भाइरस विश्लेषकहरू र कम्प्युटर सुरक्षा अनुसन्धानकर्ताहरू सम्भव भएसम्म नयाँ बोटनेटहरूको धेरै नमूनाहरू सङ्कलन गर्न दौडिरहेका छन्। तिनीहरूले आफ्नो उद्देश्यका लागि honeypots प्रयोग गर्छन्... तर के तपाईं वास्तविक अवस्थामा मालवेयर अवलोकन गर्न चाहनुहुन्छ भने? आफ्नो सर्भर वा राउटरलाई जोखिममा राख्नुहुन्छ? यदि उपयुक्त उपकरण छैन भने के हुन्छ? यो यी प्रश्नहरू थिए जसले मलाई भन्टर सिर्जना गर्न प्रेरित गर्‍यो, बोटनेट नोडहरूमा पहुँच प्राप्त गर्नको लागि एउटा उपकरण।

मुख्य विचार

बोटनेटहरू विस्तार गर्न मालवेयर फैलाउने धेरै तरिकाहरू छन्: फिसिङदेखि ०-दिनको कमजोरीहरूको शोषण गर्न। तर सबैभन्दा सामान्य विधि अझै पनि ब्रूट-फोर्सिङ SSH पासवर्डहरू हो।

विचार धेरै सरल छ। यदि केहि बोटनेट नोडले तपाइँको सर्भरको लागि पासवर्डहरू ब्रूट-फोर्स गर्न कोशिस गरिरहेको छ भने, सम्भवतः यो नोड आफैं ब्रूट-फोर्सिंग साधारण पासवर्डहरू द्वारा कब्जा गरिएको थियो। यसको मतलब यो हो कि यसमा पहुँच प्राप्त गर्नको लागि, तपाईंले केवल पारस्परिक सहयोग गर्न आवश्यक छ।

ठ्याक्कै यसरी काम गर्छ भन्टर। पोर्ट 22 (SSH सेवा) सुन्छ र सबै लगइन र पासवर्डहरू सङ्कलन गर्दछ जसको साथ तिनीहरूले यसमा जडान गर्न प्रयास गर्छन्। त्यसपछि, सङ्कलन पासवर्डहरू प्रयोग गरेर, यसले आक्रमण गर्ने नोडहरूमा जडान गर्न प्रयास गर्दछ।

कार्य एल्गोरिथ्म

कार्यक्रमलाई 2 मुख्य भागहरूमा विभाजन गर्न सकिन्छ, जुन अलग-अलग थ्रेडहरूमा काम गर्दछ। पहिलो मह हो। लगइन प्रयासहरू प्रशोधन गर्दछ, अद्वितीय लगइनहरू र पासवर्डहरू सङ्कलन गर्दछ (यस अवस्थामा, लगइन + पासवर्ड जोडीलाई एकल रूपमा मानिन्छ), र थप आक्रमणको लागि लाममा जडान गर्ने प्रयास गर्ने IP ठेगानाहरू थप्छ।

दोस्रो भाग आक्रमणको लागि प्रत्यक्ष रूपमा जिम्मेवार छ। यसबाहेक, आक्रमण दुई मोडमा गरिन्छ: BurstAttack (बर्स्ट अट्याक) - ब्रूट फोर्स लगइनहरू र सामान्य सूचीबाट पासवर्डहरू र SingleShotAttack (एकल शट आक्रमण) - ब्रूट फोर्स पासवर्डहरू जुन आक्रमण गरिएको नोडद्वारा प्रयोग गरिएको थियो, तर अहिलेसम्म गरिएको छैन। सामान्य सूचीमा थपियो।

प्रक्षेपण पछि तुरुन्तै लगइन र पासवर्डहरूको कम्तिमा केही डाटाबेस हुनको लागि, bhunter फाइल /etc/bhunter/defaultLoginPairs बाट सूचीको साथ प्रारम्भ गरिएको छ।

इन्टरफेस

त्यहाँ bunter सुरु गर्न धेरै तरिकाहरू छन्:

एक टोलीको रूपमा मात्र

sudo bhunter

यस प्रक्षेपणको साथ, यसको पाठ मेनु मार्फत भुन्टरलाई नियन्त्रण गर्न सम्भव छ: आक्रमणको लागि लगइनहरू र पासवर्डहरू थप्नुहोस्, लगइनहरू र पासवर्डहरूको डाटाबेस निर्यात गर्नुहोस्, आक्रमणको लागि लक्ष्य निर्दिष्ट गर्नुहोस्। सबै ह्याक गरिएका नोडहरू फाइल /var/log/bhunter/hacked.log मा देख्न सकिन्छ

tmux प्रयोग गर्दै

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

Tmux एक टर्मिनल मल्टिप्लेक्सर हो, एक धेरै सुविधाजनक उपकरण। तपाईंलाई एउटा टर्मिनल भित्र धेरै सञ्झ्यालहरू सिर्जना गर्न र विन्डोहरूलाई प्यानलहरूमा विभाजन गर्न अनुमति दिन्छ। यसलाई प्रयोग गरेर, तपाइँ टर्मिनलबाट बाहिर निस्कन सक्नुहुन्छ र त्यसपछि चलिरहेको प्रक्रियाहरूलाई अवरोध नगरी लग इन गर्न सक्नुहुन्छ।

bhunter-ts स्क्रिप्टले tmux सत्र सिर्जना गर्दछ र सञ्झ्याललाई तीन प्यानलहरूमा विभाजन गर्दछ। पहिलो, सबैभन्दा ठूलो, पाठ मेनु समावेश गर्दछ। माथिल्लो दायाँमा हनीपोट लगहरू छन्, यहाँ तपाईंले हनीपोटमा लग इन गर्ने प्रयासहरू बारे सन्देशहरू देख्न सक्नुहुन्छ। तल्लो दायाँ प्यानलले बोटनेट नोडहरूमा आक्रमणको प्रगति र सफल ह्याकहरूको बारेमा जानकारी प्रदर्शन गर्दछ।

पहिलो भन्दा यस विधिको फाइदा यो हो कि हामी सुरक्षित रूपमा टर्मिनल बन्द गर्न सक्छौं र पछि यसमा फर्कन सक्छौं, भुन्टरले यसको काम रोक्न बिना। tmux सँग थोरै परिचित भएकाहरूको लागि, म सुझाव दिन्छु यो धोखा पाना.

सेवाको रूपमा

systemctl enable bhunter
systemctl start bhunter

यस अवस्थामा, हामी प्रणाली स्टार्टअपमा भुन्टर अटोस्टार्ट सक्षम गर्दछौं। यस विधिमा, bhunter सँग अन्तरक्रिया प्रदान गरिएको छैन, र ह्याक गरिएका नोडहरूको सूची /var/log/bhunter/hacked.log बाट प्राप्त गर्न सकिन्छ।

प्रभावकारीता

bhunter मा काम गर्दा, मैले पूर्ण रूपमा फरक उपकरणहरू फेला पार्न र पहुँच प्राप्त गर्न व्यवस्थित गरें: रास्पबेरी पाई, राउटरहरू (विशेष गरी mikrotik), वेब सर्भरहरू, र एक पटक खनन फार्म (दुर्भाग्यवश, यसमा पहुँच दिनको समयमा थियो, त्यसैले त्यहाँ कुनै रोचक थिएन। कथा)। यहाँ कार्यक्रमको स्क्रिनसट छ, जसले धेरै दिनको काम पछि ह्याक नोडहरूको सूची देखाउँदछ:

दुर्भाग्यवश, यस उपकरणको प्रभावकारिताले मेरो अपेक्षाहरूमा पुग्न सकेन: bunter सफलता बिना धेरै दिन नोडहरूमा पासवर्डहरू प्रयास गर्न सक्छ, र केही घण्टामा धेरै लक्ष्यहरू ह्याक गर्न सक्छ। तर यो नयाँ बोटनेट नमूनाहरूको नियमित आगमनको लागि पर्याप्त छ।

प्रभावकारिता यस्ता प्यारामिटरहरूद्वारा प्रभावित हुन्छ: जुन देशमा भन्टर भएको सर्भर अवस्थित छ, होस्टिङ, र दायरा जसबाट IP ठेगाना आवंटित गरिएको छ। मेरो अनुभवमा, त्यहाँ एउटा केस थियो जब मैले एउटा होस्टरबाट दुई भर्चुअल सर्भरहरू भाडामा लिएँ, र ती मध्ये एउटालाई बोटनेटले २ पटक बढी आक्रमण गरेको थियो।

बगहरू जुन मैले अहिलेसम्म ठीक गरेको छैन

संक्रमित होस्टहरूलाई आक्रमण गर्दा, केहि परिस्थितिहरूमा पासवर्ड सही छ वा छैन भनेर स्पष्ट रूपमा निर्धारण गर्न सम्भव छैन। त्यस्ता केसहरू /var/log/debug.log फाइलमा लगइन गरिएका छन्।

Paramiko मोड्युल, जुन SSH सँग काम गर्न प्रयोग गरिन्छ, कहिलेकाहीँ गलत व्यवहार गर्दछ: यो जडान गर्न प्रयास गर्दा होस्टबाट प्रतिक्रियाको लागि अन्तहीन प्रतीक्षा गर्दछ। मैले टाइमरहरू प्रयोग गरें, तर इच्छित परिणाम प्राप्त गरेन

अरु के काम गर्न आवश्यक छ?

सेवा नाम

RFC-4253 अनुसार, स्थापना गर्नु अघि SSH प्रोटोकल लागू गर्ने सेवाहरूको ग्राहक र सर्भरको नाम आदानप्रदान हुन्छ। यो नाम "SERVICE NAME" फिल्डमा समावेश छ, दुबै ग्राहक पक्षबाट अनुरोध र सर्भर पक्षबाट प्रतिक्रियामा समावेश छ। क्षेत्र एक स्ट्रिङ हो, र यसको मान wireshark वा nmap प्रयोग गरेर फेला पार्न सकिन्छ। यहाँ OpenSSH को लागी एक उदाहरण छ:

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

जे होस्, Paramiko को मामलामा, यो फिल्डमा "Paramiko Python sshd 2.4.2" जस्ता स्ट्रिङ समावेश छ, जसले बोटनेटहरूलाई डराउन सक्छ जुन पासोबाट बच्नको लागि डिजाइन गरिएको हो। त्यसकारण, मलाई लाग्छ कि यो रेखालाई थप तटस्थसँग बदल्न आवश्यक छ।

अन्य भेक्टरहरू

SSH टाढाको व्यवस्थापनको एक मात्र माध्यम होइन। त्यहाँ टेलनेट, आरडीपी पनि छ। यो तिनीहरूलाई नजिकबाट हेर्न लायक छ।

विस्तार

विभिन्न देशहरूमा धेरै पासोहरू राख्नु र केन्द्रीय रूपमा तिनीहरूबाट लगइनहरू, पासवर्डहरू र ह्याक गरिएका नोडहरू एक साझा डेटाबेसमा सङ्कलन गर्नु राम्रो हुनेछ।