batchmcnulty/malbaitمصيدة TCP/UDP بسيطة مُنفَّذة بلغة Perl
برنامج Honeypot لبروتوكول TCP/UDP مكتوب بلغة Perl
ملف README لـ malbait، 2/10/17
(بالمناسبة عنوان البيتكوين الخاص بي هو 3A7yuqBcPAcVEM59bNAVQdTCmkxRb5JRgE )
(إليك عنوان بديل، أيضاً للبيتكوين، فقد وصلتني تقارير بأن بعض محافظ البيتكوين لا تدعم عناوين معينة: 1PEDKUiUTxGNJ3XTPfXCTAjpzVzX1VZAme )
مرحباً بك في malbait، مصيدة perl البسيطة والمتكاملة!
Malbait هو برنامج honeypot، أو "طُعم للبرمجيات الخبيثة". وهو مصمم لإضاعة وقت القراصنة ومراقبة حركة المرور العدائية على الإنترنت (أو شبكتك المحلية).
ينشئ Malbait سلسلة من الخوادم الوهمية على منافذ TCP محددة أو افتراضية، وعلى منافذ UDP إذا تم اختيارها. إذا اتصل أي شخص أو أي شيء بها، فسيتم تسجيل مدخلاته في ملفات السجل.
تعمل هذه كعمليات خلفية، لذا سيتعين عليك إما إيقاف تشغيل جهاز الكمبيوتر أو استخدام أمر "kill" الخاص بالصدفة (أو الأفضل من ذلك "skill") للتخلص منها. يمكنك مراقبتها باستخدام netstat. أنصح بما يلي:
sudo netstat -anp|grep perl
لمعرفة ما ينتظر الاتصالات، و
sudo skill -9 perl
لقتلها عندما تكتفي.
ملاحظة: إذا كنت تستخدم install.sh لتثبيت هذا البرنامج، فسيتعين عليك تشغيل
sudo skill -9 malbait
بدلاً من ذلك. ومع ذلك لا يزال بإمكانك مراقبته باستخدام: sudo netstat -anp|grep perl
بدلاً من ذلك، يمكنك ببساطة إيقاف تشغيل الجهاز. من الواضح أنه لا تستخدم malbait أثناء استخدام perl لأي شيء آخر! أنصح بجهاز "طُعم" مخصص، إما شيء صغير مثل Raspberry Pi يشغل المنافذ الافتراضية، أو جهاز كبير يشغل أكبر عدد ممكن من المنافذ التي يمكنك الاستماع عليها (يفضل جميعها).
يعمل Malbait افتراضياً على TCP، لكنه يمكنه دعم UDP بمفرده، وتشغيلهما معاً جنباً إلى جنب.
يُنصح بشدة جداً باستخدام هذا البرنامج في وضع المستخدم المتميز، إما عبر استدعاء gainroot (sudo gainroot) أو عبر sudo (sudo malbait). يجب أن تملك صلاحيات المستخدم المتميز لفتح أي من المنافذ الأولى 1024.
يُستدعى هكذا
malbait -foo
إذا قمت بتشغيله بدون معاملات فسيخرج نصاً طويلاً يشرح الاستخدام بمزيد من التفصيل. إذا أردت البدء "مباشرة" فشغّل
malbait -defaults
سيفتح هذا منافذه الافتراضية وينشئ خوادم حيثما أمكن.
يمكن لـ Malbait إنشاء خوادم وهمية لـ Telnet وFTP وSMTP وPOP3 وBGP وHTTP (ليس بشكل رائع)، وTR-69 (ليس بشكل رائع)، وimap، وsystat، وecho، وخادم "time" القديم ascii. افتراضياً تُفتح هذه على جميع منافذها الافتراضية، لكن يمكنك تحديد منافذ لها.
يمكنك أيضاً فتح نطاق من المنافذ، أي:
malbait -ports:1-1024
سيفتح المنافذ من 1 إلى 1024 (المنافذ "المعروفة" أو "المقيدة") وينشئ خوادم وهمية حيثما كان ذلك مناسباً.
استخدام Malbait مقيد فقط بكمية الذاكرة المتوفرة لديك. خيارا -trans_proto:tcpudp و -ports: يمنحانك القدرة على مراقبة كل منفذ على حدة إذا كان جهازك قوياً بما يكفي؛ أو تعطيل جهازك إذا لم يكن كذلك. أجد أن جهاز Lenovo x200 الصغير خاصتي يمكنه التعامل مع حوالي 6000 منفذ قبل أن يبدأ بالجنون، لكن النتائج قد تختلف. هل تريد أن ترى مدى قوة جهازك الجديد حقاً؟ يمكن لـ Malbait توفير معيار أداء - شخصياً أحب أن أرى ما يحدث على جهاز يشغّل
malbait -ports:1-65535 -trans_proto:tcpudp
على جهاز قوي جداً - من تجربتي مع 10% فقط من ذلك، هناك بالتأكيد المزيد من حركة مرور UDP الخبيثة في الخارج (في الغالب أناس يحاولون خداعك للحصول على مكالمات هاتفية مجانية كما يبدو)، وtelnet هو طبق بتري حقيقي، لكنني أحب أن أرى مسحاً للتضاريس المجهولة فيما بعد، إذا كان لدى أي شخص القدرة التقنية (والقدرة والجرأة على تعطيل جدار الحماية الخاص بهم تماماً!)
إذا حاولت فتح خادم FTP مثلاً في وضع UDP ( malbait -proto:ftp -trans_proto:udp ) فسيفتح المنافذ الافتراضية - لكنك لن تحصل على خادم FTP وهمي! سينشئ UDP خوادم فقط للخدمات المتوافقة مع UDP، وهي asciitime وsystat وecho والبروتوكولات الفوقية الخاصة "hacktime" و"fuzz".
Hacktime هو نوع من المزاح مستوحى من فيلم "Kung Fury". ينشئ خوادم وقت NTP، سواء الطراز القديم أو الجديد، وينقل إما كل 1s أو كل FFs، والفكرة هي محاكاة تاريخ التجاوز لألفية يونكس ("hacktime-2036") أو نظام مُقلع حديثاً ("hacktime-1900"). من الواضح أن خادم NTP أكثر تعقيداً من ذلك بكثير وربما لن يعمل، لكنه سيُربك بالتأكيد أي قراصنة يهاجمونك ظناً منهم أنك خادم NTP!
Fuzz هو ذلك تماماً - محاولة لإفساد الهجمات الآلية عن طريق رمي بيانات عشوائية غير مفيدة عليها. مرة أخرى، هذا تجريبي وأنا لا آخذه على محمل الجد بشكل كبير، لكنني ظننت أن شخصاً ما قد يجده مفيداً لذا يبقى في البرنامج.
يبحث خادم HTTP عن ملف اسمه "webpage.html". إذا لم يجده، يقوم بإنشاء صفحة 404 بسيطة بدلاً من ذلك. مرة أخرى، ليس رائعاً - هذا البرنامج يهدف بالأساس إلى مساعدتك في فحص العملاء الغريبين والعشوائيين الذين يحاولون الاتصال بك بدلاً من عناكب الويب القديمة المملة.
لاحظ أنه إذا فتحته في متصفح ويب فسترى الكثير من السلاسل النصية "HTTP/1.1 200 OK" أسفل المحتوى؛ وذلك لأنه ليس مخصصاً للفتح في متصفح ويب، بل لإبقاء روبوتات الزحف على الويب التي قد تكون خبيثة على الخط لأطول فترة ممكنة.
لا تتردد في استبدال webpage.html الافتراضي بملفك الخاص بالطبع - ورغم أنه يُرحب باستخدامك له، فهو مصمم لأغراض العرض التوضيحي.
خيارات -transblank تسمح لك بتجاوز إنشاء الخادم الوهمي. لذا إذا قمت باستدعاء
malbait.pl -port:23 -proto:transblank
أو
malbait.pl -proto:telnet -transblank
سيرسل malbait أقرب شيء إلى استجابة فارغة (إرجاع عربة واحد وحيد) إلى العملاء بدلاً من إنشاء "خادم Telnet".
تم توفير خيارات متنوعة لعشاق غرائب الحاسوب.
-noloop: لا يكرر، أي يقتل كل خادم بعد اتصال واحد. إذا كان خادم UDP، يقتله بعد أن يدخل العميل "أمراً".
-no_multiplexing: يوقف تعدد الإرسال في خادم TCP، أي تشغيل الخوادم في عملية فرعية. على الرغم من أنه يمكنك توفير الكثير من الذاكرة بهذه الطريقة، إلا أنه غير موصى به - فمن المعروف أن nmap يعطل خوادم TCP الخاصة بـ Malbait، ووجودها في عملية فرعية يعني أن malbait يمكنه التعافي من هذا ومن محاولات الاتصال الخبيثة الأخرى وتسجيلها. لذا إذا استخدمت خيار "-no_multiplexing" فأنا أضمن لك أنك ستنتهي بملفات مؤقتة يتيمة منتشرة في مجلد / دليل عملك مثل الطفح الجلدي، وهذا سيحزنك كثيراً؛ وستفقد الخوادم بشكل دائم عند تعطلها. TL;DR: لا تستخدم هذا الخيار.
-maxreq:nn يسمح لك باحتمالية إنشاء nn خادم TCP في نفس الوقت، لذا يمكنك (نظرياً) خدمة هذا العدد من "العملاء" في وقت واحد. الافتراضي هو 2.
-noblocking: يشغل الخوادم في وضع "غير محظور"؛ لا فائدة كبيرة من ذلك، رغم أنه قد يجعلنا أقل عرضة لعبث nmap إذا استُخدم بالتزامن مع -no_multiplexing. لكن لماذا تريد أن تفعل ذلك؟ بجدية، بعض العملاء يفضلون أن تكون غير محظور، لذا إذا كنت تواجه مشكلة، فجرّب هذا الخيار.
-timeout:nn يضبط مهلة الانتظار للعملاء على nn ثانية. الافتراضي هو 30 - لكن إذا كنت تتلقى الكثير من الهجمات الآلية، فقد ترغب في تقليل هذه المهلة حتى لا تفوت جميع البرمجيات الخبيثة الأخرى التي تتصل بجهازك.
-report:filename.txt يسمح لك بتسمية ملفات التقارير الخاصة بك.
