.. SPDX-FileCopyrightText: 2014 Upi Tamminen [email protected] .. SPDX-FileCopyrightText: 2014-2025 Michel Oosterhof [email protected] .. .. SPDX-License-Identifier: BSD-3-Clause

Cowrie

Was ist Cowrie

Cowrie ist ein SSH- und Telnet-Honeypot mit mittlerer bis hoher Interaktion, das entwickelt wurde, um Brute-Force-Angriffe und die vom Angreifer durchgeführte Shell-Interaktion zu protokollieren. Im Modus mittlerer Interaktion (Shell) emuliert es ein UNIX-System in Python, im Modus hoher Interaktion (Proxy) fungiert es als SSH- und Telnet-Proxy, um das Angreiferverhalten auf einem anderen System zu beobachten. Im LLM-Modus verwendet es große Sprachmodelle, um dynamische Antworten auf Angreiferbefehle zu generieren.

Cowrie <http://github.com/cowrie/cowrie/>_ wird von Michel Oosterhof gepflegt.

Dokumentation

Die Dokumentation finden Sie hier <https://docs.cowrie.org/en/latest/index.html>_.

Slack

Sie können der Cowrie-Community im folgenden Slack-Workspace <https://www.cowrie.org/slack/>_ beitreten.

Funktionen

Wahlweise Ausführung als emulierte Shell (Standard):
- Gefälschtes Dateisystem mit der Möglichkeit, Dateien hinzuzufügen/zu entfernen. Ein vollständiges gefälschtes Dateisystem, das einer Debian-5.0-Installation ähnelt, ist enthalten
- Möglichkeit, gefälschte Dateiinhalte hinzuzufügen, damit der Angreifer Dateien wie /etc/passwd mit cat ausgeben kann. Es sind nur minimale Dateiinhalte enthalten
- Cowrie speichert Dateien, die mit wget/curl heruntergeladen oder per SFTP und scp hochgeladen wurden, zur späteren Untersuchung
Oder SSH und Telnet an ein anderes System weiterleiten
- Ausführung als reiner Telnet- und SSH-Proxy mit Überwachung
- Oder Cowrie verwaltet einen Pool von QEMU-emulierten Servern, um die Systeme für die Anmeldung bereitzustellen
Oder ein LLM-Backend verwenden (experimentell):
- Große Sprachmodelle (z. B. OpenAI GPT) verwenden, um dynamisch realistische Shell-Antworten zu generieren
- Verarbeitet jeden Befehl ohne vordefinierte Antworten
- Behält den Gesprächskontext für konsistente Sitzungen bei

Für beide Einstellungen:

Sitzungsprotokolle werden in einem mit User Mode Linux <http://user-mode-linux.sourceforge.net/>_ kompatiblen Format gespeichert, um sie einfach mit dem playlog-Dienstprogramm wiedergeben zu können.
SFTP- und SCP-Unterstützung für Datei-Uploads
Unterstützung für SSH-Exec-Befehle
Protokollierung von direct-tcp-Verbindungsversuchen (SSH-Proxying)
Weiterleitung von SMTP-Verbindungen an SMTP-Honeypots (z. B. mailoney <https://github.com/awhitehatter/mailoney>_)
JSON-Protokollierung zur einfachen Verarbeitung in Log-Management-Lösungen

Installation

Es gibt drei Möglichkeiten, Cowrie zu installieren: pip, Docker und einen git-Checkout. Für Ihren ersten Honeypot sind pip und Docker die einfachsten Wege. Verwenden Sie einen git-Checkout für die Entwicklung oder fortgeschrittene Szenarien, in denen Sie Cowrie selbst ändern möchten. Vollständige Anweisungen für alle drei finden Sie in der Installationsanleitung <https://docs.cowrie.org/en/latest/INSTALL.html>_.

Docker

Docker-Images <https://hub.docker.com/r/cowrie/cowrie>_ sind auf Docker Hub verfügbar.

Um schnell loszulegen und Cowrie auszuprobieren, führen Sie aus::

$ docker run -p 2222:2222 cowrie/cowrie:latest $ ssh -p 2222 root@localhost
Um es nur lokal zu erstellen, führen Sie aus::

$ make docker-build

PyPI

Cowrie ist auf PyPI verfügbar <https://pypi.org/project/cowrie>_. Um es in einer virtuellen Umgebung zu installieren und zu starten::

$ mkdir my-honeypot && cd my-honeypot
$ python3 -m venv cowrie-env
$ source cowrie-env/bin/activate
(cowrie-env) $ pip install cowrie
(cowrie-env) $ cowrie init
(cowrie-env) $ cowrie start

cowrie init schreibt die Konfigurationsdatei etc/cowrie.cfg in das aktuelle Verzeichnis; Protokolle und Downloads landen unter var/.

Anforderungen

Erforderliche Software für die lokale Ausführung:

Python 3.11+
python-virtualenv

Interessante Dateien:

etc/cowrie.cfg - Cowries Konfigurationsdatei (im Besitz des Betreibers). Erstellt durch cowrie init.
src/cowrie/data/etc/cowrie.cfg.dist <https://github.com/cowrie/cowrie/blob/main/src/cowrie/data/etc/cowrie.cfg.dist>_ - mitgelieferte Standardwerte, bearbeiten Sie stattdessen Ihre etc/cowrie.cfg
etc/userdb.txt - Anmeldedaten für den Zugriff auf den Honeypot
src/cowrie/data/fs.pickle - gefälschtes Dateisystem; enthält sowohl Metadaten (Pfad, uid, gid, Größe, Modus) als auch die eingebetteten Inhalte (A_CONTENTS-Bytes) für die kleinen Dateien, die Angreifer üblicherweise mit cat ausgeben. Bearbeiten Sie es über fsctl; neu erstellen über make build-fs-pickle.
src/cowrie/data/txtcmds/ - Ausgabe für einfache gefälschte Befehle
var/log/cowrie/cowrie.json - Audit-Ausgabe im JSON-Format
var/log/cowrie/cowrie.log - Log-/Debug-Ausgabe
var/lib/cowrie/tty/ - Sitzungsprotokolle, wiedergebbar mit dem playlog-Dienstprogramm.
var/lib/cowrie/downloads/ - Dateien, die vom Angreifer auf den Honeypot übertragen wurden, werden hier gespeichert

Befehle

cowrie - Cowrie starten, stoppen und neu starten
fsctl - das gefälschte Dateisystem ändern
createfs - ein eigenes gefälschtes Dateisystem erstellen
playlog - Dienstprogramm zur Wiedergabe von Sitzungsprotokollen
asciinema - Cowrie-Protokolle in asciinema-Dateien umwandeln

Mitwirkende

Viele Menschen haben im Laufe der Jahre zu Cowrie beigetragen. Besonderer Dank gilt:

Upi Tamminen (desaster) für seine gesamte Arbeit an der Entwicklung von Kippo, auf dem Cowrie basierte
Dave Germiquet (davegermiquet) für TFTP-Unterstützung, Unit-Tests, neue Prozessbehandlung
Olivier Bilodeau (obilodeau) für Telnet-Unterstützung
Ivan Korolev (fe7ch) für viele Verbesserungen im Laufe der Jahre.
Florian Pelgrim (craneworks) für seine Arbeit an Code-Bereinigung und Docker.
Guilherme Borges (sgtpepperpt) für SSH- und Telnet-Proxy (GSoC 2019)
Und viele viele andere.

cowrie

Beliebteste