使sshd监听另一个端口时，如何伪造22端口？

9

与其通过端口扫描我的服务器来使黑客成为可能，我还想假冒sshd正在监听端口22并记录尝试。这样做有意义吗？如果是，则可以使用哪些积极开发的工具/库。

security ssh

— 于尔根·保罗
source

1

但是您最好记住，安装任何其他软件都会增加渗透的风险。的确，例如，OpenSSH会比像honeypot这样的任何“伪造”产品都更强大。因此，这意味着您需要以某种方式加强其安装。

— poige

10

您可以使用SSHD蜜罐，例如Kippo或Kojoney

— 大卫·胡德
source

9

您也可以简单地记录所有使用iptables连接到端口22的尝试，即使该端口上没有监听：

$ sudo iptables -A INPUT -p tcp  --dport 2222 -j LOG
$ nc localhost 2222
$ tail -n1 /var/log/syslog
Oct 26 13:35:07 localhost kernel: [325488.300080] IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=127.0.0.1 DST=127.0.0.1 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=56580 DF PROTO=TCP SPT=35625 DPT=2222 WINDOW=43690 RES=0x00 SYN URGP=0

— 丹尼斯·凯瑟梅克（Dennis Kaarsemaker）
source

4

回答问题“这样做有意义吗？” 我问：“您是安全研究员吗？” 如果您回答是，那么运行ssh honeypot将很有意义。

如果您只是在运行生产服务而不必担心扫描失败，则可以在具有其他身份验证机制（例如仅公用密钥，或者需要Yubikey或类似设备）的其他端口上运行sshd，并丢弃端口22无需记录流量。

有蛮力的ssh蠕虫会主动扫描Internet，整天会探测您的ssh端口，如果您不打算查看防火墙日志或蜜罐中的数据，那么您所做的就是浪费磁盘空间。

— 保罗·吉尔
source

3

对我来说，问题不是“我可以这样做吗？”，而是“我应该这样做吗？”。我看到许多系统管理员或开发人员在做事情，是因为他们认为应该这样做，或者是因为有人告诉他们应该这样做，或者是因为“其他所有人”都在这样做。在没有明确定义需求，目标和预期成果的情况下做任何事情都是浪费时间，金钱和精力。

— joeqwerty

3

你想要一个蜜罐。

范例：http : //code.google.com/p/kippo/

— 巴特·德沃斯
source