MysqlHoneypot

مقدمة

MysqlHoneypot هو مشروع honeypot لقاعدة بيانات Mysql، يستخدم بشكل أساسي load data local infile للحصول على اسم المستخدم لجهاز المهاجم (منصة Windows)، ثم يحصل على معرّف WeChat وفقاً لاسم المستخدم، ثم يحصل على رقم هاتف المستخدم وعنوان تسجيل الدخول وغيرها من المعلومات وفقاً لمعرّف WeChat. الملفات الرئيسية التي تتم قراءتها هي كما يلي:

A、عبر C: / Windows / pfro Log للحصول على اسم المهاجم

B、عبر C:/Users/UserName/Documents/WeChat Files/All Users/config/config.data للحصول على wxid الخاص بالمهاجم

C、عبر C:/Users/UserName/Documents/WeChat Files/wx_id/config/AccInfo.dat للحصول على العنوان وwechatID ورقم الهاتف

الوظيفة

التقاط معلومات حساب WeChat الخاص بجهاز المهاجم

أمثلة الاستخدام

الخطوة 1：يقوم المهاجم من الشبكة الخارجية بفحص الأصول والتخمين القسري.

الخطوة 2：يقرأ جهاز المهاجم المحلي بشكل مباشر ملفي PFRO.log وconfig.data في المرة الأولى عند تثبيت WeChat.

الخطوة 3: يحصل المهاجم على معلومات AccInfo.dat عند المحاولة مرة أخرى.

توسعة إضافية：

• لن يحصل Windows على المعلومات عندما لا يكون متصلاً بالنظام. إذا لزم الأمر، يمكنك تغيير ما تريد قراءته في الملف.

• يقرأ المهاجم ملف PFRO.log فقط عندما لا يكون WeChat مثبتاً محلياً.

أوجه القصور

عندما يستخدم المهاجم أداة التخمين القسري لاختراق (تزييف) تسجيل الدخول عن بُعد بنجاح، سيحصل على محتويات ملفي PFRO.log وconfig.data في المرة الأولى. إذا أراد الحصول على محتويات أكثر دقة، فعليه محاولة الاتصال مرة أخرى (عادةً). يرجى تغيير هذا لاحقاً عندما يتوفر لديك الوقت.

المراجع

https://github.com/qigpig/MysqlHoneypot

https://github.com/heikanet/MysqlHoneypot

https://mp.weixin.qq.com/s/rQ9BpavBeMnS6xUOidZ5OA

https://mp.weixin.qq.com/s/m4I_YDn98K_A2yGAhv67Gg