从僵尸网络追踪到入侵检测 第9章 Nepenthes安装和配置

Nepenthes安装和配置

 

环境配置

1、Ubuntu 12.04 LTS IP：10.10.10.218

2、攻击系统KAIL系统 IP：10.10.10.131

3、Nepenthes工具

 

步骤（注意：红字部分）

1、安装Nepenthes工具

root@honeyd_server:~# dpkg -i nepenthes_0.2.2-4ubuntu1_amd64.deb 

(正在读取数据库 ... 系统当前共安装有 195974 个文件和目录。)

正预备替换 nepenthes 0.2.2-4ubuntu1 (使用 nepenthes_0.2.2-4ubuntu1_amd64.deb) ...

Stopping nepenthes: nepenthes.

正在解压缩将用于更替的包文件 nepenthes ...

正在设置 nepenthes (0.2.2-4ubuntu1) ...

Starting nepenthes: nepenthes.

正在处理用于 man-db 的触发器...

正在处理用于 ureadahead 的触发器...

 

2、配置nepenthes.conf 文件

root@honeyd_server:/etc/nepenthes# cat nepenthes.conf 

"submitfile.so",                "submit-file.conf",             ""  // save to disk     "submitnorman.so",              "submit-norman.conf",           ""

"logdownload.so",               "log-download.conf",            ""

---以上三项打开内容为：保存恶意程序、将恶意程序通过邮箱发送、日志下载配置

 

3、配置submit-norman.conf

submit-norman

{

        // this is the adress where norman sandbox reports will be sent

        email   "nsbx@mwcollect.org";

        urls    ("http://www.norman.com/microsites/nsic/Submit/Special/45773/",

                 "http://luigi.informatik.uni-mannheim.de/submit.php?action=verify");

 

};

---填写自己的外网邮箱地址

 

4、重启nepenthes服务

root@honeyd_server:/etc/nepenthes# service nepenthes restart

Restarting nepenthes: nepenthes

.

5、使用攻击KAIL系统进行攻击10.10.10.218

1)启动msf控制台

root@kali:~# msfconsole 

                                                  

 

                 _---------.

             .' #######   ;."

  .---,.    ;@             @@`;   .---,..

." @@@@@'.,'@@            @@@@@',.'@@@@ ".

'-.@@@@@@@@@@@@@          @@@@@@@@@@@@@ @;

   `.@@@@@@@@@@@@        @@@@@@@@@@@@@@ .'

     "--'.@@@  -.@        @ ,'-   .'--"

          ".@' ; @       @ `.  ;'

            |@@@@ @@@     @    .

             ' @@@ @@   @@    ,

              `.@@@@    @@   .

                ',@@     @   ;           _____________

                 (   3 C    )     /|___ / Metasploit! \

                 ;@'. __*__,."    \|--- \_____________/

                  '(.,...."/

 

 

Trouble managing data? List, sort, group, tag and search your pentest data

in Metasploit Pro -- learn more on http://rapid7.com/metasploit

 

       =[ metasploit v4.11.5-2015103001                   ]

+ -- --=[ 1500 exploits - 864 auxiliary - 251 post        ]

+ -- --=[ 432 payloads - 37 encoders - 8 nops             ]

+ -- --=[ Free Metasploit Pro trial: http://r-7.co/trymsp ]

 

2)使用nmap工具进行扫描

msf > nmap -sT -A -PO 10.10.10.218

[*] exec: nmap -sT -A -PO 10.10.10.218

Starting Nmap 7.00 ( https://nmap.org ) at 2016-01-13 19:44 CST

 

3)防御系统查看被扫描的日志记录

root@honeyd_server:/etc/nepenthes# tail -f /var/log/nepenthes/logged_downloads 

[2016-01-13T11:46:48] 10.10.10.131 -> 10.10.10.218 https://nmap.org/book/nse.html

[2016-01-13T11:46:52] 10.10.10.131 -> 10.10.10.218 https://nmap.org/book/nse.html

[2016-01-13T11:46:55] 10.10.10.131 -> 10.10.10.218 https://nmap.org/book/nse.html

[2016-01-13T11:46:56] 10.10.10.131 -> 10.10.10.218 https://nmap.org/book/nse.html

[2016-01-13T11:46:56] 10.10.10.131 -> 10.10.10.218 https://nmap.org/book/nse.html

---以上是攻击方到防御方地址和恶意程序的下载地址

 

4）恶意程序下载默认存放路径

root@honeyd_server:/var/lib/nepenthes/binaries# pwd

/var/lib/nepenthes/binaries