SuckerPot十二个
四个系列，每个一种颜色。
安装程序默认启用六个；--sensors all 启用全部十二个。在仪表盘中，名称和图标用来区分它们，因此颜色从不单独承担信息。
- 远程 Shell
- Web 与 API
- 数据库
- Windows 与 VoIP
端口
服务
外观类似
22SSHUbuntu 上的 OpenSSH 9.6，带有伪造的 Shell
23TelnetBusyBox 路由器登录界面
5555ADB无需认证的 Android 电视盒
80Web带未修补 PHP 的 Apache、WordPress、phpMyAdmin
2375Docker暴露的 Docker Engine API
5000Synology运行未修补 DSM 的 NAS
6379Redis无密码的 Redis 7.2
3306MySQL弱登录的 MySQL 8.0
1433MSSQL弱登录的 SQL Server
3389RDP启用 NLA 的 Windows Server
445SMBWindows 文件服务
5060SIPAsterisk 风格的电话系统
为敌对流量而设计
每个传感器都遵守的规则。
由测试强制执行，而不仅仅是写在文档里。
- 什么都不运行。伪造的命令返回预设或生成的输出。攻击者的输入永远不会进入真正的 Shell。
- 什么都不下载。下载命令只记录 URL。
- 没有出站流量。传感器接受连接，从不主动发起连接。
- 处处有限制。每个传感器和每个来源都有连接上限，每次读取都有超时，每个捕获字段都有大小上限。
- 独立的队列入口。每个传感器只能写入自己的流。
- 可信的身份。客户端能看到的任何内容都不会泄露项目名称。
- 加固的容器。非 root、只读、去掉所有能力，并设有内存和进程限制。
载荷
恶意软件进入隔离区，永远不会进入 Shell。
一个独立的收集器可以通过 VPN 获取已记录的 URL，并有大小和时间限制。默认关闭：需要你手动开启。
- 以 SHA-256 存储，只读，从不执行。
- 仅进行静态分析：文件类型、字符串、YARA 规则、脚本去混淆。
- 它所连接的命令服务器会被提取，也可以纳入举报。
样本
虚构示例
- sha256
- 4c1f9e0a…d27b5e83
- 类型
- ELF 32-bit, ARM
- 来自
- http://198.51.100.23/arm7
- 获取方式
- 通过 VPN 隧道
- yara
- mirai_generic （严重）
- c2
- 203.0.113.200:23
- 状态
- 已隔离 · 权限 0400