.______________________________________________________________________________.

:: H-AUDITOR :: v0.5.0 :: "DIALING IN... CARRIER DETECTED" ::
"warez? nah. headers. we trade banners, not bins."
"if it answers any password, it ain't production — it's a lure."
"respect the sysop. probe only what you own. leave no STOR behind."
______________________________________________________________________________


[![PyPI](https://img.shields.io/pypi/v/honeypot-auditor?style=flat-square)](https://pypi.org/project/honeypot-auditor/)
[![Python](https://img.shields.io/pypi/pyversions/honeypot-auditor?style=flat-square)](https://pypi.org/project/honeypot-auditor/)
[![tests](https://github.com/mziqudhd92/honeypot-auditor/actions/workflows/test.yml/badge.svg)](https://github.com/mziqudhd92/honeypot-auditor/actions/workflows/test.yml)
[![License: MIT](https://img.shields.io/badge/license-MIT-green?style=flat-square)](LICENSE)
[![Pages](https://img.shields.io/badge/site-BBS%20Pages-33ff66?style=flat-square&labelColor=050805)](https://mziqudhd92.github.io/honeypot-auditor/)

**사이트 (BBS / NFO):** https://mziqudhd92.github.io/honeypot-auditor/  
**에이전트 / AEO:** [llms.txt](https://mziqudhd92.github.io/honeypot-auditor/llms.txt) · [agents.md](https://mziqudhd92.github.io/honeypot-auditor/agents.md)

▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ █ >>> LIVE DEMO · COWRIE ON :2222 · EC2 LAB · DEEP AUDIT <<< █ ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀


![Cowrie deep audit demo](https://assets.kitploit.com/production/public/readmes/53903/b82ab2c7a8ee7d2fd25e827c40723bca95e637f4b99575f517355d0164df9c13/3a359364dd80b9c8baeae2655d9be69dae6aa5546f49e8d2343ce4e1fac387d0-display-v1.webp)

"cowrie said yes to every password. the shell lied about sleep. egress went quiet. scoreboard lit up — SUSPECTED." — some random BBS elite, '96

▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ █ >>> LIVE DEMO · DIONAEA BUFFET · FTP/HTTP/SMB · CONFIRMED <<< █ ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀


![Dionaea deep audit demo](https://assets.kitploit.com/production/public/readmes/53903/9c063a8b7879e26508720ce1712f11cf2f7f5f87e7883211ee79f44dbf62b78d/129bc9bd54d55d7594bbdb3d6cca20956b7bd5b6862a1f2885d4481a390633ff-display-v1.webp)

"PASV handed me a private IP. STOR vanished on reconnect. nginx forgot the Date. that's not a NAS — that's a stage." — file area #13 · no call waiting

.------------------------------------------------------------------------------.


## -=[ 이게 뭔가 ]=-

**Honeypot Auditor** — 하나의 무례한 질문을 던지는 CLI 도구입니다:

> *이 IP는 저상호작용 허니팟처럼 행동하는가, 아니면 실제로 다운타임 비용을
> 청구할 만한 무언가처럼 행동하는가?*

수동 인텔 ([Shodan Honeyscore](https://honeyscore.shodan.io/)) 과 일반적인 디코이 표면에 대한 능동적이고 **비파괴적인** 프로브를 결합합니다. 가중치가 적용된 **Honeyscore (0–100%)**, Rich 콘솔 테이블, JSON 리포트를 출력합니다.

익스플로잇이 아닙니다. 데이터 유출도 아닙니다. 배너/상태/인증 의미론입니다. `'09`년에 Cowrie를 식은땀 흘리게 했고 `'26`년에도 여전히 클론을 잡아내는 그런 종류의 것입니다.

[ BASIC ] Shodan · Nmap NSE · SSH/Telnet/SMB/FTP/HTTP/Redis/SMTP/VNC/SIP [ DEEP ] shell semantics · OS coherence · HASSH · TCP stack · FSM fuzz · co-tenancy buffet detect · latency · latency-under-load · egress bait (flag: --deep · more intrusive · same authorization rules)

"elite? nah. just consistent timeouts and a honest --confirm-authorized."


---

## -=[ 설치 ]=-

┌─ USERS · PyPI (public index — no pip config voodoo) ─────────────────────┐ │ python3 -m venv .venv && source .venv/bin/activate # recommended │ │ pip install honeypot-auditor │ │ pip install "honeypot-auditor[full]" # + nmap impacket shodan scapy │ │ honeypot-auditor --version │ └──────────────────────────────────────────────────────────────────────────┘


| 설치 | 잠금 해제 |
|---------|---------|
| `pip install honeypot-auditor` | 핵심 프로브 (Paramiko + Requests + Rich + figlet 헤더) |
| `pip install "honeypot-auditor[full]"` | + Nmap · SMB/Impacket · Shodan SDK · Scapy · 딥 텔넷 |

`SHODAN_API_KEY` 또는 `--shodan-key`는 여전히 **사용자** 키입니다 — `[full]`은 클라이언트 라이브러리만 설치합니다.

**첫 접속:**

```bash
honeypot-auditor --help          # -h, --help, or /help (BBS figlet header)
honeypot-auditor --target 127.0.0.1 --skip-nmap

  ┌─ DEVELOPERS · from source ───────────────────────────────────────────────┐
  │  git clone https://github.com/mziqudhd92/honeypot-auditor.git            │
  │  cd honeypot-auditor && python3 -m venv .venv && source .venv/bin/activate│
  │  pip install -e ".[full,dev]"                                            │
  │  make test-cov && make lint                                                │
  └──────────────────────────────────────────────────────────────────────────┘

pip 설치 없이 (git 체크아웃 — 최소 의존성을 한 번만 설치):

pip install -r requirements.txt    # or: pip install rich paramiko requests
python3 honeypot-auditor.py --help
python3 honeypot-auditor.py --target 127.0.0.1 --skip-nmap

pyfiglet / rich-argparse는 스크립트 경로에서 선택 사항입니다 (없으면 일반 헤더 + stdlib 도움말). 전체 프로브에는 pip install -e ".[full]"이 필요합니다.

릴리스 관리자 → docs/PUBLISHING.md

-=[ 빠른 시작 / 명령어 ]=-

# 로컬 랩 · 기본 프로브 IANA + docker/lab 포트 (22 and 2222, 80 and 8081, …)
honeypot-auditor --target 127.0.0.1 --skip-nmap

# 딥 모드 · 추가 감지 축 6개 · 여전히 익스플로잇 없음
honeypot-auditor --target 127.0.0.1 --skip-nmap --deep

# 인터넷 노출 대상 · 명시적 승인 필요 + 인텔 원하면 Shodan 키
honeypot-auditor --target 203.0.113.10 --confirm-authorized

# SSH 22만 (나머지 프리셋은 스캔하지 않음)
honeypot-auditor --target 203.0.113.10 -p 22 --confirm-authorized

# 서브넷 스윕 · IPv4 CIDR 최대 /24 (254 hosts) · 기본 병렬 처리
honeypot-auditor --target 192.168.1.0/24 --skip-nmap --scan-concurrency 16 \
  --confirm-authorized
# 서브넷 JSON → honeypot-audit-subnet-192.168.1.0_24.json (요약 + 호스트별 리포트)

# 벤치마크 랩 · docker의 cowrie + dionaea
./scripts/benchmark-lab.sh

-=[ 전략 ]=-

Honeyscore는 트리거된 카테고리 가중치를 더합니다. 서로 다른 카테고리는 누적됩니다 (예: static 20% + state 25% = 45%).

다중 프로토콜 교차 검증 — 기본 전략이 둘 이상의 프로토콜에서 발동하면, 첫 번째 이후의 각 프로토콜마다 **+5%**가 추가되며 **+35%**에서 상한됩니다. 예: telnet static + ftp state → 20 + 25 + 5 = 50% 의심. ≥5개 프로토콜 유인책을 가진 거부-전부 버펫은 다른 신호가 교차 검증되면 co-tenancy (15%)도 트리거할 수 있습니다.

  ╭──────────────────────────┬────────╮
  │ CATEGORY                 │ WEIGHT │
  ├──────────────────────────┼────────┤
  │ Shodan intel             │  25%   │
  │ Arbitrary auth           │  30%   │
  │ State non-persistence    │  25%   │
  │ Static signature         │  20%   │
  │ Co-tenancy               │  15%   │
  ╰──────────────────────────┴────────╯

  CORROBORATION BONUS (dynamic):
    +5% per protocol with a basic-strategy hit, from the 2nd protocol up, max +35%

  --deep ADDS (on top of basic):
  ┌──────────────────────────┬────────┐
  │ behavior                 │  18%   │
  │ coherence                │  15%   │
  │ stack_fingerprint        │  12%   │
  │ proto_conformance        │  12%   │
  │ temporal                 │  10%   │
  └──────────────────────────┴────────┘

  VERDICT BANDS:
    [##########----------]  < 30%   LIKELY REAL HOST
    [################----]  30-59%  SUSPECTED HONEYPOT
    [####################]  >= 60%  CONFIRMED HONEYPOT

프로토콜 테이블의 Strategies 열은 각 표면당 세 가지 프로브 전략만 계산합니다 (최대 3개). Shodan과 co-tenancy는 호스트 수준입니다. Co-tenancy는 다중 유인책 연구 스택에서 단독으로 발동하지 않습니다.

-=[ CLI 플래그 ]=-

  -h, --help, /help          show options (figlet H-AUDITOR header + Rich help)
  --version                  print version and exit
  --target HOST              IP, hostname, or IPv4 CIDR (max /24)
  --scan-concurrency N       parallel hosts for CIDR scans (default 8; Shodan skipped)
  --preset both              IANA + lab ports (default: SSH 22 and 2222, …)
  --preset iana              well-known ports only (22, 80, 445, …)
  --preset docker-research   lab ports only (2222, 8081, 1445, …)
  -p, --port 22              only these TCP ports (nmap-style; 22,2222 or -p 22 -p 80)
  --ports ssh=2222,http=8081 per-protocol override (map unused protos to =9)
  --shodan-key KEY           or env SHODAN_API_KEY
  --output report.json       JSON path (subnet default: honeypot-audit-subnet-<cidr>.json)
  --confirm-authorized       REQUIRED if any scanned IP is public
  -v, --verbose              strategy breakdown, per-protocol matrix, indicators, notes
  -n, --with-nmap            run Nmap -sV / NSE phase (slow; off by default)
  --deep                     advanced six-axis probes
  --safe-mode                handshake-only; disables deep shell/path probes
  --profile audit|blend       probe profile (default audit; blend=mimesis OPSEC)
  --proxy socks5h://host:port  SOCKS5 egress (remote DNS enforced)
  --passive-first            Shodan before active; skip active when score high
  --osint-only               Shodan only — no TCP probes
  --dual-stack               resolve A+AAAA and compare IPv4 vs IPv6
  --jitter 0.3               fraction of timeout as max random delay (authorized OPSEC)
  --jitter-ms 50-500         random delay range in ms before each probe (authorized OPSEC)
  --max-concurrent 32        global socket concurrency budget
  --seed N                   RNG seed for blend profile
  --preset deception-audit   blue-team QA preset (both ports + --deep)
  --format json|sarif        report format (default json)
  --output-nmap-exclude path append IP when Honeyscore >= 60
  check-sig PATH             validate declarative signature pack offline
  --timeout SECS             socket timeout (default 3)

-=[ 지원 프로토콜 / 포트 ]=-

현재 버전의 16개 프로토콜 엔진. 각각 최대 3개의 프로브 전략을 사용합니다 (임의 인증 · 상태 비영속성 · 정적 시그니처). Strategies 열은 이 릴리스에서 해당 프로토콜에 활성화된 세 가지 중 몇 개인지를 나타냅니다 — Shodan, co-tenancy 또는 개별 지표 검사가 아닙니다.

기본 프리셋 (--preset both)은 동일한 표면에서 IANA 잘 알려진 포트 및 일반적인 lab/docker 별칭을 프로브합니다. -p / --ports로 포트를 재정의하세요. 닫힌 표면은 건너뛰며 점수를 매기지 않습니다.

-p는 잘 알려진 추가 포트를 같은 방식으로 매핑합니다: 443/8443 → HTTP (TLS), 8080/3128 → HTTP 프록시, 139 → SMB, 5061 → SIP, 5000/5901 → VNC. 알 수 없는 번호는 SSH로 프로브됩니다.

--deep은 위의 기본 전략 위에 프로토콜 간 축을 추가합니다 (셸 의미론, HASSH/TCP 스택, FSM 퍼즈, co-tenancy, 직렬 + 동시 부하 지연 시간). Shodan Honeyscore와 Nmap NSE (-n)는 선택적 인텔 레이어이지 프로토콜 엔진이 아닙니다.

-=[ 개발 / QA ]=-

make install && make test-cov && make lint
docker compose -f deploy/docker-compose.benchmark.yml up -d
./scripts/benchmark-lab.sh

애니메이션 데모 재녹화 → docs/demo/README.md

기여 → CONTRIBUTING.md

-=[ UHBS와 다름 ]=-

이 도구는 묻습니다: "그 IP가 허니팟인가?" (공격자 / CTI 관점)

UHBS는 묻습니다: "당신의 디코이는 얼마나 좋은가?" (구축자 / 랩 UHQS 등급 · 모듈 A–F · 36개 프로토콜)

같은 동네. 다른 문. 디셉션을 직업으로 구축한다면 둘 다 사용하세요. 빠른 외부 핑거프린트만 필요하다면 이 도구를 사용하세요.

-=[ 인사 / 외침 ]=-

  Proper respect to:
    Cowrie · Dionaea · Conpot · the old Kippo crew
    UHBS lab rats · CyberHalluciNet purple-team night shift
    Shodan · Salesforce HASSH · everyone who ever typed USER anonymous
    BBS sysops who ran 9600 baud file areas for "utilz"
    and the three people who still read NFO files in 2026

  NO GREETS TO:
    script kiddies scanning /0
    vendors who call Cowrie "AI-powered threat intelligence"
    anyone who STORs malware on decoys then writes a LinkedIn post about it

  "greetz to the elite · no greetz to the lame · hang up clean."

-=[ 책임 있는 사용 ]=-

방어적 연구. 승인된 테스트. 랩 샌드박스. 당신의 센서. 당신의 티켓.

소유하지 않았거나 테스트 승인을 받지 않은 인프라에 이 도구를 사용하지 마세요.

취약점 보고 → SECURITY.md

-=[ 라이선스 ]=-

  MIT · do what you want · keep the copyright · no warranty
  see LICENSE for the lawyer-safe version (boring but binding)

.------------------------------------------------------------------------------.
|  h0n3yp0t 4ud1t0r · v0.5.0 · spread headers not malware · EOF · NO CARRIER   |
'------------------------------------------------------------------------------'

SSH	22 · 2222	3
Telnet	23 · 2323	3
FTP	21 · 2121	3
SMTP	25 · 2525	3
Redis	6379 · 6379	3
SMB	445 · 1445	2
VNC	5900 · 5000	2
MySQL	3306 · 3306	2
Postgres	5432 · 5432	2
RDP	3389 · 3389	2
MSSQL	1433 · 1433	2
MongoDB	27017 · 27017	2
HTTP	80 / 443 · 8081	1
SIP	5060 · 5060	1
Git	9418 · 9418	1
HTTP proxy	3128 · 8080	1

honeypot-auditor

인기