{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 w\u0142amanie do w\u0119z\u0142\u00f3w botnet\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Analitycy wirus\u00f3w i badacze bezpiecze\u0144stwa komputerowego staraj\u0105 si\u0119 zebra\u0107 jak najwi\u0119cej pr\u00f3bek nowych botnet\u00f3w. W tym celu wykorzystuj\u0105 honeypoty.\u2026 Ale co je\u015bli chce si\u0119 obserwowa\u0107 z\u0142o\u015bliwe oprogramowanie w rzeczywistych warunkach? Nara\u017ca\u0107 sw\u00f3j serwer lub router? A co, je\u015bli nie ma odpowiedniego urz\u0105dzenia? To w\u0142a\u015bnie te pytania sk\u0142oni\u0142y mnie do stworzenia bhuntera \u2014 narz\u0119dzia do uzyskiwania dost\u0119pu do w\u0119z\u0142\u00f3w botnet\u00f3w.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Podstawowa idea<\/h1>\n

\nIstnieje wiele sposob\u00f3w rozprzestrzeniania z\u0142o\u015bliwego oprogramowania w celu rozszerzenia botnet\u00f3w: pocz\u0105wszy od phishingu, a sko\u0144czywszy na wykorzystaniu podatno\u015bci 0-day. Jednak najpowszechniejsz\u0105 metod\u0105 nadal pozostaje \u0142amanie hase\u0142 do SSH.<\/p>\n

Pomys\u0142 jest bardzo prosty. Je\u015bli z jakiego\u015b w\u0119z\u0142a botnetu dochodzi do pr\u00f3by \u0142amania hase\u0142 do twojego serwera, to najprawdopodobniej ten w\u0119ze\u0142 zosta\u0142 sam zhakowany poprzez \u0142amanie prostych hase\u0142. A wi\u0119c, aby uzyska\u0107 do niego dost\u0119p, wystarczy odpowiedzie\u0107 mu \u00abwzajemno\u015bci\u0105\u00bb.<\/p>\n

Dok\u0142adnie tak dzia\u0142a bhunter. Nas\u0142uchuje na porcie 22 (us\u0142uga SSH) i zbiera wszystkie loginy oraz has\u0142a, z kt\u00f3rymi pr\u00f3buje si\u0119 po\u0142\u0105czy\u0107. Nast\u0119pnie, wykorzystuj\u0105c zebrane has\u0142a, pr\u00f3buje po\u0142\u0105czy\u0107 si\u0119 z atakuj\u0105cymi w\u0119z\u0142ami.<\/p>\n

Algorytm dzia\u0142ania<\/h1>\n

\nProgram mo\u017cna zasadniczo podzieli\u0107 na 2 g\u0142\u00f3wne cz\u0119\u015bci, kt\u00f3re dzia\u0142aj\u0105 w oddzielnych w\u0105tkach. Pierwsza to honeypot. Obs\u0142uguje pr\u00f3by logowania, zbiera unikalne loginy i has\u0142a (w tym przypadku para login+has\u0142o jest traktowana jako ca\u0142o\u015b\u0107), a tak\u017ce dodaje do kolejki do dalszej ataku IP adresy, kt\u00f3re pr\u00f3bowa\u0142y si\u0119 po\u0142\u0105czy\u0107.<\/p>\n

Druga cz\u0119\u015b\u0107 odpowiada bezpo\u015brednio za atak. Przy czym atak prowadzony jest w dw\u00f3ch trybach: BurstAttack (atak w kolejce) \u2014 \u0142amanie login\u00f3w i hase\u0142 z og\u00f3lnej listy oraz SingleShotAttack (atak pojedynczymi strza\u0142ami) \u2014 \u0142amanie hase\u0142, kt\u00f3re by\u0142y u\u017cywane przez atakowany w\u0119ze\u0142, ale jeszcze nie zosta\u0142y dodane do og\u00f3lnej listy.<\/p>\n

Aby mie\u0107 jak\u0105\u015b baz\u0119 login\u00f3w i hase\u0142 tu\u017c po uruchomieniu, bhunter jest inicjowany list\u0105 z pliku \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interfejs<\/h1>\n

\nPrzewidziano kilka sposob\u00f3w uruchamiania bhuntera:<\/p>\n

Po prostu poleceniem<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nPrzy takim uruchomieniu istnieje mo\u017cliwo\u015b\u0107 zarz\u0105dzania bhunterem za pomoc\u0105 jego tekstowego menu: dodawania login\u00f3w i hase\u0142 do ataku, eksportowania bazy login\u00f3w i hase\u0142 oraz okre\u015blenia celu ataku. Wszystkie zhackowane w\u0119z\u0142y mo\u017cna zobaczy\u0107 w pliku \/var\/log\/bhunter\/hacked.log<\/p>\n
U\u017cywaj\u0105c tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # polecenie uruchamiaj\u0105ce bhunter przez tmux  \nsudo tmux attach -t bhunter # \u0142\u0105czymy si\u0119 z sesj\u0105, w kt\u00f3rej dzia\u0142a bhunter\n<\/code><\/pre>\n
\nTmux to multiplexer terminali, bardzo wygodne narz\u0119dzie. Pozwala tworzy\u0107 wiele okien w ramach jednego terminala, a okna dzieli\u0107 na panele. U\u017cywaj\u0105c go mo\u017cna wyj\u015b\u0107 z terminala, a potem wr\u00f3ci\u0107, nie przerywaj\u0105c uruchomionych proces\u00f3w. <\/p>\n
Skrypt bhunter-ts tworzy sesj\u0119 tmux i dzieli okno na trzy panele. W najwi\u0119kszym z nich znajduje si\u0119 tekstowe menu. G\u00f3rny prawy zawiera logi honeypota, gdzie mo\u017cna zobaczy\u0107 wiadomo\u015bci o pr\u00f3bach logowania do honeypota. W dolnym prawym panelu wy\u015bwietlane s\u0105 informacje o post\u0119pach ataku na w\u0119z\u0142y botnet\u00f3w oraz o udanych hackach.<\/p>\n
Zalet\u0105 tego sposobu nad pierwszym jest to, \u017ce mo\u017cemy bez obaw zamkn\u0105\u0107 terminal i wr\u00f3ci\u0107 do niego p\u00f3\u017aniej, przy tym bhunter nie zatrzyma pracy. Dla tych, kt\u00f3rzy niewiele wiedz\u0105 o tmux, proponuj\u0119  ten \u015bci\u0105gawka<\/a><\/noindex>.<\/p>\n
Jako us\u0142uga<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nW tym przypadku w\u0142\u0105czamy automatyczne uruchamianie bhuntera przy starcie systemu. W tej metodzie interakcja z bhunterem nie jest przewidziana, a lista zhakowanych w\u0119z\u0142\u00f3w mo\u017cna uzyska\u0107 z \/var\/log\/bhunter\/hacked.log<\/p>\n
Efektywno\u015b\u0107<\/h1>\n
\nPracuj\u0105c nad bhunterem uda\u0142o mi si\u0119 znale\u017a\u0107 i uzyska\u0107 dost\u0119p do zupe\u0142nie r\u00f3\u017cnych urz\u0105dze\u0144: raspberry pi, routery (szczeg\u00f3lnie mikrotik), serwery www, a pewnego razu farmy do wydobywania (niestety dost\u0119p do niej by\u0142 przez jeden dzie\u0144, wi\u0119c nie wydarzy\u0142a si\u0119 interesuj\u0105ca historia). Oto zrzut ekranu programu, na kt\u00f3rym widoczna jest lista zhakowanych w\u0119z\u0142\u00f3w po kilku dniach pracy:<\/p>\n
\"Bhunter
\n
\nNiestety, skuteczno\u015b\u0107 tego narz\u0119dzia nie spe\u0142ni\u0142a moich oczekiwa\u0144: bhunter mo\u017ce sprawdza\u0107 has\u0142a do w\u0119z\u0142\u00f3w przez kilka dni bez rezultatu, a mo\u017ce zhakowa\u0107 kilka cel\u00f3w w ci\u0105gu kilku godzin. Ale do regularnego pozyskiwania nowych pr\u00f3bek botnet\u00f3w to wystarczy.<\/p>\n
Na efektywno\u015b\u0107 wp\u0142ywaj\u0105 takie parametry jak: kraj, w kt\u00f3rym znajduje si\u0119 serwer z bhunter, hosting oraz zakres, z kt\u00f3rego przydzielony jest adres IP. Z mojego do\u015bwiadczenia mia\u0142em przypadek, gdy wynajmowa\u0142em dwa wirtualne serwery od jednego hostingu, a jeden z nich by\u0142 atakowany przez botnety dwa razy cz\u0119\u015bciej.<\/p>\n
B\u0142\u0119dy, kt\u00f3rych jeszcze nie naprawi\u0142em<\/h1>\n
\nW przypadku ataku na zainfekowane w\u0119z\u0142y w niekt\u00f3rych sytuacjach trudno jednoznacznie okre\u015bli\u0107, czy has\u0142o jest poprawne, czy nie. Rejestrowanie takich przypadk\u00f3w odbywa si\u0119 w pliku \/var\/log\/debug.log.<\/p>\n
Modu\u0142 Paramiko, u\u017cywany do pracy z SSH, czasami dzia\u0142a niepoprawnie: wchodzi w niesko\u0144czone oczekiwanie na odpowied\u017a od w\u0119z\u0142a, gdy pr\u00f3buje si\u0119 do niego po\u0142\u0105czy\u0107. Eksperymentowa\u0142em z timerami, ale nie uzyska\u0142em po\u017c\u0105danego rezultatu.<\/p>\n
Nad czym jeszcze trzeba popracowa\u0107?<\/h1>\n
<\/p>\n
Nazwa us\u0142ugi<\/h5>\n
\nZgodnie z RFC-4253, klient i serwer wymieniaj\u0105 si\u0119 nazwami us\u0142ug przed nawi\u0105zaniem po\u0142\u0105czenia, kt\u00f3re realizuj\u0105 protok\u00f3\u0142 SSH. Ta nazwa zawiera si\u0119 w polu \u201eSERVICE NAME\u201d, kt\u00f3re znajduje si\u0119 zar\u00f3wno w \u017c\u0105daniu ze strony klienta, jak i w odpowiedzi ze strony serwera. Pole to jest ci\u0105giem i jego warto\u015b\u0107 mo\u017cna pozna\u0107 u\u017cywaj\u0105c Wireshark lub nmap. Oto przyk\u0142ad dla OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nRozpoczynanie skanowania Nmap ...\nPORT   STAN US\u0141UGA WERSJA\n22\/tcp otwarte  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protokó\u0142 2.0)\nSkanowanie zako\u0144czone: 1 adres IP (1 host aktywny) zeskanowany w 0.47 sekundy\n<\/code><\/pre>\n
\nJednak\u017ce w przypadku Paramiko, to pole zawiera ci\u0105g o postaci \u201eParamiko Python sshd 2.4.2\u201d, co mo\u017ce odstrasza\u0107 botnety, kt\u00f3re maj\u0105 wbudowane \u201eunikanie\u201d pu\u0142apek. Dlatego uwa\u017cam, \u017ce konieczne jest zast\u0105pienie tego ci\u0105gu czym\u015b bardziej neutralnym.<\/p>\n
Inne wektory<\/h5>\n
\nSSH nie jest jedynym narz\u0119dziem do zdalnego zarz\u0105dzania. S\u0105 te\u017c telnet, RDP. Warto si\u0119 im przyjrze\u0107.<\/p>\n
Rozszerzenie<\/h5>\n
\nBy\u0142oby \u015bwietnie mie\u0107 kilka pu\u0142apek w r\u00f3\u017cnych krajach i centralnie zbiera\u0107 z nich loginy, has\u0142a i zhakowane w\u0119z\u0142y w jedn\u0105 baz\u0119 danych. <\/p>\n
Gdzie pobra\u0107?<\/h1>\n
\nW momencie pisania artyku\u0142u dost\u0119pna jest tylko wersja testowa, kt\u00f3r\u0105 mo\u017cna pobra\u0107 z repozytorium na Githubie<\/a><\/noindex>.
\n
\u0179r\u00f3d\u0142o: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 przejmujemy w\u0119z\u0142y botnet\u00f3w | ProHoster","description":"Analitycy wirus\u00f3w i badacze bezpiecze\u0144stwa komputerowego d\u0105\u017c\u0105 do zebrania jak najwi\u0119kszej liczby pr\u00f3bek nowych botnet\u00f3w.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}