HoneyPot蜜罐系统

实验名称

HoneyPot蜜罐系统

实验目的

1.了解蜜罐系统的概念与部署原理
2.学会使用Honeyd 和 Pentbox 等Honeypot 监控网络流量

实验内容

1. 安装并配置PentBox，完成实验。
   1.1 下载pentbox 软件，解压后运行./pentbox.rb, 查看pentbox共有哪些可以使用的选项？
   

1.2 选择“2-network tools”,查看network tools 里共有哪些可以使用的选项？

1.3 选择“3-honeypot”，再选择“Fast auto configuration”,此时即打开了80端口，通过netstat 确认80端口已经打开

1.4 通过使用浏览器, 输入本机ip地址，访问该honeypot, 是否能访问？ Honeypot的界面上显示了什么？

1.5 打开另一个终端使用nmap -A 扫描该地址，观察返回结果。

1.6 在HoneyPot的界面中又是怎样的返回结果？并解释为什么会有多种的signature

1.7 使用1.3中另一个选项，手动配置honeypot, 打开22端口，再使用nmap 扫描该地址， 观察在honeypot和 nmap 两边的输出。 总结当主机被扫描时，honeypot中应该是怎么样的一种显示模式。

只能重新选择8080端口

2. 配置Honeyd 完成实验
   2.1 根据软件的提示完成 Honeyd的安装。如果安装成功 输入./honeyd -V 截图保存输出结果。

2.2 使用vim创建/etc/honeyd.conf 配置文件。创建一个windows虚拟机。

create windows
set windows personality “Microsoft Windows NT 4.0 SP3”
set windows default tcp action reset
set windows default udp action reset
add windows tcp port 80 “sh /root/honeyd/honeyd-1.5c/scripts/web.sh”(honeyd所在实际位置)
bind 192.168.1.130 windows

创建测试文件：
Vim honey.conf

2.3 理解配置文件的含义，将上述配置文件中的ip 地址与应答脚本的地址，替换成合适的地址与脚本名。

上面的配置文件创建了一个叫做windows的模板，将IP：192.168.1.130绑定到这个模板上。上面的这个windows模板告诉honeyd，当一个客户端试图用NMap或者XProbe探测honeypot的指纹时，把它自己伪装成windows nt sp3的系统。
：
默认配置文件
Cat config.sample

2.4 使用arpd 192.168.1.130，将192.168.1.130的地址 映射到本机。在使用honeyd -d -f honeyd.conf 192.168.1.130 启动honeypot. 使用浏览器访问192.168.1.130 观察浏览器与honeypot窗口两边的显示结果。

2.5 仿照2.2创建一个伪造Linux系统（使用另一个网络地址），并且设置端口22开放，并使用script文件夹中的ssh.sh 脚本模拟服务器的交互。
create linux
set linux personality “Linux 2.4.20”
set linux default tcp action reset
set linux default udp action reset
add linux tcp port 22 “sh /root/honeyd/honeyd-1.5c/scripts/ssh.sh”
bind 192.168.1.230 linux

2.6 使用nmap 扫描windows与 linux 两台honeypot, 观察扫描结果与honeypot显示结果。与PentBox 中的honeypot 差别大吗？ 哪个更好一些？