openproxy型ハニーポット

704 Views

December 18, 22

スライド概要

OpenProxyをエミュレーションする高インタラクションなハニーポット「proxypot」を開発しました。

ハニーポット
https://github.com/phishing-hunter/proxypot
ログ解析ツール
https://github.com/phishing-hunter/proxypot-analyzer

---------------------------------------------------------------------------
他にも以下のツールやサービスを提供しております

フィッシングサイト通知サービス「フィッシングハンター」
http://phishing-hunter.com/

サイトクローン検出ツール
https://github.com/phishing-hunter/ph-blocker

類似ドメイン検索サイト
http://demo.phishing-hunter.com/

profile-image

以下のツールやサービスを提供しております サイトクローン検出ツール https://github.com/phishing-hunter/ph-blocker 類似ドメイン検索サイト http://demo.phishing-hunter.com/ フィッシングサイト通知サービス「フィッシングハンター」 http://phishing-hunter.com/

シェア

埋め込む »CMSなどでJSが使えない場合

関連スライド

各ページのテキスト
1.

プロキシ型ハニーポット 「Proxypot」

2.

自己紹介 Twitter: @hunter_phishing Github: phishing-hunter フィッシング・ハンターを開発してます。 http://phishing-hunter.com/

3.

Proxypot ● ハニーポット本体 ○ https://github.com/phishing-hunter/proxypot ● ログ解析ツール ○ https://github.com/phishing-hunter/proxypot-analyzer

4.

踏み台のスキャン 攻撃者は踏み台として利用できそう なサーバをスキャンする オープンプロキシリスト

5.

匿名性の確認 プロキシサーバ ・レスポンスに「プロキシサーバのIPアドレス」が含まれている: OK ・攻撃者のIPアドレス情報が含まれていない: OK ・プロキシ特有のヘッダが入っている: NG ・プロキシサーバの応答速度: OK PHP環境変数 チェッカー HTTP_CONNECTION = keep-alive HTTP_HOST = azenv.net REMOTE_PORT = 65268 REMOTE_ADDR = プロキシサーバのIPアドレス REQUEST_SCHEME = http REQUEST_URI = / REQUEST_METHOD = GET REQUEST_TIME_FLOAT = 1669536890.6417 REQUEST_TIME = 1669536890

6.

スパムメールの送信 smtp.gmail.com:25 オープンプロキシ メールサーバ

7.

プロキシチェッカーのランキングを操作する プロキシ型ハニーポット 5.踏み台として利用 6.攻撃者の通信を見 ることができる 2. 自動スキャン 3.ハニーポット が登録される 4.結果を参照 1. オープンプロキシ チェッカーでスキャン

8.

スパムメールが送られるはずだったが smtp.gmail.com:25 オープンプロキシ メールサーバ

9.

ハニーポットの中にメールが送信される ハニーポット honeypot:1080 smtp.gmail.com:25 リバースプロキシ localhost:25

10.

多段プロキシにも対応 ハニーポット honeypot:1080 proxy1:8000 proxy3:80 smtp.gmail.com:25 localhost:25 proxy2:8080

11.

既存のハニーポットに誘導できる ハニーポット honeypot:1080 proxy1:8000 proxy3:80 proxy2:8080 hostname:port dionaea:20 dionaea:21 cowrie:22 cowrie:23 smtpd:25 dionaea:42 dionaea:1883 dionaea:3306 dicompot:11112

12.

ペイロード書き換えも可能 ハニーポット honeypot:1080 proxy1:8000 proxy3:80 socat:25 proxy2:8080 sed -u 's/220.*smtp4dev ready/220 smtp.gmail.com ESMTP - gsmtp/g' smtp4dev:25

13.

必要なサーバスペック ハニーポット 1 cpu: 2 memory: 1GB ハニーポット 2 cpu: 2 memory: 1GB SCP or AMQP ログ可視化サーバ (データ量に応じてスケールする ) ハニーポット 3 cpu: 2 memory: 1GB