“越好看的女人越会骗人”之蜜罐的千层套路

蜜罐的简介

相信大家对于“蜜罐”的概念，都是了解的。这里简单介绍一下：蜜罐（Honeypot）是指一种安全机制，通过诱骗攻击者进入一个看似真实的系统环境，从而让攻击者暴露自己的攻击行为和方法，以便分析攻击手段并提高网络安全防护的能力。可以将蜜罐比喻为诱饵，就像钓鱼时使用的鱼饵一样，攻击者会被蜜罐中看似易攻击的目标所吸引，进入其中后就会被拦截或者留下攻击痕迹，为安全人员提供对攻击手段和威胁的更深入了解。

蜜罐的应用模式

低交互蜜罐

低交互蜜罐（Low-interaction honeypots）：它们是一种虚拟环境，其主要功能是诱骗攻击者，让其相信它们是真实的系统环境。这种蜜罐通常只模拟了少量服务或应用，例如 HTTP 服务或者 DNS 服务，以保证攻击者进入蜜罐后对真实系统的影响最小。

低交互蜜罐通常是一些轻量级的虚拟机或容器，主要用于模拟网络服务或应用程序，例如 HTTP、FTP、SMTP、SSH、Telnet 等。这些服务通常只提供了基本功能，仅仅用来吸引攻击者。以下是一个使用 Docker 容器创建 HTTP 低交互蜜罐的示例代码：

# Dockerfile
FROM httpd:2.4

# Create a fake admin directory
RUN mkdir -p /usr/local/apache2/htdocs/admin

# Copy index.html to the fake admin directory
COPY index.html /usr/local/apache2/htdocs/admin/index.html

这个 Dockerfile 创建了一个基于 Apache HTTP Server 的容器，该容器在 /admin 目录下创建了一个名为 index.html 的文件。这个目录是一个虚假的目录，用于吸引攻击者。容器启动后，攻击者可以通过访问 http://[容器IP地址]/admin/index.html 访问到该文件，但是在此之后所有的请求都将被记录下来，用于安全分析。

高交互蜜罐

高交互蜜罐（High-interaction honeypots）：这种蜜罐是真实的系统环境，可以完全模拟一个真实系统，包括操作系统、应用程序等。攻击者在进入高交互蜜罐后，可以在其中执行真实攻击行为。这种蜜罐可以提供更多的攻击信息和数据

高交互蜜罐通常是一个真实的系统环境，其中运行着一个完整的操作系统和应用程序。攻击者可以在其中执行真实攻击行为，这样可以收集到更多的攻击信息和数据。以下是一个使用 VirtualBox 创建 Windows 高交互蜜罐的示例代码：

# Vagrantfile
Vagrant.configure("2") do |config|
  config.vm.box = "microsoft/windows10"
  config.vm.provider "virtualbox" do |v|
    v.memory = 2048
    v.cpus = 2
  end

  # Enable RDP
  config.vm.provision "shell", inline: "Set-ItemProperty -Path 'HKLM:\\System\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp' -Name 'UserAuthentication' -Value 1 -Force"

  # Enable Windows Firewall logging
  config.vm.provision "shell", inline: "Set-NetFirewallProfile -LogFileName C:\\Windows\\firewall.log -LogAllowed True -LogDropped True -LogMaxSizeKilobytes 102400"

  # Install honeypot software
  config.vm.provision "shell", path: "honeypot-install.ps1"
end

这个 Vagrantfile 创建了一个 Windows 10 的虚拟机，并且使用了 VirtualBox 作为虚拟化平台。虚拟机配置了 2GB 内存和 2 个 CPU 核心，以保证运行效率。蜜罐安装了 RDP 和 Windows 防火墙，并且安装了一些蜜罐软件，以收集攻击信息和数据。

蜜罐在加固技术中的作用

模拟攻击者：蜜罐可以模拟攻击者的攻击行为，例如尝试暴力破解密码、扫描端口等，这样可以帮助企业了解自己的弱点并加以改进。

检测攻击：蜜罐可以检测攻击行为，例如针对某些服务或应用程序的攻击，这样可以让企业及时发现并阻止攻击行为，保障系统安全。

收集攻击数据：蜜罐可以收集攻击者的行为数据，例如攻击方式、攻击目标、攻击时间等，这样可以帮助企业更好地了解攻击者的攻击手段和习惯，以更好地进行安全防护。

以下是一个使用 Honeyd 创建多个虚拟机作为蜜罐的示例代码：

# honeyd.conf
create 10.0.0.2
set 10.0.0.2 personality "Windows XP SP1"
add 10.0.0.2 tcp 80 http
add 10.0.0.2 udp 53 dns

create 10.0.0.3
set 10.0.0.3 personality "Windows Server 2003"
add 10.0.0.3 tcp 22 ssh
add 10.0.0.3 tcp 143 imap
add 10.0.0.3 tcp 443 https

create 10.0.0.4
set 10.0.0.4 personality "Linux 2.4.20"
add 10.0.0.4 tcp 21 ftp
add 10.0.0.4 tcp 23 telnet
add 10.0.0.4 tcp 25 smtp
add 10.0.0.4 tcp 80 http
add 10.0.0.4 udp 53 dns

这个 honeyd.conf 配置文件创建了三个虚拟机，分别运行在 10.0.0.2、10.0.0.3、10.0.0.4 这三个 IP 地址上。每个虚拟机运行不同的操作系统和服务，例如 Windows XP SP1、Windows Server 2003、Linux 2.4.20，并且使用了不同的端口号和协议，例如 HTTP、SSH、IMAP、FTP 等，以模拟多种攻击目标和场景。

蜜罐对加固技术的作用

加固技术可以对 App 进行加密、混淆、防篡改、防反编译等操作，以增强 App 的安全性，提高防护能力。以下是一些常见的加固技术及示例代码：

1. Dex 加固：将 Dex 文件中的代码进行加密或混淆，防止反编译和代码泄漏。
   示例代码：

java -jar baksmali.jar classes.dex -o classes.smali
java -jar smali.jar classes.smali -o classes.dex

2. Native 加固：将 Native 代码进行加密和混淆，以防止被动态反编译和恶意调用。
   示例代码：

ndk-build APP_CFLAGS="-O2 -D__ANDROID__ -fPIC -Wno-unused-variable -Wno-unused-function -fvisibility=hidden -fvisibility-inlines-hidden -fstack-protector-strong -fPIE -D_FORTIFY_SOURCE=2 -DANDROID -DNDEBUG -DNEON -march=armv7-a -mfloat-abi=softfp -mfpu=vfpv3-d16 -Wl,-z,relro,-z,now,-z,noexecstack" APP_ABI=armeabi-v7a

3. 加固资源文件：对 AndroidManifest.xml、res/values/strings.xml、res/layout/main.xml 等文件进行加密或混淆，以防止被篡改或泄漏。
   示例代码：

aapt package -f -m -J gen -M AndroidManifest.xml -S res -I /path/to/android.jar
aapt crunch -v -S res -C assets
aapt add -v -f app.apk assets/*

4. 数字签名：使用数字证书对应用程序进行签名，确保应用程序没有被篡改，并提高用户的信任度。
   示例代码：

keytool -genkey -v -keystore my-release-key.keystore -alias alias_name -keyalg RSA -keysize 2048 -validity 10000
jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore my-release-key.keystore my_application.apk alias_name

不过，加固技术并不能完全避免应用程序被攻击或被破解，但可以增加攻击者的攻击成本和难度，从而提高应用程序的安全性。

iOS及安卓加固产品：免费试用