NOTA: Per sviluppi più recenti, dai un'occhiata a Michel Oosterhof's fork

Kippo

Kippo è un honeypot SSH a media interazione progettato per registrare attacchi di forza bruta e, cosa più importante, l'intera interazione shell eseguita dall'attaccante.

Kippo è ispirato, ma non basato su Kojoney.

Demo

Alcuni log interessanti da un'installazione live di Kippo qui sotto (visualizzabili in un browser web con l'aiuto di Ajaxterm). Nota che alcuni comandi potrebbero essere stati migliorati da quando questi log sono stati registrati.

• 2009-11-22
• 2009-11-23
• 2009-11-23
• 2010-03-16

Features

Alcune caratteristiche interessanti:

• Filesystem falso con la possibilità di aggiungere/rimuovere file. È incluso un filesystem falso completo che assomiglia a un'installazione Debian 5.0
• Possibilità di aggiungere contenuti di file falsi in modo che l'attaccante possa 'cat' file come /etc/passwd. Sono inclusi solo contenuti minimi di file.
• Log di sessione memorizzati in un formato UML Compatible per una facile riproduzione con le tempistiche originali
• Proprio come Kojoney, Kippo salva i file scaricati con wget per un'ispezione successiva
• Inganni; ssh finge di connettersi da qualche parte, exit non esce veramente, ecc.

Requirements

Software richiesto:

• Un sistema operativo (testato su Debian, CentOS, FreeBSD e Windows 7)
• Python 2.5+
• Twisted 8.0 to 15.1.0
• PyCrypto
• Zope Interface

Vedi il Wiki per alcune istruzioni di installazione.

How to run it?

Modifica kippo.cfg a tuo piacimento e avvia l'honeypot eseguendo:

./start.sh

start.sh è un semplice script shell che esegue Kippo in background usando twistd. Opzioni di avvio dettagliate possono essere fornite eseguendo twistd manualmente. Ad esempio, per eseguire Kippo in primo piano:

twistd -y kippo.tac -n

Di default Kippo ascolta connessioni ssh sulla porta 2222. Puoi cambiarla, ma non impostarla su 22 perché richiede privilegi di root. Usa invece il port forwarding. (Maggiori info: MakingKippoReachable).

File di interesse:

• dl/ - i file scaricati con wget sono memorizzati qui
• log/kippo.log - output di log/debug
• log/tty/ - log di sessione
• utils/playlog.py - utilità per riprodurre i log di sessione
• utils/createfs.py - utilizzato per creare fs.pickle
• fs.pickle - filesystem falso
• honeyfs/ - contenuti dei file per il filesystem falso - sentiti libero di copiare qui un sistema reale

Is it secure?

Forse. Vedi FAQ

I have some questions!

Sono raggiungibile potrei essere raggiungibile via e-mail: desaster at gmail dot com, o come desaster sul canale #honeypots nella rete IRC freenode.