搜索

[21707] 2021-02-24_蜜罐网络（开源汇总）MHN

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-02-24_蜜罐网络（开源汇总）MHN 蜜 罐 网 络 （ 开 源 汇 总 ） M H N L e m o n S e c   2 0 2 1 - 0 2 - 2 4 0 x 0 0   前 言 前 言                 这 篇 文 章 中 ， 主 要 讨 论 蜜 罐 和 蜜 罐 网 络 ， 以 及 如 何 使 用 它 们 保 护 真 实 的 系 统 ， 我 们 称 之 为 这 个 系 统 为 M H N ( M o d e r n H o n e y   N e t w o r k ， 现 代 蜜 网 ) ， 它 可 以 快 速 部 署 、 使 用 ， 也 能 够 快 速 的 从 节 点 收 集 数 据 。 0 x 0 1   什 么 是 蜜 罐 什 么 是 蜜 罐                 蜜 罐 是 存 在 漏 洞 的 ， 暴 露 在 外 网 或 者 内 网 的 一 个 虚 假 的 机 器 , 具 有 以 下 这 些 特 征 ：                 1 . 其 中 重 要 的 一 点 机 器 是 虚 假 的 ， 攻 击 者 需 要 花 费 时 间 攻 破 。 在 这 段 时 间 内 ， 系 统 管 理 员 能 够 锁 定 攻 击 者 同 时 保 护 真 正 的 机 器 。                 2 . 能 够 学 习 攻 击 者 针 对 该 服 务 的 攻 击 技 巧 和 利 用 代 码 。                 3 . 一 些 蜜 罐 能 够 捕 获 恶 意 软 件 ， 利 用 代 码 等 等 ， 能 够 捕 获 攻 击 者 的 0 d a y , 同 时 可 以 帮 助 逆 向 工 程 师 通 过 分 析 捕 获 的 恶 意 软 件 来 提 高 自 身 系 统 的 安 全 性                 4 . 在 内 网 中 部 署 的 蜜 罐 可 以 帮 助 你 发 现 内 网 中 其 他 机 器 可 能 存 在 的 漏 洞 。 蜜 罐 是 把 双 刃 剑 ， 如 果 不 能 正 确 的 使 用 ， 有 可 能 遭 受 更 多 的 攻 击 ， 模 拟 服 务 的 软 件 存 在 问 题 ， 也 会 产 生 新 的 漏 洞 。 蜜 罐 分 为 几 下 几 类 ：                 １ ． 低 交 互 式 ： 低 交 互 式 模 拟 常 规 的 服 务 ， 服 务 存 在 漏 洞 ， 但 是 模 拟 的 这 些 漏 洞 无 法 被 利 用 ， 开 发 和 维 护 这 种 类 型 的 蜜 罐 比 较 容 易 。                 ２ ． 高 交 互 式 ： 高 交 互 式 使 用 的 是 真 实 的 服 务 ， 有 助 于 发 现 服 务 存 在 的 新 漏 洞 ， 同 时 能 够 记 录 所 有 的 攻 击 ， 但 是 ， 部 署 困 难 、 维 护 成 本 高 ， 一 旦 服 务 上 存 在 的 漏 洞 被 利 用 ， 容 易 引 发 新 的 安 全 问 题 。                 ３ ． 粘 性 蜜 罐 ( T a r p i t s ) ： 这 种 类 型 的 蜜 罐 ， 使 用 新 的 I P 来 生 成 新 的 虚 拟 机 ， 模 拟 存 在 服 务 的 漏 洞 ， 来 做 诱 饵 。 因 此 攻 击 者 会 花 费 长 时 间 来 攻 击 ， 就 有 足 够 的 时 间 来 处 理 攻 击 ， 同 时 锁 定 攻 击 者 。                 还 有 其 他 类 型 的 蜜 罐 ， 比 如 专 门 捕 获 恶 意 软 件 的 ， 数 据 库 漏 洞 利 用 程 序 和 垃 圾 邮 件 等 等 。 当 部 署 两 个 或 者 两 个 以 上 蜜 罐 时 可 以 称 之 为 蜜 网 。 0 x 0 2   现 代 密 网 现 代 密 网 ( M H N )                 M H N 是 一 个 开 源 软 件 ， 它 简 化 了 蜜 罐 的 部 署 ， 同 时 便 于 收 集 和 统 计 蜜 罐 的 数 据 。 用     T h r e a t S t r e a m （ h t t p : / / t h r e a t s t r e a m . g i t h u b . i o / m h n / ） 来 部 署 ， M H N 使 用 开 源 蜜 罐 来 收 集 数 据 ， 整 理 后 保 存 在 M o n g o d b 中 ， 收 集 到 的 信 息 也 可 以 通 过 w e b 接 口 来 展 示 或 者 通 过 开 发 的 A P I 访 问 。                 M H N 能 够 提 供 多 种 开 源 的 蜜 罐 ， 可 以 通 过 w e b 接 口 来 添 加 他 们 。 一 个 蜜 罐 的 部 署 过 程 很 简 单 ， 只 需 要 粘 贴 ， 复 制 一 些 命 令 就 可 以 完 成 部 署 ， 部 署 完 成 后 ， 可 以 通 过 开 源 的 协 议 h p f e e d s 来 收 集 的 信 息 。                 M H N 支 持 以 下 蜜 罐 ：
1 . S o r t : h t t p s : / / w w w . s n o r t . o r g / 2 . S u r i c a t a : h t t p : / / s u r i c a t a - i d s . o r g / + 3 . D i o n a e a : h t t p : / / d i o n a e a . c a r n i v o r e . i t / , 它 是 一 个 低 交 互 式 的 蜜 罐 ， 能 够 模 拟 M S S Q L ,   S I P ,   H T T P ,   F T P ,   T F T P 等 服 务   d r o p s 中 有 一 篇 介 绍 ： h t t p : / / d r o p s . w o o y u n . o r g / p a p e r s / 4 5 8 4 * 4 . C o n p o t : h t t p : / / c o n p o t . o r g / * 5 . K i p p o : h t t p s : / / g i t h u b . c o m / d e s a s t e r / k i p p o ， 它 是 一 个 中 等 交 互 的 蜜 罐 ， 能 够 下 载 任 意 文 件 。 d r o p s 中 有 一 篇 介 绍 ： h t t p : / / d r o p s . w o o y u n . o r g / p a p e r s / 4 5 7 8 6 . A m u n : h t t p : / / a m u n h o n e y . s o u r c e f o r g e . n e t / ， 它 是 一 个 低 交 互 式 蜜 罐 ， 但 是 已 经 从 2 0 1 2 年 之 后 不 在 维 护 了 。 * 7 . G l a s t o p f ： h t t p : / / g l a s t o p f . o r g / * 8 . W o r d p o t ： h t t p s : / / g i t h u b . c o m / g b r i n d i s i / w o r d p o t + 9 . S h o c k P o t ： h t t p s : / / g i t h u b . c o m / t h r e a t s t r e a m / s h o c k p o t ， 模 拟 的 C V E - 2 0 1 4 - 6 2 7 1 ， 即 破 壳 漏 洞 * 1 0 . p 0 f ： h t t p s : / / g i t h u b . c o m / p 0 f / p 0 f 0 x 0 3   M H N 的 硬 件 要 求 的 硬 件 要 求 M H N 服 务 器 ： 蜜 罐 ：                 具 体 部 署 时 取 决 以 蜜 罐 所 在 的 位 置 ， 在 防 火 墙 后 面 或 者 在 直 接 暴 露 在 互 联 网 上 ， 被 攻 击 次 数 不 同 ， 消 耗 的 资 源 肯 定 也 不 同 。 如 果 只 是 测 试 着 玩 2 5 6 M 的 内 存 就 足 够 了 。 0 x 0 4   M H N 的 安 装 的 安 装                 因 为 T h r e a t S t r e a m 有 部 署 脚 本 ， 所 以 安 装 M H N 很 简 单 ， 我 们 在 只 安 装 了 O p e n S S H 的 U b u n t u   1 4 . 0 4   L T S   ( 6 4   b i t s ) 上 进 行 测 试 ， 安 装 步 骤 如 下 ： 新 版 本 中 已 经 做 了 修 改 ， 安 装 前 可 以 做 一 下 检 查 4   G B   R a m D u a l   C o r e   P r o c e s s o r 4 0   G b   D r i v e 5 1 2   M b   –   1   G b D u a l   C o r e   C P U 2 0   G b   D r i v e # ! b a s h s u d o   a p t - g e t   u p d a t e   & &   s u d o   a p t - g e t   u p g r a d e s u d o   a p t - g e t   i n s t a l l   g i t c d   / o p t s u d o   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t h r e a t s t r e a m / m h n c d   / o p t / m h n / s c r i p t s
找 到 修 改 C H A N N E L S ， 添 加 s h o c k p o t . e v e n t s   修 改 成 下 面 的 样 子 安 装 完 成 后 执 行 s u d o   s u p e r v i s o r c t l   s t a t u s 看 到 四 个 服 务 起 来 了 机 器 位 于 公 网 ， 就 可 以 跳 过 这 一 步 ， 如 果 只 是 放 在 内 网 里 面 ， 则 需 要 配 置 m n e m o s y n e 的 配 置 文 件 允 许 节 点 使 用 私 有 地 址 和 服 务 器 进 行 通 信 重 启 服 务 运 行 最 后 一 个 脚 本 ， 对 M H N 进 行 配 置 # ! b a s h s u d o   v i m   i n s t a l l _ m n e m o s y n e . s h # ! b a s h C H A N N E L S = ’ a m u n . e v e n t s , c o n p o t . e v e n t s , t h u g . e v e n t s , b e e s w a r m . h i v e , d i o n a e a . c a p t u r e , d i o n a e a . c o n n e c t i o n s , t h u g . f i l e s , b e e s w a r n . f e e d e r , c u c k o o . a n a l y s i s , k i p p o . s e s s i o n s , g l a s t o p f . e v e n t s , g l a s t o p f . f i l e s , m w b i n a r y . d i o n a e a . s e n s o r u n i q u e , s n o r t . a l e r t s , w o r d p o t . e v e n t s , p s u d o   . / i n s t a l l _ h p f e e d s . s h s u d o   . / i n s t a l l _ m n e m o s y n e . s h s u d o   . / i n s t a l l _ h o n e y m a p . s h # ! b a s h s u d o   v i m   / o p t / m n e m o s y n e / m n e m o s y n e . c f g i g n o r e _ r f c 1 9 1 8   =   F a l s e # ! b a s h s u d o   s u p e r v i s o r c t l   r e s t a r t   m n e m o s y n e
                这 个 过 程 需 要 比 较 长 的 时 间 ， 需 要 初 始 化 数 据 库 ， 同 时 还 要 插 入 S n o r t / S u r i c a t a 规 则 ， 脚 本 运 行 结 束 后 ， 直 接 访 问 配 置 中 定 义 的 b a s e   u r l ， 登 录 后 就 可 以 配 置 0 x 0 6   M H N 服 务 器 安 装 服 务 器 安 装                 一 旦 安 装 了 基 础 的 服 务 ， 就 能 够 部 署 蜜 罐 节 点 了 ， 通 过 w e b 来 展 示 相 关 数 据 等 等 ， 可 以 根 据 具 体 的 境 况 做 一 些 简 单 的 调 整 。                 例 如 要 非 匿 名 的 将 收 集 到 得 攻 击 数 据 回 传 到 T h r e a t S t r e a m ， 要 做 以 下 操 作 执 行 e n a b l e _ c o l l e c t o r . s h 可 以 开 启 如 果 想 修 改 s m t p 服 务 的 配 置 ， 可 以 编 辑 c o n f i g . p y ， 绝 对 路 径                 尽 量 不 要 使 用 超 级 管 理 员 来 配 置 ， 可 以 从 w e b 页 面 中 添 加 其 他 的 用 户 ， 但 是 所 有 用 户 都 是 超 级 用 户 ， 没 有 任 何 区 别 ， 当 你 删 除 用 户 的 时 候 ， 实 际 上 并 没 有 吧 该 用 户 删 除 ， 只 是 在 数 据 库 中 标 记 为 ” n o t   a c t i v e ” , 同 时 该 用 户 不 能 再 次 被 使 用 ， 除 非 更 改 数 据 库 。                 也 可 以 从 终 端 去 直 接 更 改 用 户 的 密 码 # ! b a s h s u d o   . / i n s t a l l _ m h n s e r v e r . s h = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = M H N   C o n f i g u r a t i o n = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = D o   y o u   w i s h   t o   r u n   i n   D e b u g   m o d e ? :   y / n   n S u p e r u s e r   e m a i l :   [ e m a i l   p r o t e c t e d ] S u p e r u s e r   p a s s w o r d : S u p e r u s e r   p a s s w o r d :   ( a g a i n ) : S e r v e r   b a s e   u r l   [ “ h t t p : / / 1 . 2 . 3 . 4 ″ ] :   h t t p : / / 1 9 2 . 1 6 8 . 5 . 3 H o n e y m a p   u r l   [ h t t p : / / 1 . 2 . 3 . 4 : 3 0 0 0 ] :   h t t p : / / 1 9 2 . 1 6 8 . 5 . 3 : 3 0 0 0 M a i l   s e r v e r   a d d r e s s   [ “ l o c a l h o s t ” ] : M a i l   s e r v e r   p o r t   [ 2 5 ] : U s e   T L S   f o r   e m a i l ? :   y / n   y U s e   S S L   f o r   e m a i l ? :   y / n   y M a i l   s e r v e r   u s e r n a m e   [ “ ” ] : M a i l   s e r v e r   p a s s w o r d   [ “ ” ] : M a i l   d e f a u l t   s e n d e r   [ “ ” ] : P a t h   f o r   l o g   f i l e   [ “ m h n . l o g ” ] : # ! b a s h c d   / o p t / m h n / s c r i p t s s u d o   . / d i s a b l e _ c o l l e c t o r . s h # ! b a s h / o p t / m h n / s e r v e r / c o n f i g . p y   c d   / o p t / m h n / s e r v e r s u d o   v i m   c o n f i g . p y s u d o   s u p e r v i s o r c t l   r e s t a r t   m h n - u w s g i
0 x 0 7   排 错 排 错                 如 果 发 现 服 务 不 正 常 ， 你 可 以 使 用 一 些 命 令 和 排 查 一 些 日 志 来 来 判 断 问 题 出 在 哪 里 ， 第 一 个 命 令 就 是 s u p e r v i s o r c t l ， 可 以 看 到 那 些 进 程 出 问 题 了 ， 那 些 在 正 常 的 运 行 。                 如 果 你 发 现 一 个 进 程 的 状 态 为 E R R O R 或 者 F A T A L ， 就 需 在   / e t c / s u p e r v i s o r / c o n f . d / 找 到 对 应 进 程 的 配 置 文 件 ， 查 看 日 志 进 行 分 析   h t t p s : / / g i t h u b . c o m / t h r e a t s t r e a m / m h n / w i k i / M H N - T r o u b l e s h o o t i n g - G u i d e ， 寻 求 帮 助   遇 到 的 问 题 ：                 1 . h o n e y m a p 在 安 装 的 时 候 报 错 0 x 0 8   M H N 的 的 w e b 接 口 接 口 M H N 的 w e b 接 口 是 很 简 洁 明 了 的 ， 第 一 次 访 问 w e b 截 面 时 ， 需 要 输 入 账 户 名 和 密 码 ， 登 录 成 功 后 会 看 见 一 个 总 结 性 的 页 面 ： 1 . 在 最 近 2 4 小 时 内 有 多 少 攻 击 着 攻 击 2 . 攻 击 次 数 排 在 前 五 的 I P 3 . 被 攻 击 端 口 排 在 前 五 的 端 口 4 . t o p   5 的 攻 击 签 名 # ! b a s h s u d o   s u c d   / o p t / m h n / s o u r c e   e n v / b i n / a c t i v a t e c d   s e r v e r p y t h o n   m a n u a l _ p a s s w o r d _ r e s e t . p y d e a c t i v a t e e x i t # ! b a s h s u p e r v i s o r c t l v   s t a t u s # 列 出 所 有 进 程 的 状 态 s u p e r v i s o r c t l 　 r e s t a r t   [ p r o c e s s | a l l ] # 重 启 单 个 或 者 全 部 进 程 s u p e r v i s o r c t l   s t a r t   [ p r o c e s s | a l l ] # 开 始 单 个 进 程 或 者 全 部 进 程 s u p e r v i s o r c t l   s t o p   [ p r o c e s s | a l l ] # 停 止 单 个 进 程 或 者 全 部 进 程 # ! b a s h h g   c l o n e   h t t p : / / c o d e . g o o g l e . c o m / p / g o . n e t / m v   g o . n e t /   / o p t / h o n e y m a p / s e r v e r / s r c / c o d e . g o o g l e . c o m / p / g o   b u i l d s u p e r v i s o r c t l   r e s t a r t   h o n e y m a p
还 有 一 些 菜 单 选 项 可 以 进 行 配 置 或 者 获 取 更 多 的 攻 击 细 节 M a p : 查 看 攻 击 者 的 I P 在 全 球 的 分 布 D e p l o y : 添 加 ， 编 辑 和 使 用 蜜 罐 的 部 署 脚 本 A t t a c k s : 所 有 攻 击 者 的 列 表 P a y l o a d s : 所 有 攻 击 的 p a y l o a d ， 其 实 只 有 三 种 蜜 罐 可 以 收 集 p a y l o a d ( s n o r t , d i o n a e a . g l a s t o f p ) R u l e s : 所 有 的 s n o r t 和 s u r i c a t a 规 则 S e n e o r s : 有 安 装 蜜 罐 节 点 操 作 的 相 关 记 录 S e t t i n g s : M H N 服 务 的 设 置 攻 击 来 源 全 球 的 分 布 图 , 运 行 在 3 0 0 0 端 口 ， 是 不 需 要 验 证 就 能 看 到 的 ， 可 以 做 A C L 开 控 制 访 问 。
0 x 0 9   蜜 罐 节 点 蜜 罐 节 点                 这 一 节 中 ， 主 要 讨 论 蜜 罐 ， 如 何 安 装 ， 多 么 容 易 操 作 ， 以 及 会 出 现 的 问 题 ， 是 否 需 要 在 进 行 特 殊 的 配 置 等 等 。 也 会 进 行 一 些 测 试 ， 看 攻 击 者 如 何 攻 击 ， 蜜 罐 对 攻 击 行 为 的 记 录 。 最 后 会 讨 论 M H N 如 何 收 集 信 息 ， 以 及 w e b 所 展 现 的 数 据 。 9 . 1   安 装 蜜 罐 节 点 安 装 蜜 罐 节 点                 安 装 蜜 罐 节 点 很 容 易 ， 所 有 的 节 点 都 基 于 同 样 的 平 台 ， M H N 上 对 每 个 蜜 罐 都 有 对 应 的 安 装 脚 本 ， 所 以 安 装 起 来 是 非 常 容 易 的 ， 只 需 要 一 个 服 务 器 去 安 装 。                 我 们 在 U b u n t u   1 4 . 0 4   L T S   上 进 行 测 试 。 建 议 通 过 s s h 去 访 问 ， 如 果 不 可 以 ， 请 安 装 s s h ， 修 改 对 应 的 2 2 端 口 ， 同 时 加 防 火 墙 保 护                 安 装 s s h 修 改 端 口 为 2 2 2 2 重 启 服 务 # ! b a s h s u d o   a p t - g e t   u p d a t e   & &   s u d o   a p t - g e t   u p g r a d e   & &   s u d o   a p t - g e t   i n s t a l l   # ! b a s h v i m   / e t c / s s h / s s h d _ c o n f i g P o r t   2 2 2 2 # ! b a s h s u d o   s e r v i c e   s s h   r e s t a r t
定 义 的 安 装 脚 本 在 M H N 服 务 器 的 w e b 界 面 中 ， 在 ” D e p l o y ” 这 个 选 项 下 有 所 有 蜜 罐 的 安 装 脚 本 。 安 装 完 成 后 可 以 通 过 以 下 命 令 来 检 查 9 . 2   W o r d p o t 首 先 ， 安 装 一 个 w o r d p r e s s 蜜 罐 在 U b u n t u   1 4 . 0 4   L T S 上 ， 安 装 完 成 后   s u d o   n e t s t a t   – t u n l p 查 看 8 0 端 口 是 否 打 开 ，   s u d o s u p e r v i s o r c t l   s t a t u s 可 以 查 看 服 务 的 运 行 状 态 。 访 问 后 该 i p , 看 到 下 图 h t t p : / / 1 9 2 . 1 6 8 . 5 . 1 1 / u i / m a n a g e - d e p l o y / ? s c r i p t _ i d = 1 1 # ! b a s h s u d o   n e t s t a t   – t u n l p ＃ 产 看 当 前 的 网 络 连 接 情 况 s u p e r v i s o r c t l   s t a t u s # 查 看 运 行 状 态
如 果 想 更 改 w p 的 插 件 和 相 关 设 置 ， 使 用 n m a p 扫 描 该 8 0 端 口                 通 过 n m a p 识 别 8 0 看 到 的 是 w o r d p r e s s   2 . 8 ， 运 行 的 h t t p 版 本 是 0 . 9 6 , 识 别 出 来 的 p y t h o n   2 . 7 . 6 的 版 本 。 这 种 端 口 扫 描 不 会 被 记 录 ， 回 传 到 M H N 服 务 。 # ! b a s h v i m   / o p t / w o r d p o t / w o r d p o t . c o n f # ! b a s h n m a p   - A   - P n   - p 8 0   1 9 2 . 1 6 8 . 1 0 . 2 1
                使 用 w p s c a n 进 行 扫 描 9 . 3   p 0 f 被 动 指 纹 识 别 系 统 被 动 指 纹 识 别 系 统 p 0 f 是 一 个 被 动 的 系 统 指 纹 识 别 工 具 ， 借 助 它 可 以 快 速 识 别 操 作 系 统 的 类 型 和 其 他 的 信 息 ， 它 在 M H N 中 部 署 也 是 很 容 易 的 ， p 0 f 有 可 以 根 据 已 有 的 指 纹 ， 能 够 快 速 的 匹 配 ， 虽 然 不 是 一 个 精 确 计 算 ， 但 是 识 别 度 很 高 。                 通 过 n e t s t a t 命 令 的 输 出 可 以 看 到 没 有 p 0 f 没 有 去 新 建 新 的 进 程 来 实 现 网 络 监 听 。                 如 果 所 要 保 护 的 s s h 端 口 处 于 防 火 墙 后 或 者 前 端 有 一 个 I P S / I D S ， 获 取 这 些 数 据 的 时 候 就 比 较 麻 烦 。                 如 果 我 们 在 安 装 了 w o r d p o t 的 机 器 上 安 装 p 0 f ， 一 个 访 问 w o r d p o t 的 8 0 端 口 的 请 求 不 会 触 发 w o r d p o t 的 报 警 ， 但 是 p 0 f 会 触 发 ， M H N 只 是 能 够 显 示 攻 击 者 攻 击 的 端 口 ， 但 是 不 能 显 示 关 于 操 作 系 统 类 型 ， u p t i m e 和 其 他 的 信 息 。 p 0 f 的 日 志 是 纯 文 本 的 ， 分 析 和 收 集 数 据 不 是 太 容 易 ， 还 好 p 0 f 存 在 A P I ， 还 有 一 些 其 他 的 工 具 ， 可 以 帮 助 我 们 快 速 分 析 。 # ! b a s h w p s c a n   – u r l   h t t p : / / i p /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理