【网络安全】蜜罐部署实战DecoyMini攻击诱捕

news2025/1/11 12:42:56

蜜罐部署实战&DecoyMini攻击诱捕

  • 前言
  • 一、蜜罐
    • 1. 概念
    • 2. 蜜罐溯源常见方式
    • 3. 蜜罐分类
  • 二、蜜罐项目实战
    • 1. 配置DecoyMini
      • 1.1 命令行窗口运行
      • 1.2 修改配置信息
    • 2. 登录DecoyMini
    • 3. 克隆网站
      • 3.1 增加仿真网站
      • 3.2 增加诱捕器
      • 3.3 查看端口监听
      • 3.4 克隆成功（蜜罐）
      • 3.5 蜜罐诱捕
    • 4. 蜜罐流量分析
      • 4.1 弱口令攻击网站
        • 4.1.1 生成诱捕策略
        • 4.1.2 开启BurpSuite拦截
        • 4.1.3 Intruder开始攻击
        • 4.1.4 开始攻击
        • 4.1.5 查看诱捕日志
      • 4.2 SQL注入攻击网站
        • 4.2.1 sqlmap安装配置
          • （1）官网下载
          • （2）安装sqlmap
        • 4.2.2 抓取BurpSuite数据包
        • 4.2.3 sqlmap攻击
        • 4.2.4 查看诱捕日志
  • 三、DecoyMini介绍
    • 1. 背景
    • 2. 应用场景
      • 2.1 互联网攻击诱捕分析
      • 2.2 内网横向攻击监测预警
      • 2.3 网络攻防对抗演习监测
    • 3. 主要功能
      • 3.1 监控
        • （1）风险态势
        • （2）仪表盘
      • 3.2 攻击
        • （1）风险事件
        • （2）诱捕日志
      • 3.3 诱捕
        • （1）诱捕策略
        • （2）安全规则
        • （3）攻击特征
      • 3.4 仿真
        • （1）仿真模板
        • （2）增加仿真网站
        • （3）增加仿真主机
      • 3.5 处置
        • （1）预警通知
        • （2）内生情报
      • 3.6 节点
        • （1）节点管理
        • （2）节点分组

前言

文章到底在讲什么？
省流：实战演示，教你如何伪造一个钓鱼网站，获取对方信息

在这里插入图片描述

一、蜜罐

1. 概念

蜜罐这个词，最早是被猎人使用的。猎人把罐子装上 蜂蜜，然后放个陷阱，专门用来捕捉喜欢甜食的熊。

后来在网络安全领域里， 人们就把欺骗攻击者的诱饵称为“蜜罐”。

即模拟各种常见的应用服务，诱导攻击者攻击，

从而记录攻击者的入侵行为，获取攻击者的主机信息、浏览器信息、甚至是真实 IP及社交信息。

在这里插入图片描述

2. 蜜罐溯源常见方式

常见两种方式：

1、网站上插入特定的js文件（大多数）

2、网站上显示需要下载某插件

3. 蜜罐分类

1、低交互蜜罐

2、中交互蜜罐

3、高交互蜜罐

在这里插入图片描述

二、蜜罐项目实战

以下操作均在虚拟机

1. 配置DecoyMini

DecoyMini是一款智能仿真与攻击诱捕工具

链接: DecoyMini百度网盘链接
提取码：2ddy

1.1 命令行窗口运行

进入文件根目录，输入

DecoyMini_Windows_v2.0.6691.exe

在这里插入图片描述

默认地址0000

1.2 修改配置信息

首先，我们要选择http，输入

h

回车

在这里插入图片描述

接下来设置端口为

7890

设置成功

在这里插入图片描述

查看端口，输入

netstat -ano | findstr "7890"

端口7890已经处于监听状态

在这里插入图片描述

2. 登录DecoyMini

浏览器中打开

127.0.0.1:7890

输入默认账号密码

admin
Admin@123

在这里插入图片描述

登录成功

在这里插入图片描述

首先要仿真，模拟甲方的内网系统

3. 克隆网站

比如说我们找到一个这样的网站

它的网址

14.29.190.82:9005

在这里插入图片描述
我们想要克隆一个和它一模一样的网站（蜜罐）出来

首先需要用DecoyMini先仿造一个系统

3.1 增加仿真网站

我们进入刚刚配置好的系统，点击仿真，增加仿真网站

输入模板ID和模板名称，在网站地址中，我们将刚刚找到的网站地址粘贴过去

在这里插入图片描述

网站更新时间一般设置为7天

点击增加，出现了刚刚部署的九芒星仿真网站

在这里插入图片描述

3.2 增加诱捕器

然后开始诱捕，打开诱捕-诱捕策略-增加诱捕器

模板使用刚刚的九芒星网站

外部访问IP设置为虚拟机的ip

在这里插入图片描述

协议设置为http，端口设置为8081

点击确定

在这里插入图片描述

启用成功后，选择应用

等待一会，蜜罐会自动利用爬虫爬取原网站的样式

复刻一个一模一样的网站

3.3 查看端口监听

查看8081端口启用情况

netstat -ano | findstr "8081"

处于监听状态

在这里插入图片描述

因为DecoyMIni部署在虚拟机上，我们就假设物理机是攻击者，开始渗透刚刚制作好的蜜罐

在物理机中，对于两个一模一样的网站，很难分辨真假。

假设某环保局的审批业务在C段，那我们把蜜罐放到相应的C段，很容易迷惑对方，进行误操作。

3.4 克隆成功（蜜罐）

我们在物理机上的浏览器打开该网址，用的就是刚刚配置的8081端口

192.168.149.129:8081

克隆成功

在这里插入图片描述

会发现和刚刚的网址不一样

3.5 蜜罐诱捕

假设有人无意中打开该虚假网址，并且输入账号密码提交后

在这里插入图片描述

那么就会在蜜罐后台的诱捕日志中看到诱捕的信息

在这里插入图片描述

可以看到攻击者（受害者）的用户信息

在这里插入图片描述
以及被攻击者（蜜罐）的信息

在这里插入图片描述

以及诱捕日志详情

在这里插入图片描述
以上操作，只是用户无意中尝试登录，并无恶意，那接下来我们就用弱口令和SQL注入的方式来演示，黑客在攻击该蜜罐的时候，会发生什么事

4. 蜜罐流量分析

4.1 弱口令攻击网站

4.1.1 生成诱捕策略

我们先利用它自带的模板生成一个策略

外部访问IP同样是虚拟机IP地址

协议http，端口我们用8082

在这里插入图片描述

现在后台就多了一个业务，名字为九芒星管理后台

在这里插入图片描述

打开burpsuite，用内置浏览器打开该网址

http://192.168.149.129:8082/#/

这就是模板中自带的管理系统，我们拿它为例来测试黑客攻击

在这里插入图片描述

4.1.2 开启BurpSuite拦截

先输入账号密码，然后开启BurpSuite拦截

在这里插入图片描述

点击登录后，BurpSuite会拦截到刚刚输入的用户名和密码

在这里插入图片描述

4.1.3 Intruder开始攻击

利用Intruder模块对密码进行获取

![在这里插入图片描述

4.1.4 开始攻击

在payloads设置中加载一个密码字典，开始攻击

密码字典的话网上任意找一个即可，由于该网站是蜜罐，不存在拿到一个虚假网站的密码一说，故只是辅助参考

在这里插入图片描述

攻击中

在这里插入图片描述

4.1.5 查看诱捕日志

然后在DecoyMini的诱捕日志中会看到刚刚的攻击记录

短短几秒钟发起了几百条攻击

在这里插入图片描述

点击最右侧，可以看到日志详情

在这里插入图片描述

同样可以看到攻击者画像

在这里插入图片描述

攻击者特征

在这里插入图片描述
以及风险日志

在这里插入图片描述
还可以将攻击者IP加入黑名单或白名单中

在这里插入图片描述

4.2 SQL注入攻击网站

4.2.1 sqlmap安装配置

（1）官网下载

打开官网

http://sqlmap.org/

点击右侧图标下载压缩包

在这里插入图片描述

把压缩包解压，重命名，放在安装的Python根目录下：

在这里插入图片描述

（2）安装sqlmap

打开sqlmap文件夹，地址栏输入cmd命令行进入sqlmap

sqlmap.py -h

在这里插入图片描述

出现帮助信息则安装成功

4.2.2 抓取BurpSuite数据包

同样先在克隆的系统（蜜罐）中输入账号密码，然后开启拦截，点击提交后，将生成的数据包复制

在这里插入图片描述

然后在sqlmap根目录下新建test.txt文件，把密码11111换成*

在这里插入图片描述

4.2.3 sqlmap攻击

在根目录下，cmd打开窗口输入

python .\sqlmap.py -r .\test.txt

在这里插入图片描述

此时已经开始攻击

4.2.4 查看诱捕日志

我们在诱捕日志中可以看到攻击信息

出现了数十条攻击信息

在这里插入图片描述

可以看到攻击者画像，首次攻击时间、最近攻击时间、浏览器指纹以及攻击的目标都显示在上面

在这里插入图片描述

三、DecoyMini介绍

它的全称是智能仿真与攻击诱捕工具

1. 背景

它是市场上诸多蜜罐安全产品的一种，蜜罐产品还有很多，比如
默安的幻盾、幻阵；360的蜃景；腾讯的御阵等等

由于蜜罐也是欺骗防御的一种，传统的安全防御思路，是防守者需要充分全面的对网络和系统的安全漏洞和风险进行分析、评估和整改来确保整个网络安全，但网络攻击面太多，导致很难发现所有的风险，故欺骗防御技术应运而生。

攻击者很容易触碰到安全人员设下的诱捕陷阱而导致暴露攻击行为，通过蜜罐等欺骗技术可以有效改变攻防不对称，变被动为主动，是对传统防御的有力增强。

2. 应用场景

DecoyMini 可以部署到不同的网络环境里，提供多样化的攻击诱捕能力。

典型的应用场景介绍如下：

2.1 互联网攻击诱捕分析

面对互联网攻击频繁，各种高级、隐蔽的攻击层出不穷；而用传统安全设备很难有效防御，安全运维人员应付起来也是疲于奔命。

在这里插入图片描述

通过部署 DecoyMini，利用丰富多样的仿真模板，部署典型的蜜罐映射到外网，提供常态化的外网攻击感知能力；也可以利用自定义蜜罐能力，将个性化的蜜罐映射到外网，对互联网上尝试攻击我方的攻击源进行诱捕和监测；支持与网关设备联动来及时对外部攻击进行处置和阻断，提升对外部攻击的处置和响应能力。

2.2 内网横向攻击监测预警

通常内网的访问控制都不严格，攻击横向移动比较容易；而内网系统往往漏洞未能及时修补、弱口令威胁也相当严峻，极易遭受恶意的攻击。

在这里插入图片描述

通过部署 DecoyMini，在内网部署一些常用的应用、服务蜜罐，并开启网络扫描、连接监听等功能，就可以提供常态化的内网横向攻击监测感知能力，可以及时发现感染勒索、挖矿、蠕虫等病毒木马的失陷主机，潜伏到内网的攻击者，以及内部人员发起的各种攻击行为。

2.3 网络攻防对抗演习监测

近几年来攻防演习常态化进行，在攻防演习中需要有手段能够对红队的攻击进行监测、对攻击的进展进行跟踪，同时对攻击行为进行溯源反制。

在这里插入图片描述

通过部署 DecoyMini，可以对红队的攻击行为进行监测，支撑对攻击套路进行分析，用以指导蓝队制定更为有效的防御措施；同时，用蜜罐为载体构造场景可以来投递溯源、反制工具，实现对红队的溯源。结合攻击的完整日志和攻击者画像，协助完整溯源攻击链，获得溯源得分。

3. 主要功能

3.1 监控

监控模块又两个，风险态势和仪表板

（1）风险态势

风险态势可查看“攻击类型”、“攻击次数”、“被攻击目标”、“攻击源分布”、“事件趋势”、“最新事件”等分布图

在这里插入图片描述

（2）仪表盘

仪表盘则是主要用于展示系统的关键指标和数据，以图表等可视化的形式来进行展示

在这里插入图片描述

3.2 攻击

其中又包含风险事件和诱捕日志

（1）风险事件

风险事件管理页面展示系统产生的所有风险事件信息，按时间由近到远进行展示，并提供对风险事件进行快速查询和分析的功能。

在这里插入图片描述

（2）诱捕日志

诱捕日志管理功能提供对攻击者在诱捕器中所有操作行为：包括网络操作、命令执行、文件操作以及文件等数据进行综合浏览、查询的功能。

在这里插入图片描述

3.3 诱捕

诱捕又分为诱捕策略、安全规则和攻击特征三大块

（1）诱捕策略

诱捕策略用于配置各诱捕探针需要执行的诱捕策略。

在这里插入图片描述

（2）安全规则

安全规则用于配置系统安全监测规则，包括威胁情报配置和黑白名单配置等。
在这里插入图片描述

（3）攻击特征

攻击特征则是借助检测规则，对攻击的类型、级别、信息进行归纳总结

在这里插入图片描述

3.4 仿真

仿真又分为仿真模板、增加仿真网站和增加仿真主机三块

（1）仿真模板

仿真模板提供对系统各仿真能力进行配置管理的功能，通过仿真模板可以快速、灵活自定义仿真内容。

在这里插入图片描述

（2）增加仿真网站

仿真网站则是可以自定义的添加网站配置信息

在这里插入图片描述

（3）增加仿真主机

仿真主机同样可以添加一台主机，模拟目标主机

在这里插入图片描述

3.5 处置

处置分为预警通知和内生情报两块

（1）预警通知

预警通知可以自定义添加报警规则，满足条件则发出预警

在这里插入图片描述

（2）内生情报

内生情报可以选择周期和数量限制，来对不同情报格式就行利用

在这里插入图片描述

3.6 节点

节点分为节点管理和节点分组

（1）节点管理

节点管理主要包含节点信息查看、节点信息修改、节点策略运行情况查看等功能。

在这里插入图片描述

（2）节点分组

节点分组可以针对不同类型进行分组，方便管理

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/787194.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Qt : day1

Qt : day1

1.聊天界面 #include "widget.h"Widget::Widget(QWidget *parent): QWidget(parent) {qDebug() << this->size(); //获取当前页面尺寸this->setFixedSize(500, 600); //设置固定尺寸this->setWindowTitle("聊天框"); //设置窗口…
阅读更多...
解决Cannot resolve plugin org.apache.maven.plugins:xxxxxxxx

解决Cannot resolve plugin org.apache.maven.plugins:xxxxxxxx

解决Cannot resolve plugin org.apache.maven.plugins:xxxxxxxx 方法一、检查配置设置 下图中三个方框圈出来的地方设置为自己的下载的maven地址&#xff0c;配置文件地址&#xff0c;仓库地址。刷新maven。 我个人试过没用&#xff0c;不过网上有的朋友用这个方法解决了。 …
阅读更多...
CBC字节翻转攻击介绍 例题

CBC字节翻转攻击介绍 例题

知识导入&#xff08;AES-CBC模式&#xff09; 加密过程 1、首先将明文分组(常见的以16字节为一组)&#xff0c;位数不足的使用特殊字符填充。 2、生成一个随机的初始化向量(IV)和一个密钥。 3、将IV和第一组明文异或。 4、用key对3中xor后产生的密文加密。 5、用4中产生的密文…
阅读更多...
大厂案例 - 腾讯万亿级 Elasticsearch 架构实践

大厂案例 - 腾讯万亿级 Elasticsearch 架构实践

文章目录 概述提纲益处正文一、Elasticsearch 简介0. 应用领域搜索引擎可观测性安全检测发展现状 1.系统架构集群架构物理数据模型查询 2.腾讯应用现状搜索领日志实时分析时序数据 二、技术挑战1.可用性2.成本3.性能 三、架构设计实践1.可用性优化1.1 解决方案2.2 集群扩展性2.…
阅读更多...
RK3588平台开发系列讲解（LCD篇）LCD的分辨率和像素格式

RK3588平台开发系列讲解（LCD篇）LCD的分辨率和像素格式

文章目录 一、分辨率二、像素格式三、LCD成像步骤四、LCD屏幕时序4.1、行显示时序4.2、帧显示时序沉淀、分享、成长，让自己和他人都能有所收获！😄 📢液晶 LCD 显示器是由两片平行的玻璃基板组成，两片平行的玻璃基板之间放置了一个液晶盒。在下基板玻璃上，有一组被称为薄…
阅读更多...
【Postman】- 基本用法

【Postman】- 基本用法

一、用例集 1.1 用例集 Collections&#xff1a;用例集。目录下可以创建子目录。 1.2 导出用例集 1.3 导入用例集 二、Postman断言 断言&#xff1a;让程序判断预期结果和实际结果是否一致 2.1 特点 Postman的断言是使用JavaScript语言编写的&#xff0c;写在"Tests&…
阅读更多...
Jvm参数优化

Jvm参数优化

Jvm参数优化 背景1. 系统上线规划容量- 分析 2. 垃圾回收器选择吞吐量和响应时间垃圾回收器选择 3. 规划各个分区的比例大小4. 对象年龄对少移动到老年代合适5. 对象多大放到老年代6. 垃圾回收器CMS老年代参数优化7. 配置OOM时的内存dump文件和GC日志8. 通用JVM参数模板 背景 …
阅读更多...
任务的调度 和 任务的状态

任务的调度 和 任务的状态

任务的调度 Q: 什么是任务调度&#xff1f; A: 调度器就是使用相关的调度算法来决定当前需要执行的哪个任务。 FreeRTOS中开启任务调度的函数是 vTaskStartScheduler() &#xff0c;但在 CubeMX 中被封装为 osKernelStart() 。 这个“osKernelStart()”就是在main.c中main函…
阅读更多...
MyBatis源码分析_ResultSetHandler（7）

MyBatis源码分析_ResultSetHandler（7）

1. 传统JDBC Mybatis其实就是封装传统JDBC的&#xff0c;它和传统JDBC访问数据库基本一模一样。因此&#xff0c;不要觉得Mybatis有多高级。而 ResultSetHandler 就是处理我们JDBC访问数据库获取到的ResultSet结果集的。在此之前&#xff0c;我们还是先看一下传统JDBC&#xf…
阅读更多...
5.2.10.应用程序如何调用驱动 mknod /dev/test c 250 0 创建设备文件，应用app 程序 调用 我们 驱动 壳子

5.2.10.应用程序如何调用驱动 mknod /dev/test c 250 0 创建设备文件，应用app 程序 调用 我们 驱动 壳子

5.2.10.应用程序如何调用驱动 5.2.10.1、驱动设备文件的创建 (1)何为设备文件 索引驱动 (2)设备文件的关键信息是&#xff1a;设备号 主设备号 次设备号&#xff0c;使用ls -l去查看设备文件&#xff0c;就可以得到这个设备文件对应的主次设备号。 4颗LED不可能 都占用 主设备…
阅读更多...
【深度学习】日常笔记14

【深度学习】日常笔记14

对神经网络模型参数的初始化方案对保持数值稳定性有很重要的作用。初始化⽅案的选择可以与⾮线性激活函数的选择有趣的结合在⼀起。 突然有感触&#xff1a;做习题和模拟考研就分别是训练集和验证集&#xff0c;考研不就是最后的测试集&#xff08;&#xff09; p168的↓的解释…
阅读更多...
【计算机编程语言】JAVA-MyBatis（Eclipse）

【计算机编程语言】JAVA-MyBatis（Eclipse）

文章目录 MyBatis1.简介1.1什么是Mybatis1.2持久化1.3持久层1.4为什么需要Mybatis 2.第一个Mybatis程序2.1搭建环境2.1.1.搭建数据库&#xff1a;2.1.2.新建项目&#xff08;工程&#xff09;2.1.3导入依赖 2.2创建一个模块2.2.1.编写Mybatis的核心配置文件2.2.2.编写Mybatis的…
阅读更多...
linux学成之路（基础篇（二十三）MySQL服务（下）

linux学成之路（基础篇（二十三）MySQL服务（下）

目录 MySQL服务之SQL语句 一、SQL语句类型 一、 DDL语句 二、DML语句 三、DCL语句 四、DQL 语句 二、 数据库操作 一、查看 二、创建 三、进入 四、删除数据库 五、更改数据库名称 六、更改字符集 三、数据表管理 一、数据类型 一、数值类型 TINYINT SMALLINT…
阅读更多...
JUC并发编程之CompletableFuture详解

JUC并发编程之CompletableFuture详解

目录 1.Future接口 1.1 Future介绍 1.1.1 FutureTask 1.1.2 代码示例 2. CompletableFuture 2.1 基本概念 2.2 代码示例 2.2.1 创建CompletableFuture 2.2.2 函数式接口&#xff08;补充&#xff09; 2.2.3 异步任务组合 1.Future接口 1.1 Future介绍 JUC并发编程中的…
阅读更多...
（三）InfluxDB入门（借助Web UI）

（三）InfluxDB入门（借助Web UI）

以下内容来自 尚硅谷&#xff0c;写这一系列的文章&#xff0c;主要是为了方便后续自己的查看&#xff0c;不用带着个PDF找来找去的&#xff0c;太麻烦&#xff01; 第 3 章 InfluxDB入门&#xff08;借助Web UI&#xff09; 借助Web UI&#xff0c;我们可以更好地理解InfluxD…
阅读更多...
SiddonGpu编译过程记录

SiddonGpu编译过程记录

1. 还是想要能够快速生成DRR&#xff0c;用了这个up的代码GitHub - fabio86d/CUDA_DigitallyReconstructedRadiographs: GPU accelerated python library for generation of Digitally Reconstructed Radiographs (March 2018) 在看步骤的时候不是很清晰。尤其是procedure to…
阅读更多...
生产环境Session解决方案、Session服务器之Redis

生产环境Session解决方案、Session服务器之Redis

目录 一、服务器配置 二、安装nginx 三、安装配置Tomcat&#xff1a; 四、配置session Session服务器之Redis Redis与Memcached的区别 安装部署redis 一、服务器配置 IP地址 主机名 软件包列表 192.168.100.131 huyang1 nginx 192.168.100.133 huyang3 JDK Tomca…
阅读更多...
隧道安全监测解决方案

隧道安全监测解决方案

隧道安全监测 解决方案 一、监测目的 通过监控量测&#xff0c;实现信息化施工&#xff0c;不仅能及时掌握隧道实际的地质情况&#xff0c;掌握隧道围岩、支护衬砌结构的受力特征和变形情况&#xff0c;据此可以尽早发现塌方、大变形等灾害征兆&#xff0c;及时采取措施&…
阅读更多...
Qgis二次开发-加载高德在线地图失败报错Raster layer Cannot instantiate the ‘wms‘ data provider

Qgis二次开发-加载高德在线地图失败报错Raster layer Cannot instantiate the ‘wms‘ data provider

1.加载在线的高德地图 以下是在线高德地图地址。 http://webrd01.is.autonavi.com/appmaptile?x{x}&y{y}&z{z}&langzh_cn&size1&scale1&style8 以下是代码示例&#xff1a; #include <QApplication> #include <QMainWindow> #include …
阅读更多...
Django学习笔记-表单（forms）的使用

Django学习笔记-表单（forms）的使用

在Django中提供了了form表单&#xff0c;可以更为简单的创建表单模板信息&#xff0c;简化html的表单。 一、网页应用程序中表单的应用 表单通常用来作为提交数据时候使用。 1.1 创建表单模板文件夹 在项目文件夹下创建一个template文件夹&#xff0c;用于存储所有的html模…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023