Wetland

Wetland은 고상호작용 SSH 허니팟으로, 무차별 대입 공격을 기록하도록 설계되었습니다. 또한 wetland는 공격자가 수행한 쉘, scp, sftp, exec-command, direct-forward, reverse-forward 상호작용을 기록합니다.

Wetland는 Python SSH 모듈 paramiko를 기반으로 합니다. 그리고 wetland는 SocketServer를 사용하여 멀티스레딩 TCP 서버로 실행됩니다.

Features

• 도커를 사용하여 실제 리눅스 환경을 제공합니다.
• 모든 비밀번호 인증은 도커로 리디렉션됩니다.
• 모든 명령은 도커에서 실행됩니다.
• 해커가 SFTP로 파일을 업로드하면 파일의 사본을 저장합니다.
• 해커가 SCP로 파일을 업로드할 때 exec-log에서 파일을 추출하여 저장합니다.
• [shell | exec | direct-forward | reverse-forward] 종류의 로그를 재생하는 playlog 스크립트를 제공합니다.
• wetland와 도커 사이에서 공격자의 IP 주소를 스푸핑하는 고급 네트워킹 기능 (honssh 덕분에)
• wetland가 해커에 의해 접촉될 때 알려주는 다양한 방법이 있지만, 현재는 이메일과 bearychat만 지원합니다.

Requirements

• 리눅스 시스템 (ubuntu에서 테스트됨)
• 도커의 sshd 이미지 (예: rastasheep/ubuntu-sshd)
• python2.7
• paramiko
• yagmail
• IPy
• requests

Setup and Configuration

1. wetland.cfg.default를 wetland.cfg로 복사
2. SSH 서버에 사용할 키 생성

• mkdir data 실행
• ssh-keygen -t rsa 실행하고, data/에 저장
• ssh-keygen -t dsa 실행하고, data/에 저장
• Wetland와 sshd 컨테이너는 동일한 키를 사용해야 합니다.

3. Python 요구사항 설치

• pip install -r requirements 실행

4. SSH 서버의 배너 구성

• wetland.cfg에서 배너 편집
• sshd 컨테이너의 SSH 배너와 동일해야 합니다.

5. 또는 python util/initwetland.py ./를 실행하면, 이 스크립트가 위의 모든 작업을 수행합니다.
6. wetland.cfg에서 출력 플러그인 구성

• [output] 섹션에서 활성화 또는 비활성화
• bearychat 사용 시 incoming robots의 URL 편집
• 이메일 사용 시 user, pwd 등 편집

6. 필요시 p0f 설치

• git clone https://github.com/p0f/p0f 실행
• cd p0f 실행
• ./build.sh 실행
• wetland.cfg에서 [p0fp0f] 섹션 편집
• p0f가 필요하지 않으면 [output] 섹션에서 p0f를 비활성화하세요.

7. 도커 설치

• www.docker.com 문서에 따라 도커 설치
• docker search sshd 실행 후 sshd가 실행되는 이미지 선택
• docker run -d --name sshd sshd_image_name 실행
• docker inspect sshd 실행 후 wetland.cfg에서 도커 IP 주소와 포트 편집
• sshd의 SSH 포트는 wetland의 포트와 동일해야 합니다.
• 필요에 따라 sshd 컨테이너를 삭제하고 교체하세요.

Running

1. Run

• nohup python main.py & 실행

2. Stop

• netstat -autpn | grep 22 실행
• kill pid_number 실행
• ahaha

3. Clean

• 네트워킹 모듈이 생성한 일부 인터페이스를 수동으로 삭제해야 할 수도 있습니다.
• ip link list 실행
• ip link del dev wdxxxxxx 실행
• 마지막으로 iptables의 nat 테이블을 정리하거나 재부팅하세요.

4. View logs

• python util/clearlog.py -p log 실행은 비밀번호 로그만 있는 로그를 제거하고, username:password를 -l 파일(기본값 ./pwd.txt)에 기록합니다. 그런 다음 util의 playlog.py를 사용하세요.

5. file system changes

• filechange.py는 sshd 컨테이너의 읽기-쓰기 레이어를 ./로 복사합니다. 이 레이어에는 해커가 생성 및 제거한 내용이 포함됩니다.
• e.g. docker inspect sshd --format '{{.Id}}' | python filechange.py -

Dockerized wetland

• docker pull ohmyadd/wetland 실행
• docker hub에서 확인하세요.

TODO

• wetland 도커화

• 현실적인 sshd 도커 이미지 생성

• sshd 컨테이너 생성 자동화

• 와치독 추가

• bearychat incoming/outgoing 활용

• 분산 로그 시스템 및 hpfeeds 지원