蜜罐介绍

Mailoney是T-pot蜜罐系统中针对SMTP协议的一个蜜罐,该蜜罐中有三种工作模式,分别为open_relay,postfix_creds,schizo_open_relay。各种模式功能如下:
open_relay-只是一个通用的open relay,将收到的邮件远程主机地址,收件方,发件方和传输的数据都存到了logs/mail.log中。
postfix_creds-此模块只记录登录尝试的用户名密码,将其存放在存放在logs/credentials.log中。
schizo_open_relay-此模块记录所有内容,将收到的邮件远程主机地址,收件方,发件方和传输的数据都存到了logs/mail.log中,同时增加了对shellcode的检测和记录,若存在shellcode,则将数据存放在shellcode.log中;增加了对命令的检测和记录,若存在命令执行,则将命令存放在commands.log中。该模式还增加了hpfeeds协议,方便在集成的 T-pot系统中进行信息传输。

工作原理

工作流程

Maioney通过命令行模式运行蜜罐,设定的参数如下:

> usage: mailoney.py [-h] [-i <ip address>] [-p <port>] [-s mailserver] -t
                   {open_relay,postfix_creds,schizo_open_relay}
                   [-logpath <logpath>] [-hpfserver <hpfeeds-server>]
                   [-hpfport <hpfeeds-port>] [-hpfident <hpfeeds-ident>]
                   [-hpfsecret <hpfeeds-secret>]
                   [-hpfchannelprefix <hpfeeds-channel-prefix>]

使用时必须指定-t参数确定工作模式
项目的ip和监听端口在不指定的情况下默认为0.0.0.0:25
蜜罐运行时会首先根据参数设定变量值,创建日志存放目录,根据指定的模式运行对应脚本。

接下来对几种模式进行介绍。

功能实现

open_relay

open_relay工作模式记录尝试发送的全文电子邮件,其中定义了一个OpenRelay类,并创建OpenRelay对象对SMTP进行搭建,监听,OpenRelay类继承了smtpd 中的SMTPServer类,并对该类的process_message方法进行了重写。重写的process_message方法将收到的邮件远程主机地址,收件方,发件方和传输的数据都存到了logs/mail.log中,代码如下图所示:

postfix_creds

postfix_creds模式会记录登录尝试的用户名和密码信息,并将捕获的信息存放在logs/credentials.log中。这种模式的意义在于记录攻击方的burp字典,借鉴提高真实的系统中用户名密码安全性。
服务器端服务由socket包实现,对指定的ip及端口进行监听。

EHLO命令ehlo是对helo的扩展,即extend helo,可以支持authorization,即用户认证。每次连接首先判断是否收到ehlo命令,收到该命令后才能进行认证登录。

然后判断是否收到AUTH请求,若收到该请求可以将请求的认证信息存储下来。

该模式下的AUTH认证是无法成功登陆的,因为没有设定用户信息

schizo_open_relay

schizo_open_relay模式对比open_relay模式略有变化,增加了对shellcode的检测和记录,若存在shellcode,则将数据存放在shellcode.log中,也增加了EHLO和AUTH命令。
功能变化在于对SMTPServer类和该类继承的SMTPChannel类进行了更改。

SMTPChannel类的变化

该模式中的SMTPChannel类在原有SMTPChannel类的基础上增加了smtp_EHLO,smtp_AUTH方法,使蜜罐可以接受EHLO和AUTH命令。

SMTPChannel类同时对collect_incoming_data和found_terminator方法进行了重写。collect_incoming_data方法是对接受到信息的一个预处理,若客户端传输的数据大小超过了1M,则会对数据进行缩减,删去前面1M内容,然后调用process_packet_for_shellcode方法对数据进行shellcode检测。

process_packet_for_shellcode方法中调用了pylibemu模块,该模块可以实现对shellcode的识别,其中test方法可以剖析shellcode字节并识别Windows系统调用,以及其参数和返回值等。若存在shellcode,则将数据存放在shellcode.log中。


found_terminator方法在识别客户端发出的命令并执行的同时将命令存储在commands.log中

SMTPServer类的更改

对SMTPServer类的更改则是去掉了部分的信息回显,增加了handle_close函数,用于关闭当今连接。
对SMTPServer类的继承
SchizoOpenRelay是SMTPServer类的子类,它对process_message方法进行了重写,将邮件ip,端口,发送方,接收方和传输的数据存在mail.log中。

Hpfeeds协议

如上图所示,schizo_openrelay模式使用了Hpfeeds协议, hpfeeds是一个轻量级的、需要认证的、支持任意的二进制载荷的公开协议。发布者/订阅者拥有着自己的发布/订阅频道,发布者可以通过发布频道发送消息,订阅者可以通过订阅频道接收消息,这很适合用于分布式的蜜罐网络传输数据。
当系统记录信息时,在将信息记录到本地log文件的同时会将信息通过发布频道上传到hpfeeds服务器。

蜜罐优化

对schizo_open_relay的AUTH功能进行优化,添加参数设置SMTP服务的用户名密码,用户信息建议使用常见弱密码,目的在于提升蜜罐的迷惑性。
首先增加参数设置,用户名密码默认为user/password


然后对smtp_AUTH函数进行修改

点击收藏 | 1 关注 | 1
登录 后跟帖