文/诸葛建伟 魏克

在CERNET实际部署Kippo 蜜罐

文/诸葛建伟 魏克

COST论坛由CCERT、《中国教育网络》杂志于2008年共同发起，采取会员制，面向个人，完全免费，以开放、平等、自由的互联网精神运作。如需获取COST技术论坛视频、录音等资料，请登录：http://www.cost.edu.cn/。

我们在中国教育和科研计算机网中实际部署了Kippo蜜罐，本文结合我们的实际安装部署过程，以及对捕获数据的分析，介绍Kippo蜜罐的使用方法及其强大威力，同时也对目前互联网上流行的SSH弱口令爆破攻击的特性，以及控制SSH服务器后进一步攻击的行为进行分析。最后，我们也将给出如何安全配置SSH服务的最佳实践建议。

Kippo SSH蜜罐的安装和使用

Kippo的安装和使用都非常简单，由于是完全基于Python实现的，Kippo目前支持各种Linux/Unix操作系统发行版（如Debian、CentOS、Ubuntu、FreeBSD等），也支持在Windows上进行部署。Kippo主要依赖的软件包有Python2.5+、Twisted 8.0+、PyCrypto和Zope Interface。

在Ubuntu上通过运行如下命令，就可以直接通过Kippo源码包目录中的start.sh来启动Kippo。

在Windows 7上，首先安装如下软件后，通过C:Python26scripts wistd.py -y kippo.tac就可以启动 Kippo。

在缺省配置下，Kippo是在2222端口上来模拟SSH服务，这是为了确保主机的安全，Kippo不允许以root权限运行，而监听1024以下的22端口则需要root权限，为了使得Kippo能够监听在ssh标准的端口22上，我们可以利用端口重定向技术或authbind工具。

端口重定向可利用IPTables，通过执行“iptables -t nat-A PREROUTING -i IN_IFACE -p tcp --dport 22 -j REDIRECT --to-port 2222”，能够将TCP 22端口的流量重定向至Kippo监听的2222端口。利用authbind可以直接让Kippo绑定在22端口上，省去重定向过程，因此我们推荐这种方法，具体步骤为：

在启动Kippo之后，你可以使用SSH客户端连接到蜜罐主机的Kippo端口，以缺省的root/123456用户名和口令登录后，你就可以测试Kippo了。……