CVE-2020-0618 Honeypot

• Erkennt und protokolliert Versuche, CVE-020-0618 (SQL Reporting Services RCE) auszunutzen
• Liefert Inhalte und Header wie SSRS, um die Wahrscheinlichkeit der Indexierung durch Suchmaschinen zu erhöhen (z. B. Google, Shodan usw.)
• Basiert auf der großartigen Arbeit von MDSec und x1sec

Installation

Code herunterladen

Stellen Sie sicher, dass eine Go-Umgebung einsatzbereit ist.

git clone https://github.com/wortell/cve-2020-0618

Zertifikate erstellen

Selbstsigniertes Zertifikat erstellen:

openssl genrsa -out server.key 2048
openssl ecparam -genkey -name secp384r1 -out server.key
openssl req -new -x509 -sha256 -key server.key -out server.crt -days 3650

Ausführen

So einfach geht's:

go get github.com/gorilla/mux
go run honeypot.go

Der Honeypot lauscht auf beiden Ports 80 und 443 (er muss also als root-Benutzer ausgeführt werden).

Oder um ihn abzulösen und als Hintergrundprozess auszuführen:

nohup go run honeypot.go &

Docker

Oder führen Sie ihn stattdessen in einem Docker-Container aus:

git clone https://github.com/wortell/cve-2020-0618
cd cve-2020-0618
docker image build -t cve-2020-0618:1.0 .
docker container run --publish 80:80 --publish 443:443 --detach --name honeypot cve-2020-0618:1.0

PROFI-TIPP: Mounten Sie das Logs-Verzeichnis lokal, damit Sie die Dateien nicht verlieren.

Logs

Ergebnisse / Daten werden in das Verzeichnis ./log geschrieben. Es handelt sich um:

cve.log - Exploit-Versuche und Exploit-Versuche mit allen Daten (z. B. Header, Post-Body)

allrequests.log - Alle HTTP-Anfragen, die den Server erreichen

tls.log - Oft senden Internet-Scanner ungültige Daten an Port 443. HTTPS-Fehler werden hier protokolliert.