NOTE: Para desenvolvimento mais recente, confira o fork de Michel Oosterhof

Kippo

Kippo é um honeypot SSH de interação média projetado para registrar ataques de força bruta e, mais importante, toda a interação com o shell realizada pelo atacante.

Kippo é inspirado, mas não baseado, no Kojoney.

Demonstração

Alguns logs interessantes de uma instalação ativa do Kippo abaixo (visualizáveis em um navegador web com a ajuda do Ajaxterm). Observe que alguns comandos podem ter sido aprimorados desde que esses logs foram gravados.

• 2009-11-22
• 2009-11-23
• 2009-11-23
• 2010-03-16

Funcionalidades

Algumas funcionalidades interessantes:

• Sistema de arquivos falso com a capacidade de adicionar/remover arquivos. Um sistema de arquivos falso completo semelhante a uma instalação do Debian 5.0 está incluído
• Possibilidade de adicionar conteúdos de arquivos falsos para que o atacante possa usar 'cat' em arquivos como /etc/passwd. Apenas conteúdos mínimos de arquivos estão incluídos
• Logs de sessão armazenados em um formato Compatível com UML para fácil reprodução com temporizações originais
• Assim como o Kojoney, o Kippo salva arquivos baixados com wget para inspeção posterior
• Truques; o ssh finge conectar a algum lugar, exit não realmente sai, etc.

Requisitos

Software necessário:

• Um sistema operacional (testado em Debian, CentOS, FreeBSD e Windows 7)
• Python 2.5+
• Twisted 8.0 a 15.1.0
• PyCrypto
• Zope Interface

Consulte a Wiki para algumas instruções de instalação.

Como executar?

Edite o kippo.cfg conforme sua preferência e inicie o honeypot executando:

./start.sh

start.sh é um script shell simples que executa o Kippo em segundo plano usando twistd. Opções detalhadas de inicialização podem ser fornecidas executando twistd manualmente. Por exemplo, para executar o Kippo em primeiro plano:

twistd -y kippo.tac -n

Por padrão, o Kippo escuta conexões SSH na porta 2222. Você pode alterar isso, mas não mude para a porta 22, pois requer privilégios de root. Em vez disso, use redirecionamento de porta. (Mais informações: MakingKippoReachable).

Arquivos de interesse:

• dl/ - arquivos baixados com wget são armazenados aqui
• log/kippo.log - saída de log/depuração
• log/tty/ - logs de sessão
• utils/playlog.py - utilitário para reproduzir logs de sessão
• utils/createfs.py - usado para criar fs.pickle
• fs.pickle - sistema de arquivos falso
• honeyfs/ - conteúdos de arquivo para o sistema de arquivos falso - sinta-se à vontade para copiar um sistema real aqui

É seguro?

Talvez. Consulte o FAQ

Tenho algumas perguntas!

Eu sou posso ser acessível via e-mail: desaster at gmail dot com, ou como desaster no canal #honeypots na rede IRC freenode.