● 科技信息 ０ Ｉ丁技术论Ｊ：２ ０ ＳＣＩＥＮＣＥ＆ＴＥＣＨＮＯＬＯＧＹ ＩＮＦＯＲＭＡＴＩＯＮ ２００８年第２９期 反蜜罐技术框架研究及实现 章英 ４０８１００） （长江师范学院网络信息中心 中国 重庆【摘要】蜜罐和反蜜罐的对抗在不断的发展，一旦蜜罐被攻击者所识别，就会失去其原有的价值。本文在大量实验的基础上，对反蜜罐的 技术框架进行研究，在文献川的基础上提出了一种新的识剐虚拟蜜罐Ｈｏｎｅｙｄ的方法，实现了对其在ＨＮＵＸ下的编程识别，并通过实验证明了 其有效性。 【关键词】蜜罐；反蜜罐；特征识别 １．引言 报为虚拟主机。蜜罐主机同样基于Ｆｅｄｏｒａ Ｃｏｒｅ５平台，使用ｈｏｎｅｙｄ分 蜜罐及其蜜网技术是近几年发展起来的一种基于诱骗理论的安 别模拟出ｌｉｎｕｘ虚拟主机和ｗｉｎｄｏｗｓ虚拟主机各一台。 全技术。通过设置蜜罐系统可以分散入侵者对生产网络的注意力．通 过日志分析收集有关入侵者的有用信息，以及新的攻击技术，方法和 工具。所以相对于防火墙、入侵检测等传统的安全技术，蜜罐技术可使 我们在安全防护中变被动为主动，从而更好地保护网络系统。 蜜罐技术应用的成功与否决定与蜜罐系统对攻击者的迷惑性。因 此有必要从攻击者的角度对现有蜜罐系统进行检验，发现蜜罐系统的 不足之处加以改进，以使蜜罐系统起到更好的防护作用，即反蜜罐技 术。本文首先对现有反蜜罐技术进行总结．建立反蜜罐判定框架，然后 依据该框架，通过对最常见的虚拟蜜罐Ｈｏｎｅｙｄ源代码分析进行漏洞 发掘，找出Ｈｏｎｅｙｄ部署最为普遍的１．０版本的漏洞．并应用Ｌｉｂｐｅａｐ 和Ｌｉｂｎｅｔ开发包在Ｌｉｎｕｘ下实现了对该漏洞的识别。 ２．反蜜罐技术 根据蜜罐的设计目的不同，可以分为产品型蜜罐和研究型蜜罐两 类。根据蜜罐的交互复杂度，又可以分为低交互蜜罐，中交互蜜罐和高 交互蜜罐三类。蜜罐中的主要技术有网络欺骗、端口重定向、报警、数 图１ 将虚拟主机伪装成Ｗｉｎｄｏｗｓ ＮＴ ４．０ ＳＰ５一ＳＰ６的操作系统。在本脚 据控制和数据捕获，数据分析等。蜜罐虽然采用了各种隐藏方法和技 本中指定该蜜罐有５个开放的端口：８０／ｔｃｐ，１３９／ｔｃｐ，１３７／ｔｅｐ，１３７／ｕｄｐ 术，但是它有自己的特征，蜜罐识别技术就是针对这些特征来对蜜罐 和１３５／ｕｄｐ。当一台机器试图连接该蜜罐的８０端口时，蜜罐为该客户 进行识别的。 端提供由ｐｅｒｌ脚本模拟的ＩＩＳ服务。对于关闭的端口，该配置指定：当 根据现有我们在网络攻防的实际经验和国内外相关文献。反蜜罐 连接为ＴＣＰ时，系统发送ＲＳＴ信息，当连接为ＩＣＭＰ时，系统发送“端 技术主要是通过主动识别和被动识别来分类。 口不可达”信息。 主动识别是指攻击者通过主动发包．根据目标系统反馈特征进行 ３．３蜜罐虚拟环境效果检测 识别。包括ＴＣＰ３Ｐ协议栈指纹特征识别、ＴＣ Ｐ协议栈行为特征识 在局域网中对该蜜罐系统模拟虚拟主机网络行为进行了常规测 别、网络行为特征识别、服务行为特征识别、系统行为特征识别、饱和 试。以确定虚拟主机模拟蜜罐效果。 攻击特征识别和其他。其中前两种为最为常用的两种方法。 当未运行蜜罐时，在攻击主机上Ｐｉｎｇ虚拟主机ＩＰ１９２．１６８．０．１３０。 被动识别主要是攻击者利用嗅探工具捕捉蜜罐网络上的数据包 显示为不通。运行蜜罐之后，再Ｐｉｎｇ虚拟主机１９２．１６８．０．１３０，显示可以 来分析判断蜜罐的存在。如蜜罐的各个部分为了完成功能，就要通过 Ｐｉｎｇ通。实验结果表明蜜罐运行后，对ＩＣＭＰ包进行了正确的应答．并 网络有机的联系起来，捕捉信息的传输、日志信息的备份等都要通过 且在蜜罐的日志系统里显示如下： ＇ｄ［２３４７１：Ｓｅｎｄｉｎｇ Ｉａ Ｅｃｈｏ Ｒｅｐｌｙ：１９２．１６８．０．１３０一＞１９２．１８８．０．１３５ 网络进行。攻击者可以通过利用嗅探工具捕捉蜜罐网络上的这些异常 ｈｏｎｅｙ妯［２３４７］：Ｓ聃ｄ ｌｃＩＰ Ｅｃｈｏ脚ｌｙ：１９２．１６８．０．１３０一＞１９２．１６８．ｏ．１３５ 数据来判断蜜罐的存在。包括ＩＰ包特征识别、异常数据包特征识别和 ｈｏｎｅ￣：ｒｒｄｔｏｏｌ＿ｆｏｒｋ：ｅｚｅｃｖ（／ｕｓｒ／ｂｉｎ／ｚｒｄｔｃｏ１）：ｌｔｏ ｓｕｃｈ ｆｉｌｅ ｏｒ ｄｉｒｅｎｏｒｙ 其他。 ３．反蜜罐技术框架初步实践 ３．１ ｈｏｎｅｙｄ简介 ｈｏ￡叼畦【２３ｔ １：ｒｒｄｔｏｏｌ ｒｅｔｕｒｎｉ ｅｒｒｏｒ０一ｒｅ．ｍｅ＇ｒｉｎｇ。 ｈｏｎｅｙｄ［２￣７］：ｒ，ｅ￣ｕｉｒ，ｚ ｒｒｄｔｏｏｌ ｔｏｏ驰ｉ ｌｙ ｈｏｎｅ蜩［２３４７］：Ｓｅｎｄｉｎｇ ＩｃＩＰ Ｅｃｈｏ Ｒｅｐ／ｒ：１９２．１６８．０．１３０一＞１９２．１５８．０．１３５ ｈｏｎｅｙｄ［２３４７］：Ｓｅ，ａｄｉｎ￣ 呻Ｅｃｈｏ Ｒ砷ｌ，：１９２．１６８。０．１３０一＞１９２．１６８．０．１３５ Ｈｏｎｅｙｄ是一个小的虚拟蜜罐程序，它能够产生虚拟的主机，这些 主机能够被配置以提供任意的服务，系统特征也是与之相适应，以至 于使之看起来像真实的系统在运行。在一个局域网的网络仿真中， Ｈｏｎｅｙｄ能够使单个主机拥有许多ＩＰ（多达６５５３６个）。通过提供对威 胁探测和评估的机制，增强了计算机的安全性，通过隐藏真实的系统 如上述实验结果，可见蜜罐虚拟主机同真实主机一样对ＩＣＭＰ包 进行了准确反应。应用上述方法难以分辨真实主机与蜜罐虚拟主机。 ３．４本实验中反ｈｏｎｅｙｄ关键技术概述 经我们实验，在ｈｏｎｅｙｄＯ．８版本前，ｈｏｎｅｙｄ对同时包含ＳＹＮ和 ＲＳＴ的ＴＣＰ畸形包进行无条件的反应回包，从而出现了ＴＣＰ／ＩＰ协议 在虚拟的系统中，也达到了阻止敌手的目的。Ｈｏｎｅｙｄ被设计用来应答 栈行为与真实主机上的显著区别。攻击者可根据这点识别出蜜罐虚拟 目标地址属于模拟蜜罐范围之内的网络包。 主机。应当指出的是，在国内某些文献中 将该漏洞认为是，ｈｏｎｅｙｄ虚 Ｈｏｎｅｙｄ提供仿真服务主要基于对应用层的协议进行模拟。通过 使用ｐｙｔｈｏｎ编写的脚本，可以实现在各种服务中模拟真实应用层服务 的交互。 ． ３．２实验环境搭建 拟的主机不能像真实主机一样在ＴＣＰ／ＩＰ三次握手协议中对无反应的 远程主机进行持续发包，以此方法实现对ｈｏｎｅｙｄ虚拟主机的识别。经 我们反复实验，应用该方法发现不能复制出实验结果。 ＢＵＧＴＲＡＰ上于２００６年２月发布了ｈｏｎｅｙｄ蜜罐软件最新的一个 漏洞，攻击者可利用该漏洞实现对ｈｏｎｅｙｄ的检查。但该漏洞描述中未 给出漏洞的具体细节和攻击方法。通过对ｈｏｎｅｙｄ软件源代码分析，我 图１是我们的实验网络拓扑图。 攻击主机使用Ｆｅｄｏｒａ Ｃｏｒｅ５平台，以便使用基于数据包构造包 Ｌｉｂｎｅｔ自行开发的反蜜罐工具。在本实验网络中，设置有基于 们发现问题存在与ｈｏｎｅｙｄ的ｉｐ栈的实现上。存在该漏洞的ｈｏｎｅｙｄ版 ｗｉｎｄｏｗｓ２００３ ｓｅ￣ｅｒ服务的真实主机一台。将蜜罐主机和真实主机配 本中，其对某些分片的畸形ｉｐ包不能正确应答，而真实主机是可以应 置在同一子网中，主要用于检测该反蜜罐工具的准确率和误报率，即 答的。依据该原理，我们应用ｌｉｎｕｘ下最常用的数据包构造和发送工具 是否能准确从真实主机中分辨出虚拟主机，或者是否会将真实主机误 ｌｉｂｎｅｔ开发出了ａｎｔｉ—ｈｏｎｅｙｄ ０．１版本。 （下转第７９页） 科技信息 ｏ『ｒ技术论坛０ ＳＣＩＥＮＣＥ＆ＴＥＣⅢｉ０Ｌ０ＧＹ ＩＮＦＯＲＭＡＴＩＯＮ ２００８年第２９期 分集效果，要求接收机具有更复杂的结构，这在硬件上也不易实现。 ３．４ＩＥＥＥ ８０２．１１ｇ标准 ＩＥＥＥ ８０２．１１ａ和８０２．Ｉ１ｂ工作在不同的频谱．因此这两种标准互 缺点 不兼容。为了解决这一问题。ＩＥＥＥ在２００３年提出了８０２．１ｌｇ这一 ＼ 成号本容较扰易高 较被，干信 低传用，输的能速用同少率户时 较数使 成本较高 ５．结束语 ＷＬＡＮ新标准。８０２．１１ｇ兼容８０２．１１ｂ的物理层标准，并进行了速率上 的扩展，在２．４ＧＨｚ频谱下支持最高５４Ｍｂｐｓ的传输速率。当传输速率 如今，无线局域网技术正被广泛应用，ＩＥＥＥ ８０２．１ｌｇ标准已成为 在２０Ｍｂｐｓ以下时，在物理层采用ＤＳＳＳ技术和ＣＣＫ技术。当传输速 主流的产品标准。尽管如此，８０２．１ｌａ和８０２．１ｌｂ标准仍占据相当大一 率超过２０Ｍｂｐｓ时，在物理层使用ＯＦＤＭ技术。８０２．１１ｇ标准兼容 部分市场份额。由于８０２．１１ａ和８０２．１ｌｂ、８０２．１ｌｇ运行在不同的频谱范 ８０２．１ｌｂ并提供了更高的传输速率，但昂贵的成本阻碍了它的发展。 围．因此出现了兼容５ＧＨｚ和２．４ＧＨｚ频谱的无线接入产品．也就是 ４．ＩＥＥＥ各标准对比 说，８０２．１ｌａ标准和８０２．１ ｌｂ标准８０２．】１ｇ标准的产品均可实现无障碍 ＷＬＡＮ技术各ＩＥＥＥ标准之间的区别及各自的优缺点．可通过表 接入，并提供１１Ｍｂｐｓ和５４Ｍｂｐｓ两种传输速率。 １进行比较。 目前无线局域网产品大约只能覆盖１００米的范围，为了扩大有效 表１ ＩＥＥＥ各标准对比 覆盖范围，有人提出了搭建ＷｉｒｅｌｅｓｓＭｅｓｈ网络的设想。在 ＷｉｒｅｌｅｓｓＭｅｓｈ网络内，无线终端能够经由装有特殊芯片的路由器访问 ＩＥＥＥ标准 ８０２．１１ ８ｏ２．１１ａ ８０２．１ｌｂ ８０２１ｌｇ 网络，这可大大增加有效传输距离。 运行的频谱范围 ２．４ＧＨｚ ５ ＧＨｚ ２．４ＧＨｚ ２４ ＧＨｚ 总之，随着ＷＬＡＮ技术的不断改进，未来的无线传输将更加快速 传输速率 １ ｏｒ ２Ｍｂｐｓ 最高５４Ｍｂｐｓ 最高５４Ｍｂｐｓ 最高５４Ｍｂｐｓ ＯＦＤＭ（传输 和安全。 调制技术 ＦＤＳＨＳＳＳ，Ｓ ＯＦＤＭ ＤＳＳＳ和ＣＣＫ 感 （传输速度＞ ２０Ｍｂｐｓ 【参考文献】 ［１］刘乃安．无线局域网（ｗＬＡＮ）——原理技术与Ｊｇ Ｊ￣ｌｆ（Ｍ）．西安：西安电子科技大 学出版社，２０Ｏ４年 可用信道 ＼传输最大距离 ＼安全性 ＷＥＰ １２ ２４ｍ ＷＥＰ １ｌ ５３ｍ Ｗ＿ＥＰ ３ ５３ｍ ＷＥＰ 『２］Ｉｎｔｒｏｄｕｃｔｉｏｎ ｔｏ ＩＥＥＥ ８０２．１１ ｆＩｎｔｅｒｎｅｔ）． ｈｔｔｐ：／／ｗｗｗ．ｉｎｔｅｌｌｉｇｒａｐｈｉｃｓ．ｃｏｒｎ／ａｒｔｉｃｌｅｄ８０２１ ｌａｒｔｉｃｌｅ．ｈｔｍｌ ＿［３］Ｆｒｅｑｕｅｎｃｙ Ｈｏｐｐｉｎｇ Ｓｐｒｅａｄ Ｓｐｅｅｔｒｕｍ（Ｉｎｔｅｒｎｅｔ）． ｈｔｔｐ：ｇｅｎ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｗｉｋｉ／ｆｒｅｑｕｅｎｃｙ—ｈｏｐｐｉｎｇｓｐｒｅａｄｓｐｅｃｔｒｕｍ． ＿优点 ＼ 高更速时多使率用用，户支。同 持 低不成易本被，干信扰号 更时不使易多被用阻，户信塞同号 高速率，支持 作者简介：吴慧敏（１９７２一），女，Ｉ程师，Ｉ学学士 权孟立（１９８２一），男，助理工程师，Ｉ学学士。 ［责任编辑：张慧】 ｗｉｎｄｏｗｓ ｓｅｒｖ由２００３体系结构规划、设计、实施与管理．［Ｍ］．北京：冶金 （上接第７３页）实用性，提出了由表及里、逐层深入的学习途径，便 ［１］田丰．２００６．０９，２１ １－２２４． 于学生循序渐进地学习信息技术的知识和技能。另外它也给了学生 工业出版社．［２］王隆杰，，梁广民，／杨名川．Ｗｉｎｄｏｗｓ Ｓｅｒｖｅｒ２００３网络管理实训教程［Ｍ］．北京： 充分的自由。培养了学生动手实践的能力，极大地提高了学生学习 的兴趣。 清华大学出版社．２００６．０３． 【参考文献】 ［责任编辑：田瑞鑫］ （上接第８３页）３．５检测结果 ． 建立反蜜罐技术框架。本框架原型应用ＴＣＰ／ＩＰ协议栈行为特征识别 在反Ｈｏｎｅｙｄ实验中进行了成功测试。建立反蜜罐框架的目的是在未 来的网络安全工作中建立检测蜜罐的一款通用工具，以及发现实际部 应用该工具测试真实主机１９２．１６８．０．４４时．获得的实验结果为 【ｒ∞ｔ●１ ・ｌ＇哪ｔ ｈ。蕾 ｈｐｌｎｔ２＿Ｓ－Ｙ １９２．１０８．０．１４４－ｐ∞ 且Ｐｌ蕊１９２．１鲳．０．１４４（ｅｔ的１９２．１６８．０．１４４Ｊ：ＳＹ Ｎｔ．∞ ．ｄｅｒ．＋０ ｄＩｔＩ ｂｙｔｅｓ ｌｅｎ＝￣ｌｅｎ：帕ｉｒｍ１９２．１６８．０．１４４ ｔｔ１＝６４ ＤＦ ｌｄ＝ｏ●∞ｒｔ＝∞ｊｐ＝ｌＢ２．１ｆｉｂ．０．１４４ ｔｔｌ：：ｉｆ４ ＤＦ Ｉｄ＝Ｏ ｓｐｏｒｔ￣ｆｌｔ￣ｓ＝２Ａ髓ｑ ｎａＥｓ＝￣ｗｉｎ＝０ ｒｔｔ皇８．０雅 署中蜜罐的漏洞，对蜜罐进行改进，进一步提高其防护作用。 ｌｔｎ＝４０ ｉｐ＝１９２．１６８．０．１４４ ｔｔ１＝６４ ＤＦ ｌｄ：０－∞ｒｔ啪ｆｌａＩＦ￣∞ｑ－ｌ－ｉｎ皇ｏ ｒｔｔ＝Ｏ．１啦 麓ａ＝２ Ｉｊｎ＝ｏ ｒｔｔ＝ｏ．２晦 ｌｅｎ＝４０ ｌｐ＝１９２．Ｉｒｉｓ．０．１４４ ｔｔ１＝６４ ＤＦ ｉｄ＝ｏ ｓｌｚ＝￣＝８０ ｆｌａｇｓ＝￣Ａ叠ａ４ ｔｉｎ篁ｏ ｒｔｔ＝Ｏ．１暗 【参考文献】 ［１］蒋欣，薛质．针对ｈｏｎｅｙｐｏｔ的指纹识别及其防御对策［Ｊ］．信息安全与通信保 密，２００５；１０：７９—８２． 应用该工具测试两个蜜罐虚拟主机．获得的实验结果分别为 ｌ ｒ￣ｔ＠ｌｏｃａｌｈｏ墨ｔ ｈｏｍ ｊ ｈｐｉｑｔ２－Ｓ－ｙ １９２．１６８．０．１３ｏ．ｐ ｔ３９ ＨＰＩｍ １９２．１６８．０．１３０（ｅｔｈＯ １９２．１６８．０．１ａＯ）：ｓＹ ｓｅｔ．柏Ｍｅａｄｅｒｓ十０ ｄａｔａ ｂ）￣ｅｓ ｌＣ ｌＣ神ＨＤｓｔ Ｕｎｒｅａｃｈａｂｌｅ ｆｒｏｍ ｊｐ＝１９２．１６８．０．１４４犯噼 疆ｍ■ 珏口ｓｔ Ｕｎｒｅｓｔｈａｂｌｅ ｆｒｏｍ ｔＰ＝１９２．１鹊．０．１４４碍伸＝ＵＮＫ －ｘ ［２］马艳丽，赵战生，黄轩．Ｈｏｎｅｙｄｐｏｔ一网络陷阱［Ｊ］．计算机工程与应用．２００３，３９ （４）：１６２－１６５． ［３］梁知音．ｈｏｎｅｙｄ框架［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｈｏｎｅｙｐｏｔ．ｃｏｒｎ．ｃｎ／ａｒｔｉｃｌｅ／ｈｏｎｃｙｄ框架． ｐｄｆ，２００４－１０—３０． ｌＣ蛳’Ｈ口ｓｔ ＵＲｒｅｓｃｌｍｂｌｅ ｆｒｏｍ ｉｐ＝１９２．１６８．０．１４４豫嘲：ＵＮ－：ｍ暮Ｘ ｌｒｅｏｔ￣ｌｏｃａｌｈｏｓｔ ｈｏｎｔ ｊ ｈｐｔａｇ２＿ｓ １９２．１６８．０．１３１－ｐ ｌ∞ ＩＩＰＩ辩１９２．１６８．０．１３１（ｅｔｈ０ １９２．１ｉｆ８．０．ｘ３ｔ）：ＳＹ ｓｅｔ．柏ｈｅａｄｅｒｓ十０ ｄａｔａ ｂｙｔｅｓ ＪＣ胛ｌＣ奸】Ｃ舯胁ｓｔ Ｕｎｒｅａｃｈａｂｌｅ ｆｒｏｍ ｉｐ＝１９２．１６８．０．１４４叫噼ＩＵ掰：狮■Ｘ 羁。皇ｔ‰ｒｅｓｏｌｖａｂｌｅ ｆｒｏｍ ｔ￣＝１９２．１６８．０．１４４ Ｍ∞ 雠 Ｈｏｓｔ Ｕｎｒｅｓｔｈａｂｌｅ ｆｒｏｍ ｉｐ＝１９２．１６８．０．１４４ ｍ ；Ｕ敝 ■Ｎ ［４］Ｈｏｎｅｙｎｅｔ Ｐｒｏｊｅｃｔ．Ｋｎｏｗ ｙｏｕｒ ｅｎｅｍｙ：Ｓｅｂｅｋ［ＥＢ／ＯＬ１．ｈｔｔｐ：／／ｗｗｗ．ｈｏｎｅｙｎｅｔ．ｏｒｓ／ ｐａｐｅｒｓ／ｓｅｂｅｋ．ｐｄｆ．２００３－１ １ ［５］ＪＡＮＵＡＲＹ，ＦＥＢＲＵＡＲＹ．Ａｎｔｉ—Ｈｏｎｅｙｐｏｔ Ｔｅｃｈｎｏｌｏｇｙ ［ＥＢ／ＯＬ】ｈｔｔｐ：／／ｗｗｗ． ｃｏｍｐｕｔｅｒ．ｏｒｇ／ｓｅｅｕｒｉｔｙ／．２００４ ［６］李成．网络扫描工具的研究［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｈｏｎｅｙｎｅｔ．ｏｒｇ．ｅｎ／ｒｅｐｏｒｔｓ／网络 ｏｄｆ，２００５—６—７． 由上述实验结果可见，真实的主机对分片的畸形ＩＰ包可以正确 扫描工具的研究．虚拟蜜罐系统框Ｈｏｎｅｙｄ的分析与研究［Ｊ］．计算机工 应答，但是蜜罐机却不能应答．采用这种方法可以对Ｈｏｎｅｙｄ识别，我 ［７］周莲英，曹登元，年轶．们自行开发的反蜜罐工具达到了预定效果。 程与应用，２００５，２７：ｌ３７—１４０． ４．结论 攻击者对蜜罐软件的检测如同软件工程的黑盒测试。攻击者可以 院网络信息中 。 通过对蜜罐外在行为的测试特别是虚拟主机在网络层次和应用层协 议上的表现来检出虚拟主机。本次实验的目的就是在攻击者的角度， 作者简介：章￣（１９８１．４—１，女，湖北成宁，硕士，讲师，信息安全，长江师范学 ［责任编辑：韩铭］
