Honeypot CVE-2020-0618

• Detecta e registra tentativas de explorar a CVE-020-0618 (RCE no SQL Reporting Services)
• Serve conteúdo e cabeçalhos como o SSRS faria, para aumentar a chance de indexação em mecanismos de busca (ex.: google, shodan etc.)
• Baseado no excelente trabalho de MDSec e x1sec

Instalação

Obter o código

Certifique-se de ter um ambiente Go pronto para uso.

git clone https://github.com/wortell/cve-2020-0618

Gerar certificados

Gere um certificado autoassinado:

openssl genrsa -out server.key 2048
openssl ecparam -genkey -name secp384r1 -out server.key
openssl req -new -x509 -sha256 -key server.key -out server.crt -days 3650

Executar

É simples assim:

go get github.com/gorilla/mux
go run honeypot.go

O honeypot escutará nas portas 80 e 443 (portanto, deve ser executado como usuário root)

Ou, para desanexar e executar como processo em segundo plano:

nohup go run honeypot.go &

Docker

Ou execute-o em um container Docker:

git clone https://github.com/wortell/cve-2020-0618
cd cve-2020-0618
docker image build -t cve-2020-0618:1.0 .
docker container run --publish 80:80 --publish 443:443 --detach --name honeypot cve-2020-0618:1.0

DICA: Monte o diretório Logs localmente para não perder os arquivos

Logs

Resultados / dados são gravados no diretório ./log. São eles:

cve.log - Tentativas de exploração e tentativas de exploração com todos os dados (ex.: cabeçalhos, corpo do POST)

allrequests.log - Todas as requisições HTTP observadas chegando ao servidor

tls.log - Frequentemente, scanners da internet enviam dados inválidos para a porta 443. Erros de HTTPS são registrados aqui.