很多站长朋友们都不太清楚php做蜜罐系统，今天小编就来给大家整理php做蜜罐系统，希望对各位有所帮助，具体内容如下：
本文目录一览： 1、 威胁情报小知识——蜜罐 2、 蜜罐技术的简介 3、 如何搭建蜜罐 威胁情报小知识——蜜罐蜜罐， 是指被当做入侵诱饵，引诱黑客前来攻击，以收集相关证据和信息的软件系统。依照蜜网项目组的定义，蜜罐是一种安全资源，其价值在于被探测、被攻击或被攻陷。
蜜罐的应用思路，是设计一个诱饵系统，由于没有业务上的实际用途，因此，所有流入/流出这个系统的流量，以及在诱饵系统上的所有操作，都直接反映了相关攻击者的扫描、入侵和攻击行为。
依照部署目标区分，蜜罐可分为产品型和研究性，依照交互性区分，可分为高交互型和低交互型。一般来说，高交互型蜜罐提供真实的操作系统和服务，以增加欺骗性，并可捕获更丰富的信息，但部署难度较大。而低交互型蜜罐大多是对服务和操作系统进行模拟，欺骗性较差，只能抓住一些基于低技术门槛工具的大规模扫描和攻击行为。此外根据蜜罐的部署位置，还可分为互联网蜜罐和内网蜜罐。从价值而言，互联网蜜罐主要针对大规模网络扫描，批量漏洞利用，自动化工具/脚本攻击等攻击行为。而内网蜜罐则是在假定已经被入侵到内网的条件下，在内网关键区域部署，以发现和监视内网扫描、横向移动等内网入侵行为。
蜜罐是情报厂商收集安全数据的重要途径之一。
蜜罐技术的简介首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值;而后者，根本就是送给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是:“蜜罐是一个安全资源，它的价值在于被探测、攻击和损害。”
设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能:发现攻击、产生警告、强大的记录能力、欺骗、协助调查。另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。 蜜罐是用来给黑客入侵的，它必须提供一定的漏洞，但是我们也知道，很多漏洞都属于“高危”级别，稍有不慎就会导致系统被渗透，一旦蜜罐被破坏，入侵者要做的事情是管理员无法预料的，例如，一个入侵者成功进入了一台蜜罐，并且用它做“跳板”(指入侵者远程控制一台或多台被入侵的计算机对别的计算机进行入侵行为)去攻击别人，那么这个损失由谁来负责?设置一台蜜罐必须面对三个问题:设陷技术、隐私、责任。
设陷技术关系到设置这台蜜罐的管理员的技术，一台设置不周全或者隐蔽性不够的蜜罐会被入侵者轻易识破或者破坏，由此导致的后果将十分严重。
由于蜜罐属于记录设备，所以它有可能会牵涉到隐私权问题，如果一个企业的管理员恶意设计一台蜜罐用于收集公司员工的活动数据，或者偷偷拦截记录公司网络通讯信息，这样的蜜罐就已经涉及法律问题了。
对于管理员而言，最倒霉的事情就是蜜罐被入侵者成功破坏了。有人也许会认为，既然蜜罐是故意设计来“牺牲”的，那么它被破坏当然合情合理，用不着小题大做吧。对，蜜罐的确是用来“受虐”的，但是它同时也是一台连接网络的计算机，如果你做的一台蜜罐被入侵者攻破并“借”来对某大学服务器进行攻击，因此引发的损失恐怕只能由你来承担了。还有一些责任是谁也说不清的，例如，你做的一台蜜罐不幸引来了Slammer、Sasser、Blaster等大名鼎鼎的“爬虫类”病毒而成了传播源之一，那么这个责任谁来负担? 世界上不会有非常全面的事物，蜜罐也一样。根据管理员的需要，蜜罐的系统和漏洞设置要求也不尽相同，蜜罐是有针对性的，而不是盲目设置来无聊的，因此，就产生了多种多样的蜜罐……
3.1.实系统蜜罐
实系统蜜罐是最真实的蜜罐，它运行着真实的系统，并且带着真实可入侵的漏洞，属于最危险的漏洞，但是它记录下的入侵信息往往是最真实的。这种蜜罐安装的系统一般都是最初的，没有任何SP补丁，或者打了低版本SP补丁，根据管理员需要，也可能补上了一些漏洞，只要值得研究的漏洞还存在即可。然后把蜜罐连接上网络，根据目前的网络扫描频繁度来看，这样的蜜罐很快就能吸引到目标并接受攻击，系统运行着的记录程序会记下入侵者的一举一动，但同时它也是最危险的，因为入侵者每一个入侵都会引起系统真实的反应，例如被溢出、渗透、夺取权限等。
3.2.伪系统蜜罐
什么叫伪系统呢?不要误解成“假的系统”，它也是建立在真实系统基础上的，但是它最大的特点就是“平台与漏洞非对称性”。
大家应该都知道，世界上操作系统不是只有Windows一家而已，在这个领域，还有Linux、Unix、OS2、BeOS等，它们的核心不同，因此会产生的漏洞缺陷也就不尽相同，简单的说，就是很少有能同时攻击几种系统的漏洞代码，也许你用LSASS溢出漏洞能拿到Windows的权限，但是用同样的手法去溢出Linux只能徒劳。根据这种特性，就产生了“伪系统蜜罐”，它利用一些工具程序强大的模仿能力，伪造出不属于自己平台的“漏洞”，入侵这样的“漏洞”，只能是在一个程序框架里打转，即使成功“渗透”，也仍然是程序制造的梦境——系统本来就没有让这种漏洞成立的条件，谈何“渗透”?实现一个“伪系统”并不困难，Windows平台下的一些虚拟机程序、Linux自身的脚本功能加上第三方工具就能轻松实现，甚至在Linux/Unix下还能实时由管理员产生一些根本不存在的“漏洞”，让入侵者自以为得逞的在里面瞎忙。实现跟踪记录也很容易，只要在后台开着相应的记录程序即可。
这种蜜罐的好处在于，它可以最大程度防止被入侵者破坏，也能模拟不存在的漏洞，甚至可以让一些Windows蠕虫攻击Linux——只要你模拟出符合条件的Windows特征!但是它也存在坏处，因为一个聪明的入侵者只要经过几个回合就会识破伪装，另者，编写脚本不是很简便的事情，除非那个管理员很有耐心或者十分悠闲。 既然蜜罐不是随随便便做来玩的，管理员自然就不会做个蜜罐然后让它赋闲在家，那么蜜罐做来到底怎么用呢?
4.1.迷惑入侵者，保护服务器
一般的客户/服务器模式里，浏览者是直接与网站服务器连接的，换句话说，整个网站服务器都暴露在入侵者面前，如果服务器安全措施不够，那么整个网站数据都有可能被入侵者轻易毁灭。但是如果在客户/服务器模式里嵌入蜜罐，让蜜罐作为服务器角色，真正的网站服务器作为一个内部网络在蜜罐上做网络端口映射，这样可以把网站的安全系数提高，入侵者即使渗透了位于外部的“服务器”，他也得不到任何有价值的资料，因为他入侵的是蜜罐而已。虽然入侵者可以在蜜罐的基础上跳进内部网络，但那要比直接攻下一台外部服务器复杂得多，许多水平不足的入侵者只能望而却步。蜜罐也许会被破坏，可是不要忘记了，蜜罐本来就是被破坏的角色。
在这种用途上，蜜罐不能再设计得漏洞百出了。蜜罐既然成了内部服务器的保护层，就必须要求它自身足够坚固，否则，整个网站都要拱手送人了。
4.2.抵御入侵者，加固服务器
入侵与防范一直都是热点问题，而在其间插入一个蜜罐环节将会使防范变得有趣，这台蜜罐被设置得与内部网络服务器一样，当一个入侵者费尽力气入侵了这台蜜罐的时候，管理员已经收集到足够的攻击数据来加固真实的服务器。
采用这个策略去布置蜜罐，需要管理员配合监视，否则入侵者攻破了第一台，就有第二台接着承受攻击了……
4.3.诱捕网络罪犯
这是一个相当有趣的应用，当管理员发现一个普通的客户/服务器模式网站服务器已经牺牲成肉鸡的时候，如果技术能力允许，管理员会迅速修复服务器。那么下次呢?既然入侵者已经确信自己把该服务器做成了肉鸡，他下次必然还会来查看战果，难道就这样任由他放肆?一些企业的管理员不会罢休，他们会设置一个蜜罐模拟出已经被入侵的状态，做起了姜太公。同样，一些企业为了查找恶意入侵者，也会故意设置一些有不明显漏洞的蜜罐，让入侵者在不起疑心的情况下乖乖被记录下一切行动证据，有些人把此戏称为“监狱机”，通过与电信局的配合，可以轻易揪出IP源头的那双黑手。
如何搭建蜜罐搭建一个基于Unix系统的蜜罐网络相对说来需要比较多系统维护和网络安全知识的基础，但是做一个windows系统的蜜罐的门槛就比较低，今天我们就一起尝试搭建一个windows下的蜜罐系统。由于win和Unix系统不一样，我们很难使用有效的工具来完整的追踪入侵者的行为，因为win下有各式各样的远程管理软件(VNC,remote-anything)，而对于这些软件，大部分杀毒软件是不查杀他们的，而我们也没有象LIDS那样强大的工具来控制Administrator的权限，相对而言，蜜罐的风险稍微大了点，而且需要花更加多的时间和精力。先介绍一下我们需要的软件vpc Virtual pc，他是一个虚拟操作系统的软件，当然你也可以选择vmware. ActivePerl-5.8.0.805-MSWin32-x86.msi windows下的perl解析器 evtsys_exe.zip 一个把系统日志发送到log服务器的程序 comlog101.zip 一个用perl写的偷偷记录cmd.exe的程序，不会在进程列表中显示，因为入侵者运行的的确是cmd.exe :) Kiwi_Syslog_Daemon_7 一个很专业的日志服务器软件 norton antivirus enterprise client 我最喜欢的杀毒软件，支持win2k server。当然，如果你觉得其他的更加适合你，你有权选择 ethereal-setup-0.9.8.exe Ethereal的windows版本，Ethereal是*nix下一个很出名的sniffer，当然，如果你已经在你的honeynet中布置好了 sniffer,这个大可不必了，但是本文主要还是针对Dvldr 蠕虫的，而且ethereal的decode功能很强，用他来获取irc MSG很不错的 WinPcap_3_0_beta.exe ethereal需要他的支持。 md5sum.exe windows下用来进行md5sum校验的工具 windows 2000 professional的ISO镜象 用vpc虚拟操作系统的时候需要用到他 Dvldr蠕虫简介他是一个利用windows 2000/NT弱口令的蠕虫。该蠕虫用所带的字典暴力破解随机生成的ip的机器，如果成功，则感染机器，并植入VNC修改版本，并向一个irc列表汇报已经感染主机的信息，同时继续向其他机器感染。可以访问郑州大学网络安全园或者关于他更详细的信息。一：安装一个win2k pro，具体的安装方法本文就省略了，打上所有的补丁，只留一个漏洞，就是dvldr蠕虫需要的administrator的空密码。二：安装norton antivirus enterprise client，升级到最新的病毒库，并启动实时监控三：用cmdlog替换cmd.exe程序,把comlog101.zip解压缩后有五个文件cmd.exe,cmd101.pl,COMLOG.txt,MD5.txt,README.txt,其中cmdlog.txt和readme.txt都是说明文件，md5.txt包含这五个文件的md5校验和的值，我们可以使用md5sum.exe工具来检测一下他们是否遭受修改：D:comlog101>md5sum.exe * md5sum.exe: .: Permission denied md5sum.exe: ..: Permission denied f86ba5ffaa8800a2efa9093d2f11ae6f *cmd.exe 484c4708c17b5a120cb08e40498fea5f *com101.pl 001a6f9ca5f6cf01a23076bad9c6261a *comlog.txt 121bf60bc53999c90c6405440567064b *md5.txt eb574b236133e60c989c6f472f07827b *md5sum.exe 42605ecfa6fe0f446c915a41396a7266 *README.TXT 把这些数字和md5.txt的数字对比，如果出现不一致，就证明程序遭受修改，请勿使用。
关于php做蜜罐系统的介绍到此就结束了，不知道本篇文章是否对您有帮助呢？如果你还想了解更多此类信息，记得收藏关注本站，我们会不定期更新哦。
查看更多关于php做蜜罐系统 蜜罐技术的配置模式的详细内容...