趣味の範囲でサイバーセキュリティの話この広告は、90日以上更新していないブログに表示しています。2018-01-30WOWHoneyhotを植えてみるハニーポット久しぶりにハニーポット関連。いうWebハニーポットを使ってみました。github.com詳しい説明は以下のスライドで。sssslide.comPython3だけで動く極々単純な仕組みのハニーポットです。言うと、待ち受けポートでHTTPが動いて、デフォルトではとりあえず200を返すWebサーバです。Webハニーポットを建てるのなら、これくらいシンプルなものでいいと思います。高機能なの入れてもデフォルトでしか動かさないだろうし......。いつものようにDockerで動かします。必要なのはPython3のみなので、別にそのままホスト上でやってもいいんですが、最近なんかツールを入れるときはとりあえずDockerに使うようになってきました。こんな感じのDockerfileを作ります。"wowhoneypot.py"]で、ビルドします。wowhoneypotポートは80番に接続し、コンテナ内のログ用のディレクトリを共有にしています。Strutsの脆弱性(S2-045)ShellShockD-Link製ルーターの脆弱性phpmyadminの脆弱性S2-045を狙った攻撃は色々なところから色々なコマンドを実行しようとしょっちゅう来ています。OK」というようなコマンド実行が大量にあり、おそらくバイナリファイルを直接echoで書き出そうとしているようでした。Shellshockも一度来ると複数のURLパスに大量に同じコマンド実行を試みる攻撃があり、アクセス数がかなり増えました。phpmyadminの脆弱性を狙った攻撃もかなり頻繁にあり、特にZmEuというツールを利用したスキャン(参考)がかなり多いです。後は意味は分からないですが、/直下へのPOSTで謎のBase64で符号化されたデータを送ってくるリクエストが900件以上ありました(参考)。Railsを狙った攻撃や、魔法少女アパッチマギカ、Tomcatの管理画面へのログイン試行、新年の挨拶なんかを観測できました。WebLogicを狙う攻撃を観測してみたい植えてからしばらくして、WebLogicの脆弱性(CVE-2017-10271)のPoCが公開され、実際の攻撃に利用されだしました。書きましたし、WOWHoneypotでも観測できたようです。www.morihi-soc.netということで、うちでも観測してみたいなーと思い、記事では7001番ポート(WebLogicのデフォルトポート)に攻撃が来ていたので、こちらでも7001番ポートで待ち受けてみました。wowhoneypotDockerで立ち上げるポートを付け替えているだけです。2018年1月26日の期間で42のアクセスがありました。内CVE-2017-10271を狙った攻撃は全部で6つのIPから24件ありました。「/wls-wsat/CoordinatorPortType」へのPOSTですが、それとは別に、調査目的のGETリクエストも4つのIPから5件ありました。PoCによっては最初にGETしてWebLogicのコンテンツであるかを確認するようなものもあったので、そうした攻撃前の調査通信と思われます。攻撃の内容はpingコマンドで攻撃の成功を確認するものや、wgetでファイルをダウンロードするもの、また、touchコマンドで「/tmp」配下にファイルを作成するものなどがありました(touchでファイルを作成したところで何がしたいのか不明ですが......)。WebLogicの攻撃は事前にHTTPヘッダでWebLogicを利用していることを調べたり、GETでコンテンツがあるかを確認してから攻撃が来るパターンもあるようなので、ちゃんと観測しようとすると、その辺の調整は必要ですね。(ちなみに、CVE-2017-10271を狙った攻撃を観測するようのルールはすでにあるようなので、アップデートすれば観測できそうです。漠然とハニーポットを立てて攻撃を観測するのもいいですが、何か特定の脆弱性を狙った攻撃を観測したいとなった場合はある程度カスタマイズは必要ですね。WOWHoneypotでもルールにマッチした場合に応答を変えるような機能もありますし、単純なものなら、それだけで事足りそうです。WOWHoneypotを参考にして、自分で作ってもいいかなと思いました。ソースコードはそれほど複雑でもないので。後はログの分析の方法を考える必要がありますね。同じ攻撃ばっかり見ててもつまらないので......。脆弱性(CVE-2018-2894)についてXdebugとNetBeansを使ったDrupalのデバッグ環境をdocker-composeのみで立てる月別アーカイブはてなブログをはじめよう!blueBLUEさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。