搜索

[13017] 2018-08-03_基于Docker的蜜罐平台搭建：T-Pot17.10

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2018-08-03_基于Docker的蜜罐平台搭建：T-Pot17.10 基 于 D o c k e r 的 蜜 罐 平 台 搭 建 ： T - P o t   1 7 . 1 0 原 创   枫 夜 丶   F r e e B u f   2 0 1 8 - 0 8 - 0 3 * 本 文 作 者 ： 枫 夜 丶 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 这 几 年 随 着 威 胁 情 报 的 成 熟 ， 蜜 罐 技 术 被 关 注 的 越 来 越 多 ， 也 渐 形 成 低 交 互 、 中 交 互 、 高 交 互 等 交 互 程 度 的 各 类 蜜 罐 ， 从 w e b 业 务 蜜 罐 、 s s h 应 用 蜜 罐 、 网 络 协 议 栈 蜜 罐 到 系 统 主 机 型 蜜 罐 的 各 功 能 型 蜜 罐 。 小 到 一 个 w o r d 文 档 的 蜜 标 ， 到 一 个 系 统 级 的 服 务 蜜 罐 ， 再 到 多 功 能 蜜 罐 组 成 的 蜜 网 ， 大 到 包 含 流 控 制 重 定 向 分 布 式 蜜 网 组 成 的 蜜 场 。 随 着 虚 拟 化 技 术 的 发 展 ， 各 种 虚 拟 蜜 罐 也 得 到 发 展 ， 可 以 通 过 虚 拟 机 来 实 现 高 交 互 蜜 罐 ， 以 及 通 过 d o c k e r 实 现 的 业 务 型 蜜 罐 ， 不 再 像 是 以 前 需 要 昂 贵 硬 件 设 备 的 部 署 支 撑 ， 这 也 大 大 减 少 了 蜜 罐 的 部 署 成 本 ， 一 台 主 机 就 可 以 实 现 整 个 集 数 据 控 制 ， 数 据 捕 获 和 数 据 分 析 于 一 体 多 功 能 多 蜜 罐 高 交 互 蜜 网 的 体 系 架 构 。 也 已 经 产 生 了 一 些 不 错 的 开 源 蜜 罐 产 品 或 项 目 ， 比 如   M H N ( 现 代 蜜 网 ) 、 H o n e y p o t P r o j e c t 。   M H N   现 代 蜜 网 简 化 了 蜜 罐 的 部 署 ， 集 成 了 多 种 蜜 罐 的 安 装 脚 本 ， 可 以 快 速 部 署 、 使 用 ， 也 能 够 快 速 的 从 节 点 收 集 数 据 。 国 外 也 有 很 多 公 司 做 基 于 蜜 罐 的 欺 骗 技 术 产 品 创 新 。 蜜 罐 高 保 真 高 质 量 的 数 据 集 把 安 全 人 员 从 以 前 海 量 日 志 分 析 的 繁 琐 过 程 中 解 脱 出 来 ， 对 于 蜜 罐 的 连 接 蜜 罐 高 保 真 高 质 量 的 数 据 集 把 安 全 人 员 从 以 前 海 量 日 志 分 析 的 繁 琐 过 程 中 解 脱 出 来 ， 对 于 蜜 罐 的 连 接 访 问 都 是 攻 击 信 息 ， 并 且 不 再 像 以 前 的 特 征 分 析 具 有 一 定 的 滞 后 性 ， 可 以 用 于 捕 获 新 型 的 攻 击 和 方 访 问 都 是 攻 击 信 息 ， 并 且 不 再 像 以 前 的 特 征 分 析 具 有 一 定 的 滞 后 性 ， 可 以 用 于 捕 获 新 型 的 攻 击 和 方 法 。 法 。 前 段 时 间 作 者 就 通 过 高 交 互 蜜 罐 捕 获 了 s s h 自 动 化 爆 破 工 具 ， 能 够 针 对 整 个 互 联 网 进 行 爆 破 尝 试 ， 并 能 够 自 动 识 别 某 些 低 交 互 蜜 罐 。 现 在 各 功 能 蜜 罐 这 么 多 ， 虽 然 M H N 简 化 了 各 蜜 罐 的 部 署 过 程 ， 但 还 是 需 要 手 动 安 装 多 个 系 统 s e n s o r 来 实 现 多 个 不 同 蜜 罐 。 在 蜜 罐 的 研 究 过 程 中 ， 有 没 有 一 个 提 供 能 更 简 单 方 便 的 平 台 实 现 我 们 对 蜜 罐 的 研 究 与 使 用 。 以 上 内 容 摘 录 自   F r e e b u f . c o m   失 路 之 人 失 路 之 人   的 文 章   T - P o t 多 蜜 罐 平 台 ： 让 蜜 罐 实 现 更 简 单 他 的 文 章 介 绍 了 T - P o t 1 6 . 1 0 ， 目 前 该 蜜 罐 已 更 新 到 T - P o t 1 7 . 1 0 。 安 装 一 次 系 统 ， 就 可 以 轻 松 使 用 里 面 多 种 蜜 罐 ， 安 装 一 次 系 统 ， 就 可 以 轻 松 使 用 里 面 多 种 蜜 罐 ，   并 并 且 提 供 良 好 的 可 视 化 。 且 提 供 良 好 的 可 视 化 。   官 方 英 文 介 绍 ： h t t p : / / d t a g - d e v - s e c . g i t h u b . i o / m e d i a t o r / f e a t u r e / 2 0 1 7 / 1 1 / 0 7 / t - p o t - 1 7 . 1 0 . h t m l   本 文 对 本 文 对 T - P o t 1 7 . 1 0 进 行 简 要 介 绍 ， 并 讲 讲 我 在 安 装 该 平 台 时 遇 到 的 坑 和 坑 和 坑 ， 希 望 对 大 家 有 帮 助 。 进 行 简 要 介 绍 ， 并 讲 讲 我 在 安 装 该 平 台 时 遇 到 的 坑 和 坑 和 坑 ， 希 望 对 大 家 有 帮 助 。 T - P o t 1 7 . 1 0 开 源 多 蜜 罐 平 台 开 源 多 蜜 罐 平 台
T - P o t 1 7 . 1 0 基 于 U b u n t u   S e r v e r   1 6 . 0 4 . x   L T S 的 一 个 蜜 罐 平 台 。   蜜 罐 程 序 以 及 正 在 使 用 的 其 他 支 持 组 件 使 用 d o c k e r 进 行 了 容 器 化 。   我 们 可 以 在 同 一 台 设 备 上 运 行 多 个 蜜 罐 进 程 ， 每 个 蜜 罐 占 用 的 空 间 较 小 并 限 制 在 蜜 罐 自 己 的 环 境 中 运 行 。 该 平 台 的 架 构 图 如 下 ： 在 T - P o t 1 7 . 1 0 中 ， 作 者 将 d o c k e r 容 器 化 后 的 蜜 罐 、 E L K 数 据 日 志 平 台 、 几 个 管 理 工 具 整 合 了 到 一 个 平 台 中 。 总 结 来 说 ， 该 平 台 整 合 了 以 下 d o c k e r 容 器 ： c o n p o t ： 低 交 互 工 控 蜜 罐 ， 提 供 一 系 列 通 用 工 业 控 制 协 议 ,   能 够 模 拟 复 杂 的 工 控 基 础 设 施 。 c o w r i e ： 基 于 k i p p o 更 改 的 中 交 互 s s h 蜜 罐 ,   可 以 对 暴 力 攻 击 账 号 密 码 等 记 录 ， 并 提 供 伪 造 的 文 件 系 统 环 境 记 录 黑 客 操 作 行 为 ,   并 保 存 通 过 w g e t / c u r l 下 载 的 文 件 以 及 通 过 S F T P 、 S C P 上 传 的 文 件 。 d i o n a e a ： D i o n a e a 是 运 行 于 L i n u x 上 的 一 个 应 用 程 序 ， 将 程 序 运 行 于 网 络 环 境 下 ， 它 开 放 I n t e r n e t 常 见 服 务 的 默 认 端 口 ， 当 有 外 来 连 接 时 ， 模 拟 正 常 服 务 给 予 反 馈 ， 同 时 记 录 下 出 入 网 络 数 据 流 。 网 络 数 据 流 经 由 检 测 模
块 检 测 后 按 类 别 进 行 处 理 ， 如 果 有   s h e l l c o d e   则 进 行 仿 真 执 行 ； 程 序 会 自 动 下 载   s h e l l c o d e   中 指 定 或 后 续 攻 击 命 令 指 定 下 载 的 恶 意 文 件 。 e l a s t i c p o t ： 模 拟 e l a s t c i s e a r c h   R C E 漏 洞 的 蜜 罐 ， 通 过 伪 造 函 数 在 / , / s e a r c h ,   / n o d e s 的 请 求 上 回 应 脆 弱 E S 实 例 的 J S O N 格 式 消 息 。 e l k - s t a c k ： E L K 架 构 ， 可 以 同 时 实 现 日 志 收 集 、 日 志 搜 索 和 日 志 分 析 的 功 能 。 e m o b i l i t y ： K i b a n a 可 视 化 的 插 件 ， 能 建 立 更 美 观 的 D a s h b o a r d 。 e w s p o s t e r ： 数 据 分 析 工 具 e w s p o s t e r ， 将 蜜 罐 数 据 进 行 关 联 。 g l a s t o p f ： 低 交 互 型 W e b 应 用 蜜 罐 ,   G l a s t o p f 蜜 罐 它 能 够 模 拟 成 千 上 万 的 w e b 漏 洞 ， 针 对 攻 击 的 不 同 攻 击 手 段 来 回 应 攻 击 者 ， 然 后 从 对 目 标 W e b 应 用 程 序 的 攻 击 过 程 中 收 集 数 据 。 它 的 目 标 是 针 对 自 动 化 漏 洞 扫 描 / 利 用 工 具 ， 通 过 对 漏 洞 利 用 方 式 进 行 归 类 ， 针 对 某 一 类 的 利 用 方 式 返 回 对 应 的 合 理 结 果 ， 以 此 实 现 低 交 互 。 h o n e y t r a p ： 观 察 针 对 T C P 或 U D P 服 务 的 攻 击 ， 作 为 一 个 守 护 程 序 模 拟 一 些 知 名 的 服 务 ， 并 能 够 分 析 攻 击 字 符 串 ， 执 行 相 应 的 下 载 文 件 指 令 。 m a i l o n e y ： S M T P 的 蜜 罐 。 n e t d a t a ： w e b 端 设 备 性 能 的 实 时 监 控 工 具 。 p o r t a i n e r ： w e b 端 d o c k e r 容 器 管 理 工 具 。 r d p y ： p y t h o n 搭 建 的 远 程 桌 面 蜜 罐 。 s p i d e r f o o t ： w e b 端 的 一 个 自 动 化 爬 虫 工 具 。 s u r i c a t a   &   p 0 f ： 网 络 安 全 监 控 引 擎 和 指 纹 识 别 系 统 。 v n c l o w p o t ： v n c 服 务 的 低 交 互 蜜 罐 。 W e t t y ： w e b 端 的 S S H 控 制 台 。 美 观 的 统 计 界 面 美 观 的 统 计 界 面 K i b a n a   D a s h B o a r d   界 面 图 ：
E S   h e a d   界 面 图 ： N e t d a t a   性 能 监 控 界 面 图 ：
D o c k e r 管 理 界 面 图 ： S p i d e r F o o t 界 面 图 ：
监 听 的 端 口 监 听 的 端 口 T - P o t 1 7 . 1 0 蜜 罐 平 台 监 听 了 大 部 分 常 见 的 端 口 ， 进 行 蜜 罐 数 据 的 捕 获 。 详 细 的 d o c k e r 端 口 映 射 如 下 图 所 示 ：
安 装 与 配 置 流 程 安 装 与 配 置 流 程 该 平 台 需 要 满 足 硬 件 要 求 ： 该 平 台 需 要 满 足 硬 件 要 求 ：   T - P o t   安 装 需 要 至 少 安 装 需 要 至 少 4 G   内 存 ， 内 存 ，   6 4 G   磁 盘 空 间 ， 磁 盘 空 间 ，   并 且 联 网 。 并 且 联 网 。 官 网 提 供 了 两 种 T - P o t 的 安 装 方 式 ， 这 里 默 认 在 虚 拟 机 环 境 安 装 。 在 物 理 机 上 安 装 类 似 。 1 、 I S O 镜 像 网 络 安 装 。 直 接 丢 进 虚 拟 机 即 可 。 2 、 虚 拟 机 安 装 好 U b u n t u   S e r v e r   1 6 . 0 4 . x   L T S 后 ， 运 行 官 网 提 供 的 自 动 安 装 s h e l l 脚 本 即 可 。 这 里 强 烈 建 议 使 用 第 二 种 方 式 进 行 安 装 使 用 第 二 种 方 式 进 行 安 装 。 主 要 原 因 是 该 平 台 需 要 从 U b u n t u 源 、 g i t h u b 和 d o c k e r 等 仓 库 下 载 文 件 。 如 果 网 络 不 稳 ， 很 大 概 率 会 失 败 。 I S O 是 网 络 安 装 的 镜 像 ， 除 非 保 证 自 己 网 络 很 流 畅 ， 否 则 基 本 上 会 安 装 失 败 。 就 算 安 装 成 功 ， 耗 费 的 时 间 也 远 大 于 安 装 好 U b u n t u 之 后 再 安 装 T - P o t 1 7 . 1 0 平 台 。
并 且 自 动 安 装 脚 本 就 算 安 装 失 败 了 ， 还 可 以 重 新 运 行 脚 本 ， 容 错 性 较 大 。 还 可 以 将 已 执 行 的 代 码 注 释 掉 ， 大 大 提 高 安 装 的 效 率 。 也 方 便 追 踪 安 装 进 度 。 所 以 强 烈 建 议 使 用 自 动 安 装 脚 本 进 行 安 装 所 以 强 烈 建 议 使 用 自 动 安 装 脚 本 进 行 安 装 。 本 人 偷 懒 用 I S O 安 装 ， 装 了 一 个 晚 上 ， 还 是 不 完 整 的 系 统 。 自 动 安 装 自 动 安 装 s h e l l 脚 本 脚 本   i n s t a l l . s h 虽 说 自 动 安 装 s h e l l 脚 本 的 安 装 方 式 比 较 简 单 ， 但 是 坑 还 是 很 多 的 。 比 如 删 除 n g i n x 服 务 器 的 默 认 页 面 ， 如 果 第 一 次 安 装 不 成 功 ， 第 二 次 安 装 就 会 因 为 n g i n x 默 认 页 面 而 报 错 。 本 人 一 开 始 每 次 运 行 i n s t a l l . s h 还 要 t o u c h 创 建 3 个 文 件 。 下 面 先 介 绍 下 详 细 流 程 。 基 本 流 程 基 本 流 程 1 、 准 备 普 通 用 户 ， 并 为 普 通 用 户 创 建 公 私 钥 ， 用 于 密 钥 登 录 。 以 普 通 用 户 z 为 例 创 建 R S A 密 钥 对 添 加 公 钥 保 存 私 钥 / h o m e / z / . s s h / i d _ r s a   文 件 ， 用 于 后 面 的 登 录 。 2 、 以 r o o t 用 户 运 行 i n s t a l l . s h ， 之 后 按 提 示 操 作 即 可 。 z @ u b u n t u : ~ $   s s h - k e y g e n   - t   r s a z @ u b u n t u : ~ $   c a t   / h o m e / z / . s s h / i d _ r s a . p u b   > >   / h o m e / z / . s s h / a u t h o r i z e d _ k e y s
安 装 中 遇 到 的 坑 和 坑 和 坑 安 装 中 遇 到 的 坑 和 坑 和 坑 1 、 如 果 安 装 失 败 ， 需 要 重 新 安 装 ， 需 要 删 除 i n s t a l l . s h 产 生 的 日 志 文 件 ： i n s t a l l . e r r 和 i n s t a l l . l o g ， 才 能 再 次 运 行 脚 本 。 2 、 a p t - g e t   i n s t a l l   下 载 一 些 必 要 软 件 时 链 接 失 败 。 解 决 方 法 ： 更 新 a p t 源 。 本 人 改 成 了 1 6 3 源 。 3 、 p y t h o n 更 新 p i p 后 ， 报 没 找 到 m a i n 函 数 错 。 解 决 方 法 ： 重 启 安 装 脚 本 或 在 运 行 i n s t a l l . s h 之 前 先 更 新 好 p i p 。 4 、 脚 本 执 行 过 一 次 n g i n x 已 删 除 默 认 页 面 后 ， 再 次 运 行 显 示 无 默 认 页 面 ， 报 错 退 出 。 解 决 方 法 ： 新 建 这 三 个 文 件 。 简 单 粗 暴 但 是 麻 烦 。 5 、 p i p   i n s t a l l   安 装 d o c k e r - c o m p o s e 或 e l a s t i c s e a r c h - c u r a t o r 因 网 络 问 题 失 败 。 这 个 问 题 本 人 曾 经 尝 试 用 清 华 源 来 解 决 ， 结 果 失 败 了 。 清 华 源 中 没 有 这 两 个 包 。 解 决 方 法 ： 运 行 i n s t a l l . s h 前 先 安 装 好 d o c k e r - c o m p o s e 和 e l a s t i c s e a r c h - c u r a t o r 如 果 网 络 实 在 太 差 ， 无 法 下 载 ， 下 载 安 装 包 进 行 安 装 ： 本 人 在 安 装 过 程 中 遇 到 了 以 上 坑 ， 这 些 坑 和 K V M 的 端 口 转 发 折 腾 了 我 两 天 多 。 这 些 坑 或 许 有 更 好 的 解 决 方 法 ， 但 是 本 人 能 力 有 限 ， 基 本 使 用 了 最 为 简 单 粗 暴 的 解 决 办 法 。 针 对 中 国 区 修 改 针 对 中 国 区 修 改 i n s t a l l . s h 针 对 以 上 坑 和 坑 和 坑 ， 本 人 对 i n s t a l l . s h 脚 本 进 行 了 修 改 ， 添 加 了 中 国 源 ， 基 本 解 决 以 上 方 法 。 感 谢 h t t p s : / / g i t h u b . c o m / n 3 u z / t - p o t - a u t o i n s t a l l 提 供 的 加 速 思 路 ， n 3 u z 大 牛 未 更 新 到 1 7 . 1 0 版 本 ， 本 人 根 据 他 的 思 路 进 行 了 1 7 . 1 0 版 本 i n s t a l l . s h 脚 本 的 修 改 。 g i t 链 接 如 下 ： h t t p s : / / g i t h u b . c o m / P a n j k s / t - p o t - a u t o i n s t a l l 由 于 的 w h l 文 件 找 不 到 了 ， 所 以 提 供 了 库 的 源 代 码 。 小 白 第 一 次 发 文 ， 表 述 不 清 的 地 方 请 各 位 大 佬 指 出 。 * 本 文 作 者 ： 枫 夜 丶 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 e l a s t i c s e a r c h - c u r a t o r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理