MysqlHoneypot

Introdução

O MysqlHoneypot é um projeto de honeypot Mysql, que usa principalmente o load data local infile para obter o nome de usuário do host do atacante (plataforma Windows), obtém ainda o WeChat ID de acordo com o nome de usuário e, em seguida, obtém o número de celular do usuário, endereço de login e outras informações de acordo com o WeChat ID. Os principais arquivos lidos são os seguintes:

A、Via C: / Windows / pfro Log para obter o nome do atacante

B、Via C:/Users/UserName/Documents/WeChat Files/All Users/config/config.data para obter o wxid do atacante

C、Via C:/Users/UserName/Documents/WeChat Files/wx_id/config/AccInfo.dat para obter endereço、wechatID、telefone

Função

Capturar as informações da conta WeChat do PC do atacante.

Exemplos de uso

Passo 1：A extranet do atacante escaneia os ativos e realiza adivinhação violenta.

Passo 2：O PC local do atacante lê diretamente os arquivos PFRO.log e config.data pela primeira vez quando o WeChat está instalado.

Passo 3: O atacante obtém as informações do AccInfo.dat ao tentar novamente.

Expansão complementar：

• O Windows não obterá informações quando não estiver conectado ao sistema. Se necessário, você pode alterar o que deseja ler no arquivo.

• O atacante lê apenas o PFRO.log quando o WeChat não está instalado localmente.

Limitações

Quando um atacante usa a ferramenta de adivinhação por força bruta para explodir (falsificar) com sucesso e fazer login remotamente, ele obterá o conteúdo dos arquivos PFRO.log e config.data pela primeira vez. Se quiser obter conteúdos mais delicados, ele precisará tentar se conectar novamente (geralmente). Por favor, altere isso mais tarde quando tiver tempo.

Referência

https://github.com/qigpig/MysqlHoneypot

https://github.com/heikanet/MysqlHoneypot

https://mp.weixin.qq.com/s/rQ9BpavBeMnS6xUOidZ5OA

https://mp.weixin.qq.com/s/m4I_YDn98K_A2yGAhv67Gg