Honeypot CVE-2020-0618

• Detecta y registra intentos de explotar CVE-020-0618 (RCE en SQL Reporting Services)
• Sirve contenido y cabeceras como lo haría SSRS, para aumentar las posibilidades de indexación en motores de búsqueda (ej. google, shodan, etc.)
• Basado en el gran trabajo de MDSec y x1sec

Instalación

Obtener el código

Asegúrate de tener un entorno Go listo.

git clone https://github.com/wortell/cve-2020-0618

Generar certificados

Genera un certificado autofirmado:

openssl genrsa -out server.key 2048
openssl ecparam -genkey -name secp384r1 -out server.key
openssl req -new -x509 -sha256 -key server.key -out server.crt -days 3650

Ejecutar

Es tan sencillo como:

go get github.com/gorilla/mux
go run honeypot.go

El honeypot escuchará tanto en el puerto 80 como en el 443 (por lo que debe ejecutarse como usuario root)

O para desvincularlo y ejecutarlo como proceso en segundo plano:

nohup go run honeypot.go &

Docker

O ejecútalo en un contenedor Docker en su lugar:

git clone https://github.com/wortell/cve-2020-0618
cd cve-2020-0618
docker image build -t cve-2020-0618:1.0 .
docker container run --publish 80:80 --publish 443:443 --detach --name honeypot cve-2020-0618:1.0

CONSEJO PRO: Monta el directorio Logs localmente, para no perder los archivos

Registros

Los resultados/datos se escriben en el directorio ./log. Son:

cve.log - Intentos de explotación e intentos de explotación con todos los datos (ej. cabeceras, cuerpo POST)

allrequests.log - Todas las solicitudes HTTP observadas que llegan al servidor

tls.log - A menudo los escáneres de internet envían datos no válidos al puerto 443. Los errores HTTPS se registran aquí.