内容提要：曾经饱受木马、后门（以下统称后门）侵害的人们都不会忘记机器被破坏后的惨象，于是人们展开了积极的防御工作，从补丁到防火墙，恨不得连网线都加个验证器，在多种多样的防御手法夹攻下，一大批后门倒下了，菜鸟们也 …… |
3.2 蜜罐与蠕虫的潜伏
蜜罐技术对于对付是非常有用的，特别是扑获和分析它们。为了扑获到一个蠕虫，你可以让一台主机感染上，至少让蠕虫认为已感染上了，在前一章了，我们看到我们能用蜜罐来转向这些攻击的流量。
蜜罐也被称为“傀儡主机”（一个正常的没有打最新补丁的漏洞主机，有被入侵的可能性）。或者模拟一个服务，注意要让她们在你的控制下不能在反弹感染其他的主机。如想获得更多的信息，请参考Honeynet Project.的建议。
3.2.1 受害主机
使用一个受害主机,安装着原始的操作系统和一些适当的服务,也可以通过VMWare来安装许多个操作系统,来迷惑蠕虫的攻击.
为了扑获蠕虫,受害主机等待被感染,以至于监视网络上的流量并发现蠕虫.
3.2.2 虚拟的主机和服务
模拟这个虚拟的主机和服务，honeypot 通过伪造的服务能让远程的蠕虫进行接触。完成这种的程序叫做蜜罐
为了描述这个方法，这里有一种方法来欺骗冲击波蠕虫的，它会欺骗冲击波蠕虫认为对方的Windows 主机开放着135端口，并运行着RPC DCOM 服务。
这个简单的配置通常能成功地发现在因特网上的冲击波蠕虫。
create default set default personality "Windows XP Pro"
add default tcp port 135 open
add default tcp port 4444 "/bin/sh scripts/WormCatcher.sh $ipsrc $ipdst"
set default tcp action block
set default udp action block
这里有一个在Honeyd 发布的对每一个请求4444端口脚本程序。
!#/bin/sh
# Creation of a directory for every contaminated host
# attacking the honeypot, in order to archive different binaries
mkdir /tmp/$1-$2
# Download of the worm through TFTP in this directory
# (specific behaviour for MSBlast)
cd /tmp/$1-$2/
tftp $1 <<EOF
get msblast.exe
quit
EOF
通过这种简单的配置，我们能在没有操作系统中发现冲击波蠕虫的攻击。这项技术所以很实用.
3.3 蜜罐与蠕虫的传播
3.3.1 对蠕虫请求的回应
当一个蠕虫想传播是,会随机攻击一些IP.在这些目标列表中,一些IP可能没有被用.但其他的IP就会遭到蠕虫的攻击,如果一些IP对蠕虫的攻击没有相应的话,它们就会跳过这些IP攻击其他的IP.
当一个蠕虫攻击一个不存在的主机时,蜜罐就会伪装信息让蠕虫攻击它.
比如,冲击波会随机选择攻击开了135端口的主机.对没有用的IP,我们可以设置蜜罐来诱扑冲击波蠕虫.要用到叫做arpd的demon.具体配置如下:
create default
set default personality "Windows XP Pro"
add default tcp port 135 open
set default tcp action block
set default udp action block
有了这个配置,冲击波蠕虫就会对不存在运行着蜜罐的IP进行攻击,蠕虫会以为对方开着135端口的漏洞主机.通过这门技术,冲击波蠕虫就会被伪造的信息欺骗,达到拖延时间,进而通知管理员,采取措施,对进程中的程序进行清理.避免遭到冲击波的控制.
如果一个新的蠕