mziqudhd92/honeypot-auditorهل يبدو هذا كأنه مصيدة عسل؟ (DTLLAH) أداة سطر أوامر متعددة البروتوكولات تتحقق من بصمة ما إذا كان عنوان IP الهدف يتصرف مثل مصيدة عسل منخفضة التفاعل — Shodan Honeyscore، وفحوصات نشطة للمصادقة/الحالة، ودرجة مرجحة.
.______________________________________________________________________________.
| :: H-AUDITOR :: v0.5.0 :: "DIALING IN... CARRIER DETECTED" :: |
|---|
| "warez? nah. headers. we trade banners, not bins." |
| "if it answers any password, it ain't production — it's a lure." |
| "respect the sysop. probe only what you own. leave no STOR behind." |
| ______________________________________________________________________________ |
[](https://pypi.org/project/honeypot-auditor/)
[](https://pypi.org/project/honeypot-auditor/)
[](https://github.com/mziqudhd92/honeypot-auditor/actions/workflows/test.yml)
[](LICENSE)
[](https://mziqudhd92.github.io/honeypot-auditor/)
**الموقع (BBS / NFO):** https://mziqudhd92.github.io/honeypot-auditor/
**العملاء / AEO:** [llms.txt](https://mziqudhd92.github.io/honeypot-auditor/llms.txt) · [agents.md](https://mziqudhd92.github.io/honeypot-auditor/agents.md)
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ █ >>> LIVE DEMO · COWRIE ON :2222 · EC2 LAB · DEEP AUDIT <<< █ ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
"cowrie said yes to every password. the shell lied about sleep. egress went quiet. scoreboard lit up — SUSPECTED." — some random BBS elite, '96
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ █ >>> LIVE DEMO · DIONAEA BUFFET · FTP/HTTP/SMB · CONFIRMED <<< █ ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
"PASV handed me a private IP. STOR vanished on reconnect. nginx forgot the Date. that's not a NAS — that's a stage." — file area #13 · no call waiting
.------------------------------------------------------------------------------.
## -=[ ما هذا ]=-
**Honeypot Auditor** — أداة CLI تطرح سؤالاً واحداً فظاً:
> *هل يتصرف عنوان IP هذا كـ honeypot منخفض التفاعل، أم كشيء قد يفوتر شخصاً ما فعلياً مقابل فترة التوقف؟*
استخبارات سلبية ([Shodan Honeyscore](https://honeyscore.shodan.io/)) بالإضافة إلى فحوصات نشطة **غير مدمرة** عبر الوجوه المعتادة للخداع. تُخرج **Honeyscore** مرجحاً (0–100%)، وجدول Rich، وتقرير JSON.
ليست استغلالات. ولا سرقة بيانات. دلالات البانر/الحالة/المصادقة. النوع الذي جعل Cowrie يتصبب عرقاً في `'09 وما زال يلتقط النسخ المستنسخة في `'26.
[ BASIC ] Shodan · Nmap NSE · SSH/Telnet/SMB/FTP/HTTP/Redis/SMTP/VNC/SIP [ DEEP ] shell semantics · OS coherence · HASSH · TCP stack · FSM fuzz · co-tenancy buffet detect · latency · latency-under-load · egress bait (flag: --deep · more intrusive · same authorization rules)
"elite? nah. just consistent timeouts and a honest --confirm-authorized."
---
## -=[ التثبيت ]=-
┌─ USERS · PyPI (public index — no pip config voodoo) ─────────────────────┐ │ python3 -m venv .venv && source .venv/bin/activate # recommended │ │ pip install honeypot-auditor │ │ pip install "honeypot-auditor[full]" # + nmap impacket shodan scapy │ │ honeypot-auditor --version │ └──────────────────────────────────────────────────────────────────────────┘
| التثبيت | يفتح |
|---------|---------|
| `pip install honeypot-auditor` | الفحوصات الأساسية (Paramiko + Requests + Rich + ترويسة figlet) |
| `pip install "honeypot-auditor[full]"` | + Nmap · SMB/Impacket · Shodan SDK · Scapy · telnet عميق |
`SHODAN_API_KEY` أو `--shodan-key` يظل **مفتاحك** أنت — `[full]` يثبّت مكتبة العميل فقط.
**أول اتصال:**
```bash
honeypot-auditor --help # -h, --help, أو /help (ترويسة figlet BBS)
honeypot-auditor --target 127.0.0.1 --skip-nmap
┌─ DEVELOPERS · from source ───────────────────────────────────────────────┐
│ git clone https://github.com/mziqudhd92/honeypot-auditor.git │
│ cd honeypot-auditor && python3 -m venv .venv && source .venv/bin/activate│
│ pip install -e ".[full,dev]" │
│ make test-cov && make lint │
└──────────────────────────────────────────────────────────────────────────┘
بدون تثبيت pip (git checkout — ثبّت الحد الأدنى من التبعيات مرة واحدة):
pip install -r requirements.txt # أو: pip install rich paramiko requests
python3 honeypot-auditor.py --help
python3 honeypot-auditor.py --target 127.0.0.1 --skip-nmap
pyfiglet / rich-argparse اختيارية لمسار السكربت (ترويسة عادية + مساعدة stdlib إذا غابت). الفحوصات الكاملة تحتاج pip install -e ".[full]".
مشرفو الإصدارات ← docs/PUBLISHING.md
# مختبر محلي · فحوصات افتراضية IANA + منافذ docker/lab (22 و2222، 80 و8081، …)
honeypot-auditor --target 127.0.0.1 --skip-nmap
# تعمق · ستة محاور كشف إضافية · بلا استغلالات
honeypot-auditor --target 127.0.0.1 --skip-nmap --deep
# هدف مواجه للإنترنت · يحتاج تأكيداً صريحاً + مفتاح Shodan إذا أردت استخبارات
honeypot-auditor --target 203.0.113.10 --confirm-authorized
# SSH 22 فقط (لا يفحص بقية الإعداد المسبق)
honeypot-auditor --target 203.0.113.10 -p 22 --confirm-authorized
# مسح شبكة فرعية · IPv4 CIDR حتى /24 (254 مضيفاً) · بالتوازي افتراضياً
honeypot-auditor --target 192.168.1.0/24 --skip-nmap --scan-concurrency 16 \
--confirm-authorized
# JSON الشبكة الفرعية → honeypot-audit-subnet-192.168.1.0_24.json (ملخص + تقارير لكل مضيف)
# مختبر قياس · cowrie + dionaea في docker
./scripts/benchmark-lab.sh
يضيف Honeyscore أوزان فئات مُفعّلة. الفئات المختلفة تتراكم (مثل ثابت 20% + حالة 25% = 45%).
تأكيد متعدد البروتوكولات — عندما تُطلق الفحوصات الأساسية على أكثر من بروتوكول واحد، يضيف كل بروتوكول بعد الأول +5%، بحد أقصى +35%. مثال: telnet ثابت + ftp حالة → 20 + 25 + 5 = 50% مشتبه به. بوفيهات deny-all التي تحتوي ≥5 طُعم بروتوكولات يمكنها أيضاً تفعيل co-tenancy (15%) بمجرد تأكيد مؤشر آخر.
╭──────────────────────────┬────────╮
│ CATEGORY │ WEIGHT │
├──────────────────────────┼────────┤
│ Shodan intel │ 25% │
│ Arbitrary auth │ 30% │
│ State non-persistence │ 25% │
│ Static signature │ 20% │
│ Co-tenancy │ 15% │
╰──────────────────────────┴────────╯
CORROBORATION BONUS (dynamic):
+5% per protocol with a basic-strategy hit, from the 2nd protocol up, max +35%
--deep ADDS (on top of basic):
┌──────────────────────────┬────────┐
│ behavior │ 18% │
│ coherence │ 15% │
│ stack_fingerprint │ 12% │
│ proto_conformance │ 12% │
│ temporal │ 10% │
└──────────────────────────┴────────┘
VERDICT BANDS:
[##########----------] < 30% LIKELY REAL HOST
[################----] 30-59% SUSPECTED HONEYPOT
[####################] >= 60% CONFIRMED HONEYPOT
عمود Strategies في جدول البروتوكولات يعدّ فقط استراتيجيات الفحص الثلاث لكل وجه (حتى 3). Shodan وco-tenancy على مستوى المضيف. لن يُفعَّل co-tenancy وحده على أكوام بحث متعددة الطُعم.
-h, --help, /help show options (figlet H-AUDITOR header + Rich help)
--version print version and exit
--target HOST IP, hostname, or IPv4 CIDR (max /24)
--scan-concurrency N parallel hosts for CIDR scans (default 8; Shodan skipped)
--preset both IANA + lab ports (default: SSH 22 and 2222, …)
--preset iana well-known ports only (22, 80, 445, …)
--preset docker-research lab ports only (2222, 8081, 1445, …)
-p, --port 22 only these TCP ports (nmap-style; 22,2222 or -p 22 -p 80)
--ports ssh=2222,http=8081 per-protocol override (map unused protos to =9)
--shodan-key KEY or env SHODAN_API_KEY
--output report.json JSON path (subnet default: honeypot-audit-subnet-<cidr>.json)
--confirm-authorized REQUIRED if any scanned IP is public
-v, --verbose strategy breakdown, per-protocol matrix, indicators, notes
-n, --with-nmap run Nmap -sV / NSE phase (slow; off by default)
--deep advanced six-axis probes
--safe-mode handshake-only; disables deep shell/path probes
--profile audit|blend probe profile (default audit; blend=mimesis OPSEC)
--proxy socks5h://host:port SOCKS5 egress (remote DNS enforced)
--passive-first Shodan before active; skip active when score high
--osint-only Shodan only — no TCP probes
--dual-stack resolve A+AAAA and compare IPv4 vs IPv6
--jitter 0.3 fraction of timeout as max random delay (authorized OPSEC)
--jitter-ms 50-500 random delay range in ms before each probe (authorized OPSEC)
--max-concurrent 32 global socket concurrency budget
--seed N RNG seed for blend profile
--preset deception-audit blue-team QA preset (both ports + --deep)
--format json|sarif report format (default json)
--output-nmap-exclude path append IP when Honeyscore >= 60
check-sig PATH validate declarative signature pack offline
--timeout SECS socket timeout (default 3)
16 محرك بروتوكول في النسخة الحالية. يستخدم كل منها حتى 3 استراتيجيات فحص (مصادقة عشوائية · عدم ثبات الحالة · توقيع ثابت). عمود Strategies هو عدد تلك الثلاثة النشطة لهذا البروتوكول في هذا الإصدار — وليس Shodan أو co-tenancy أو فحوصات المؤشرات الفردية.
الإعداد الافتراضي (--preset both) يفحص منافذ IANA المعروفة و الأسماء المستعارة الشائعة لـ lab/docker على نفس الوجوه. تجاوز المنافذ بـ -p / --ports. الوجوه المغلقة تُتخطى ولا تُسجَّل.
-p يربط الإضافات المعروفة بنفس الطريقة: 443/8443 → HTTP (TLS)، 8080/3128 → HTTP proxy، 139 → SMB، 5061 → SIP، 5000/5901 → VNC. الأرقام غير المعروفة تُفحص كـ SSH.
--deep يضيف محاور عبر البروتوكولات (دلالات shell، HASSH/مكدس TCP، FSM fuzz، co-tenancy، زمن الاستجابة التسلسلي والمتزامن تحت الحمل) فوق الاستراتيجيات الأساسية أعلاه. Shodan Honeyscore وNmap NSE (-n) طبقات استخبارات اختيارية، وليست محركات بروتوكول.
make install && make test-cov && make lint
docker compose -f deploy/docker-compose.benchmark.yml up -d
./scripts/benchmark-lab.sh
أعد تسجيل العروض المتحركة ← docs/demo/README.md
المساهمة ← CONTRIBUTING.md
تسأل هذه الأداة: "هل عنوان IP هذا honeypot؟" (منظور المهاجم / CTI)
UHBS يسأل: "ما مدى جودة طُعمك؟" (منظور الباني / درجة UHQS مخبرية · الوحدات A–F · 36 بروتوكولاً)
نفس الحي. باب مختلف. استخدم كليهما إذا كنت تبني الخداع كمهنة. استخدم هذه إذا كنت تحتاج فقط بصمة خارجية سريعة.
Proper respect to:
Cowrie · Dionaea · Conpot · the old Kippo crew
UHBS lab rats · CyberHalluciNet purple-team night shift
Shodan · Salesforce HASSH · everyone who ever typed USER anonymous
BBS sysops who ran 9600 baud file areas for "utilz"
and the three people who still read NFO files in 2026
NO GREETS TO:
script kiddies scanning /0
vendors who call Cowrie "AI-powered threat intelligence"
anyone who STORs malware on decoys then writes a LinkedIn post about it
"greetz to the elite · no greetz to the lame · hang up clean."
بحث دفاعي. اختبار مصرح به. صناديق رمل مخبرية. أجهزة الاستشعار الخاصة بك. تذاكرك.
لا توجه هذه الأداة نحو بنية تحتية لا تملكها أو لم تُصرَّح لاختبارها.
تقارير الثغرات ← SECURITY.md
MIT · do what you want · keep the copyright · no warranty see LICENSE for the lawyer-safe version (boring but binding)
.------------------------------------------------------------------------------.
| h0n3yp0t 4ud1t0r · v0.5.0 · spread headers not malware · EOF · NO CARRIER |
'------------------------------------------------------------------------------'
| NFO · READ BEFORE YOU DIAL |
|---|
| Authorized targets ONLY. Lab boxes. Decoys you own. Sensors you run. |
| Permission on paper (or in ticket). |
| Scanning random /16 because Shodan said "interesting" = YOU are the bait. |
| TYPE ...... Multi-Protocol Decoy Fingerprinter / Lab Util |
| PLATFORM .. Linux · macOS · Windows (Python 3.10+) |
| LICENSE ... MIT · spread the sauce · keep the copyright |
| PYPI ...... pypi.org/project/honeypot-auditor |
| REPO ...... github.com/mziqudhd92/honeypot-auditor |
| '------------------------------------------------------------------------------' |
| البروتوكول | المنافذ الافتراضية (iana · lab) | الاستراتيجيات |
|---|
| SSH | 22 · 2222 | 3 |
| Telnet | 23 · 2323 | 3 |
| FTP | 21 · 2121 | 3 |
| SMTP | 25 · 2525 | 3 |
| Redis | 6379 · 6379 | 3 |
| SMB | 445 · 1445 | 2 |
| VNC | 5900 · 5000 | 2 |
| MySQL | 3306 · 3306 | 2 |
| Postgres | 5432 · 5432 | 2 |
| RDP | 3389 · 3389 | 2 |
| MSSQL | 1433 · 1433 | 2 |
| MongoDB | 27017 · 27017 | 2 |
| HTTP | 80 / 443 · 8081 | 1 |
| SIP | 5060 · 5060 | 1 |
| Git | 9418 · 9418 | 1 |
| HTTP proxy | 3128 · 8080 | 1 |