NOTE : Pour un développement plus récent, consultez le fork de Michel Oosterhof

Kippo

Kippo est un honeypot SSH à interaction moyenne conçu pour enregistrer les attaques par force brute et, surtout, l'intégralité de l'interaction shell effectuée par l'attaquant.

Kippo est inspiré, mais pas basé sur Kojoney.

Démo

Quelques journaux intéressants d'une installation live de Kippo ci-dessous (consultables dans un navigateur web à l'aide d'Ajaxterm). Notez que certaines commandes ont pu être améliorées depuis l'enregistrement de ces journaux.

Fonctionnalités

Quelques fonctionnalités intéressantes :

Système de fichiers fictif avec possibilité d'ajouter/supprimer des fichiers. Un système de fichiers fictif complet ressemblant à une installation Debian 5.0 est inclus.
Possibilité d'ajouter des contenus de fichiers fictifs afin que l'attaquant puisse faire cat sur des fichiers tels que /etc/passwd. Seuls des contenus minimaux sont inclus.
Journaux de session stockés dans un format compatible UML pour une relecture facile avec les timings d'origine.
Tout comme Kojoney, Kippo sauvegarde les fichiers téléchargés avec wget pour inspection ultérieure.
Tromperie ; ssh fait semblant de se connecter quelque part, exit ne quitte pas vraiment, etc.

Prérequis

Logiciels nécessaires :

Un système d'exploitation (testé sur Debian, CentOS, FreeBSD et Windows 7)
Python 2.5+
Twisted 8.0 à 15.1.0
PyCrypto
Zope Interface

Consultez le Wiki pour quelques instructions d'installation.

Comment l'exécuter ?

Modifiez kippo.cfg selon vos souhaits et démarrez le honeypot en exécutant :

./start.sh

start.sh est un simple script shell qui exécute Kippo en arrière-plan en utilisant twistd. Des options de démarrage détaillées peuvent être spécifiées en exécutant twistd manuellement. Par exemple, pour exécuter Kippo au premier plan :

twistd -y kippo.tac -n

Par défaut, Kippo écoute les connexions SSH sur le port 2222. Vous pouvez le modifier, mais ne le changez pas en 22 car cela nécessite des privilèges root. Utilisez plutôt la redirection de port. (Plus d'infos : MakingKippoReachable).

Fichiers d'intérêt :

dl/ - les fichiers téléchargés avec wget sont stockés ici
log/kippo.log - sortie de journal/débogage
log/tty/ - journaux de session
utils/playlog.py - utilitaire pour rejouer les journaux de session
utils/createfs.py - utilisé pour créer fs.pickle
fs.pickle - système de fichiers fictif
honeyfs/ - contenus des fichiers pour le système de fichiers fictif - n'hésitez pas à copier un vrai système ici

Est-ce sécurisé ?

Peut-être. Voir la FAQ

J'ai des questions !

Je ~~suis~~ peut-être joignable par e-mail : desaster at gmail dot com, ou en tant que desaster sur le canal #honeypots du réseau IRC freenode.

kippo

Populaires