Pi2でWordPress(と、ついでにSSH)なハニーポットを作ったお話。普通のハニーポットに戻りたい〜><この広告は、90日以上更新していないブログに表示しています。Pi2でWordPress(と、ついでにSSH)なハニーポットを作ったお話。Calendar12日目の記事です。Pi2にWordPressとSSHハニーポットcowrieを入れたお話。ハニーポットとはハニーポットを知らない人向けに軽く説明。脆弱っぽいシステムを作り、どんな攻撃が来るか観察してニヤニヤするもの。Piで?別に他の使ってもいいじゃん。Piといえば電子工作だ!という意見。Piでハニーポットを作るかというと、安価だからです。サーバとしても使いやすい。なにより余ってたからまあ、最初の動機は余ってたから、なのですが、研究を続けているうちになくてはならないものになっています。Pi2を頂いて、「これでもっとイケてるのがつくれそう」となったのです。Pi1では性能に不安があり、SSHハニーポットが重すぎるためかまともに動いてくれませんでした。そのあたりが多分解消されるはず・・・!と。Pi1にDionaeaを入れて観測していました。qiita.comで、なぜWordPressに変えたかというと、「WordPressって脆弱性の塊だよね」という話をよく聞くからです。(実際のところはよくわかりませんが)まぁ、Dionaeaを運用している頃からよくWordPressに対する攻撃とみられるログは見かけました。(PHPMyAdminとかと比べるとそこまで多くはなかったですが。)真相を追及するには自分も同じ環境を立てて、ログを調べるのが一番!というわけで、WordPressを立てることにしたわけです。それならDionaeaでもいいのでは?と思う方もいらっしゃるかもしれません。Honeypotは何より本物に近づけるのが大事なのです。攻撃者はWordPressがあるかどうか実際にアクセスして調べて、なければ退散、という形を取ります。これではどんな攻撃をされるのかわかりませんね。実際にWordPressを入れて「攻撃できそうだ」と思わせるのが重要なのです。そこから攻撃ログがたくさん採取できたらハニーポッターとしてはうはうはなのです。ModelB・・・1から世代交代しました。1と一緒に使って負荷分散とか考えたけど意味がないのでやめた。microSDカード16G・・・使いすぎて14Gぐらいしか使えなくなってる。LITE・・・liteで十分です。apache2php5mysqlwordpresscowrieこんなもんだったかな・・・?抜けがあるかも。まあphpとかmysqlとかはwordpress立てるにあたって暗黙の了解みたいなもんか。ちなみにmysqlはcowrieでも使ったり使わなかったり。インストールについてインストール等は端折ります。ドキュメントが充実してるので。cowrieについては、こちらを参考にさせていただきました。yagamikou.hateblo.jpどんなログが採れたか?一言で言いますと、何もとれていません。Dionaeaで運用していた時と今のところ変わってないのです。いうか、WordPressを間違いなく狙ってるアクセスが1件しか来てないってのは・・・。最近立てたので仕方ないです。そのたった1件のアクセスがどんなものなのか、解説しておきます。5.1)"Pluginに対する攻撃ですね。Revolution」というスライダーを作成できるプラグインに対する攻撃でした。Revolutionに関する脆弱性情報は新旧様々なものがあり、これだけではちゃんと特定できませんでした。マルウェアへの感染、またはCSSファイルの改ざんによるなにか色々、といったところでしょうか。「WordPressの脆弱性を狙ったWeb改ざん攻撃」│セキュリティ・リサーチのFFRI(エフエフアールアイ)WordPressハニーポットの今後もっとWordPressに対して攻撃してほしい・・・。上の参考サイト、2つ目を読むと、GoogleのインデックスからWordPressの攻撃者は訪れるそうなので、まずはインデックスしてもらえるようお願いしました。これで攻撃者がもっと訪問してくれると嬉しいのだけれど。いうわけで、12月25日のAdventCalendarも取らせていただきました。(トリで申し訳ないです。Pi関係ないので、なにか別のネタも考えておきます。(考え付かなかったら消えます。Revolutionを実際に入れて攻撃を待ってみたかったのですが、有料だったので断念しました。Pi1では重すぎてまともにログを採ってくれなかったcowrieさん。Pi2は性能が上がったので、入れて運用してみました。結果、1日でよくもまぁ大量にアクセスログが残っているじゃないですか。コマンドで来るためか、コマンドのinputがlog/ttyに記録されないのが困ったところですが、kippoより断然いいですね。マルウェアもいくつかキャッチできました。対象がどんなCPUを使っててもいいように、実行ファイルをARMとIntel等全種類を送ってきているのがまた面白いですね。どんなマルウェアか、少しづつ解析をしていきたいと思っています。その結果も12月25日に報告できればいいのですが、解析技術が今ひとつなのでこちらは期待しないでください。(あと、ELFのマニュアルアンパック技術を誰か教えてください・・・。Pi2でWordPress(と、ついでにSSH)なハニーポットを作ったお話。2018の1日目の記事です。小ネタとしてハニーポット作成の失敗ケースを挙げていきます。...2016-06-30SSHハニーポットはKippoではなくCowrieを使えお久しぶりです。俺的解説(β版)お久しぶりです。»プロフィールid:junk_cokenハニーポットが好きな芸人です。月別アーカイブ@junk_cokenさんのツイート参加グループプログラミング検索はてなブログをはじめよう!junk_cokenさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。