蜜罐部署实战&DecoyMini攻击诱捕
前言
文章到底在讲什么?
省流:实战演示,教你如何伪造一个钓鱼网站,获取对方信息
一、蜜罐
1. 概念
蜜罐这个词,最早是被猎人使用的。猎人把罐子装上 蜂蜜,然后放个陷阱,专门用来捕捉喜欢甜食的熊。
后来在网络安全领域里, 人们就把欺骗攻击者的诱饵称为“蜜罐”。
即模拟各种常见的应用服务,诱导攻击者攻击,
从而记录攻击者的入侵行为,获取攻击者的主机信息、浏览器信息、甚至是真实 IP及社交信息。
2. 蜜罐溯源常见方式
常见两种方式:
1、网站上插入特定的js文件(大多数)
2、网站上显示需要下载某插件
3. 蜜罐分类
1、低交互蜜罐
2、中交互蜜罐
3、高交互蜜罐
二、蜜罐项目实战
以下操作均在虚拟机
1. 配置DecoyMini
DecoyMini是一款智能仿真与攻击诱捕工具
链接: DecoyMini百度网盘链接
提取码:2ddy
1.1 命令行窗口运行
进入文件根目录,输入
DecoyMini_Windows_v2.0.6691.exe
默认地址0000
1.2 修改配置信息
首先,我们要选择http,输入
h
回车
接下来设置端口为
7890
设置成功
查看端口,输入
netstat -ano | findstr "7890"
端口7890已经处于监听状态
2. 登录DecoyMini
浏览器中打开
127.0.0.1:7890
输入默认账号密码
admin
Admin@123
登录成功
首先要仿真,模拟甲方的内网系统
3. 克隆网站
比如说我们找到一个这样的网站
它的网址
14.29.190.82:9005
我们想要克隆一个和它一模一样的网站(蜜罐)出来
首先需要用DecoyMini先仿造一个系统
3.1 增加仿真网站
我们进入刚刚配置好的系统,点击仿真,增加仿真网站
输入模板ID和模板名称,在网站地址中,我们将刚刚找到的网站地址粘贴过去
网站更新时间一般设置为7天
点击增加,出现了刚刚部署的九芒星仿真网站
3.2 增加诱捕器
然后开始诱捕,打开诱捕-诱捕策略-增加诱捕器
模板使用刚刚的九芒星网站
外部访问IP设置为虚拟机的ip
协议设置为http,端口设置为8081
点击确定
启用成功后,选择应用
等待一会,蜜罐会自动利用爬虫爬取原网站的样式
复刻一个一模一样的网站
3.3 查看端口监听
查看8081端口启用情况
netstat -ano | findstr "8081"
处于监听状态
因为DecoyMIni部署在虚拟机上,我们就假设物理机是攻击者,开始渗透刚刚制作好的蜜罐
在物理机中,对于两个一模一样的网站,很难分辨真假。
假设某环保局的审批业务在C段,那我们把蜜罐放到相应的C段,很容易迷惑对方,进行误操作。
3.4 克隆成功(蜜罐)
我们在物理机上的浏览器打开该网址,用的就是刚刚配置的8081端口
192.168.149.129:8081
克隆成功
会发现和刚刚的网址不一样
3.5 蜜罐诱捕
假设有人无意中打开该虚假网址,并且输入账号密码提交后
那么就会在蜜罐后台的诱捕日志中看到诱捕的信息
可以看到攻击者(受害者)的用户信息
以及被攻击者(蜜罐)的信息
以及诱捕日志详情
以上操作,只是用户无意中尝试登录,并无恶意,那接下来我们就用弱口令和SQL注入的方式来演示,黑客在攻击该蜜罐的时候,会发生什么事
4. 蜜罐流量分析
4.1 弱口令攻击网站
4.1.1 生成诱捕策略
我们先利用它自带的模板生成一个策略
外部访问IP同样是虚拟机IP地址
协议http,端口我们用8082
现在后台就多了一个业务,名字为九芒星管理后台
打开burpsuite,用内置浏览器打开该网址
http://192.168.149.129:8082/#/
这就是模板中自带的管理系统,我们拿它为例来测试黑客攻击
4.1.2 开启BurpSuite拦截
先输入账号密码,然后开启BurpSuite拦截
点击登录后,BurpSuite会拦截到刚刚输入的用户名和密码
4.1.3 Intruder开始攻击
利用Intruder模块对密码进行获取
![在这里插入图片描述
4.1.4 开始攻击
在payloads设置中加载一个密码字典,开始攻击
密码字典的话网上任意找一个即可,由于该网站是蜜罐,不存在拿到一个虚假网站的密码一说,故只是辅助参考
攻击中
4.1.5 查看诱捕日志
然后在DecoyMini的诱捕日志中会看到刚刚的攻击记录
短短几秒钟发起了几百条攻击
点击最右侧,可以看到日志详情
同样可以看到攻击者画像
攻击者特征
以及风险日志
还可以将攻击者IP加入黑名单或白名单中
4.2 SQL注入攻击网站
4.2.1 sqlmap安装配置
(1)官网下载
打开官网
http://sqlmap.org/
点击右侧图标下载压缩包
把压缩包解压,重命名,放在安装的Python根目录下:
(2)安装sqlmap
打开sqlmap文件夹,地址栏输入cmd命令行进入sqlmap
sqlmap.py -h
出现帮助信息则安装成功
4.2.2 抓取BurpSuite数据包
同样先在克隆的系统(蜜罐)中输入账号密码,然后开启拦截,点击提交后,将生成的数据包复制
然后在sqlmap根目录下新建test.txt文件,把密码11111换成*
4.2.3 sqlmap攻击
在根目录下,cmd打开窗口输入
python .\sqlmap.py -r .\test.txt
此时已经开始攻击
4.2.4 查看诱捕日志
我们在诱捕日志中可以看到攻击信息
出现了数十条攻击信息
可以看到攻击者画像,首次攻击时间、最近攻击时间、浏览器指纹以及攻击的目标都显示在上面
三、DecoyMini介绍
它的全称是智能仿真与攻击诱捕工具
1. 背景
它是市场上诸多蜜罐安全产品的一种,蜜罐产品还有很多,比如
默安的幻盾、幻阵;360的蜃景;腾讯的御阵等等
由于蜜罐也是欺骗防御的一种,传统的安全防御思路,是防守者需要充分全面的对网络和系统的安全漏洞和风险进行分析、评估和整改来确保整个网络安全,但网络攻击面太多,导致很难发现所有的风险,故欺骗防御技术应运而生。
攻击者很容易触碰到安全人员设下的诱捕陷阱而导致暴露攻击行为,通过蜜罐等欺骗技术可以有效改变攻防不对称,变被动为主动,是对传统防御的有力增强。
2. 应用场景
DecoyMini 可以部署到不同的网络环境里,提供多样化的攻击诱捕能力。
典型的应用场景介绍如下:
2.1 互联网攻击诱捕分析
面对互联网攻击频繁,各种高级、隐蔽的攻击层出不穷;而用传统安全设备很难有效防御,安全运维人员应付起来也是疲于奔命。
通过部署 DecoyMini,利用丰富多样的仿真模板,部署典型的蜜罐映射到外网,提供常态化的外网攻击感知能力;也可以利用自定义蜜罐能力,将个性化的蜜罐映射到外网,对互联网上尝试攻击我方的攻击源进行诱捕和监测;支持与网关设备联动来及时对外部攻击进行处置和阻断,提升对外部攻击的处置和响应能力。
2.2 内网横向攻击监测预警
通常内网的访问控制都不严格,攻击横向移动比较容易;而内网系统往往漏洞未能及时修补、弱口令威胁也相当严峻,极易遭受恶意的攻击。
通过部署 DecoyMini,在内网部署一些常用的应用、服务蜜罐,并开启网络扫描、连接监听等功能,就可以提供常态化的内网横向攻击监测感知能力,可以及时发现感染勒索、挖矿、蠕虫等病毒木马的失陷主机,潜伏到内网的攻击者,以及内部人员发起的各种攻击行为。
2.3 网络攻防对抗演习监测
近几年来攻防演习常态化进行,在攻防演习中需要有手段能够对红队的攻击进行监测、对攻击的进展进行跟踪,同时对攻击行为进行溯源反制。
通过部署 DecoyMini,可以对红队的攻击行为进行监测,支撑对攻击套路进行分析,用以指导蓝队制定更为有效的防御措施;同时,用蜜罐为载体构造场景可以来投递溯源、反制工具,实现对红队的溯源。结合攻击的完整日志和攻击者画像,协助完整溯源攻击链,获得溯源得分。
3. 主要功能
3.1 监控
监控模块又两个,风险态势和仪表板
(1)风险态势
风险态势可查看“攻击类型”、“攻击次数”、“被攻击目标”、“攻击源分布”、“事件趋势”、“最新事件”等分布图
(2)仪表盘
仪表盘则是主要用于展示系统的关键指标和数据,以图表等可视化的形式来进行展示
3.2 攻击
其中又包含风险事件和诱捕日志
(1)风险事件
风险事件管理页面展示系统产生的所有风险事件信息,按时间由近到远进行展示,并提供对风险事件进行快速查询和分析的功能。
(2)诱捕日志
诱捕日志管理功能提供对攻击者在诱捕器中所有操作行为:包括网络操作、命令执行、文件操作以及文件等数据进行综合浏览、查询的功能。
3.3 诱捕
诱捕又分为诱捕策略、安全规则和攻击特征三大块
(1)诱捕策略
诱捕策略用于配置各诱捕探针需要执行的诱捕策略。
(2)安全规则
安全规则用于配置系统安全监测规则,包括威胁情报配置和黑白名单配置等。
(3)攻击特征
攻击特征则是借助检测规则,对攻击的类型、级别、信息进行归纳总结
3.4 仿真
仿真又分为仿真模板、增加仿真网站和增加仿真主机三块
(1)仿真模板
仿真模板提供对系统各仿真能力进行配置管理的功能,通过仿真模板可以快速、灵活自定义仿真内容。
(2)增加仿真网站
仿真网站则是可以自定义的添加网站配置信息
(3)增加仿真主机
仿真主机同样可以添加一台主机,模拟目标主机
3.5 处置
处置分为预警通知和内生情报两块
(1)预警通知
预警通知可以自定义添加报警规则,满足条件则发出预警
(2)内生情报
内生情报可以选择周期和数量限制,来对不同情报格式就行利用
3.6 节点
节点分为节点管理和节点分组
(1)节点管理
节点管理主要包含节点信息查看、节点信息修改、节点策略运行情况查看等功能。
(2)节点分组
节点分组可以针对不同类型进行分组,方便管理