HINWEIS: Für neuere Entwicklungen siehe Michel Oosterhofs Fork

Kippo

Kippo ist ein SSH-Honeypot mit mittlerer Interaktion, der Brute-Force-Angriffe und vor allem die gesamte Shell-Interaktion des Angreifers protokolliert.

Kippo ist von Kojoney inspiriert, baut aber nicht darauf auf.

Demo

Nachfolgend einige interessante Logs einer Live-Kippo-Installation (mit Ajaxterm im Webbrowser anzeigbar). Beachten Sie, dass einige Befehle seit der Aufzeichnung dieser Logs verbessert worden sein könnten.

Features

Einige interessante Funktionen:

Fakes Dateisystem mit der Möglichkeit, Dateien hinzuzufügen/zu entfernen. Ein vollständiges Fake-Dateisystem, das einer Debian 5.0-Installation ähnelt, ist enthalten
Möglichkeit, gefälschte Dateiinhalte hinzuzufügen, sodass der Angreifer Dateien wie /etc/passwd 'cat' kann. Es sind nur minimale Dateiinhalte enthalten
Sitzungsprotokolle werden in einem UML-kompatiblen Format gespeichert, um eine einfache Wiedergabe mit ursprünglichen Zeitabläufen zu ermöglichen
Genau wie Kojoney speichert Kippo mit wget heruntergeladene Dateien zur späteren Überprüfung
Tricks; SSH gibt vor, sich irgendwo zu verbinden, exit beendet nicht wirklich, usw.

Requirements

Erforderliche Software:

Ein Betriebssystem (getestet unter Debian, CentOS, FreeBSD und Windows 7)
Python 2.5+
Twisted 8.0 to 15.1.0
PyCrypto
Zope Interface

Siehe Wiki für einige Installationsanweisungen.

Wie führt man es aus?

Bearbeiten Sie kippo.cfg nach Ihren Wünschen und starten Sie den Honeypot mit dem Befehl:

./start.sh

start.sh ist ein einfaches Shell-Skript, das Kippo im Hintergrund mit twistd ausführt. Detaillierte Startoptionen können durch manuelles Ausführen von twistd angegeben werden. Um Kippo z.B. im Vordergrund auszuführen:

twistd -y kippo.tac -n

Standardmäßig lauscht Kippo auf Port 2222 auf SSH-Verbindungen. Sie können dies ändern, aber setzen Sie es nicht auf 22, da dies Root-Rechte erfordert. Verwenden Sie stattdessen Portweiterleitung. (Weitere Informationen: MakingKippoReachable).

Interessante Dateien:

dl/ - hier werden mit wget heruntergeladene Dateien gespeichert
log/kippo.log - Protokoll-/Debug-Ausgabe
log/tty/ - Sitzungsprotokolle
utils/playlog.py - Dienstprogramm zur Wiedergabe von Sitzungsprotokollen
utils/createfs.py - wird zum Erstellen von fs.pickle verwendet
fs.pickle - Fakes Dateisystem
honeyfs/ - Dateiinhalte für das Fakesystem - Sie können hier ruhig ein echtes System kopieren

Ist es sicher?

Vielleicht. Siehe FAQ

Ich habe einige Fragen!

Ich ~~bin~~ könnte per E-Mail erreichbar sein: desaster at gmail dot com, oder als desaster im #honeypots-Kanal im freenode IRC-Netzwerk.

kippo

Beliebteste