本篇内容介绍了“简易PC蜜罐的作用是什么”的有关知识，在实际案例的操作过程中，不少人都会遇到这样的困境，接下来就让小编带领大家学习一下如何处理这些情况吧！希望大家仔细阅读，能够学有所成！
专业成都网站建设公司，做排名好的好网站，排在同行前面，为您带来客户和效益!创新互联为您提供成都网站建设，五站合一网站设计制作，服务好的网站设计公司，网站设计制作、成都做网站负责任的成都网站制作公司!
一般是直接放入恶意程序，点击运行的，所以PC蜜罐需要起到的作用：
1. 查看攻击者的操作行为，比如是否上传一些扫描工具、漏洞利用工具，进行攻击者画像。
2. 获取攻击者的基础攻击设施，例如域名、远控IP，再通过现有的能力来排查是否有其他主机被入侵。
3. 尝试诱导攻击者下载运行安装了后门的恶意程序，进行最直接的钓鱼反制。
4. 诱导攻击者对服务器蜜罐进行攻击。
5. 蜜罐本身需要有足够的安全性，不至于成为突破口。
一般来说，红队进行钓鱼，获取办公网节点后，一般会做哪些动作？
1. 后渗透信息收集，获取PC上的敏感信息，例如：
IT资产信息
通讯录（邮箱）
凭据信息（代码、浏览器、WiFi以及其他应用Navicat、SSH、RDP等）
历史命令
路由信息、网络拓扑图、域信息
2. 以此PC作为跳板，进行横向移动。
内网代理、端口转发
维持权限、植入后门
域渗透、提权等
既然是为了进行反制，那么就可以投其所好，可以准备一些伪造的东西。
以开发中招为例：
浏览记录：伪造一份浏览记录。
聊天工具：微信、QQ，可以买个没用的测试号。
运维工具：Navicat、Xshell，里面放置一些假的连接记录。
办公软件：云盘、Office、PDF、谷歌浏览器、IDEA
当然，可以放一些装了后门的安装包（VPN、安装包）作为诱饵使用，诱骗攻击者进行点击，便于反制。
比如，装了后门的可执行程序或者安装包 （像VPN这些还可以附上安装说明文档显得更真实）：
VPN客户端.msi，后门程序本身做好免杀，拿破轮胎等工具进行dll注入，使用NSIS打包成setup.exe。
批量运维工具.exe，打包一个恶意的程序。
0day漏洞检查工具.exe，同上
密码管理器.exe，或使用 MSI wrapper打包成msi程序。
堡垒机安装包.msi，同上。
或者再来点：
某某领导贪污证据.zip（内含 财务流水记录.xlsx.一堆空格.exe）
IT运维表.rar，内容同上
HW培训.rar，有office 0day/1day 的话，可以用一些。
某某系统代码一套，放置后门。 如果攻击者下载过去本地运行调试的话，就有机会植入。
还有一些虚假的SSH、RDP、FTP、WEB账户密码，诱骗攻击者，还可以和WEB蜜罐进行联动。
当然除了这些，我们还需要得知攻击者实际拿到了这台服务器权限，会做什么动作？
这里采用了开源的HIDS，wazuh + sysmon，进行基本的行为监测。
准备：
一台远控服务器（ 域前置 + nginx + cs + 机器人上线提醒）
一台Ubuntu 虚拟机，主要安装wazuh， 来监控Win虚拟机行为。
一台Win虚拟机，主要做蜜罐使用，安装sysmon + wazuh agent。
安装包：
sysmon
wazuh agent
wazuh server
具体安装步骤就不写了，这里就列几点实际部署中遇到的注意点：
1. 虚拟机直接显示宿主机信息
为了尽可能的不让攻击者察觉到这是一个虚拟机，因此这里简单的做了下主机信息的修改：
在*.vmx文件中添加一行配置SMBIOS.reflectHost = "TRUE"，这样主机信息会显示的是物理机的信息。
2. 修改虚拟机网段，可以改成10.x.x.x , 同时关闭共享服务。
3. sysmon 安装失败时，如出现”error getting the evt dll (wevtapi.dll)“ 错误，考虑是否缺少安装系统补丁导致。
4. wazuh 在使用docker部署时，最好先修改密码，再进行部署，避免后面修改kibana密码时比较麻烦。
5. wazuh + sysmon联动， 参考 https://www.jianshu.com/p/9e07f638dbd9 ，不过需要注意的是，wazuh每个版本的匹配规则都有点不一样
6. 部署时如果Ubuntu服务端启用ufw做端口访问限制，由于ufw和docker机制的问题， 则需要修改ufw默认配置
7. 蜜罐不要联入公司网络，这样即使被逃逸也没事。
蜜罐搭建的截图：
HIDS告警信息截图：
攻击者如果中招， 则Cobalt Strike 会上线，相关截图：
“简易PC蜜罐的作用是什么”的内容就介绍到这里了，感谢大家的阅读。如果想了解更多行业相关的知识可以关注创新互联网站，小编将为大家输出更多高质量的实用文章！
重庆分公司
重庆分公司
