Банка с медом

Никита Кислицин

Хакер, номер #073, стр. 073-064-4

Таким образом, становится возможным самостоятельно создавать эмуляции сервисов, однако в этом нет большой нужды, так как на сайте honeyd доступна целая куча сценариев, подделывающих работу самых разных сервисов - от IIS 5.0 и цискового сендмейла до бэкдора, оставленного Mydoom’ом.

Honeyd умеет эмулировать работу ОС на уровне сетевого стэка, и если хакер попробует определить тип и версию используемой системы при помощи, скажем, nmap, honeyd обманет его и выведет ту информацию, какую ты укажешь в настройках. А все благодаря тому, что honeyd использует те же таблицы для OS FingerPrinting’а, что и все продвинутые сканеры :).

Ну что же, я думаю, настало время сконфигурировать наш ханипот и ждать клиентов! Хотя постой. Перед тем как приступать к конфигурации, следует хотя бы примерно разобраться с тем, как здесь все работает. Прежде всего, надо понимать, что для работы honeyd в самом хорошем случае нужно свое собственное адресное пространство. Например, если запускать его для работы в сети класса C 212.36.76.0, он будет себя отлично чувствовать, эмулируя кучу компьютеров. Конечно, совсем не обязательно использовать для работы всю сеть, можно создать один-единственный фейковый компьютер, указав его ip-адрес. Разумеется, повесить honeyd на уже существующем и активном ip’шнике нельзя – он же занят конкретной системой со своими собственными сервисами. Думаю, у тебя уже возник такой вопрос: если пакет адресован не моему компьютеру, как honeyd его перехватит? Для этого можно либо использовать уже упомянутый демон arpd, либо добавить в arp-таблицу соответствующую запись, например так:

arp –s 192.168.0.50 mac-адрес pub

После этого все пакеты, адресованные 192.168.0.50, будут перенаправляться на сетевую карту, идентифицируемую указанным mac-адресом. А здесь этот трафик уже возьмет в свои руки honeyd.

Если ты решишь воспользоваться arpd, запускать его надо таким вот образом:

arpd 192.168.0.50

Надо отметить, что этот arpd – довольно глюкавая штука. У меня, например, он почему-то сразу заканчивал свою работу после запуска. Я сначала с ним возился, даже нашел какой-то левый патч к нему, но ничего не помогало. Поэтому я решил в итоге поступить просто: добавить в arp-таблицу фейковую запись, как описывал это выше.

Теперь о том, как запускать honeyd. Здесь нет никаких стартовых скриптов и прочей фигни, все делается очень просто:

honeyd -p nmap.prints -f honeyd.conf -l fake.log 192.168.0.50

Флаг –p указывает на файл с сигнатурами различных ОС - как ты понял, здесь я указываю на finger-таблицу nmap’а. В указанном примере я использую файл honeyd.conf в качестве конфигурационного, записываю логи в fake.log и эмулирую машину с адресом 192.168.0.50. Теперь о том, как должен выглядеть honeyd.conf.

Основная часть конфигурационного файла – это описание свойств виртуальных машин, работу которых мы будем эмулировать. Эти описания называются шаблонами и задаются примерно таким образом:

Так задаются шаблоны систем