搜索

[14884] 2019-12-01_HFish蜜罐使用心得

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-12-01_HFish蜜罐使用心得 H F i s h 蜜 罐 使 用 心 得 原 创   c y k e r   F r e e B u f   2 0 1 9 - 1 2 - 0 1 最 近 搭 建 各 种 蜜 罐 测 试 ， 这 篇 文 章 主 要 分 享 最 近 搭 建 各 种 蜜 罐 测 试 ， 这 篇 文 章 主 要 分 享   H F i s h   V 0 . 4   使 用 过 程 中 的 一 些 心 得 。 使 用 过 程 中 的 一 些 心 得 。 部 署 部 署 单 节 点 部 署 单 节 点 部 署 单 点 部 署 官 方 文 档 介 绍 已 经 很 全 面 了 ， 不 过 w i n d o w s   家 庭 中 文 版 d o c k e r 部 署 有 点 坑 需 要 注 意 的 。 家 庭 版 不 能 直 接 安 装 d o c k e r ， 需 要 安 装 d o c k e r   t o o l   b o x   ， 原 理 是 开 启 v m   v b o x   的 l i n u x 虚 拟 机 ， 然 后 在 l i n u x 虚 拟 机 里 面 安 装 d o c k e r ， 所 以 ， 在 启 用 d o c k e r 容 器 的 时 候 ， 如 果 指 定   - p   1 2 7 . 0 . 0 . 1 : 2 2 : 2 2   物 理 机 是 无 法 访 问 蜜 罐 ， 只 能 把 容 器 的 端 口 映 射 到 0 . 0 . 0 . 0 的 地 址 上 ， 物 理 机 才 可 以 访 问 。 e g : 然 后 进 入 l i n u x 虚 拟 机 里 面 ， 查 看 虚 拟 机 具 体 的 i p 地 址 成 功 访 问 分 布 式 部 署 分 布 式 部 署 为 了 能 尽 可 能 全 的 收 集 全 球 攻 击 数 据 ， 这 次 计 划 采 用 分 布 式 部 署 方 式 。 使 用 v p s 供 应 商 为   v u l t r   ， I D C 机 房 分 布 如 下 图 d o c k e r   r u n   - d   - p   2 2 2 2 : 2 2   - p   2 3 : 2 3   - p   9 0 0 1 : 9 0 0 1   - e   U S E R N A M E = g o d   - e   P A S S W O R D = 1 2 3 4 5 6   - - n a m e   h f i s h   i m d e v o p s / h f i s h : l a t e s t
列 表 中 有 9 个 国 家 ， u b u n t u   系 统 最 低 配 置 每 个 月 5 美 元 ， 每 个 国 家 一 台 v p s   d e p l o y   也 没 多 少 钱 。 这 边 有 个 注 意 点 就 是 ， 在 d e p l o y 时 候 ， 可 以 直 接 添 加 自 己 的 s s h   k e y ， 这 样 后 面 管 理 v p s 也 很 方 便 ， 因 为 我 忘 了 我 的 s s h   k e y   的 密 码 了 ， 就 直 接 用 账 户 密 码 管 理 。 v p s 过 多 ， 管 理 起 来 挺 麻 烦 的 ， 这 里 我 使 用 p y t h o n 3   的   p a r a m i k o   自 动 化 一 键 配 置 ， 主 要 代 码 如 下 ： 初 始 化 服 务 器 ， 并 安 装 d o c k e r . i o   ： 启 动   d o c k e r   容 器 ： 官 方 分 布 式 部 署 命 令 会 少 些 端 口 ， 可 以 根 据   c o n f i g . i n i   端 口 自 行 增 删 。 这 边 还 有 一 些 需 要 注 意 的 地 方 ， 国 内 访 问 国 外 服 务 器 ， 可 能 会 丢 包 ， 最 好 是 在 其 中 一 台 v p s 上 面 执 行 初 始 化 脚 本 运 行 完 后 ， 查 看 主 节 点 ， 成 功 接 收 到 数 据 。 攻 击 数 据 分 析 攻 击 数 据 分 析 分 布 式 蜜 罐 部 署 了 几 天 后 ， 接 下 来 是 对 捕 获 的 数 据 进 行 分 析 了 ， 下 面 主 要 以   S S H   蜜 罐 攻 击 行 为 为 例 。 各 位 大 佬 也 可 以 从 附 件 里 下 载 数 据 库 自 行 分 析 。 往 后 如 果 有 能 力 ， 会 定 期 提 供 蜜 罐 捕 获 数 据 给 各 位 。 攻 击 字 典 统 计 攻 击 字 典 统 计 先 来 看 下 数 据 库   h f i s h _ i n f o   表 结 构 及 数 据 ： 可 以 看 到 数 据 库 用   & &   替 换 换 行 符 ， 保 存 在 数 据 库 中 ， 接 下 来 可 以 写 个 统 计 攻 击 字 典 脚 本 。 以 下 为 关 键 部 分 示 例 代 码 ： 搜 索   s q l i t e   数 据 库 中 所 有   s s h   攻 击 的 类 型 d e f   _ _ i n i t _ _ ( s e l f ) :                 s e l f . h f i s h _ d b   =   ' . / f i l e / h f i s h . d b '                 s e l f . h f i s h _ s p l i t   =   ' & & '                 s e l f . s q l   =   s q l i t e 3 . c o n n e c t ( s e l f . h f i s h _ d b )                 # 这 里 需 要 注 意 一 下 ， 测 试 时 候 发 现 ， 有 些 字 符 无 法 用 u t f - 8 解 码 ， 所 以 得 用 b y t e s                 s e l f . s q l . t e x t _ f a c t o r y   =   b y t e s
然 后 分 割   & &   ， 把 用 户 名 密 码 分 割 开 ， 并 输 出 到 文 本 里 面 打 印 一 下 用 户 名 及 密 码 频 次 取 用 户 名 及 密 码 出 现 次 数 t o p 1 0 将 结 果 打 印 其 实 字 典 具 有 地 域 性 ， 可 以 根 据 攻 击 字 典 地 域 性 ， 配 置 下 蜜 罐 ， 由 于 默 认 蜜 罐 账 户 密 码 均 为 r o o t ， 不 在 常 见 外 网 爆 破 攻 击 字 典 里 ， 所 以 后 续 很 多 攻 击 都 无 法 捕 捉 。 字 典 地 域 性 分 析 字 典 地 域 性 分 析 接 下 来 分 析 一 下 各 个 国 家 的 蜜 罐 收 集 到 的 字 典 差 异 ， 主 要 代 码 如 下 ： 得 到 的 结 果 如 下 ： 使 用   p y e c h a r t s   生 成 图 表 ，                 #   按 字 典 值 反 序 排 序 , 方 法 一                 u s e r   =   s o r t e d ( u s e r _ p w d _ d i c [ ' u s e r ' ] . i t e m s ( ) ,   k e y = l a m b d a   x : x [ 1 ] , r e v e r s e = T r u e )                 #   按 字 典 值 反 序 排 序 , 方 法 二                 p a s s w o r d   =   l i s t ( u s e r _ p w d _ d i c [ ' p w d ' ] . i t e m s ( ) )                 p a s s w o r d .         d e f   R e g i o n D i c ( s e l f ) :                 a g e n t _ s q l   =   " s e l e c t   a g e n t   f r o m   h f i s h _ i n f o "                 d a t a   =   s e l f . s q l . e x e c u t e ( a g e n t _ s q l ) . f e t c h a l l ( )                 a g e n t s   =   [ ]                 f o r   a g e n t   i n   l i s t ( s e t                         b a r   =   ( B a r ( o p t i o n s . I n i t O p t s ( w i d t h = ' 1 0 0 0 p x ' ,   h e i g h t = ' 5 0 0 p x ' ) )                                       . a d d _ x a x i s ( u _ p _ d i c )                                       . a d d _ y a x i s ( a g e n t ,   u _ p _ c o u n t )                                       . s e t _ g l o b a l _ o p t s (                                 t i t l e _ o p t s = o p t i o n s . T i t l e O p t s ( t i t l e = (
这 里 墙 裂 推 荐 直 接 看   p y e c h a r t s   官 方 文 档 ， 特 别 详 细 全 面 ， 不 要 搜 C S D N 里 面 的 博 客 ， 不 忍 吐 槽 某 些 博 文 。 因 为 收 集 时 间 不 长 ， 且 子 节 点 和 主 节 点 通 信 莫 名 中 断 ， 此 结 果 不 具 有 普 遍 性 。 这 里 只 是 简 单 提 取 攻 击 字 典 ， 并 没 有 做 更 深 入 分 析 ， 各 位 可 以 通 过 后 面 附 件 下 载 ， 自 行 分 析 。 后 面 会 根 据 字 典 的 地 域 性 ， 在 部 署 蜜 罐 的 时 候 ， 修 改 特 定 的 标 致 。 蜜 罐 检 测 蜜 罐 检 测 基 于 流 量 识 别 基 于 流 量 识 别 这 里 以 攻 击 者 在 内 网 ， 且 蜜 罐 是 以 分 布 式 部 署 情 况 作 为 示 例 ， 拓 扑 图 如 下 ： 使 用   t c p d u m p   d u m p 数 据 包 ， w i r e s h a r k   打 开 ， 可 以 看 到 子 节 点 和 主 节 点 之 间 的 通 信 以 明 文 传 输 ， 且 有 明 显 的 特 征 使 用 s c a p y   识 别 主 节 点 和 子 节 点 的 地 址 ， 主 要 代 码 如 下 存 在 问 题 的 代 码 在   / c o r e / r p c / c l i e n t / c l i e n t . g o
在 内 网 渗 透 过 程 中 ， 如 果 能 发 现 部 署 的 蜜 罐 ， 可 以 降 低 被 发 现 可 能 性 。 基 于 高 交 互 蜜 罐 返 回 内 容 识 别 基 于 高 交 互 蜜 罐 返 回 内 容 识 别 h f i s h   高 交 互 式 蜜 罐 是 根 据 特 征 字 符 回 显 ， 匹 配 的 规 则 有 限 ， 比 如 常 见 的 读 取   p a s s w d   通 常 使 用   c a t   / e t c / p a s s w d   ， 在 S S H 规 则 里 有 相 应 的 规 则 如 果 变 形 使 用 或 者 在 正 常 的   v p s   里 面 也 是 可 以 正 常 读 取 到   p a s s w d   的 内 容 ， 但 如 果 在 蜜 罐 里 面 ， 则 会 显 示 异 常 ， 未 修 改 配 置 的 情 况 下 是   t e s t   . 基 于 字 符 匹 配 的 规 则 ， 总 会 有 遗 漏 的 地 方 ， 可 以 尝 试 变 形 的 命 令 测 试 是 否 是 h f i s h 蜜 罐 。 高 交 互 式 蜜 罐 的 配 置 文 件 在 相 应 的   / l i b s / 蜜 罐 类 型 /   下 面 ， 默 认 d e f a u l t   值 在   / l i b s / 蜜 罐 类 型 / d e f a u l t . h f   。 c a t   / e t c / p a s s w d   & t a i l   / e t c / p a s s w d
基 于 管 理 端 口 返 回 内 容 识 别 基 于 管 理 端 口 返 回 内 容 识 别 这 个 很 好 理 解 了 ， 如 果 返 回 包 含 管 理 页 面 特 征 字 符 就 可 以 判 断 了 ， 这 里 就 直 接 给 出   P O C   了 。 非 授 权 接 口 获 取 信 息 非 授 权 接 口 获 取 信 息 问 题 代 码 在   / v i e w / u r l . g o   文 件 中 可 以 发 现 ， 这 里 连 身 份 鉴 别 都 没 作 ， 当 获 取 到 主 机 点 i p 及 端 口 后 ， 直 接 请 求 u r i ， 就 可 以 获 取 蜜 罐 捕 获 的 信 息 ， 从 而 分 析 蜜 罐 位 置 。 验 证 P O C ： h t t p : / / i p : p o r t / a p i / v 1 / g e t / i p h t t p : / / i p : p o r t / a p i / v 1 / g e t / f i s h _ i n f o
蜜 罐 攻 击 蜜 罐 攻 击 非 授 权 攻 击 非 授 权 攻 击 查 看 下 主 节 点 面 板 查 询 传 输 的 数 据 包 ， 用 户 认 证 是 通 过 后 ， i s _ l o g i n   的 值 就 是 登 陆 用 户 ， 也 就 是 说 我 们 可 以 直 接 爆 破 这 个 用 户 ， 绕 过 登 陆 ， 直 接 设 置 后 端 各 种 参 数 ， 比 如 将 报 警 参 数 置 为 空 。 对 应 的 问 题 源 码 在   / v i e w / l o g i n / v i e w . g o   里 更 新 报 警 邮 件 的 具 体 配 置 参 数 在   / v i e w / s e t t i n g / v i e w . g o   里 面 ， 禁 止 报 警   p o c   就 不 给 出 了 ， 可 自 行 查 看 对 应 参 数 。 存 储 型 存 储 型 X S S 这 个 漏 洞 是 某 位 不 愿 提 供 I D 大 佬 提 醒 的 （ 手 动 滑 稽 ） 。 因 为 这 漏 洞 是 后 台 展 示 的 原 因 ， 所 以 任 何 一 个 蜜 罐 都 可 以 触 发 这 个 漏 洞 ， 这 里 以   s s h   蜜 罐 演 示 。 使 用 如 下 p a y l o a d 连 接 s s h   ^ < s c r i p t ^ > a l e r t ^ ( 1 2 3 4 ^ ) ^ < ^ / s c r i p t ^ > @ 1 9 2 . 1 6 8 . 9 9 . 1 0 1   - p   2 2 2 2
我 使 用 的 是 w i n d o w 系 统 ， 需 要 用   ^   转 义 特 殊 字 符 提 交 之 后 ， 返 回   上 钩 列 表   ， 点 击 查 看 详 情 ， 可 以 看 到 成 功 执 行 x s s 。 特 性 化 配 置 特 性 化 配 置 这 里 以 攻 击 字 典 地 域 性 特 点 及 蜜 罐 检 测 中 的 交 互 式 返 回 内 容 缺 陷 ， 特 性 化 配 置 蜜 罐 。 根 据 地 域 ， 特 性 化 蜜 罐 配 置 根 据 地 域 ， 特 性 化 蜜 罐 配 置 将 用 户 名 、 密 码 修 改 为 统 计 的 字 典 出 现 频 率 最 高 的 值 。 咱 们 用 一 台 U b u n t u   的 v p s 测 试 一 下 ， 未 知 的 命 令 返 回 ： 也 就 是 说 ， 我 们 可 以 把 默 认 返 回 修 改 为 ” c o m m a n d   n o t   f o u n d ” 的 话 ， 可 以 稍 微 改 善 下 返 回 结 果 。 感 谢 三 斤 大 佬 解 惑 。 H F i s h   是 一 款 非 常 不 错 的 高 交 互 式 蜜 罐 ， 可 扩 展 性 好 ， 可 以 帮 忙 点 击 一 下   s t a r t ， 支 持 一 下 国 产 蜜 罐 。 H F i s h   g i t h u b H F i s h   d o c u m e n t 附 件 附 件 s q l i t e 数 据 库 H F i s h 数 据 分 享 g i t h u b 攻 击 用 户 名 字 典 攻 击 密 码 字 典 地 域 字 典 统 计 图 表 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c y k e r ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 #   替 换 密 码 和 用 户 名 s e t _ u s e r _ t p l   =   ' s e d   - i   " s / " a c c o u n t " :   " r o o t " / " a c c o u n t " :   " { } " / g "   % s ' % s s h _ c o n f _ p a t h s e t _ p w d _ t p l   =   ' s e d   - i   " s / " p a s s w o r d " :   " r o o t " / " p a s s w o r d 高 交 互 式 蜜 罐 默 认 返 回 修 改 高 交 互 式 蜜 罐 默 认 返 回 修 改 s e t _ d e f a u l t _ t p l   =   ' s e d   - i   " s / t e s t / :   c o m m a n d   n o t   f o u n d / g "   % s ' % s s h _ d e f a u l t _ p a t h 致 谢 致 谢
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理