StickyExim

一个电子邮件蜜罐

功能

• 易于部署。安装脚本完成所有工作。
• 滥用报告会自动创建并发送给攻击IP的所有者。
• 滥用报告在创建时以哈希值存储，以备后续需要。

要求

• 域名。

  • 一个用于正常电子邮件通信的真实域名。例如：myrealdomain.com
  • 一个用于蜜罐的域名。例如：myhoneydomain.com

• DNS记录控制。

  • 为myhoneydomain.com的所有子域名添加通配符记录，指向myrealdomain.com邮件服务器的IP。 在Bind中，这看起来像 "*.myhoneydomain.com. IN A 1.1.1.1."

• 另一个邮件服务器

  • 任何服务器都可以。您可以直接使用正常的邮件服务器；没有特殊要求。这仅用于接收电子邮件。
  • 将 "myhoneydomain.com" 和 "log.myhoneydomain.com" 设置为 "myrealdomain.com" 的域名别名
  • 创建账户 "[email protected]"。

• Debian 9

  • 可能与其他Debian版本兼容，但所有测试均在9版本上完成。

安装

apt update ; apt install -y git
git clone https://github.com/Brets0150/StickyExim.git
cd ./StickyExim/
chmod +x *.sh
./install_StickyExim.sh <用于蜜罐的域名> <用于发送测试邮件的外部电子邮件地址>

示例：

./install_StickyExim.sh  "definitelynotahoneypot.com" "[email protected]"

安装后，将向您上面提供的电子邮件地址发送一封测试邮件。如果您没有收到电子邮件，请检查邮件日志（/var/log/exim4/maillog）。

配置

nano honey_harvester_exim_cve-2019-10149.sh

您需要查找并更新此脚本顶部的两个变量。

这是在发送的滥用报告中显示的电子邮件地址。因此，这必须是一个有效的电子邮件地址。收到这些报告的人可能会联系您。

示例：[email protected] str_my_abuse_email_address_to_use_in_from_field=''

此电子邮件地址必须与 "str_my_abuse_email_address_to_use_in_from_field" 不同。此电子邮件用于向您发送一份滥用报告的副本，以便您了解已发现攻击。由于 "str_my_abuse_email_address_to_use_in_from_field" 的域名将是此蜜罐系统的本地域名，因此它不会尝试发送到远程。我建议添加一个子域名。

示例：[email protected] str_my_abuse_email_address_to_send_copy_of_abuse_report=''

测试

如果您想测试确认蜜罐是否正常工作，可以使用我找到的另一个项目。 https://github.com/cowbe0x004/eximrce-CVE-2019-10149

注意：这将向您从中测试的IP的所有者（即您的ISP）发送一份滥用报告。使用风险自负。

祝狩猎愉快！