{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 hackar nodernas bot-n\u00e4tverk","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virusanalytikere og cybersikkerhedsforskere str\u00e6ber efter at samle s\u00e5 mange pr\u00f8ver af nye botnet som muligt. Til deres form\u00e5l bruger de honeypots.\u2026 Men hvad nu hvis man \u00f8nsker at observere malware under reelle forhold? At uds\u00e6tte sin server, router? Og hvad hvis der ikke er nogen passende enhed? Disse sp\u00f8rgsm\u00e5l fik mig til at skabe bhunter \u2013 et v\u00e6rkt\u00f8j til at f\u00e5 adgang til noderne i botnetv\u00e6rk.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Huvudid\u00e9n<\/h1>\n

\nDet finns m\u00e5nga s\u00e4tt att sprida skadlig programvara f\u00f6r att ut\u00f6ka botn\u00e4t: fr\u00e5n phishing till utnyttjande av 0-day-s\u00e5rbarheter. Men den mest utbredda metoden \u00e4r fortfarande brute force-attacker mot SSH-l\u00f6senord.<\/p>\n

Id\u00e9n \u00e4r mycket enkel. Om n\u00e5got node fr\u00e5n botn\u00e4tet f\u00f6rs\u00f6ker g\u00f6ra en brute force-attack mot din server, \u00e4r det troligt att den noden sj\u00e4lv har blivit \u00f6vertagen genom att utnyttja enkla l\u00f6senord. Det betyder att f\u00f6r att f\u00e5 tillg\u00e5ng till den, beh\u00f6ver man bara svara med \"\u00f6msesidighet\".<\/p>\n

S\u00e5 h\u00e4r fungerar bhunter. Den lyssnar p\u00e5 port 22 (SSH-tj\u00e4nst) och samlar alla inloggningar och l\u00f6senord som f\u00f6rs\u00f6ker ansluta. D\u00e4refter, med hj\u00e4lp av de insamlade l\u00f6senorden, f\u00f6rs\u00f6ker den ansluta till angripande noder.<\/p>\n

Arbetsalgoritm<\/h1>\n

\nProgrammet kan grovt delas in i tv\u00e5 huvuddelar som arbetar i separata tr\u00e5dar. Den f\u00f6rsta \u2014 honeypot. Den hanterar inloggningsf\u00f6rs\u00f6k, samlar unika anv\u00e4ndarnamn och l\u00f6senord (i detta fall betraktas en inloggning+l\u00f6senord-kombination som en helhet) och l\u00e4gger till IP-adresser i k\u00f6n f\u00f6r vidare attacker som f\u00f6rs\u00f6kte ansluta.<\/p>\n

Den andra delen ansvarar direkt f\u00f6r attacken. Attacken utf\u00f6rs i tv\u00e5 l\u00e4gen: BurstAttack (k\u00f6attack) \u2014 brute force av anv\u00e4ndarnamn och l\u00f6senord fr\u00e5n en gemensam lista och SingleShotAttack (enskilda skott) \u2014 brute force av l\u00f6senord som f\u00f6r anv\u00e4ndaren under attacken, men som \u00e4nnu inte har lagts till i den gemensamma listan.<\/p>\n

F\u00f6r att ha n\u00e5gon grund av anv\u00e4ndarnamn och l\u00f6senord direkt efter start, initieras bhunter med en lista fr\u00e5n filen \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Gr\u00e4nssnitt<\/h1>\n

\nFlertalet s\u00e4tt att starta bhunter \u00e4r f\u00f6rutsedda:<\/p>\n

Bara med kommandot<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nVed en s\u00e5dan start er der mulighed for at styre bhunter gennem dets tekstmenu: tilf\u00f8je loginoplysninger til angreb, eksportere databasen med loginoplysninger, angive m\u00e5l for angreb. Alle hackede noder kan ses i filen \/var\/log\/bhunter\/hacked.log.<\/p>\n
Genom att anv\u00e4nda tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # kommand f\u00f6r att starta bhunter via tmux  \nsudo tmux attach -t bhunter # anslut till sessionen d\u00e4r bhunter k\u00f6rs\n<\/code><\/pre>\n
\nTmux \u00e4r en terminalmultiplexer, ett mycket anv\u00e4ndbart verktyg. Det g\u00f6r det m\u00f6jligt att skapa flera f\u00f6nster inom en terminal och dela upp f\u00f6nster i paneler. Genom att anv\u00e4nda det kan man logga ut fr\u00e5n terminalen och sedan logga in igen utan att avbryta p\u00e5g\u00e5ende processer. <\/p>\n
Scriptet bhunter-ts opretter en tmux-session og opdeler vinduet i tre paneler. I det st\u00f8rste panel findes tekstmenuen. Det \u00f8verste h\u00f8jre panel indeholder logs fra honeypot'en, hvor man kan se meddelelser om indlogningsfors\u00f8g p\u00e5 honeypot. I det nederste h\u00f8jre panel vises information om fremdriften af angrebet p\u00e5 botnetv\u00e6rkets noder og om succesfulde hack.<\/p>\n
F\u00f6rdelen med detta tillv\u00e4gag\u00e5ngss\u00e4tt j\u00e4mf\u00f6rt med det f\u00f6rsta \u00e4r att vi kan st\u00e4nga terminalen och \u00e5terv\u00e4nda senare, och bhunter kommer att forts\u00e4tta fungera. F\u00f6r dem som \u00e4r obekanta med tmux f\u00f6resl\u00e5r jag  denna snabbguide<\/a><\/noindex>.<\/p>\n
Som en tj\u00e4nst<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nI det h\u00e4r fallet aktiverar vi automatisk start av bhunter vid systemstart. I denna metod \u00e4r interaktionen med bhunter inte m\u00f6jlig, och listan \u00f6ver hackade noder kan f\u00e5s fr\u00e5n \/var\/log\/bhunter\/hacked.log<\/p>\n
Effektivitet<\/h1>\n
\nUnder min tid med bhunter har jag lyckats hitta och f\u00e5 tillg\u00e5ng till helt olika enheter: raspberry pi, routrar (s\u00e4rskilt mikrotik), webbservrar, och en g\u00e5ng en gruvg\u00e5rd (tyv\u00e4rr var tillg\u00e5ngen endast under en dag, s\u00e5 jag fick ingen intressant historia). H\u00e4r \u00e4r en sk\u00e4rmdump av programmet som visar listan \u00f6ver hackade noder efter n\u00e5gra dagars arbete:<\/p>\n
\"Bhunter
\n
\nTyv\u00e4rr har effektiviteten hos detta verktyg inte uppfyllt mina f\u00f6rv\u00e4ntningar: bhunter kan pr\u00f6va l\u00f6senord till noder i flera dagar utan resultat, men kan ocks\u00e5 hacka flera m\u00e5l p\u00e5 n\u00e5gra timmar. Men f\u00f6r en regelbunden tillstr\u00f6mning av nya exempel p\u00e5 botn\u00e4t \u00e4r detta tillr\u00e4ckligt.<\/p>\n
Effektiviteten p\u00e5verkas av faktorer s\u00e5som: landet d\u00e4r servern med bhunter \u00e4r placerad, hostingtj\u00e4nsten och intervallet fr\u00e5n vilket IP-adressen tilldelas. Utifr\u00e5n min erfarenhet har jag haft fall d\u00e4r jag hyrde tv\u00e5 virtuella servrar fr\u00e5n samma hostingleverant\u00f6r, och en av dem utsattes f\u00f6r attacker fr\u00e5n botn\u00e4t dubbelt s\u00e5 ofta.<\/p>\n
Buggar som jag fortfarande inte har fixat<\/h1>\n
\nVid attacker mot infekterade noder g\u00e5r det ibland inte att tydligt avg\u00f6ra om l\u00f6senordet var r\u00e4tt eller ej. Loggning av s\u00e5dana fall sker i filen \/var\/log\/debug.log.<\/p>\n
Paramiko-modulen, som anv\u00e4nds f\u00f6r att arbeta med SSH, beter sig ibland inkonsekvent: den hamnar i en o\u00e4ndlig v\u00e4ntan p\u00e5 svar fr\u00e5n noden n\u00e4r den f\u00f6rs\u00f6ker ansluta. Jag har experimenterat med timers, men har inte f\u00e5tt det resultat jag \u00f6nskat.<\/p>\n
Vad mer \u00e5terst\u00e5r att arbeta med?<\/h1>\n
<\/p>\n
Tj\u00e4nstnamn<\/h5>\n
\nEnligt RFC-4253 utbyter klienten och servern tj\u00e4nstenamn som implementerar SSH-protokollet f\u00f6re etableringen. Detta namn finns i f\u00e4ltet \"SERVICE NAME\", som ing\u00e5r b\u00e5de i beg\u00e4ran fr\u00e5n klienten och i svaret fr\u00e5n servern. F\u00e4ltet \u00e4r en str\u00e4ng, och dess v\u00e4rde kan uppt\u00e4ckas med hj\u00e4lp av Wireshark eller Nmap. H\u00e4r \u00e4r ett exempel f\u00f6r OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nStartar Nmap ...\nPORT   STATUS TJÄNST VERSION\n22\/tcp öppen  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protokoll 2.0)\nNmap klart: 1 IP-adress (1 värd uppe) skannad på 0.47 sekunder\n<\/code><\/pre>\n
\nMen n\u00e4r det g\u00e4ller Paramiko inneh\u00e5ller detta f\u00e4lt en str\u00e4ng som ser ut som \"Paramiko Python sshd 2.4.2\", vilket kan avskr\u00e4cka botn\u00e4t som har byggt in \"undvikande\" av f\u00e4llor. D\u00e4rf\u00f6r anser jag att det \u00e4r n\u00f6dv\u00e4ndigt att byta ut denna str\u00e4ng till n\u00e5got mer neutralt.<\/p>\n
Andra vektorer<\/h5>\n
\nSSH \u00e4r inte det enda verktyget f\u00f6r fj\u00e4rrstyrning. Det finns \u00e4ven telnet, RDP. Det \u00e4r v\u00e4rt att se n\u00e4rmare p\u00e5 dem ocks\u00e5.<\/p>\n
Utvidgning<\/h5>\n
\nDet skulle vara bra att ha flera f\u00e4llor i olika l\u00e4nder och centralt samla in inloggningar, l\u00f6senord och hackade noder till en gemensam databas. <\/p>\n
Var kan jag ladda ner?<\/h1>\n
\nVid tidpunkten f\u00f6r denna artikels skrivande finns endast en testversion tillg\u00e4nglig att ladda ner fr\u00e5n f\u00f6rvaret p\u00e5 GitHub.<\/a><\/noindex>.
\n
K\u00e4lla: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2013 vi hackar noder i botn\u00e4t | ProHoster","description":"Virusanalytiker och forskare inom dators\u00e4kerhet str\u00e4var efter att samla in s\u00e5 m\u00e5nga prover av nya botn\u00e4t som m\u00f6jligt.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}