H H 1 . 2 中 支 持 X M L - R P C 远 程 登 录 以 及 恶 意 软 件 的 收 集 功 能 。 G H H 各 个 蜜 罐 所 包 含 的 文 件 结 构 和 部 署 步 骤 是 相 似 的 。 在 每 一 个 应 用 蜜 罐 中 x m l . i n c 主 要 提 供 X M L - R P C 功 能 ， c o n f i g . p h p 文 件 提 供 一 些 通 用 的 功 能 函 数 ( 攻 击 者 信 息 提 取 、 攻 击 源 判 断 、 代 理 检 测 、 文 件 下 载 、 特 殊 字 符 转 换 、 写 日 志 等 ) ， R E A D M E 文 件 提 供 一 些 配 置 信 息 ， 还 有 一 个 文 件 用 于 模 拟 应 用 ， 根 据 蜜 罐 模 拟 的 应 用 的 不 同 而 不 同 。 如 果 启 用 X M L - R P C 功 能 则 需 要 配 置 X M L - R P C 服 务 器 ， 在 G H H 官 网 上 有 搭 建 X M L - R P C 服 务 器 对 应 的 文 件 。 G H H 各 个 应 用 蜜 罐 的 安 装 步 骤 主 要 有 以 下 几 步 ： a ． 从 网 上 下 载 需 要 部 署 的 蜜 罐 的 压 缩 包 ； b ． 解 压 缩 并 将 解 压 后 得 到 的 文 件 拷 贝 到 W e b 服 务 器 要 部 署 蜜 罐 的 目 录 下 ， 确 保 w e b 服 务 器 可 读 取 该 目 录 下 的 文 件 ； c ． 参 照 R E A D M E 文 件 修 改 对 应 的 参 数 进 行 配 置 ； d ． 设 置 指 向 该 蜜 罐 文 件 的 链 接 ， 该 链 接 应 该 不 会 被 正 常 的 用 户 发 现 ；
e ． 选 择 日 志 机 制 。 在 部 署 H a x p l o r e r 时 设 置 的 “ 透 明 链 接 ” 指 向 1 . p h p 文 件 ， 该 文 件 用 于 模 拟 w e b 应 用 。 在 该 文 件 中 首 先 注 释 掉 第 4 3 行 的 e r r o r _ r e p o r t i n g ( 0 ) 函 数 ， 该 函 数 会 禁 用 错 误 报 告 ， 如 果 不 禁 用 这 一 函 数 在 蜜 罐 部 署 过 程 中 访 问 1 . p h p 文 件 如 果 出 错 会 出 现 空 窗 口 ， 不 利 于 错 误 的 排 查 （ 而 对 空 窗 口 的 出 现 有 些 资 料 是 归 结 于 R e g i s t e r G l o b a l s 参 数 ） 。 等 到 蜜 罐 运 行 正 常 之 后 再 去 掉 第 4 3 行 的 注 释 。 在 1 . p h p 中 设 置 $ C o n f i g F i l e 和 $ S a f e R e f e r e r 两 个 变 量 的 值 ， $ C o n f i g F i l e 值 为 c o n f i g . p h p 的 路 径 ， 不 同 G H H 应 用 蜜 罐 中 的 c o n f i g . p h p 内 容 是 相 同 的 ， 可 以 每 个 蜜 罐 采 用 独 立 的 配 置 文 件 ， 也 可 以 部 署 的 蜜 罐 采 用 同 一 配 置 文 件 。 $ S a f e R e f e r e r 为 设 置 指 向 1 . p h p 的 “ 透 明 链 接 ” 的 页 面 的 U R L 。 除 此 之 外 还 应 该 在 c o n f i g . p h p 文 件 中 指 定 日 志 记 录 方 式 。 G H H 1 . 2 支 持 C V S 、 M y S Q L 和 x m l - r p c ， 默 认 是 x m l - r p c 。 通 过 修 改 $ L o g T y p e 变 量 的 值 选 择 记 录 方 式 ， 不 同 的 日 志 方 式 需 要 修 改 不 同 的 变 量 ， 对 于 C S V 方 式 需 要 在 $ F i l e n a m e 中 指 定 要 记 录 数 据 的 文 件 。 而 如 果 采 用 x m l - r p c 方 式 还 应 该 搭 建 好 x m l - r p c 服 务 器 。 在 H a x p l o r e r 蜜 罐 的 1 . p h p 文 件 中 ， 首 先 通 过 g e t A t t a c k e r ( ) 取 得 “ 攻 击 者 ” 的 信 息 ， 然 后 调 用 s t a n d a r d S i g s ( $ A t t a c k , $ S a f e R e f e r e r ) 去 判 断 “ 攻 击 者 ” 的 类 型 ， 判 断 的 依 据 主 要 就 是 链 接 / 提 交 当 前 页 的 父 页 面 U R L 。 会 根 据 父 页 面 U R L 的 判 断 是 来 自 设 定 的 “ 透 明 链 接 ” 还 是 来 自 已 知 的 搜 索 引 擎 ， 同 时 还 会 根 据 父 U R L 中 的 字 符 串 判 断 是 不 是 使 用 已 有 的 G H D B 签 名 ， 以 此 来 判 断 潜 在 的 攻 击 来 源 。 最 后 会 将 数 据 进 行 记 录 ， 记 录 的 内 容 有 蜜 罐 的 名 字 、 发 生 的 时 间 、 攻 击 者 信 息 、 攻 击 特 征 等 。 根 据 选 择 的 记 录 格 式 不 同 内 容 有 所 差 异 。 应 用 蜜 罐 模 拟 的 应 用 主 要 由 e c h o 语 句 输 出 内 容 完 成 ， 在 该 蜜 罐 中 是 构 建 了 一 个 仿 冒 的 页 面 ， 其 中 涉 及 到 的 动 态 数 据 由 随 机 数 产 生 ， 没 有 具 体 意 义 ， 点 击 超 链 接 后 不 会 有 实 际 的 交 互 产 生 。 P H P _ S h e l l 蜜 罐 则 是 一 个 用 于 s h e l l 程 序 的 蜜 罐 ， 在 该 应 用 中 可 以 执 行 s h e l l 命 令 。 该 应 用 蜜 罐 的 安 装 和 配 置 过 程 与 H a x p l o r e r 蜜 罐 一 样 。 该 蜜 罐 提 供 对 命 令 i d 、 u n a m e 、 w g e t 、 w 、 w h o a m i 、 p w d 、 p s 、 c a t 、 l s 、 p i n g 、 e c h o 、 b a s h 、 u p t i m e 等 的 模 拟 ， 对 于 大 多 数 的 命 令 都 是 预 设 了 输 出 ， 不 会 执 行 任 何 实 际 的 动 作 。 但 是 对 于 w g e t 命 令 除 了 预 设 输 出 内 容 外 还 会 调 用 在 c o n f i g . p h p 中 定 义 的 下 载 文 件 的 函 数 对 参 数 中 指 定 的 文 件 进 行 下 载 并 以 b a s e 6 4 编 码 格 式 存 储 到 全 局 变 量 $ G L O B A L S [ ' d o w n l o a d e d F i l e ' ] 中 ， 但 是 对 于 下 载 的 文 件 只 有 采 用 x m l - r p c 方 式 进 行 日 志 记 录 才 会 保 存 ， 如 果 不 想 采 用 该 日 志 方 式 而 想 保 存 下 载 的 文 件 则 应 该 在 日 志 记 录 函 数 中 对 $ G L O B A L S [ ' d o w n l o a d e d F i l e ' ] 做 出 适 当 的 处 理 。 为 了 方 便 G H H 的 部 署 以 及 研 究 人 员 方 便 的 定 制 自 己 的 蜜 罐 ， G H H 网 站 上 给 出 了 模 版 以 及 x m l - r p c 服 务 器 文 件 、 数 据 库 文 件 等 的 相 关 源 码 。 在 模 版 文 件 中 包 含 了 各 个 G H H 蜜 罐 通 用 的 提 供 x m l - r p c 日 志 记 录 方 式 的 x m l . i n c 文 件 和 提 供 基 本 函 数 的 c o n f i g . p h p 文 件 。 在 模 版 文 件 t e m p l a t e . p h p 中 G H H 蜜 罐 的 基 本 功 能 已 经 具 备 ， 只 需 要 研 究 人 员 自 己 改 写 e c h o 语 句 部 分 构 建 想 要 模 拟 的 应 用 即 可 ， 但 是 研 究 者 自 己 想 提 供 的 交 互 功 能 需 要 自 己 实 现 。 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理