墨痕诉清风的博客

一、概述DHCP ：动态主机设置协议（英语：Dynamic Host Configuration Protocol，DHCP）是一个局域网的网络协议，使用UDP协议工作，主要有两个用途：用于内部网或网络服务供应商自动分配IP地址；给用户用于内部网管理员作为对所有计算机作中央管理的手段。DHCP协议采用客户端/服务器模型，主机地址的动态分配任务由网络主机驱动。当DHCP服务器接收到来自网络主机...

前言之前有看到goby反制和松鼠A师傅蚁剑反制的文章，再想到之前写过sqlmap的shell免杀，觉得思路其实差不多，就写一篇sqlmap的反制吧。sqlmap流量分析（其实可以通过分析解密后sqlmap内置的backdoor后门文件（文章链接））具体sqlmap的攻击流程差不多是这样：1.测试链接是否能够访问2.判断操作系统版本3.传递一个数组，尝试爆绝对路径4.指定上传路径5.使用lines terminated by 写入一个php文件，该php文件可以进...

1.蜜罐蜜罐可以理解成互联网上的一台主机，它的作用是诱骗攻击者去对自己进行攻击，然后记录攻击者的攻击细节并生成对应的攻击者画像，是当前的一种比较主流的入侵检测系统也是一种主动防御系统。1.1 放置高交互蜜罐放置高交互蜜罐，例如一个邮箱服务类型的蜜罐，攻击者有可能会进行邮箱注册，这样子攻击者就主动向我们留下了自己的身份信息。1.2 放置多个容易被发现的蜜罐放置多个攻击者可以轻而易举发现的蜜罐，攻击者就会知道自己所在的环境是被蜜罐所包围的，有可能就会放弃进行大范围攻击，变相保护了蜜罐背后的真

前言蜜罐是网络红蓝攻防对抗中检测威胁的重要产品。防守方常常利用蜜罐分析攻击行为、捕获漏洞、甚至反制攻击者。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。介绍蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。根据蜜罐的交互特征，可以分为低交互蜜罐和高交互蜜罐。后者提供了一个真正的易受攻击的系统，为的就是让攻击者...

我大致地翻译了官方的介绍：Conpot是一个部署在服务端的低交互ICS蜜罐，能够快速地部署、修改和拓展。开发者通过提供一系列的通用工控协议，使得我们能够非常快速地在我们的系统上构建一套复杂的工控基础设施用于欺骗未知的攻击者。为了提高这套蜜罐的欺骗性和迷惑性，开发者同时也提供了一个人机接口来增加这套蜜罐的攻击面。蜜罐的响应时间能够通过相关参数进行调节，由此模拟出当前负载下的响应时间。Conpot对协议栈有着完整的支持，因此它能够接收生产环境中的HMI或是直接拓展的真实硬件。

具有一定规模的公司都会有自己的机房，当网络规模和硬件系统到达一定程度，就需要跟进各种安全预警防护手段，而蜜罐系统就是一种常见的防护手段之一，蜜罐主要是通过在网络环境当中，用虚拟各种真实服务的守护进程，去模拟各种常见的应用服务，比如http、mysql、FTP服务等。

修改sshd_config文件将端口改为千万不要cowrie.cfg文件中监听的端口一致 62223，否则进入22端口的流量就转发到新的ssh端口，蜜罐被屏蔽掉了。-u 表示选择登陆的用户名， -p 表示登陆的用户密码，上面命令输入之后会提示输入密码，此时输入密码就可以登录到mysql。这里先不着急，我们的docker容器ubuntu还没有装mysql，一会再装。为空没有安装，进行安装，安装期间输入root用户登陆mysql的密码。安装iptables，docker的ubuntu没有安装。

它是一个具有中等交互的SSH蜜罐，安装在Linux中，它可以获取攻击者用于暴力破解的字典、输入的命令以及上传或下载的恶意文件。攻击者在上传恶意文件后，执行恶意文件的操作均会失败，所以对蜜罐本身来说比较安全。

蜜罐是存在漏洞的，暴露在外网或者内网的一个虚假的机器,具有以下这些特征：1.其中重要的一点机器是虚假的，攻击者需要花费时间攻破。在这段时间内，系统管理员能够锁定攻击者同时保护真正的机器。2.能够学习攻击者针对该服务的攻击技巧和利用代码。3.一些蜜罐能够捕获恶意软件，利用代码等等，能够捕获攻击者的0day,同时可以帮助逆向工程师通过分析捕获的恶意软件来提高自身系统的安全性4.在内网中部署的蜜罐可以帮助你发现内网中其他机器可能存在的漏洞。

Beeswarm是一个主动蜜罐系统，通过部署一些模拟真实用户的节点与蜜罐系统通信，从而引诱窃听了这些会话的攻击者攻击蜜罐系统，以捕获发现攻击。一、介绍 蜜罐系统一般不会主动产生流量，而是被动的等待攻击流量。Beeswarm则是一款主动诱骗攻击者的蜜罐，可以模拟客户端与服务器的通信（诱饵通信），诱骗黑客攻击蜜罐，以对付企图通过网络监听获取敏感信息的攻击者。诱饵通信中，包括大量攻...

同时，针对上述商业蜜罐方案发现攻击者后只是进行告警、欺骗以及行为记录，无法进行强力真人溯源与黑客画像，没有获取攻击者真实IP、网络id的手段的问题，具有先发优势的厂商会在欺骗方案中融入自研的溯源技术，可对当前攻击者的相关信息进行强力溯源，暴漏其相关真实ip信息和网络身份，效果相当于攻击者在攻击的同时被进行了反向渗透，从而有效获得各类真实攻击者信息，拥有各类真实溯源案例，具有更强的攻击溯源精确性，使被攻击客户摆脱事后溯源无望的窘境。黑洞式蜜罐相比于回应式蜜罐，拥有更好的伪装性。——西尔维娅·普拉斯。