galah

Кратко: Galah (/ɡəˈlɑː/ — произносится «гу-лаа») — это веб-ханпот на основе LLM, предназначенный для имитации различных приложений и динамического ответа на произвольные HTTP-запросы. Galah поддерживает основных LLM-провайдеров, включая OpenAI, GoogleAI, GCP Vertex AI, Anthropic, Cohere и Ollama.

В отличие от традиционных веб-ханпотов, которые вручную эмулируют конкретные веб-приложения или уязвимости, Galah динамически формирует релевантные ответы — включая HTTP-заголовки и содержимое тела — на любой HTTP-запрос. Ответы, сгенерированные LLM, кешируются на настраиваемый период, чтобы избежать повторной генерации для одинаковых запросов, что снижает затраты на API. Кеширование специфично для порта: ответы, сгенерированные для определенного порта, не будут использованы повторно для того же запроса на другом порту.

Galah может опционально проверять входящие HTTP-запросы по набору правил Suricata, сопоставляя различные буферы HTTP, включая метод, URI, заголовки, куки и тело запроса (текущая реализация не поддерживает все ключевые слова Suricata, а обработка PCRE ограничена). Чтобы включить и настроить сопоставление правил, см. Сопоставление HTTP-правил Suricata.

Конфигурация промпта является ключевой в этом ханпоте. Хотя вы можете обновлять промпт в файле конфигурации, крайне важно сохранить сегмент, указывающий LLM формировать ответы в указанном JSON-формате.

Примечание: Galah был разработан как забавный проект выходного дня для изучения возможностей LLM в формировании HTTP-сообщений. Ханпот может быть идентифицирован различными методами, такими как техники сетевой идентификации, увеличенное время ответа в зависимости от провайдера и модели LLM, а также нестандартные ответы. Для защиты от атак типа «Отказ в кошельке» обязательно установите лимиты использования вашего LLM API.

Начало работы

Локальное развертывание

• Убедитесь, что у вас установлен Go версии 1.22+.
• В зависимости от вашего LLM-провайдера создайте API-ключ (например, здесь для OpenAI и здесь для GoogleAI Studio) или настройте учетные данные аутентификации (например, стандартные учетные данные приложения для GCP Vertex AI).
• Если вы хотите обслуживать HTTPS-порты, сгенерируйте TLS-сертификаты.
• Клонируйте репозиторий и установите зависимости.
• При необходимости обновите файл config.yaml.
• Соберите и запустите Go-бинарник!

git clone [email protected]:0x4D31/galah.git
cd galah
go mod download
mkdir bin
go build -o bin/galah ./cmd/galah
./bin/galah --help

 ██████   █████  ██       █████  ██   ██ 
██       ██   ██ ██      ██   ██ ██   ██ 
██   ███ ███████ ██      ███████ ███████ 
██    ██ ██   ██ ██      ██   ██ ██   ██ 
 ██████  ██   ██ ███████ ██   ██ ██   ██ 
  llm-based web honeypot | version 1.1.1
         author: Adel "0x4D31" Ka

Usage: galah --provider PROVIDER --model MODEL [--server-url SERVER-URL] [--temperature TEMPERATURE] [--api-key API-KEY] [--cloud-location CLOUD-LOCATION] [--cloud-project CLOUD-PROJECT] [--interface INTERFACE] [--config-file CONFIG-FILE] [--rules-config-file RULES-CONFIG-FILE] [--event-log-file EVENT-LOG-FILE] [--cache-db-file CACHE-DB-FILE] [--cache-duration CACHE-DURATION] [--log-level LOG-LEVEL] [--suricata-enabled] [--suricata-rules-dir SURICATA-RULES-DIR]

Options:
  --provider PROVIDER, -p PROVIDER
                         LLM provider (openai, googleai, gcp-vertex, anthropic, cohere, ollama) [env: LLM_PROVIDER]
  --model MODEL, -m MODEL
                         LLM model (e.g. gpt-3.5-turbo-1106, gemini-1.5-pro-preview-0409) [env: LLM_MODEL]
  --server-url SERVER-URL, -u SERVER-URL
                         LLM Server URL (required for Ollama) [env: LLM_SERVER_URL]
  --temperature TEMPERATURE, -t TEMPERATURE
                         LLM sampling temperature (0-2). Higher values make the output more random [default: 1, env: LLM_TEMPERATURE]
  --api-key API-KEY, -k API-KEY
                         LLM API Key [env: LLM_API_KEY]
  --cloud-location CLOUD-LOCATION
                         LLM cloud location region (required for GCP's Vertex AI) [env: LLM_CLOUD_LOCATION]
  --cloud-project CLOUD-PROJECT
                         LLM cloud project ID (required for GCP's Vertex AI) [env: LLM_CLOUD_PROJECT]
  --interface INTERFACE, -i INTERFACE
                         interface to serve on
  --config-file CONFIG-FILE, -c CONFIG-FILE
                         Path to config file [default: config/config.yaml]
  --rules-config-file RULES-CONFIG-FILE, -r RULES-CONFIG-FILE
                         Path to rules config file (rule engine disabled if omitted)
  --event-log-file EVENT-LOG-FILE, -o EVENT-LOG-FILE
                         Path to event log file [default: event_log.json]
  --cache-db-file CACHE-DB-FILE, -f CACHE-DB-FILE
                         Path to database file for response caching [default: cache.db]
  --cache-duration CACHE-DURATION, -d CACHE-DURATION
                         Cache duration for generated responses (in hours). Use 0 to disable caching, and -1 for unlimited caching (no expiration). [default: 24]
  --log-level LOG-LEVEL, -l LOG-LEVEL
                         Log level (debug, info, error, fatal) [default: info]
  --suricata-enabled     Enable Suricata HTTP rule checking (default: false)
  --suricata-rules-dir SURICATA-RULES-DIR
                         Directory containing Suricata .rules files to check HTTP requests against
  --help, -h             display this help and exit

Запуск в Docker

• Убедитесь, что у вас локально установлен Docker CE или EE.
• Клонируйте репозиторий и соберите Docker-образ.
• Вы можете смонтировать локальную директорию в контейнер для хранения логов.
• Запустите Docker-контейнер.

% git clone [email protected]:0x4D31/galah.git
% cd galah
% mkdir logs
% export LLM_API_KEY=your-api-key
% docker build -t galah-image .
% docker run -d --name galah-container -p 8080:8080 -v $(pwd)/logs:/galah/logs -e LLM_API_KEY galah-image -o logs/galah.json -p openai -m gpt-3.5-turbo-1106

Пример использования

./galah -p openai -m gpt-4.1-mini --suricata-enabled --suricata-rules-dir rules

Тест:

curl --http1.1 --path-as-is -X POST \
  -H 'SOAPAction: "http://purenetworks.com/HNAP1/GetGuestNetworkSettings"' \
  -H 'Content-Type: text/xml' \
  --data '<GetGuestNetworkSettings xmlns="http://purenetworks.com/HNAP1/">' \
  http://127.0.0.1:8888/HNAP1/ -v
Note: Unnecessary use of -X or --request, POST is already inferred.
*   Trying 127.0.0.1:8888...
* Connected to 127.0.0.1 (127.0.0.1) port 8888
> POST /HNAP1/ HTTP/1.1
> Host: 127.0.0.1:8888
> User-Agent: curl/8.7.1
> Accept: */*
> SOAPAction: "http://purenetworks.com/HNAP1/GetGuestNetworkSettings"
> Content-Type: text/xml
> Content-Length: 64
> 
* upload completely sent off: 64 bytes

< HTTP/1.1 200 OK
< Server: TP-LINK HTTP Server/1.0
< Date: Mon, 21 Apr 2025 01:28:43 GMT
< Content-Length: 545
< Content-Type: text/xml; charset=utf-8
< 
<?xml version="1.0" encoding="utf-8"?>
<GetGuestNetworkSettingsResponse xmlns="http://purenetworks.com/HNAP1/">
  <GetGuestNetworkSettingsResult>OK</GetGuestNetworkSettingsResult>
  <GuestNetworkEnabled>true</GuestNetworkEnabled>
  <GuestNetworkSSID>TPLink_Guest</GuestNetworkSSID>
  <GuestNetworkSecurity>WPA2-PSK</GuestNetworkSecurity>
  <GuestNetworkPassword>guest1234</GuestNetworkPassword>
  <GuestNetworkIsolation>true</GuestNetworkIsolation>
  <GuestNetworkSSIDBroadcast>true</GuestNetworkSSIDBroadcast>