草船借箭：通过ssh蜜罐来获取常用密码本

很早之前就看过类似的方法：由于具有公网 IP 的云服务器几乎每一刻都会有人尝试登录，将 TCP/22 端口背后的 SSH 服务端替换为 SSH 蜜罐，记录所有登录尝试，就可以收集大量的用户名和密码。前两天在知乎看到一个实操：https://zhuanlan.zhihu.com/p/659197095 效仿了一下，效果不错，于是记录一下操作过程。

本文使用的操作系统是 Ubuntu 22.04，云服务器供应商是微软 Azure。

迁移默认 sshd 监听端口

SSH 协议的端口是 TCP/22，因为扫描都是走默认端口的，所以我们必须把原有的 sshd 服务换到别的端口。

编辑 /etc/ssh/sshd_config 文件，找到 Port 22 这一行，默认情况下它可能是被注释的。取消注释，将 22 改成其他端口。1024-65535 均可，改之前最好搜索一下，确保端口不是常用的。

然后在云服务器控制台的安全组（或者防火墙，或者其他类似的地方）放通你刚刚修改的端口，规则是 TCP 入站。注意不要删掉 SSH 默认的 22 端口，稍后会用到。

重启服务器，尝试使用 SSH 连接服务器，注意使用新端口，确保能够正常建立连接。

安装 fakessh 服务

https://github.com/fffaraz/fakessh

这是一个用 Go 写的 SSH 蜜罐程序，能够记录所有的 SSH 登录尝试，并记录到日志文件。作者提供了两种安装方法：Go 和 Docker。我不会用 Docker，恰好服务器上也安装有 Go 工具链，所以用 Go 安装。

安装服务：

go install github.com/fffaraz/fakessh@latest

编译好的 fakessh 可执行文件位于 ~/go/bin/ 中。

然后执行

sudo setcap 'cap_net_bind_service=+ep' ~/go/bin/fakessh

然后使用 screen 或者 tmux 这样的终端复用工具开一个新的 session，在里面运行 fakessh：

~/go/bin/fakessh .

传入的参数是一个目录，指示 fakessh 将日志文件输出到何处。此处指定为当前目录。

于是这个蜜罐就在 TCP/22 端口上跑起来了。

登录日志的解析

fakessh 程序产生的日志以 .log 作为后缀名，每次运行生成一个新文件。其中的内容大致是这样：

2024/06/17 09:55:45.473027 185.191.79.16:11216
2024/06/17 09:55:46.210441 185.191.79.16:11216 SSH-2.0-Go root Ab123456
2024/06/17 10:04:53.554819 194.169.175.35:63966
2024/06/17 10:04:55.812057 194.169.175.35:63966 SSH-2.0-libssh_0.10.5 sshd admin
2024/06/17 10:08:47.796645 167.94.146.56:59164
2024/06/17 10:09:14.218134 85.209.11.227:21208
2024/06/17 10:09:15.381395 85.209.11.227:21208 SSH-2.0-Go root broadguam1
2024/06/17 10:12:20.369670 185.191.79.16:6452
2024/06/17 10:12:21.095747 185.191.79.16:6452 SSH-2.0-Go root !QAZ2wsx
2024/06/17 10:14:08.683929 34.70.10.201:48278
2024/06/17 10:19:09.792239 170.187.181.93:44270
2024/06/17 10:19:10.629006 170.187.181.93:44270 SSH-2.0-libssh_0.9.6 ercico ercico
2024/06/17 10:20:03.410491 43.153.100.227:50694
2024/06/17 10:20:04.028143 43.153.100.227:50694 SSH-2.0-libssh_0.9.6 swlivart swlivart
2024/06/17 10:20:12.920081 43.134.104.206:40570
2024/06/17 10:20:13.362721 43.134.104.206:40570 SSH-2.0-libssh_0.9.6 liangdw liangdw
2024/06/17 10:20:33.221698 183.131.84.38:52628
2024/06/17 10:20:33.602245 183.131.84.38:52628 SSH-2.0-libssh_0.9.6 yanpeimin yanpeimin

可以看到用户名和密码已经记录下来了。之后我们可以使用一些简单的工具来提取用户名和密码。我这里直接让 LLM 写了一段 Python，简单改改得到：

import re
from glob import glob


input_file_paths = glob('fakessh-*.log')

pair_file_path = 'pair.txt'
account_file_path = 'account.txt'
password_file_path = 'password.txt'

string_pairs = []
account = []
password = []

pattern = re.compile(r'SSH-2\.0-\S+ (\S+) (\S+)')

for input_file_path in input_file_paths:
    with open(input_file_path, 'r') as input_file:
        for line in input_file:
            match = pattern.search(line)
            if match:
                string1, string2 = match.groups()
                string_pairs.append((string1, string2))
                account.append(string1)
                password.append(string2)

# 去除重复并按字典顺序排序
unique_sorted_pairs = sorted(set(string_pairs))
unique_sorted_account = sorted(set(account))
unique_sorted_password = sorted(set(password))

with open(pair_file_path, 'w') as output_file:
    for pair in unique_sorted_pairs:
        output_file.write(f"{pair[0]} {pair[1]}\n")
with open(account_file_path, 'w') as output_file:
    for account in unique_sorted_account:
        output_file.write(f"{account}\n")
with open(password_file_path, 'w') as output_file:
    for password in unique_sorted_password:
        output_file.write(f"{password}\n")

运行一下，就可以得到去重并排序后的用户名和密码了。

密码本效果如下：

!
!!^*$%^
!!admaxim!2015
!123$
!123qwe
!123qweasd
!1qazxsw2
!2#4%6&
!@
!@#$%67890
!@#$%^
!@#$%^&*()
!@#$1234
!@#$1234qwer
!@#$Qwer
!@#.abc
!@#123
!@#123.com
!@#123abc
!@#123admin
!@#123qwe
!@#123qweASD

效率

服务器在日本东部，有一个 IPv4 公网地址，挂机大约两天，收集到 7687 个密码。