StickyExim

Un HoneyPot per Email

Caratteristiche

• Facile da implementare. Gli script di installazione fanno tutto il lavoro.
• I report di abuso vengono creati automaticamente e inviati al proprietario dell'IP attaccante.
• I report di abuso vengono memorizzati con un hash al momento della creazione nel caso servano in seguito.

Requisiti

• Nomi di dominio.

  • Un dominio reale che usi per le email normali. Esempio: myrealdomain.com
  • Un dominio per il/i HoneyPot. Esempio: myhoneydomain.com

• Controllo dei record DNS.

  • Aggiungi un wildcard per tutti i sottodomini di myhoneydomain.com che punti all'IP del server di posta per il dominio myrealdomain.com. In Bind sarebbe simile a "*.myhoneydomain.com. IN A 1.1.1.1."

• Un altro server di posta

  • Qualsiasi cosa va bene. Puoi usare il tuo normale server email; non ci sono requisiti speciali. Serve solo per ricevere le email.
  • Imposta "myhoneydomain.com" e "log.myhoneydomain.com" come alias di dominio per "myrealdomain.com"
  • Crea l'account "[email protected]".

• Debian 9

  • Potrebbe funzionare con altre versioni di Debian, ma tutti i test sono stati effettuati sulla versione 9.

Installazione

apt update ; apt install -y git
git clone https://github.com/Brets0150/StickyExim.git
cd ./StickyExim/
chmod +x *.sh
./install_StickyExim.sh <DomainNameUsedForHoneyPot> <ExternalEmailAddressToSendTestEmailTo>

Esempio:

./install_StickyExim.sh  "definitelynotahoneypot.com" "[email protected]"

Dopo l'installazione, verrà inviata un'email di test all'indirizzo email che hai fornito sopra. Se non ricevi un'email, controlla il log di posta (/var/log/exim4/maillog).

Configurazione

nano honey_harvester_exim_cve-2019-10149.sh

Devi trovare e aggiornare due variabili all'inizio di questo script.

Questa è l'email che apparirà nei report di abuso inviati. Quindi deve essere un indirizzo email valido. Potresti essere ricontattato dalle persone che ricevono questi report.

Esempio: [email protected] str_my_abuse_email_address_to_use_in_from_field=''

Questo indirizzo email deve essere diverso da "str_my_abuse_email_address_to_use_in_from_field". Questa email viene utilizzata per inviarti una copia dei report di abuso in modo che tu sia a conoscenza di un attacco trovato. Poiché il dominio di "str_my_abuse_email_address_to_use_in_from_field" sarà locale a questo sistema honeypot, non tenterà di inviare a un remoto. Suggerisco di aggiungere un sottodominio.

Esempio: [email protected] str_my_abuse_email_address_to_send_copy_of_abuse_report=''

Test

Se vuoi testare per confermare che l'honeypot funzioni, puoi usare quest'altro progetto che ho trovato. https://github.com/cowbe0x004/eximrce-CVE-2019-10149

NOTA: Questo invierà un report di abuso al proprietario dell'IP da cui stai testando (es. il tuo ISP). Usalo a tuo rischio.

Buona caccia!