写了个程序，通过帧听指定端口的方式来监视服务器被扫描的状况

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 2911 天前的主题，其中的信息可能已经有所发展或是发生改变。

本来只是为了学 Golang 而已，不过我的习惯是如果要学一样东西的话必须现学现用，这样才有效，所以就做了这个程序。在我的 VPS 上运行大约占用 12MB 内存吧，正常的话内存占用应该小于 20MB 。

照例这是代码（(FBI)警告：项目仍在开(tian)发(keng)中）：
https://github.com/raincious/trap

现场观看楼主 VPS 被扫惨状：
https://tau37.3ax.org:1739
（密码： realadmin ，别输错了，不然程序会用 iptables Ban 掉 IP ）

另外，如果你也在用 BandwagonHost 的话，可以拿上面的记录比对下你自己 VPS 的扫描记录（比如 ssh 登录尝试之类），如果发现有同样网段的记录，说不定抓到个黑产 dalao ……

希望有用。以上。

VPS

帧听

记录

程序

17 条回复 • 2016-04-30 23:45:09 +08:00

ksupertu

2016-04-30 13:13:22 +08:00 via Android

那么麻烦，装个 ossec 不就行了

GPU

2016-04-30 13:14:30 +08:00

就像蜜罐。

raincious

2016-04-30 13:20:27 +08:00

@ksupertu
因为那个不是自己写的，而且 ossec 没那么直观的 Web 前端

@GPU
其实写这个的一开始的目的只是让服务器拿 iptables 阻止扫描器来扫描我的端口而已，没想着往密罐的方向做。（毕竟没 OSSEC 和 PortSentry 那么专业

GPU

2016-04-30 13:21:24 +08:00

#status-marked-clients .c-info .address .info span.iitem.orgl {
padding: 1px 5px

这个 css 可以改成这样子，否则凡是有 Marked 的都会显示一个滚动栏。

GPU

2016-04-30 13:22:05 +08:00

@raincious 楼主直接拿 ossec 做一个 web 前端也是可以的。

wwek

2016-04-30 13:22:54 +08:00

再发展发展,可以做成蜜罐了,再牛逼点, 安全威胁可视牛逼的不要不要的

raincious

2016-04-30 13:23:19 +08:00

@GPU
但是那样就学不了 Golang 了 :D

GPU

2016-04-30 13:24:04 +08:00

@raincious 刚看了 ossec 已经有一个 php 的 web ui 。

GPU

2016-04-30 13:28:28 +08:00

#status-marked-clients .c-info .address {
height: 65px;
overflow: auto;
border-left: 1px solid #e3e3e3;
padding-left: 30px;
}

不是很懂 css ，不用上面的方法，这样子也可以。

raincious

2016-04-30 13:33:57 +08:00

@GPU
这个我有空再调整吧，和 padding: 2px 5px;有关系，因为 inline 的元素如果有垂直的 padding 超过了上级容器的高度+margin+line-height 之类，是会有滚动条出现的。

然后字体也会有不同的高度。所以在我的设备上没有滚动条，但是在其他设备上就会有。（我还需要更多测试来让这个样式的兼容性更好。

qqmishi

2016-04-30 13:46:08 +08:00 via Android

噗，我应该用 python 写一个复习下计算机网络
话说你可以记录下他们尝试的密码，然后就是一个弱密码库了

raincious

2016-04-30 13:47:08 +08:00

@qqmishi
这主意简直棒极了！:D

DesignerSkyline

2016-04-30 16:05:04 +08:00 via iPad

试试 docker 化的捕蝇器吧
https://www.91ri.org/12248.html

DesignerSkyline

2016-04-30 16:05:24 +08:00 via iPad

另外楼主打算写个部署教程出来吗？

DesignerSkyline

2016-04-30 16:05:36 +08:00 via iPad

@raincious

raincious

2016-04-30 16:19:04 +08:00

@DesignerSkyline
现在还没想好，因为这程序直接运行在 root 下面肯定不安全，但如果不是 root 又不能操作 iptables 。现在再想能不能通过一个临时文件和 fail2ban 进行交互之类。

如果你想获得可执行文件的话，可以安装好 Golang 之后，执行：
go get github.com/raincious/trap/cmd/trap

然后下载并按照你的需要修改这个配置文件：
https://github.com/raincious/trap/blob/dev/config.json.sample

然后运行 ./trap -config <配置文件的位置>

ksupertu

2016-04-30 23:45:09 +08:00 via Android

@raincious ossec 有一个官方的前端和一个业余的非常专业的前端