普通のハニーポットに戻りたい〜><この広告は、90日以上更新していないブログに表示しています。Cowrieお久しぶりです。記事を書こうとして下書きが積もっていっております・・・。今回の内容ハニーポット入門としてよく導入されるKippo。Kippoは攻撃者に対策されたり、エラーが発生したりして思うようにマルウェアやログを取ることができません。いうときはKippoの改良版(?)的なCowrieを使っていきましょう。Kippo全然うまくいかないよー、どうして?となっている人をたまに見かけます。Cowrieを使ってほしいです。今回の記事では、Kippoが何故適さないのかを考えていきたいと思います。詳細には書きませんが、いわゆるKippoの挙動解説になります。個人的にKippoは推奨していないので、挙動について書く意味は少ないと思います。Kippoの導入とかあれこれについて調べていてこの記事を見つけた方は、この記事を読むよりCowrieについて調べたほうがよいかもしれません。Kippoが適さないのか普通に使っていて気付いた点です。それ以上のことは特に調べてないです。(Kippoに関してはソースを全く読んでいないので)コマンドのオプションやリダイレクトへの対応echoコマンドKippoでエミュレートされるechoコマンドにはオプションは対応していません。echoコマンドには-nや-eといったオプションが存在しますが、オプションを入力するとオプションがそのまま出力されます。\ttestこれを利用して、攻撃者はログインしたサーバがkippoであるかを判定します。testという文字列が帰ってきたら攻撃をやめてしまいます。sshコマンドたいていechoコマンドで判定されてしまうのでこちらは必要ありませんが、sshコマンドも完全ではありません。-Vというオプションが実装されていないようです。[command]上記のように、バージョンを表示しないといけないところをKippoではオプションを表示しています。攻撃者はこのチェックを特に行わないので、あまり影響はありません。(私はSSHハニーポットのログはあまり見ていないので、チェックする奴もいたかもしれませんが。)リダイレクト・パイプ実装されていません。これはマルウェアを収集するにあたって、大問題となります。directory(パイプについては、Kippoに実装されているコマンドから選んだため分かりづらいことに・・・)リダイレクトの>も、パイプの|も、文字として判定されるためこうなります。>hogehogefugafugafugafuga.....(バイナリ)という形で攻撃対象にマルウェアを設置します。リダイレクトが使えないということはほぼマルウェアが取れないことを意味します。別サーバからwgetとか使ってダウンロードさせるものは滅多にお目にかかれません。SSSRぐらいですかね?エラーsshコマンドからコマンド入力されることによるエラーリダイレクトが使えないことと同様、こちらも重大な問題となります。エラーなのでこちらのほうが重い。正確な条件は分かりませんが、sshコマンドを使って直接コマンドを実行するときに起こります。lostうわああああああああああああああああああああああああああ!!!!!となります。ちなみにこの状態になると~/kippo/log/tty/には何も出力されません。(ファイルは作成されます)ちなみに下記のように>の前後を空白にするとエラーは出力されません。directoryまた、catのすぐ横に>を置くとコマンドは認識されなくなります。(前者も後者も>が文字扱いのため)以上の結果から、おそらくcatで>/が入力されたときに発生すると思われます。このエラーは、sshコマンドからコマンドを入力されることで発生し、ログインしてから入力を行うと発生しません。リダイレクトできないため内容を収集することはできません。コマンドで攻撃対象での活動を行います。ログインし続けて行う攻撃者もSSRぐらいですかね、あまり見ません。ちなみにKippo、Cowrie共に~/kippo/log/tty/には1度のアクセスにつき1つlogファイルを作成します。Kippoは日付-時間-ランダムな数値(?).logという命名規則であるのに対し、Cowrieは`日付-時間-送信元IP等の情報のハッシュ値(?)-アクセス回数eもしくはi.log'です。eについてはsshコマンドからの実行、iについてはログインしてからの行動を指していると思われます。Cowrieのほうがニーズに合いますね。CowrieについてCowrieでは上記の問題ほぼ全てが解決されています。新たな問題点としては、ログイン後にcatコマンドで文字等を入力しファイルを作成する、ということができなくなっていることでしょうか。攻撃者はほとんどsshコマンドから直接実行しようとしてくるし、もしログインしてもバイナリを注入するまで気づくことはないでしょう。いうわけで、これからハニーポットに手を出そうと思ってる方はKippoではなくCowrieを使ってみるといいですよ。話譚でいいと思うよ余談ここにいろいろなハニーポットが集めてあります。github.comSSHハニーポットもいろいろありますが、見た感じKippo系列が一番使いやすそうですね。Dockerのやつとか面白そうです。Piで使えないのが残念)っと、結局5時間ぐらいかかったしそこそこがっつりやってしまったかも。書いたら書いたで勉強になるんだよなぁ。2018の1日目の記事です。Pi2でWordPress(と、ついでにSSH)なハニーポットを作ったお話。Calendar12日目の記事です。»プロフィールid:junk_cokenハニーポットが好きな芸人です。月別アーカイブ@junk_cokenさんのツイート参加グループプログラミング検索はてなブログをはじめよう!junk_cokenさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。