[006]接触honeyd——4.6.2学习笔记

写学习笔记，顺便翻译。

 

4.6.2将honeyd整合到实际网络中

   在很多状况下，要想访问honeyd的网络是不容易的。因为我们需要使用honeyd在实际网络中创建虚拟蜜罐。我们希望网络的实际机器与honeyd的虚拟蜜罐能和谐共处，也就是honeyd最好不要打扰实际网络的流量。我们可以通过创建一个不相应任何网络通讯的默认的模板。为了避免复杂的arp代理配置，我们决定使用honeyd的内部以太网功能。通过把一个以太网地址分配给一个模板，honeyd可以自动对发往该地址的arp请求相应。我们仍然需要知道那个ip地址没有被使用如此便可以选择一个空闲的了。但是，在没有对整个网络的管理员控制权限的情况下，给honeyd分配静态地址是不现实的。

    幸运的是，我们可以使用dhcp命令来是获取动态ip地址；语法在4.5.4节中已经介绍了。使用dhcp分配地址，就不会有无用已经使用的ip地址的情况了。图4.10是一个为一个虚拟蜜罐分配动态地址的例子。

create default
set default default tcp action block
set default default udp action block
set default default icmp action block

create linux
set linux personality "Linux 2.4.2"
set linux ethernet "dell"
set linux default tcp action reset
add linux tcp port 80 "script/web.sh"

dhcp linux on eth0

Figure4.10

    {我将上述配置写好，存为config03，然后运行

[X]#honeyd -d -f config03

     报错：

honeyd[30679]: Listening promiscuously on eth0: (arp or ip proto 47 or (udp and src port 67 and dst port 68)or (ip)) and not ether src 00:05:5d:e8:ed:aa /xx/xxx/xx/config03:7:Unknown personality "Linux 2.4.2"

    personality "linux 2.4.2"存放在哪里呢？honeyd是如何访问的呢？貌似书的前面有讲，当时读着比较抽象没有读懂！

}

{这一小节只剩一点点儿了，先学完吧}

    使用Honeyd的dhcp功能可能是运行一个虚拟蜜罐的最简单的方法了。这个方法最大的缺陷就是我们永远都没有办法知道该蜜罐的ip地址是多少。尽管DHCP服务器通常是尽量为 同一主机分配同一地址，这个特征需要该主机的MAC地址不变。虚拟蜜罐的MAC地址往往不随着honeyd的重启而改变，因此该蜜罐获得相通的ip的可能性是很大的。很多DHCP服务器支持在MAC地址已知的情况下分配固定的ip地址的功能。

    运行结果应该是：

   

honeyd[12915]: [fxp0] trying DHCP
honeyd[12915]: [fxp0] got DHCP offer: 192.168.1.38
honeyd[12915]: Updating ARP binding: 00:10:11:b1:b1:97 -> 192.168.1.38

honeyd[12915]: [fxp0] trying DHCP
honeyd[12915]: [fxp0] got DHCP offer: 192.168.1.38
honeyd[12915]: Updating ARP binding: 00:10:11:b1:b1:97 -> 192.168.1.38

 

dhcp命令可以重复多次创建多个蜜罐。尽管Honeyd内部限制65，535个dhcp主机，但是基本上正常使用的话是不会达到这个上限的，大多数DHCP服务器不能处理这么多契约的。在做下一步实验前，一定要保证为其他正常用户留下可用的ip地址