[發明專利]一種高交互SSH蜜罐實現方法

有效

• 申請號: 201910939425.1
• 申請日: 2019-09-30
• 公開（公告）號: CN110557405B
• 公開（公告）日: 2021-09-17
• 發明（設計）人: 石愛業;丁日升
• 申請（專利權）人: 河海大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 南京縱橫知識產權代理有限公司 32224
• 代理人: 董建林

1.一種高交互SSH蜜罐實現方法，其特征在于：包括以下步驟：

步驟a，對系統SSH端口進行連接，判斷是否具有SSH服務，具有SSH服務進入到下一步驟；

步驟b，利用logit函數和OpenSSH中authctxt結構體在口令身份認證時對認證的用戶名/密碼進行捕獲,步驟b具體步驟包括：b1，將服務端的口令信息進行解密；b2，將口令存放到authctxt結構體中；b3，通過logit函數記錄authctxt結構體中的用戶名和密碼；b4，將用戶名和密碼信息存儲在記錄文件中；

步驟c，在口令認證成功后，利用SSH服務通過管道和用戶處理交互會話模塊對客戶端數據處理的特性，對相關模塊代碼進行修改，從而完成對shell口令的記錄,步驟c具體步驟包括：c1，定義一個文件描述符變量；c2，初始化該文件描述符；c3，創建存放實時shell命令的記錄文件，該文件應隱蔽安全；c4，記錄攻擊者屏幕輸出數據并存放與記錄文件中；c5，logout時關閉文件；

步驟d，對蜜罐系統流出流量進行控制，包括對外數據包限制和對外攻擊包抑制兩個過程；

步驟e，針對蜜罐系統捕獲的數據，利用javaweb技術進行分析處理展示。

2.根據權利要求1所述的一種高交互SSH蜜罐實現方法，其特征在于：步驟d中，對外數據包限制包括以下具體步驟：d1，清除Iptables中原有規則；d2，設置外出數據包限制；d3，制定單位時間，即單位時間限制；d4，設置協議包的流出數據包閾值；d5，允許外部連接。

3.根據權利要求1所述的一種高交互SSH蜜罐實現方法，其特征在于：步驟d中，對外攻擊包抑制包括以下具體步驟：d6，從Netfilter中獲取外出數據包；d7，snort_inline在ip_queue模塊指定位置注冊函數；d8，數據包轉發給這個函數分析處理；d9，進行特征庫匹配；d10，處理數據包。

4.根據權利要求1所述的一種高交互SSH蜜罐實現方法，其特征在于：步驟e具體步驟包括：e1：利用JDBC驅動包從數據庫獲取捕獲數據；e2：對數據按照需求和分析進行分類；e3：分析處理攻擊次數并展示，在展示中利用jQuery框架進行圖形顯示；e4：各項數據統計，根據e3的結果獲取各個時間區間IP，若IP不包含在字典中則累加至字典中，然后根據IP獲取相應的數據，之后將數據存入文件中并提供下載查看鏈接；e5：根據e4結果對各項數據的數量進行比較，選取TOP數據通過json格式發送至前端，前端框架創建表格將數據展示在表格中；e6：在數據庫中搜索IP，若存在，則將IP獲取出來并通過百度地圖API獲取地理信息位置等數據，再根據步驟e4獲取各項數據，其中包含了該IP所嘗試的用戶名、密碼、shell命令，最后將一系列數據顯示在前端頁面中。

5.根據權利要求4所述的一種高交互SSH蜜罐實現方法，其特征在于：步驟e1包括以下步驟：e11，加載JDBC驅動程序；e12，提供JDBC連接URL；e13，創建數據庫連接；e14，創建statement；e15，執行SQL語句。

6.根據權利要求4所述的一種高交互SSH蜜罐實現方法，其特征在于：步驟e3包括以下步驟：e31，制定時間區間；e32，獲取數據時間并判斷區間；e33，累計制定時間區間內數量與IP；e34，數據返回前端處理并顯示。