设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21247] 2020-09-18_攻防演练中红队如何识别蜜罐保护自 ...
返回列表 发新帖
查看: 1|回复: 0

[21247] 2020-09-18_攻防演练中红队如何识别蜜罐保护自己

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-09-18_攻防演练中红队如何识别蜜罐保护自己 攻 防 演 练 中 红 队 如 何 识 别 蜜 罐 保 护 自 己 L e m o n S e c   2 0 2 0 - 0 9 - 1 8 * 本 文 作 者 ： 本 文 作 者 ： E l i n a 3 0 0 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 前 言       最 近 在 攻 防 演 练 中 经 常 会 遇 到 蜜 罐 ， 这 次 就 来 唠 唠 蜜 罐 。 最 近 在 攻 防 演 练 中 经 常 会 遇 到 蜜 罐 ， 这 次 就 来 唠 唠 蜜 罐 。 蜜 罐 是 对 攻 击 者 的 欺 骗 技 术 ， 用 以 监 视 、 检 测 、 分 析 和 溯 源 攻 击 行 为 ， 其 没 有 业 务 上 的 用 途 ， 所 有 流 入 / 流 出 蜜 罐 的 流 量 都 预 示 着 扫 描 或 者 攻 击 行 为 ， 因 此 可 以 比 较 好 的 聚 焦 于 攻 击 流 量 。 蜜 罐 可 以 实 现 对 攻 击 者 的 主 动 诱 捕 ， 能 够 详 细 地 记 录 攻 击 者 攻 击 过 程 中 的 许 多 痕 迹 ， 可 以 收 集 到 大 量 有 价 值 的 数 据 ， 如 病 毒 或 蠕 虫 的 源 码 、 黑 客 的 操 作 等 ， 从 而 便 于 提 供 丰 富 的 溯 源 数 据 。 但 是 蜜 罐 存 在 安 全 隐 患 ， 如 果 没 有 做 好 隔 离 ， 可 能 成 为 新 的 攻 击 源 。 一 、 蜜 罐 分 类 按 用 途 分 类 ， 蜜 罐 可 以 分 为 研 究 型 蜜 罐 和 产 品 型 蜜 罐 。 研 究 型 蜜 罐 一 般 是 用 于 研 究 各 类 网 络 威 胁 ， 寻 找 应 对 的 方 式 ， 不 增 加 特 定 组 织 的 安 全 性 。 产 品 型 蜜 罐 主 要 是 用 于 防 护 的 商 业 产 品 。 按 交 互 方 式 分 类 ， 蜜 罐 可 以 分 为 三 类 ， 低 交 互 式 蜜 罐 ， 中 交 互 式 蜜 罐 ， 高 交 互 式 蜜 罐 。 低 交 互 式 蜜 罐   ： 通 常 是 指 与 操 作 系 统 交 互 程 度 较 低 的 蜜 罐 系 统 ， 仅 开 放 一 些 简 单 的 服 务 或 端 口 ， 用 来 检 测 扫 描 和 连 接 ， 这 种 容 易 被 识 别 。 中 交 互 式 蜜 罐   ： 介 于 低 交 互 式 和 高 交 互 式 之 间 ， 能 够 模 拟 操 作 系 统 更 多 的 服 务 ， 让 攻 击 者 看 起 来 更 像 一 个 真 实 的 业 务 ， 从 而 对 它 发 动 攻 击 ， 这 样 蜜 罐 就 能 获 取 到 更 多 有 价 值 的 信 息 。 高 交 互 式   ： 指 的 是 与 操 作 系 统 交 互 很 高 的 蜜 罐 ， 它 会 提 供 一 个 更 真 实 的 环 境 ， 这 样 更 容 易 吸 引 入 侵 者 ， 有 利 于 掌 握 新 的 攻 击 手 法 和 类 型 ， 但 同 样 也 会 存 在 隐 患 ， 会 对 真 实 网 络 造 成 攻 击 。 常 见 的 比 较 优 秀 的 蜜 罐 ： H o n e y d ：   h t t p s : / / g i t h u b . c o m / D a t a S o f t / H o n e y d T - p o t   :   h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e 常 见 的 W E B 蜜 罐 ： H F I S H :   h t t p s : / / g i t h u b . c o m / h a c k l c x / H F i s h o p e n c a n a r y   w e b   :   h t t p s : / / g i t h u b . c o m / p 1 r 0 6 u 3 / o p e n c a n a r y _ w e b 评 分 较 高 的 蜜 罐 ： 研 究 的 过 程 中 ， 发 现 了 有 人 已 经 对 市 面 上 的 大 部 分 蜜 罐 进 行 了 测 试 和 评 分 ， 因 为 比 较 多 ， 下 面 列 举 出 排 名 前 五 名 的 蜜 罐 ： S h a d o w   D a e m o n ：   h t t p s : / / s h a d o w d . z e c u r e . o r g / o v e r v i e w / i n t r o d u c t i o n / 影 子 守 护 进 程 是 一 组 工 具 的 集 合 ， 用 于 检 测 、 记 录 和 阻 止 对 w e b 应 用 程 序 的 攻 击 。 从 技 术 上 讲 ， 影 子 守 护 进 程 是 一 个 w e b 应 用 程 序 防 火 墙 ， 它 拦 截 请 求 并 过 滤 恶 意 参 数 。 它 是 一 个 模 块 化 的 系 统 ， 将 w e b 应 用 程 序 、 分 析 和 接 口 分 离 开 来 ， 以 提 高 安 全 性 、 灵 活 性 和 可 扩 展 性 。 影 子 守 护 进 程 是 免 费 软 件 。 它 是 在 G P L v 2 许 可 下 发 布 的 ， 所 以 它 是 开 源 的 ， 每 个 人 都 可 以 检 查 、 修 改 和 分 发 代 码 。
  难 易 性 ★ ★ ★ ★ ☆ 可 用 性 ★ ★ ★ ★ ★ 展 示 性 ★ ★ ★ ★ ★ 交 互 性 ★ ★ ★ ★ ★ R D P y ：   h t t p s : / / g i t h u b . c o m / c i t r o n n e u r / r d p y R D P Y 是 M i c r o s o f t   R D P 远 程 桌 面 协 议 协 议 客 户 端 和 服 务 器 端 的 纯 P y t h o n 实 现 。 R D P Y 是 在 事 件 驱 动 的 网 络 引 擎 T w i s t e d 上 构 建 的 。 R D P Y 支 持 标 准 R D P 安 全 层 基 于 S S L 的 R D P 和 N L A 身 份 验 证 通 过 n t l m v 2 身 份 验 证 协 议 。 难 易 性 ★ ☆ ☆ ☆ ☆ 可 用 性 ★ ★ ★ ★ ★ 展 示 性 ★ ★ ★ ★ ★ 交 互 性 ★ ★ ★ ★ ★ s n a r e 这 个 蜜 罐 是 复 制 别 人 网 站 的 源 码 程 序 原 理 跟 钓 鱼 网 站 差 不 多 难 易 性 ★ ★ ☆ ☆ ☆ 可 用 性 ★ ★ ★ ★ ★ 展 示 性 ★ ★ ★ ★ ★ 交 互 性 ★ ★ ★ ★ ☆ d j a n g o - a d m i n - h o n e y p o t
难 易 性 ★ ☆ ☆ ☆ ☆ 可 用 性 ★ ★ ★ ★ ★ 展 示 性 ★ ★ ★ ★ ★ 交 互 性 ★ ★ ★ ★ ☆ A r t i l l e r y   ：   h t t p s : / / g i t h u b . c o m / t r u s t e d s e c / a r t i l l e r y / 开 源 蓝 队 工 具 ， 旨 在 通 过 多 种 办 法 保 护   L i n u x   和   W i n d o w s   操 作 系 统 。 难 易 性 ★ ☆ ☆ ☆ ☆ 可 用 性 ★ ★ ★ ★ ★ 展 示 性 ★ ★ ★ ★ ★ 交 互 性 ★ ★ ★ ★ ☆ 二 、 如 何 识 别 攻 击 者 也 会 尝 试 对 蜜 罐 进 行 识 别 。 比 较 容 易 的 识 别 的 是 低 交 互 的 蜜 罐 ， 尝 试 一 些 比 较 复 杂 且 少 见 的 操 作 能 比 较 容 易 的 识 别 低 交 互 的 蜜 罐 。 相 对 困 难 的 是 高 交 互 蜜 罐 的 识 别 ， 因 为 高 交 互 蜜 罐 通 常 以 真 实 系 统 为 基 础 来 构 建 ， 和 真 实 系 统 比 较 近 似 。 对 这 种 情 况 ， 通 常 会 基 于 虚 拟 文 件 系 统 和 注 册 表 的 信 息 、 内 存 分 配 特 征 、 硬 件 特 征 、 特 殊 指 令 等 来 识 别 。 我 们 可 以 通 过 以 下 方 式 去 做 蜜 罐 识 别 ： 1 .   B O F 的 识 别 ； B O F （ B a c k   O f f i c e r   F r i e n d l y ） 2 .   假 代 理 技 术 ， 关 注 H o n e y p o t   H u n t e r 软 件 ； 3 .   H o n e y d 的 识 别 ； 4 .   利 用 S e b e k 识 别 蜜 网 ， 第 二 、 三 代 蜜 网 都 有 这 个 软 件 ；
5 .   T a r p i t s 的 识 别 ； 6 .   外 联 数 据 控 制 识 别 ， 一 般 蜜 罐 会 严 格 限 制 系 统 向 外 的 流 量 ； 7 .   识 别 V M w a r e 虚 拟 机 ， 重 点 关 注 M A C 地 址 的 范 围 8 .   用 N m a p 等 S c a n 工 具 ， 同 一 个 机 器 同 时 开 放 很 多 P o r t 的 。 9 .   因 为 很 多 蜜 罐 都 设 置 在 相 同 或 临 近 的 网 段 。 所 以 ， 同 一 个 网 段 （ e . g .   ／ 2 4 ） ， 很 多 机 器 都 开 放 相 同 的 P o r t ， 回 应 相 似 的 R e s p o n s e 。 1 0 .   去 S h o d a n ／ C e n s y s 查 三 、 常 见 蜜 罐 展 示 1 . 无 交 互 蜜 罐 :   只 针 对 网 络 批 量 扫 描 器 通 过 释 放 大 量 指 纹 诱 导 扫 描 器 攻 击 h t t p : / / 1 2 1 . 1 9 6 . 5 2 . 0 : 8 8 / h t t p : / / 4 7 . 1 1 0 . 6 6 . 6 4 : 5 5 6 0 / 可 以 发 现 此 w e b 有 许 多 组 件   ， 右 键 查 看 源 代 码 ， 可 以 发 现 如 下 内 容 ：
  2 . 低 交 互 蜜 罐 低 交 互 蜜 罐 :   H F I S H   ( 被 动 被 动 / 主 动 收 集 信 息 主 动 收 集 信 息 ) h t t p s : / / g i t h u b . c o m / h a c k l c x / H F i s h 页 面 展 示 如 下 ,   一 般 开 放 在 9 0 0 1 端 口 ,   查 询 t i t l e   " H F i s h   -   扩 展 企 业 安 全 测 试 主 动 诱 导 型 开 源 蜜 罐 框 架 系 统 " ,   可 以 检 索 到 一 部 分 开 放 在 公 网 的 h t t p : / / 1 8 2 . 9 2 . 1 5 7 . 1 7 8 : 9 0 0 1 / l o g i n
一 般 用 户 拿 来 使 用 的 时 候 也 不 会 进 行 修 改 ,   所 以 很 好 识 别 而 且 由 于 秘 钥 硬 编 码 ,   攻 击 者 可 以 直 接 利 用 默 认 配 置 中 的 k e y 访 问 日 志 信 息 ， 反 日 蜜 罐 。 比 如 ：   h t t p : / / l o c a l h o s t : 9 0 0 1 / a p i / v 1 / g e t / p a s s w d _ l i s t ? k e y = X 8 5 e 2 b a 2 6 5 d 9 6 5 b 1 9 2 9 1 4 8 d 0 f 0 e 3 3 1 3 3 另 外 其 它 的   A P I 可 以 见 官 方   D o c u m e n t   说 明   ：   h t t p s : / / h f i s h . i o / d o c s / # / h e l p / a p i                 还 有 其 它 的 一 些 地 址 ： 1 8 2 . 9 2 . 1 5 7 . 1 7 8 : 9 0 0 1 / a p i / v 1 / g e t / f i s h _ i n f o ? k e y = X 8 5 e 2 b a 2 6 5 d 9 6 5 b 1 9 2 9 1 4 8 d 0 f 0 e 3 3 1 3 3 h t t p : / / 1 8 2 . 9 2 . 1 5 7 . 1 7 8 : 9 0 0 1 / a p i / v 1 / g e t / f i s h _ i n f o ? k e y = X 8 5 e 2 b a 2 6 5 d 9 6 5 b 1 9 2 9 1 4 8 d 0 f 0 e 3 3 1 3 3 h t t p : / / 1 8 2 . 9 2 . 1 5 7 . 1 7 8 : 9 0 0 1 / a p i / v 1 / g e t / p a s s w d _ l i s t ? k e y = X 8 5 e 2 b a 2 6 5 d 9 6 5 b 1 9 2 9 1 4 8 d 0 f 0 e 3 3 1 3 3 h t t p : / / 1 8 2 . 9 2 . 1 5 7 . 1 7 8 : 9 0 0 1 / a p i / v 1 / g e t / i p ? k e y = X 8 5 e 2 b a 2 6 5 d 9 6 5 b 1 9 2 9 1 4 8 d 0 f 0 e 3 3 1 3 3 3 . 高 交 互 蜜 罐 :   真 实 环 境 部 署 探 针 通 过 在 真 实 环 境 安 插 探 针 ,   保 留 原 有 业 务 功 能 的 情 况 下 ,   也 可 以 获 取 攻 击 者 信 息 h t t p : / / 6 1 . 5 0 . 1 3 4 . 2 3 4 : 8 0 8 0 / w w w

H W 平 安 夜 :   0 9 / 1 2   漏 洞 P A Y l O A D H W 平 安 夜 :   0 9 / 1 4   漏 洞 P A Y l O A D H W 平 安 夜 :   0 9 / 1 5     红 队 渗 透 手 册 之 弹 药 篇 2 0 2 0 H W 小 技 巧 总 结 （ 献 上 本 人 收 藏 多 年 的 子 域 名 字 典 ） 2 0 2 0 H W 红 方 漏 洞 利 用 总 结 （ 一 ） 2 0 2 0 H W 红 方 漏 洞 利 用 总 结 （ 二 ） 红 队 渗 透 手 册 之 信 息 收 集 篇 H W 演 习 前 的 自 我 信 息 排 查 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:45 , Processed in 0.435146 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表