MysqlHoneypot

Einleitung

MysqlHoneypot ist ein Mysql-Honeypot-Projekt, das hauptsächlich load data local infile verwendet, um den Benutzernamen des Hosts des Angreifers (Windows-Plattform) zu erhalten, und anschließend anhand des Benutzernamens die WeChat-ID sowie anhand der WeChat-ID die Mobilfunknummer des Benutzers, die Anmeldeadresse und weitere Informationen ermittelt. Die hauptsächlich gelesenen Dateien sind folgende:

A、Über C: / Windows / pfro Log den Namen des Angreifers erhalten

B、Über C:/Users/UserName/Documents/WeChat Files/All Users/config/config.data die wxid des Angreifers erhalten

C、Über C:/Users/UserName/Documents/WeChat Files/wx_id/config/AccInfo.dat address、wechatID、Telephone erhalten

Funktion

Erfasst die WeChat-Kontoinformationen des PCs des Angreifers

Anwendungsbeispiele

Schritt 1：Der Angreifer scannt aus dem Extranet die Assets und führt Brute-Force-Angriffe durch.

Schritt 2：Der lokale PC des Angreifers liest beim ersten Mal direkt die Dateien PFRO.log und config.data, wenn WeChat installiert ist.

Schritt 3:Der Angreifer erhält beim erneuten Versuch die Informationen aus AccInfo.dat.

Ergänzende Erweiterungen：

• Windows erhält keine Informationen, wenn es nicht mit dem System verbunden ist. Falls erforderlich, kannst du in der Datei festlegen, was gelesen werden soll.

• Der Angreifer liest PFRO.log nur, wenn WeChat nicht lokal installiert ist.

Einschränkungen

Wenn ein Angreifer mit einem Brute-Force-Tool erfolgreich ein (gefälschtes) Passwort errät und sich remote anmeldet, erhält er beim ersten Mal den Inhalt der Dateien PFRO.log und config.data. Wenn er detailliertere Inhalte erhalten möchte, muss er (in der Regel) erneut versuchen, sich zu verbinden. Bitte ändere dies später, wenn du Zeit hast.

Referenzen

https://github.com/qigpig/MysqlHoneypot

https://github.com/heikanet/MysqlHoneypot

https://mp.weixin.qq.com/s/rQ9BpavBeMnS6xUOidZ5OA

https://mp.weixin.qq.com/s/m4I_YDn98K_A2yGAhv67Gg