wsus-decoy

针对 CVE-2025-59287 (WSUS) 的防御性概念验证诱饵。该诱饵在 8530 和 8531 端口模拟 WSUS Web 端点，捕获完整的 HTTP 请求体和请求头，存储证据以供取证分析，并包含一个 Windows 测试工具，用于验证端点、文件和进程遥测。它还包含示例检测规则（KQL 和 Suricata）以及一个 Sentinel 剧本模板。

重要提示：本项目严格用于防御目的。它不包含任何漏洞利用代码。仅在隔离的实验环境或分段测试环境中运行。除非您了解相关风险并已部署监控措施，否则请勿将诱饵暴露在生产网络中。

仓库内容

• 用于将类似 WSUS 的端点代理到捕获服务的 nginx 配置
• 基于 Flask 的捕获服务，将请求体和元数据写入磁盘
• Windows PowerShell 工具，用于创建日志文件并生成 cmd.exe -> powershell -EncodedCommand 以验证检测能力
• 用于检测可疑 WSUS POST 请求的 Suricata 规则
• 用于在 Microsoft Sentinel 中进行高置信度和早期预警检测的 KQL 查询 (来自 X 平台上的 @0x534c Steven Lim)
• 部署和测试指南

快速入门（本地实验环境）

1. 克隆此仓库。
2. 在 capture/ 目录中创建 Python 虚拟环境，然后执行 pip install -r requirements.txt。
3. 如有需要，更新 nginx/nginx.conf，并在诱饵主机上运行 nginx，监听 8530 端口。
4. 启动 Flask 捕获服务（已提供 systemd 单元文件）。
5. 在启用了 EDR 的 Windows 测试虚拟机上，运行 windows-harness/wsus_test_harness.ps1。
6. 向 http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx 发送 POST 请求以测试捕获功能。
7. 将证据工件导入您的 SIEM 或 Log Analytics 工作区，并运行提供的 KQL 查询进行验证。

完整说明请参阅 docs/deployment.md 和 docs/testing.md。

面向企业

• 访问 lupovis.io

许可证与署名

本项目采用 MIT 许可证授权。完整许可证文本请参阅 LICENSE 文件。

版权所有 (c) 2025 Lupovis

署名：由 Lupovis 创建
仓库地址：https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

安全提示

请始终在隔离的实验环境或分段测试网络中运行此项目。请勿使用真实的漏洞利用载荷。其目的是以安全的方式捕获和分析攻击者的活动。