蜜罐技术本质上是一种对攻击方进行欺骗的技术,通过布置一些作为诱饵的主机、网络服务或者信息,诱使攻击方对它们实施攻击,从而可以对攻击行为进行捕获和分析。考虑到全球每39秒就会发生一次网络攻击,蜜罐在安全防御战略中发挥着重要作用。
在沙箱环境中监控网络攻击能够及时发现新的网络安全威胁,并对分析攻击载体提供重要信息。因此,蜜罐是公司和执法部门的理想选择。部署蜜罐可以为企业对抗网络攻击起到缓冲作用,分散攻击方的注意力,使其无法发现专有资产,同时也为监控这些威胁提供了机会。
蜜罐的类型很多,它们可以是网站、服务器、恶意 WiFi 接入点、电子邮件地址、应用程序、重定向链接等。本文的作者介绍了易总可以使用免费网站部署蜜罐的方法。
1
蜜罐数量远超服务器数量
许多公司会在安全的环境中部署蜜罐,并将其与受保护的局域网分开。这样,他们就可以在攻击者入侵系统时给予误导斌监控威胁行为。
然而,黑客也会使用蜜罐。
使用 Shodan 搜索易受攻击系统的人可以告诉你,野外部署的蜜罐数量之大令人震惊。任何开放了大量端口的互联网设备都有可能是一个蜜罐。
截至发稿前,当你在 Shodan 上搜索Confluence时,它报告了全球261308个面向互联网的 Confluence服务器,但真实服务器的数量只有4000个。换言之,有超过25万的Confluence蜜罐用来捕获攻击,这使评估Confluence漏洞的潜在影响变得尤其复杂。
2
作者发起的网络战
本文作者讲述了他和黑客组织的一场网络战争。
2007 年,我发起了一场网络战,打击一个没有采用适当 OPSEC 的黑客组织。
我想把对手吸引到我完全控制的平台上,这样我就可以获得他们的 IP 地址、浏览器指纹、地理位置等信息。这个黑客组织正在搜索我的私人黑客社交论坛板块。因此,我知道如果想让他们上当,就必须创建一个假论坛。
我假扮成叛逃者,引诱他们访问论坛,这很容易,因为他们急于想知道我们都在说他们什么。论坛板块是私密的,这意味着他们必须注册才能看到私密帖子。
作为管理员,我能够找回他们在注册过程中使用的电子邮件地址的相关密码。这导致我的小组泄露了他们的几个电子邮件账户,因为他们中的大多数人的密码状况非常糟糕。这使我们能够执行数十次账户接管。
隐藏在论坛和网站源代码中的是一个简单的 PHP 脚本,其中的部分内容已编码为十六进制,因此看起来并无恶意。该脚本旨在捕获 IP 地址、执行浏览器指纹识别和目标操作系统的访客估计。脚本中还包含通过电子邮件发送访客日志给我的指令。
这为我们通过分布式拒绝服务(DDoS)攻击他们的互联网连接提供了机会。知道了他们的 IP 地址,我们就有了一个可能的攻击载体。
论坛和网站都有开放的验证FTP服务器访问权限,因此他们没有理由不登录并四处看看。我把它们称为“空投箱”。
我将几个随机的非敏感文件上传到FTP下拉框,因为我知道敌人会出于好奇下载并运行这些文件。最妙的是,这些文件都是恶意的,这样我就可以远程访问他们已被感染的电脑。
3
蜜罐的主要类型
有多种不同类型的蜜罐可以满足用户的不同需求,根据它们的构建方式和它们的用途进行分类,有几种不同的蜜罐:
1、根据交互程度的不同,又分为以下两种类型:
**低交互蜜罐:**低交互蜜罐只模拟了系统的一部分功能,通常只包括网络服务和部分应用程序,为攻击者提供简单的交互,配置简单,容易部署,但受限于交互能力,可能无法捕获高价值的攻击。
**高交互蜜罐:**高交互蜜罐提供了一个完整的、真实的系统环境,包括操作系统、应用程序和网络服务等,允许攻击者获得完全的访问权限,使得攻击者很难区分它与真实的系统。
2、根据用途的不同,分以下两种类型:
**生产蜜罐:**用于捕获生产环境中的攻击,保护生产环境。通常是企业用于改善其整体安全状态的一部分,可能是低交互或中交互蜜罐。
**研究蜜罐:**主要用于研究活动,如了解黑客和黑客团体的背景、目的和活动规律等。对于编写新的入侵检测规则、发现系统漏洞等具有价值。
3、根据设计和部署的不同,分以下两种类型:
**研究型蜜罐:**用于研究和教育目的,可能包括模拟不同的攻击场景和数据泄漏情况。
**生产型蜜罐:**用于保护实际的生产环境,监测和记录网络流量,以检测和预防潜在的安全威胁。
4
如何创建用于捕获IP的基础蜜罐
通常情况下,威胁行为者都很聪明,不会点击未经请求的链接。但总有例外。当作者需要快速见效时,他会使用 Grabify.link,它允许用户自由创建和管理 IP 抓取活动。但我们需要的是更不起眼的东西。
首先要创建一个免费网站。有很多网站可供选择,如 Godaddy、Wix等等。这一点很重要,因为你可以利用蜜罐网站来满足多种需求,从而轻松地为不同的活动重新安排内容。在本例中,作者使用的是 Wix。
其次,在 TraceMyIP 创建一个账户。它是免费的,并可以让用户用很传统的方式使用IP记录器,此外,它还能提供更深入的网站访客统计数据。
点击“我的项目”中的“跟踪代码”。注意“页面加载”部分,一旦蜜罐全面启动,该部分将显示你的网站访问量、捕获的 IP 地址、浏览器和操作系统以及其他信息。
下一步,选择代码类型。在“通用跟踪器”子类别下,你可以尝试使用任何选项。在本例中,作者选择了 JavaScript 代码,这是推荐选项。点击获取代码,就会生成代码,供你复制并粘贴到 Wix 中。
这是为那些还记得2000年代 Myspace 版面生成器的人准备的。在这种情况下,我们需要删除一个图片源路径,这样它就不会出现在你的蜜罐中,也不会自动暴露出它的可疑之处。移除作者用红色标出的部分后,你的代码就不会再有任何人工痕迹了。
在此阶段,你不需要建立 Wix 网站,这可以稍后再做。前往“设置”,点击“自定义代码”。
接下来,点击 + 添加自定义代码。这将带你进入自定义代码模板,你可以在其中引入自己的第三方代码片段。
复制并粘贴你的自定义代码,然后配置你希望如何加载代码以及在哪些页面上加载代码。
最后,访问你的 Wix 网站,测试你的代码。然后回到 TraceMyIP、我的项目,选择页面加载。应该会看到网站访问的综合列表。点击跟踪。页面将打开,方便地显示网站访问者的大量有趣信息。TraceMyIP 的功能非常丰富,因此请花时间探索其众多选项。
5
善加利用OSINT
如何使用蜜罐最终取决于你的需求。这个 Wix 网站可根据你当前的目标进行修改,并可在几分钟内轻松更改,以适应新的目标。
请记住,你可以使用任何允许用户运行第三方代码的平台来托管你的 IP 日志脚本。例如,Start.me 允许第三方嵌入代码,用户可以在这里整理自己喜欢的网站链接、新闻源、笔记等。
从网站访客和威胁行为者那里获取信息是第一步。你可以使用 Netlas.io 等开源情报工具被动地进行网络侦察,如相关域、注册商信息、开放端口和漏洞 CVE,如果你想要采取进攻策略,这些信息可以为确定潜在的攻击载体提供重要见解。
创建蜜罐的方法有很多。例如,T-Pot 就像是“谍报系统中的瑞士军刀”,具有功能丰富的选项和图形界面。它还提供动画实时攻击地图,包括网络威胁检测和分析。这是监控真实和模拟事件的理想工具,有助于事件响应和数字取证调查。
由于这些病毒往往在野,因此必须注意自己的安全,确保自己的 IP 地址不会公开泄露,供他人攫取和攻击。无论你在网上做什么,匿名始终是你抵御网络监控的首要武器。只要利用可靠的在线匿名工具,保持良好的 OPSEC,就能轻松搞定蜜罐。
网络安全学习资源分享:
给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
因篇幅有限,仅展示部分资料,朋友们如果有需要全套《网络安全入门+进阶学习资源包》,需要添加下方即可获取!
读者福利 |
CSDN大礼包:《网络安全入门&进阶学习资源包》免费分享
同时每个成长路线对应的板块都有配套的视频提供:
学习资料工具包
压箱底的好资料,全面地介绍网络安全的基础理论,包括逆向、八层网络防御、汇编语言、白帽子web安全、密码学、网络安全协议等,将基础理论和主流工具的应用实践紧密结合,有利于读者理解各种主流工具背后的实现机制。
面试刷题
视频配套资料&国内外网安书籍、文档
当然除了有配套的视频,同时也为大家整理了各种文档和书籍资料
所有资料共282G,朋友们如果有需要全套《网络安全入门+进阶学习资源包》,可以扫描下方二维码或链接免费领取~
读者福利 |
CSDN大礼包:《网络安全入门&进阶学习资源包》免费分享
![](https://img-blog.csdnimg.cn/img_convert/98fa91c085a79a746dce787edcaef33a.jpeg)