FaPro

Бесплатный, кроссплатформенный, однофайловый симулятор массовых сетевых протоколов

Readme на китайском

Описание

FaPro — это инструмент для подделки серверов (Fake Protocol Server), позволяющий легко запускать или останавливать множество сетевых служб.

Цель — поддержка как можно большего числа протоколов и обеспечение глубокого взаимодействия с каждым из них.

Демо-сайт

Особенности

• Поддерживаемые режимы работы:

  • Локальная машина
  • Виртуальная сеть

• Поддерживаемые протоколы:

  • DNS
  • DCE/RPC
  • EIP
  • Elasticsearch
  • FTP
  • HTTP
  • IEC 104
  • Memcached
  • Modbus
  • MQTT
  • MySQL
  • RDP
  • Redis
  • S7
  • SMB

Демонстрации симуляции протоколов

RDP

Поддерживается аутентификация credssp ntlmv2 nla.

Поддерживается настройка изображения, отображаемого при входе пользователя.

SSH

Поддерживается вход пользователя.

Поддерживаются поддельные команды терминала, такие как id, uid, whoami и т.д.

Формат учётной записи: username:password:home:uid

IMAP & SMTP

Поддерживается вход пользователя и взаимодействие.

MySQL

Поддерживается выполнение SQL-запросов и интерактивное взаимодействие.

FTP

Поддерживается вход пользователя и взаимодействие.

Oracle и BACnet

В настоящее время поддерживается только подмена отпечатка nmap.

Telnet

Поддерживается вход и взаимодействие.

Redis

Поддерживается вход и взаимодействие.

Elasticsearch

Поддерживается базовая информация.

AMQP

Поддерживается вход и взаимодействие.

COAP

В настоящее время поддерживается только подмена отпечатка nmap.

HTTP

Поддерживается клонирование веб-сайтов. Для работы необходим браузер Chrome и драйвер Chrome.

Быстрый старт

Генерация конфигурации

Конфигурация всех протоколов и параметров генерируется подкомандой genConfig.

Используйте подсеть 172.16.0.0/16 для генерации файла конфигурации:

fapro genConfig -n 172.16.0.0/16 > fapro.json

Или используйте локальный адрес вместо виртуальной сети:

fapro genConfig > fapro.json

Сгенерировать конфигурацию только для протокола SSH:

./fapro genConfig -p ssh

Запуск симулятора протоколов

Запустите FaPro в подробном режиме и запустите веб-службу на порту 8080:

fapro run -v -l :8080

Логирование TCP SYN

Пользователям Windows необходимо установить winpcap или npcap.

Анализ логов

Используйте ELK для анализа логов протоколов:

Конфигурация

Этот раздел содержит пример конфигурации, используемой FaPro.

{
     "version": "0.65",
     "network": "127.0.0.1/32",
     "network_build": "localhost",
     "storage": null,
     "geo_db": "/tmp/geoip_city.mmdb",
     "hostname": "fapro1",
     "use_logq": true,
     "cert_name": "unknown",
     "syn_dev": "any",
     "udp_dev": "any",
     "icmp_dev": "any",
     "limiter": {
         "period": 10,
         "count": 3,
         "block_period": 20
     },
     "exclusions": [],
     "hosts": [
         {
             "ip": "127.0.0.1",
             "handlers": [
                 {
                     "handler": "dcerpc",
                     "port": 135,
                     "params": {
                         "accounts": [
                             "administrator:123456",
                         ],
                         "domain_name": "DESKTOP-Q1Test"
                     }
                 }
             ]
         }
     ]
}

• version: Версия конфигурации.
• network: Подсеть, используемая виртуальной сетью, или адрес, привязанный к локальной машине (локальный режим).
• network_build: Режим сети (допустимые значения: localhost, all, userdef)
  • localhost: Локальный режим, все службы прослушивают локальную машину.
  • all: Создать все хосты в подсети (т.е. все хосты в подсети будут пинговаться).
  • userdef: Создать только те хосты, которые указаны в конфигурации hosts.
• storage: Указывает хранилище для сбора логов. Поддерживаются sqlite, mysql, elasticsearch. Например:
  • sqlite3:logs.db
  • mysql://user:password@tcp(127.0.0.1:3306)/logs
  • es://http://username:[email protected]:9200 (в настоящее время поддерживается только Elasticsearch 7.x)
• geo_db: Путь к файлу базы данных MaxMind geoip2, используется для генерации информации о географическом положении IP. Если используется хранилище Elasticsearch, это поле не требуется — географические данные будут автоматически сгенерированы с помощью процессора geoip в Elasticsearch.
• hostname: Указывает поле host в логе.
• use_logq: Использовать локальную дисковую очередь сообщений для сохранения логов, а затем отправлять их на удалённый MySQL или Elasticsearch, чтобы предотвратить потерю логов.
• cert_name: Общее имя (Common Name) генерируемого сертификата.
• syn_dev: Указывает сетевой интерфейс для захвата TCP SYN-пакетов. Если пусто, TCP SYN-пакеты не будут записываться. В Windows имя устройства выглядит как "\Device\NPF_{xxxx-xxxx}".
• udp_dev: То же, что syn_dev, но для UDP-пакетов.
• icmp_dev: То же, что syn_dev, но для ICMP ping-пакетов.
• limiter: Конфигурация IP-ограничителя. Если IP превышает лимит доступа (count) за указанный период (period), он блокируется на указанное время (block_period).
  • period: Временной интервал для IP-ограничителя (в минутах).
  • count: Максимальное количество обращений IP за указанный период.
  • block_period: Время блокировки после превышения лимита (в минутах).
• exclusions: Исключить удалённые IP-адреса из логов.
• hosts: Каждый элемент — конфигурация хоста.
• handlers: Конфигурация служб; каждая запись — конфигурация одной службы на хосте.
• handler: Имя службы (т.е. название протокола).
• params: Параметры, поддерживаемые службой.

Пример

Создайте виртуальную сеть с подсетью 172.16.0.0/24, включающую 2 хоста:

на 172.16.0.3 запущены службы DNS, SSH,

на 172.16.0.5 — RPC, RDP,

логи доступа к протоколам сохраняются в Elasticsearch; логи доступа от 127.0.0.1 и 8.8.8.8 исключаются.

{
    "version": "0.65",
    "network": "172.16.0.0/24",
    "network_build": "userdef",
    "storage": "es://http://127.0.0.1:9200",
    "use_logq": true,
    "cert_name": "unknown",
    "syn_dev": "any",
    "udp_dev": "any",
    "icmp_dev": "any",
    "limiter": {
         "period": 10,
         "count": 3,
         "block_period": 20
     },
    "exclusions": ["127.0.0.1", "8.8.8.8"],
    "geo_db": "",
    "hosts": [
        {
            "ip": "172.16.0.3",
            "handlers": [
               {
                    "handler": "dns",
                    "port": 53,
                    "params": {
                        "accounts": [
                            "admin:123456"
                        ],
                        "appname": "domain"
                    }
                },
                {
                    "handler": "ssh",
                    "port": 22,
                    "params": {
                        "accounts": [
                            "root:5555555:/root:0"
                        ],
                        "prompt": "$ ",
                        "server_version": "SSH-2.0-OpenSSH_7.4"
                    }
                }
            ]
        },
        {
            "ip": "172.16.0.5",
            "handlers": [
                {
                    "handler": "dcerpc",
                    "port": 135,
                    "params": {
                        "accounts": [
                            "administrator:123456"
                        ],
                        "domain_name": "DESKTOP-Q1Test"
                    }
                },
                {
                    "handler": "rdp",
                    "port": 3389,
                    "params": {
                        "accounts": [  
                            "administrator:123456"
                        ],
                        "auth": false,
                        "domain_name": "DESKTOP-Q1Test",
                        "image": "rdp.jpg",
                        "sec_layer": "auto"
                    }
                }
            ]
        }
    ]
}

Автоматическая генерация конфигурации служб

Используйте скрипт ipclone.py из Scripts. Вы можете клонировать конфигурацию IP-служб с fofa для быстрой генерации конфигурации реальной машины.

Узнать больше

• Как построить платформу анализа сетевого сканирования - Часть I
• Как построить платформу анализа сетевого сканирования - Часть II
• Как использовать FaPro для симуляции нескольких устройств в сети
• Discord

FAQ

Мы собрали несколько часто задаваемых вопросов. Прежде чем сообщать о проблеме, проверьте, нет ли ответа в FAQ.

Вклад

• Приветствуются Issues.