Raspberry Pi Folge 4: Konfiguration Fokus Cowrie/Honeypot

Moin,

wieder aus dem Urlaub zurück - meine Frau @thegermangirl schreibt da gerade die letzten Berichte und ich kümmere mich jetzt wieder um den technischen Kram.

In den letzten beiden Folgen ging es ja um Installation und erster Betrieb (also bis zum einloggen). Heute um ein paar weitere Konfiguationen.

Abschalten

Vorweg aber mal: Der Raspi hat ja keinen Ausschalter, aber bitte wenn möglich nicht kalten Entzug sondern immer schön mit shutdown runterfahren. Meist passiert nix, aber es könnte durchaus mal die SD Karte hopps gehen.

Passwort wechsel via GUI

Das scheint nicht per remote desktop zu funktionieren (vermute Display Umlenkungsproblem) - bleibt einem in der RDP session eben die shell.

WLAN

Erste Konfig für mich, da ich WLAN nicht brauche: Abschalten desselben.
Um WIFI komplett zu deaktivieren füge folgende Zeile

dtoverlay=pi3-disable-wifi

in der Datei "/boot/config.txt" hinzu. Beim nächsten Start sollte dann kein WLAN interface mehr sichtbar sein wenn man ifconfig auf der shell aufruft.

Cowrie oder Honigtopf

Das folgende basiert auf den Videos von @sempervideo - also quasi Video -> Text conversion :)
Ich habe mir die BEfehlen wärend der Ausführung in ein Textpad kopiert - ich hoffe das hier nichts verloren gegangen ist. Falls doch bitte in den Kommentaren vermerken damit ich das korrigieren kann.

Installation


sudo apt-get install git python-virtualenv libssl-dev libffi-dev build-essential libpython-dev python2.7-minimal authbind virtualenv -y
sudo adduser --disabled-password cowrie
sudo su - cowrie
git clone http://github.com/micheloosterhof/cowrie


Anmerkung: Mitten drin wechselt man also von root zu user cowrie (sieht man auch im prompt).
Nun ist erstmal die Software da (Anmerkung der erste Befehl endet mit -y), weiter geht es nun mit


cd cowrie
pwd
virtualenv cowrie-env
source cowrie-env/bin/activate
pip install --upgrade pip


Der nächste Befehl dauert dann wieder ein wenig:

pip install --upgrade -r requirements.txt


Konfiguration

Die Konfig vervollständigen (siehe dazu Video) indem wir uns and der Oberfläche einen Filemnager mit root Rechten starten. Dazu gksudo via Aplication run starten. Dann pcmanfm starten (via der Eingabebox) und es öffnet sich der Filemanager mit Root rechten.

In das cowrie Verzeichnis wechseln und dort die Datei cowrie.cfg.dist in cowrie.cfg umbenennen, damit diese beim nächsten Start verwendet wird. Nun z.B. den hostnamen ändern, damit nicht der Standardname srv04 verwendet wird.

Ich hab den Server einfach mal Webserver genannt

Dann kann man noch mit den Daten herumspielen. Ihr solltet auf jeden Fall den usernamen und Verzeichnis von richard in "euren user" ändern. Dazu dient im wesentlichen die Datei "fs.pickle" im Verzeichnis cowrie/data. Hier kann man z.B. das Userverzeichnis richard ändern.

Mein Userverzeichnis ist nun endurance

Den Usernamen dann noch in der Datei userdb.txt im selben Verzeichnis anpassen. In der userdb.txt stehen auch die akzeptierten root passwörter oder eben die nicht akzeptierten. Danach noch ins Verzeichnis "honeyfs/etc" und dort die paswd datei editiert (den User richard zu was immer Ihr gewählt habt). In der Datei group auch richard ersetzen. Und nochmals dasselber in der shadow datei.

UserDB anpassen

passwd anpassen

group anpassen

shadow anpassen

Sodele im Verzeichnis honeyfs könnt Ihr dann noch ein paar interessante Dateien ablegen - also für einen Angreifer anlockende... Dazu also User cowrie in das verzeichnis honeyfs wechseln, das Homeverzeichnis für den User anlegen und dort ein paar Lockdateien plazieren.

Ich habe kurz eine Datei mypasswords.txt angelegt (meinen Fehler das im falschen Verzeichnis zu tun bitte nicht nachmachen)

Jetzt noch die Dateien, die man erstellt hat freischalten, damit sie der Hongitopf auch anzeigt. Dies geschieht mit Befehl "bin/fsctl data/fs.pickle" aus dem cowrie verzeichnis heraus.

Mit touch die Dateien hinzufügen (wie sie im Cowrie nachher für den Angreifen sichtbar wären)

wieder in der Shell von cowrie - den konfigurierten Honigtopf dann starten

bin/cowrie start


Starten des Cowries

Jetzt ist der Raspi bzw der Honigtopf von außen unter dem Port 2222 erreichbar mit z.B. root/password. Leitet man nun also alle Port 22 (SSH) Anfragen vom Router weiter landen die Leuts in dem Honigtopf.

So sieht das dann aus wenn man sich als root eingelogt hat und das Homeverzeichnis des User endurance anschaut. Anmerkung ich habe noch eine Datei vault.txt hinzugefügt.

unter "/home/cowrie" auf dem Pi findet man ein paar Interessane Verzeichniss wie z.B.

• dl - für alle downloads die der Angreifer abgelegt hat
• log - alle Aktivitäten der Angreifer

Noch zu erledigen:

• Kickout für die Angreifer verlängern (momentan ca. 180s)
• Automatischer start bei Raspistart
• Fehler in der Dateigrößenanzeige? leere Dateien mit 4096 Bytes?

Ach ja hier noch ein paar links:

• Original Installationsanleitung
• Noch eine Anleitung

Jetzt kommt er mal in die DMZ, mal schauen was sich dort tut.