基于Vmware的第三代虚拟Honeynet部署以及攻击

1、基于Vmware的第三代虚拟Honeynet部署以及攻击实例分析The Artemis Project/狩猎女神项目组柳亚鑫，吴智发发，诸葛建伟伟一、先决条件在阅读本文前前，请先阅读读 HYPERLINK /papers/honeynet/index.html Know Your Enemyy: Honneynetts，Know Your Enemyy: GennII Hooneyneets和Knnow Yoour Ennemy：Honeyywall CDROMM Roo，对Honeeynetss的概念和第第三代Honeeynet (Roo)技术术有个清晰的的认识，并完完全了解Rooo的部署软

2、软/硬件要求求。请首先阅读狩狩猎女神项目目技术报告基基于Vmwaare woorkstaation的的虚拟Honneynett，其中有有关类似部分分将不再赘述述。二、什么是虚拟拟Honeyynet按照Honeeynet组组织的定义：虚拟Honneynett是一种可让让你在单一的的机器上运行行所有东西的的解决方案。之之所以称为虚虚拟是因为运运行在机器上上的各个操作作系统看起来来与运行在单单独一台机器器上的操作系系统并没有什什么外观上的的区别。下面面是本文部署署的第三代虚拟HHoneynnet的网络络拓扑图。虚拟Honeyynet主要要分成两类：自包含虚拟Hooneyneet(Sellf-Conn

3、taineed Honneynett)：这种类类别的Honneynett把它的各个个组成部分都都安装在单一一的一台机器器上。混合虚拟Honneynett(Hybrrid Hooneyneet)：这种种类别的Hooneyneet并不局限限与一台机器器，而是把它它的组成部分分分开在多台台机器上部署署。我们在这里部署署的自包含的的虚拟Honneynett。下面首先介绍一下下VMwarre的网络连连接方式。三、VMwarre Worrkstattion上的的网络连接方方式VMwaree Workkstatiion是一个个虚拟机软件件，可以运行在在Linuxx和Windoows两种平平台下，它可可以模拟

4、主板板、内存、硬硬盘、网卡、声声卡、USBB口等多种硬硬件。运行在Vmwaare Woorkstaaion（下下面简称Vmmware）上上的操作系统统的网络连接接方式有三种种：桥接方式（Brridge）：在桥接方式式下，Vmwware模拟拟一个虚拟的的网卡给客户户系统，主系系统对于客户户系统来说相相当于是一个个桥接器。客客户系统好像像是有自己的的网卡一样，自自己直接连上上网络，也就就是说客户系系统对于外部部直接可见。网络地址转换方方式（NATT）：在这种种方式下，客客户系统不能能自己连接网网络，而必须须通过主系统统对所有进出出网络的客户户系统收发的的数据包做地地址转换。在在这种方式下下，客户系

5、统统对于外部不不可见。主机方式（Hoost-Onnly）：在在这种方式下下，主系统模模拟一个虚拟拟的交换机，所所有的客户系系统通过这个个交换机进出出网络。在这这种方式下，如如果主系统是是用公网IPP连接Intternett，那客户系系统只能用私私有IP。但但是如果我们们另外安装一一个系统通过过桥接方式连连接Inteernet（这这时这个系统统成为一个桥桥接器），则则我们可以设设置这些客户户系统的IPP为公网IPP，直接从这这个虚拟的桥桥接器连接IInternnet，下面面将会看到，我我们正是通过过这种方式来来搭建我们的的自包含的虚虚拟Honeeynet的的。四、基于VMwware WWorks

6、ttationn的第三代虚拟HHoneynnet的部署署实例下面是部署基于于Vmwarre的第三代代虚拟Honneynett的软硬件要要求：软件：Vmwaare Woorkstaation 4.2.55-88488 for Linuxx；vmwarre-anyy-any-updatte93.ttar.gzzHoneeywalll CDROOM；硬件：P4/10024M/80G/Inntel eeepro11000部署过程如下：1. Vmwaare woorkstaation的的安装及配置置1）安装VMwware-wworksttationn:我们从VMwware的网网站上下载了了linuxx平

7、台下的VVMwaree-workkstatiion，使用用下面的命令令进行安装：安装过程按默默认的就行，关关于VMwaare的网络络配置会在下下面有详细介介绍。2）为VMwaare-woorkstaation安安装patcch：这个版本在内内部的桥接上上有点bugg，我们下载载了补丁vmmware-any-aany-uppdate993.tarr.gz并进行安安装：3)对VMwaare的内部部网络进行配配置：我们使用的这这台电脑有三三个物理网卡卡，分别是ethh0，eth1和eth2，其其中eth00是千兆网卡卡。由于Hooneywaall不能识识别千兆网卡卡，所以我们们使用了etth1和et

8、th2作为桥桥接的网卡，来来生成两个不不同的网段，一一个是Honneynett的网段，一一个是管理接接口的网段。分分别把VMwware的vvmnet00和vmneet2桥接到到eth1和和eth2上上。具体步骤骤如下 输入命令令：vmware-confiig.pl根据提示进行配配置：VMware的的虚拟网络桥桥接应该是下下面这样：主机的两个网卡卡设的IP应应该与vmnnet0和vvmnet22的IP是处处于一个网段段的，这里我我们把ethh1的IP设设为192.168.00.2，而把把eth2的的IP设为1192.1668.1.22，这样管理理机和虚拟HHoneyppot就不在在同一个网段段上

9、，保证了了管理机的安安全性。2. Roo Honeyywall的的安装及配置置1）安装Rooo Honeeywalll:输入命令：vvmwaree&,打开VVMwaree-workkstatiion.从File菜菜单New一一个Virttual MMachinne，安装方方式选择cuustionn,如下：选择2.6内内核：设定内存，建建议至少2556MB：选择网络连接接方式，这个个虚拟网卡将将作为ethh0连接外部部网络，所以以选择了Brridgedd方式桥接到到主机的物理理网卡：选择I/O适适配器类型：安装方式，我我们选择了CCreatee a neew virrtual disk：选择虚拟

10、磁盘类类型，由于HHoneywwall CCDROM只只支持IDEE，故这里选选择IDE类类型：作为Honeyywall，需需要有三块网网卡，上面已已经有了连接接外部的虚拟拟网卡ethh0，下面我我们添加另外外两块虚拟网网卡，分别是是连接内部网网络的ethh1和连接管管理机的etth2。在左左边的Favvoriattes里选择择Honeyywall系系统，右键点点击选择Eddit，出现现虚拟机配置置面板，在HHardwaare标签下下面选择Addd，添加一一个虚拟网卡卡，在Usee virttual ddevicee里选择viiance，而而不要选择vvmxnett，如果选择择vmxneet的

11、话，在在安装的时候候系统将认不不到这个网卡卡，在Nettwork conneectionn里选择Cuustom方方式，并选择择/dev/vmnett1，这个虚虚拟网卡即是是连接Honneypotts的ethh1：然后再添加另外外一个网卡，对对于Use virtuual deevice也也选择viaance，NNetworrk connnectiion选择CCustomm方式的/ddev/vmmnet2，这这个网卡即是是连接管理机机的eth22：下面就开始安装装Honeyywall的的CDROMM了：我们选择从硬盘盘镜像安装，具具体步骤就是是在虚拟机配配置面板选择择DVD/CCD-ROMM，右面

12、面板板的连接选择择使用ISOO镜像，并选选定镜像的位位置，这里我我们使用的是是最新版的RRoo Hooneywaall：rooo-1.00.hw-1139.isso。然后启启动虚拟机，进进BIOS设设定从CDRROM启动，就就可以开始安安装了，安装装过程几乎是是自动化的。Roo Honneywalll系统只允允许用帐户rroo来登陆陆，然后suu 到roott帐户，并进进行相关操作作，roo和和root帐帐户的初始密密码都是hooney，登登陆成功可以以更改。如下图图：2) 配置Rooo Honneywalll首次启动系统时时，会进入HHoneywwall的配配置界面，如如下，以后在在字符界面

13、输输入menuu也可进入配配置界面。几几乎所有的hhoneywwall配置置和管理功能能都可以通过过这个用户界界面进行配置置。我们选择择interrview的的方式来进行行配置：下面是配置的五五个阶段，没没有提到的按按默认即可。第一阶段是配置置Honeyywall的的网关信息：防火墙的模式，这这里选择brridge：Honeypoot的IP地地址，多个IIP用空格隔隔开，虚拟主主机Honeeywalll在这里是作作为一个桥接接器，而VMMware的的默认桥接vvmnet11是桥接到了了eth1上上，所以Hooneypoot的IP应应该与主机的的eth1同一个网段段，作为测试试，我们设了了两个私

14、有IIP192.168.00.4和1992.1688.0.5，而而把主机etth1的IPP设为了1992.1688.0.2。局域网CIDRR前缀：局域网广播地址址：如果网卡已经安安装，会提示示找到了etth0（外部部）和ethh1（内部）。第二阶段是管理理接口：首先选择是否建建立管理接口口：我们选择建立，询询问以那个网网卡作为管理理接口，这里里是eth22：如果虚拟网卡eeth2已经经安装，将弹弹出找到etth2的提示示：管理接口的IPP地址，子网网掩码，网关关：管理接口的DNNS域，我们们填入rooo，还有DNNS服务器的的IP地址：询问是否激活并并在下一次启启动时使用配置SSH登陆陆，监听

15、端口口，是否允许许远程登陆，和和管理接口流流入和流出的的数据的端口口号：第三阶段是数据据配置控制：连接限制，可选选的时间单位位有秒，分，小小时，天和月月。TCP，UDPP，ICMPP和其他协议议分别设置单单位时间允许许出境连接包包的上限，选择防火墙墙是否将包发发给snorrt_inlline，ssnort_inlinne对已知攻攻击包有三种种处理方式DDrop、RRejectt、Repllace三种种选择。第四阶段是配置置DNS，设置是否允允许对honneypott不受限制的的DNS访问问以及是否允允许不受限制制的访问外部部DNS。第五阶段是配置置自动报警和和sebekk选项。若选择自动报警警

16、，honeeywalll就会启动sswatchh，只需设置置接收报警的的Emaill地址即可。设置sebekk包的目的地地址：设置sebekk包的目的端端口（默认为为1101）：设置sebekk包的选项，sebek包选项有Drop、Drop and Log、Accept、Accept and Log。Drop就是在防火墙丢弃sebek包，但snort会将其记录下来；Drop and Log和Drop一样，另外防火墙日志也会记录；Accept是在防火墙接收包；Accept and Log和Accept一样，同时防火墙日志也会记录。3. Honeeypot的的安装及配置置1）安装Honneypot

17、t安装Honeeypot时时，网络连接接方式为：Use viirtuall deviice选择vvianceeNetworrk Connnectiion选择CCustomm的vmneet1。vmmnet1为为VMwarre内部的一一个虚拟交换换机，组成虚虚拟的蜜网网网络。安装的的Honeyypot主机机连接到这个个网络，通过过Honeyywall这这个桥接器，与与外界网络连连通。其他的安装与与物理Honneypott的安装就一一样了，只是是在设置网络络IP的时候候要设成我们们在配置Hooneywaall的时候候填入的IPP地址。作为测试，我我们只安装了了一个Honneypott，是Redd H

18、at99.0的操作作系统。2）在Honeeypot上上安装Sebbek Cllient在linuxx环境下安装装sebekk客户端，需需要更改sbbk_insstall.sh文件，找找到下面几个个变量，更改改为右边的相相应参数。目的IP，MMAC地址，源源端口，目的的端口DESTINNATIONN_IP=192.1168.0.3 (MMANAGEEMENT_IP)DESTINNATIONN_MAC=00:00C:29:12:866:6D (MANAAGEMENNT_MACC)SOURCEE_PORTT=11011DESTINNATIONN_PORTT=11011magic值值是一个四个个字节的

19、正整整数，区分哪哪些sebeek包应当隐隐藏，同一个个Honeyynet内的的Honeyypot的mmagic值值应该设成一一样。MAGIC_VALUEE=XXXXXXKEYSTOOKE_ONNLY=1SOCKETT_TRACCKING=1TESTINNG=0然后输入下面面的命令，就就可以安装了了：./conffigureemake./sbk_instaall.shh4 对安装好的的Honeyynet进行行测试Host主机机ping一一下Honeeypot主主机：Honeyppot主机pping HHost主机机：测试远程连接接：我们把主机的的IP加入了了Honeyywall的的允许远程登登录

20、列表中，通通过主机来进进行连接：ssh HYPERLINK mailto:rooot1992.1688.0.3 roott192.168.00.3su 如图，可以登登入web界面访访问：在浏览器地址址栏中输入 HYPERLINK httpss:/1992.1688.0.3 httpps:/1192.1668.0.33就可以得到到下面：然后用帐号rooo登入就可可以进行管理理。至此，Honeeynet的的安装已经完完成。五、对Honeeypot的的攻击事例分分析下面是对Honneypott主机的攻击实实例还有相关关分析。我们首先介绍一一下sambba协议。在NetBIOOS出现之后后，Micrr

21、osoftt就使用NeetBIOSS实现了一个个网络文件/打印服务系系统，这个系系统基于NeetBIOSS设定了一套套文件共享协协议，Miccrosofft称之为SSMB（Seerver Messaage Bllock）协协议。为了让Winddows和UUnix计算算机之间的资资源共享，最最好的办法即即是在Uniix计算机中中安装支持SSMB/CIIFS协议的的软件。Saamba是用用来实现SMMB的一种软软件，它的工工作原理是，让让NETBIIOS（Wiindowss95网络邻邻居的通讯协协议）和SMMB（Serrver MMessagge Bloock）这两两个协议运行行于TCP/IP通信

22、协协议之上，并并且使用Wiindowss的NETBBEUI协议议让Unixx计算机可以以在网络邻居居上被Winndows计计算机看到。但是，在linnux平台上上版本比较老老的sambba服务的ssmbd守护护进程由于对对外部输入缺缺少正确的边边界缓冲区检检查，远程攻攻击者可以利利用这个漏洞洞以roott用户权限在在系统上执行行任意指令。我们在这里正是利用了这个漏洞来进行攻击。1）在Honeeypot上上开放sammba服务：这时sambaa服务会向局局域网广播地地址发送neetbioss协议的UDDP包，当然，这这个包也会被被我们的Hooneywaall所捕获获。如下图：上面显示的分分别是数

23、据包包的时间，发发包的进程IID，源地址址和目的地址址，协议等等等。左边的几几个按钮分别别是进程树，相相关数据包，包包的具体描述述和数据包ppcap格式式下载。下面面是进程树：2）对Honneypott主机进行攻击击。攻击的工具我们们使用了Meetasplloit的工工具包，在这这个地址可以以下载到。http:/ /projeects/FFramewwork/ddownlooads.hhtml输入命令./mmsfconnsole，进进入Metaasploiit的命令行行：选择使用sammba_trran2oppen的exxploitt，设定要执执行的代码llinux_ia32_reverrse

24、,即获获得一个反向向的Shelll，并设定定相关的选项项：必须要设的选项项有RHOST：远远程主机即HHoneyppot的IPPLHOST：本本地主机即攻攻击机的IPPTARGET：攻击目标操操作系统，这这里是linnux输入checkk命令，探测测目标主机ssamba服服务器版本：当然这个探测测所发出的数数据包也不会会被我们的HHoneywwall所放放过，发出了了Emaill警告：抓到的数据包包，可以看到到发包的主机机的操作系统统是linuux：当前的进程树树：输入命令expploit，发起攻击击，最后一行行可以看出来来我们已经与与主机建立了了连接，取得得了一个rooot权限的的Shelll命令行：下面是抓到的数数据包，注意意上面经过了了五次尝试才才得到正确的的返回地址，下下面有相应的的五次数据包包连接与之相对对应。右边的的红字显示连连接是准备访访问共享文件件和连接企图图进行traansopeen缓冲区溢溢出的尝试。这个