Centos7部署开源SSH蜜罐cowrie

Cowrie 是Python3编写的中高交互的 SSH 和 Telnet 开源蜜罐，旨在记录暴力攻击和攻击者执行的 shell 交互。
- 在中等交互模式（shell）中，它模拟 Python 中的 UNIX 系统，在高交互模式（代理）中，它充当 SSH 和 telnet 代理，以观察攻击者对另一个系统的行为。

```bash
#创建一个cowrie用户用于运行cowrie，不直接用root运行，这样比较安全
useradd cowrie
su - cowrie
git clone http://github.com/cowrie/cowrie
cd cowrie

cd /home/cowrie/cowrie
#新建一个名为cowrie-env的虚拟环境
python3 -m venv cowrie-env

#激活这个虚拟环境
source ./cowrie-env/bin/activate

pip install --upgrade -r requirements.txt

#我们使用默认自带的配置文件，默认监听模拟SSH端口是 2222，
#这里如果要改成22的话还需要额外的工作，因为运行在沙盒里面，监听22端口需要提权，这里有点麻烦，
#我们就使用默认的2222端口，等下用iptable的端口转发来把22端口转发到2222去，这样比较简单。

```

### 设置配置文件

创建一个模拟SSH root账号文件，把自己怀疑泄密的root密码写上去，只有这些root密码才能登录上我们的SSH蜜罐
`vim etc/userdb.txt`
```bash
root:x:怀疑泄露密码1
root:x:怀疑泄露密码2
admin:x:怀疑泄露密码3
```

### 流量放通和端口转发
```bash
#放通端口
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
#将访问服务器22端口的请求做端口转发，转发到蜜罐的端口中
iptables -t nat -A PREROUTING -p tcp --dport 22 -j REDIRECT --to-port 2222

```

### 开启服务
```bash
bin/cowrie start
bin/cowrie stop
bin/cowrie status

```

### 日志查看
```bash
#默认日志位置
cat ./var/log/cowrie/cowrie.json
#登录失败
cat ./var/log/cowrie/cowrie.json | grep cowrie.login.failed
#登录成功
cat ./var/log/cowrie/cowrie.json | grep cowrie.login.success

登陆蜜罐后.命令.输入
cat ./var/log/cowrie/cowrie.json | grep cowrie.command.input
```

官方文档 https://cowrie.readthedocs.io/en/latest/OUTPUT.html

开源地址
https://github.com/cowrie/cowrie