Honeypot для CVE-2020-0618

• Обнаруживает и регистрирует попытки эксплуатации CVE-2020-0618 (SQL Reporting Services RCE)
• Отдаёт контент и заголовки так же, как это делал бы SSRS, чтобы повысить шансы на индексацию поисковыми системами (например, Google, Shodan и т.д.)
• Основан на отличной работе MDSec и x1sec

Установка

Получение кода

Убедитесь, что у вас готово окружение Go.

git clone https://github.com/wortell/cve-2020-0618

Генерация сертификатов

Сгенерируйте самоподписанный сертификат:

openssl genrsa -out server.key 2048
openssl ecparam -genkey -name secp384r1 -out server.key
openssl req -new -x509 -sha256 -key server.key -out server.crt -days 3650

Запуск

Всё просто:

go get github.com/gorilla/mux
go run honeypot.go

Honeypot будет прослушивать порты 80 и 443 (поэтому его нужно запускать от пользователя root)

Либо для запуска в фоновом режиме:

nohup go run honeypot.go &

Docker

Или запустите его в Docker-контейнере:

git clone https://github.com/wortell/cve-2020-0618
cd cve-2020-0618
docker image build -t cve-2020-0618:1.0 .
docker container run --publish 80:80 --publish 443:443 --detach --name honeypot cve-2020-0618:1.0

СОВЕТ: Подмонтируйте каталог Logs локально, чтобы не потерять файлы

Журналы

Результаты и данные записываются в каталог ./log. Это:

cve.log — попытки эксплуатации и попытки эксплуатации со всеми данными (например, заголовки, тело POST-запроса)

allrequests.log — все HTTP-запросы, которые были замечены при обращении к серверу

tls.log — интернет-сканеры часто отправляют недействительные данные на порт 443. Ошибки HTTPS регистрируются здесь.