batchmcnulty/malbaitSemplice honeypot TCP/UDP implementato in Perl
Programma honeypot TCP/UDP implementato in Perl
README per malbait, 2/10/17
(tra l'altro il mio indirizzo bitcoin è 3A7yuqBcPAcVEM59bNAVQdTCmkxRb5JRgE )
(Ecco un'alternativa, sempre per BTC, dato che ho ricevuto segnalazioni di alcuni portafogli bitcoin che non supportano certi indirizzi: 1PEDKUiUTxGNJ3XTPfXCTAjpzVzX1VZAme )
Benvenuto in malbait, il tuo honeypot perl semplice e tutto in uno!
Malbait è un honeypot, ovvero un programma "esca per malware". È progettato per far perdere tempo agli hacker e monitorare il traffico ostile su internet (o sulla tua LAN).
Malbait crea una serie di server fittizi su porte TCP selezionate o predefinite e, se selezionato, su porte UDP. Se qualcuno o qualcosa si connette ad essi, il loro input verrà registrato nei file di log.
Questi vengono eseguiti come processi in background, quindi per eliminarli dovrai spegnere il computer o usare il comando "kill" della shell (o, meglio ancora, "skill"). Puoi monitorarli con netstat. Consiglio:
sudo netstat -anp|grep perl
per vedere cosa c'è in ascolto, e
sudo skill -9 perl
per ucciderli quando ne hai abbastanza.
NB: Se usi install.sh per installare questo programma, dovrai eseguire
sudo skill -9 malbait
invece. anche se puoi comunque monitorarlo con: sudo netstat -anp|grep perl
In alternativa puoi semplicemente spegnere la macchina. Ovviamente non usare malbait mentre usi perl per qualsiasi altra cosa! Consiglio una macchina "esca" dedicata, o qualcosa di piccolo come un Raspberry Pi che esegue le porte predefinite, o un grosso computer in ascolto su quante più porte possibile (idealmente tutte).
Malbait usa TCP per impostazione predefinita, ma può supportare UDP da solo ed entrambi possono funzionare fianco a fianco.
È MOLTO VIVAMENTE raccomandato usare questo programma in modalità superutente, o invocando gainroot (sudo gainroot) o eseguendolo con sudo (sudo malbait). DEVI avere i permessi di superutente per aprire una qualsiasi delle prime 1024 porte.
Viene invocato così
malbait -foo
se lo esegui senza parametri, stamperà un lungo testo che spiega ulteriormente l'utilizzo. Se vuoi iniziare "out of the box" esegui
malbait -defaults
Questo aprirà le sue porte predefinite e creerà server ovunque possibile.
Malbait può creare server fittizi per Telnet, FTP, SMTP, POP3, BGP, HTTP (non brillantemente), TR-69 (non brillantemente), imap, systat, echo e il vecchio server "time" ascii. Per impostazione predefinita vengono aperti su tutte le loro porte predefinite, ma puoi specificare porte per essi.
Puoi anche aprire un intervallo di porte, ad esempio,
malbait -ports:1-1024
Aprirà le porte 1-1024 (le porte "well-known" o "riservate") e creerà server fittizi dove appropriato.
L'uso di malbait è limitato solo dalla quantità di memoria che hai. Le opzioni -trans_proto:tcpudp e -ports: ti danno il potere di osservare ogni singola porta se hai una macchina abbastanza potente; o di mandare in crash il tuo computer se non ce l'hai. Ho notato che il mio piccolo portatile Lenovo x200 riesce a gestire circa 6000 porte prima di iniziare a dare di matto, ma i risultati possono variare. Vuoi vedere quanto è DAVVERO potente la tua nuova macchina? Malbait può fornire un benchmark - personalmente mi piacerebbe vedere cosa succede su una macchina che esegue
malbait -ports:1-65535 -trans_proto:tcpudp
su un computer molto potente - nella mia esperienza con solo il 10% di quello, c'è decisamente più traffico UDP malevolo in giro (soprattutto teste di cazzo che cercano di truffare telefonate gratuite, a quanto pare), e telnet è un vero e proprio terreno di coltura, ma mi piacerebbe vedere un'indagine del territorio inesplorato oltre, se qualcuno ha la potenza (e la capacità e le palle / le ovaie di disabilitare completamente il proprio firewall!)
Se provi ad aprire, diciamo, un server FTP in modalità UDP, ( malbait -proto:ftp -trans_proto:udp ) aprirà le porte predefinite - ma non otterrai un finto server FTP! UDP creerà server solo per i servizi compatibili con UDP, che sono asciitime, systat, echo e i meta-protocolli speciali "hacktime" e "fuzz".
Hacktime è una specie di scherzo ispirato al film "Kung Fury". Crea server temporali NTP, sia vecchia scuola che moderni, e trasmette o tutti 1 o tutti FF, con l'idea di emulare la data di rollover per il Millennio Unix ("hacktime-2036") o per un sistema appena avviato ("hacktime-1900"). Ovviamente il server NTP è molto più complicato di così e probabilmente non funzionerà, ma confonderà di sicuro qualsiasi hacker che ti attacchi pensando che tu sia un server NTP!
Fuzz è esattamente questo - un tentativo di disturbare gli attacchi automatizzati lanciando loro spazzatura casuale. Anche questo è sperimentale e non necessariamente lo prendo molto sul serio, ma ho pensato che qualcuno potrebbe trovarlo utile, quindi rimane.
Il server HTTP cerca un file chiamato "webpage.html". Se non lo trova, genera invece una semplice pagina 404. Anche questo non è brillante- questo programma serve più ad aiutarti a controllare i client esotici e casuali che cercano di connettersi a te piuttosto che i noiosi vecchi spider web.
Nota che se lo apri in un browser web vedrai molte stringhe "HTTP/1.1 200 OK" sotto il contenuto; questo perché non è pensato per essere aperto in un browser web, ma per tenere in linea i bot di webcrawling potenzialmente malevoli il più a lungo possibile.
Sentiti libero di sostituire la webpage.html predefinita con la tua, ovviamente - anche se sei il benvenuto a usarla, è progettata per scopi dimostrativi.
L'opzione -transblank ti permette di escludere la creazione di server fittizi. Quindi se invochi
malbait.pl -port:23 -proto:transblank
o
malbait.pl -proto:telnet -transblank
malbait trasmetterà la cosa più simile a una risposta vuota (un singolo, solitario ritorno a capo) ai client invece di creare un "server Telnet".
Varie opzioni sono state fornite per gli amanti dell'esotica informatica.
-noloop: Non esegue il loop, cioè uccide ogni server dopo una connessione. Se è un server UDP, lo uccide dopo che il client ha inserito un "comando".
