基于蜜罐網(wǎng)絡(luò)的郵件捕獲系統(tǒng)分析與部署

２０１２年第Ｏ１期

基于蜜罐網(wǎng)絡(luò)的

郵件捕獲系統(tǒng)分析與部署

李秋銳

（中國人民公安大學(xué)，北京１０００３８）

摘要：散布釣魚網(wǎng)站的方式多種多樣，由于大多數(shù)的釣魚網(wǎng)站鏈接都是通過垃圾郵件傳播的，因此該

文從垃圾郵件傳播的角度入手，通過分析垃圾釣魚郵件發(fā)布者使用的網(wǎng)絡(luò)安全漏洞，建立一個基于Ｈｏｎｅｙｄ

的郵件捕獲系統(tǒng)，從而獲取大量垃圾郵件，以便于以后通過郵件分析達到主動探測釣魚網(wǎng)站的目的。

關(guān)鍵詞：蜜罐；Ｈｏｎｅｙｄ；垃圾郵件；網(wǎng)絡(luò)釣魚

中圖分類號：ＴＰ３９３．０８ 文獻標識碼：Ａ 文章編號：１６７１—１１２２（２０１２）Ｏ１—００６４—０４

Ａｎａｌｙｓｉｓ ａｎｄ Ｄｅｐｌｏｙｍｅｎｔ ｆｏｒ ｔｈｅ Ｈｏｎｅｙｐｏｔ—ｂａｓｅｄ

Ｍａｉｌ Ｃａｐｔｕｒｅ Ｓｙｓｔｅｍ

ＬＩ Ｏｉｕ。ｒｕｉ

（Ｃｈｉｎｅｓｅｐｅｏｐｌｅ ｐｕｂｌｉｃ ｓｅｃｕｒｉｔｙ ｕｎｉｖｅｒｓｉｔｙ，Ｂｅｏ＇ｉｎｇ １０００３８，Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：Ｔｈｅｒｅ ａｒｅ ｍａｎｙ ｗａｙｓ ｆｏｒ ｄｉｓｓｅｍｉｎａｔｅ ｏｆ ｐｈｉｓｈｉｎｇ ｓｉｔｅｓ．Ｓｉｎｃｅ ｍｏｓｔ ｏｆ ｔｈｅ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅ ｌｉｎｋ ａｒｅ

ｓｐｒｅａｄ ｔｈｒｏｕｇｈ ｓｐａｍ，ＳＯ ｔｈｉｓ ａｒｔｉｃｌｅ ｉｓ ｆｏｃｕｓ ｏｎ ｔｈｅ ｓｐｒｅａｄ ｏｆ ｓｐａｍ．Ｂｙ ａｎａｌｙｚｉｎｇ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ，

ｗｅ ｅｓｔａｂｌｉｓｈ ａ Ｈｏｎｅｙｄ－ｂａｓｅｄ ｍａｉｌ ｃａｐｔｕｒｅ ｓｙｓｔｅｍ，ｔｈｅ ｔａｒｇｅｔ ｏｆ ｔｈｉｓ ｓｙｓｔｅｍ ｉｓ ｔｏ ｇａｉｎ ａ ｌｏｔ ｏｆ ｓｐａｍ，ｆｏｒ ｄｅｔｅｃｔｉｎｇ

ｐｈｉｓｈｉｎｇ ｓｉｔｅｓ ｂｙ ａｎａｌｙｓｉｓ ｍａｉｌ ｃａｐｔｕｒｅｄ ｌａｔｅｒ．

Ｋｅｙ ｗｏｒｄ：ｈｏｎｅｙｐｏｔ；Ｈｏｎｅｙｄ；ｓｐａｍ；Ｐｈｉｓｈｉｎｇ

０引言

網(wǎng)絡(luò)釣魚是伴隨著網(wǎng)絡(luò)技術(shù)的發(fā)展而產(chǎn)生的，根據(jù)中國反網(wǎng)絡(luò)釣魚聯(lián)盟的２０１１年４月報告，４月份該聯(lián)盟處理釣魚網(wǎng)站數(shù)

量達２６３５個，截止到２０１１年３月底，中國反釣魚網(wǎng)站聯(lián)盟累計認定處理的釣魚網(wǎng)站數(shù)量為４３８４２個。盡管網(wǎng)絡(luò)釣魚收到多方重

視，但釣魚網(wǎng)站的數(shù)量還是有增無減ｎｌ。

釣魚網(wǎng)站的鏈接傳播方式主要有垃圾郵件、即時通訊和媒體傳播，本文主要研究與垃圾郵件有關(guān)的傳播方式，由于常規(guī)的

釣魚探測系統(tǒng)雖然可以很有效的對郵件進行分析，但卻不能實時的獲取郵件，所以構(gòu)建一個郵件捕獲系統(tǒng)通過建立蜜罐網(wǎng)絡(luò)達

到欺騙垃圾郵件發(fā)布者，獲取大量垃圾郵件的目的，以便于為隨后的郵件分析提供樣本，從而主動探測釣魚網(wǎng)站的有關(guān)信息［２－４１。

１蜜罐系統(tǒng)

蜜罐系統(tǒng)是一種用于捕捉探測，攻擊和漏洞掃描行為的安全工具，其本身是一個包含漏洞的系統(tǒng)，由于蜜罐系統(tǒng)沒有提供

任何實質(zhì)性的服務(wù)，所以可以認定每一個試圖主動與其進行連接交互數(shù)據(jù)的行為都是可疑的。目前很多款優(yōu)秀的蜜罐軟件，如

ＫＦＳｅｎｓｏｒ、Ｈｏｎｅｙｄ等，本文將使用Ｈｏｎｅｙｄ軟件構(gòu)建蜜罐系統(tǒng)。

Ｈｏｎｅｙｄ是一款強大的開源虛擬蜜罐軟件，屬于低交互式的蜜罐系統(tǒng)，可運行在ＵＮＩＸ和Ｗｉｎｄｏｗｓ操作系統(tǒng)中，并在虛擬的

網(wǎng)絡(luò)環(huán)境中模擬多個地址，虛擬蜜罐主機可以根據(jù)具體的配置文件模擬多種網(wǎng)絡(luò)服務(wù)，外部的主機可以對虛擬蜜罐主機進行常

規(guī)的Ｐｉｎｇ、Ｔｒａｃｅｒｔ等操作，回應(yīng)數(shù)據(jù)包時，Ｈｏｎｅｙｄ的個性化引擎使回應(yīng)包與被配置的操作系統(tǒng)特征相適應(yīng)，同樣Ｈｏｎｅｙｄ也可以

為真實的主機提供代理。

●

收稿時間：２０１１－１２—１５

作者簡介：李秋銳（１９８７一），男，湖北，碩士研究，主要研究方向：信息安全與計算機犯罪偵查。

防

議 一

自選路由

蟄

個 匪化

１引擎 １

嘉 －¨ 中央包分配器

自選路由

一 一～～———

！———一

１ＵＤＰ Ｉ １ＴＣＰ

ｒ

服務(wù)

圖１ Ｈｏｎｅｙｄ軟件結(jié)構(gòu)

Ｈｏｎｅｙｄ軟件結(jié)構(gòu)由配置數(shù)據(jù)庫，中央包分配器，協(xié)議處

理器，個性化引擎和自選路由組件組成。Ｈｏｎｅｙｄ軟件結(jié)構(gòu)如

圖１所示。

如圖１所示，Ｈｏｎｅｙｄ接收到請求方的數(shù)據(jù)會由中央包分

配器處理，中央包分發(fā)器首先會檢查ＩＰ長度、校驗和。然后

根據(jù)配置數(shù)據(jù)庫的數(shù)據(jù)查找到符合目標位置的蜜罐主機配置。

確定具體的配置后，數(shù)據(jù)包就會交付給相應(yīng)的協(xié)議處理器進

行處理。

協(xié)議處理器具體分為三部分：ＩＣＭＰ處理器、ＵＤＰ處理器、

ＴＣＰ處理器。ＩＣＭＰ處理器支持多數(shù)的ＩＣＭＰ查詢，一般情況下，

都會響應(yīng)Ｅｃｈｏ請求，并處理“ｄｅｓｔｉｎａｔｉｏｎ ｕｎｒｅａｃｈａｂｌｅ”的消息。

對于分配到ＴＣＰ處理器和ＵＤＰ處理器的數(shù)據(jù)包，Ｈｏｎｅｙｄ可

以為其與任意的服務(wù)建立連接［５１。

在對具體的請求命令做出應(yīng)答后，需要隱藏蜜罐主機的

身份，由于不同蜜罐主機處理方式也各不相同，這就導(dǎo)致蜜

罐主機發(fā)送的數(shù)據(jù)包也就具有的不同的特點，所以個性化引

擎組件的工作內(nèi)容就是模擬不同系統(tǒng)的網(wǎng)絡(luò)棧行為。具體來

說，Ｈｏｎｅｙｄ利用Ｎｍａｐ的指紋庫來作為ＴＣＰ和ＵＤＰ連接的

個性化參考，利用Ｘｐｒｏｂｅ指紋庫來作為ＩＣＭＰ連接的個性化

參考。由此就可以做出一個與真實主機相同的應(yīng)答包，最后再

發(fā)送給ｔ￣Ｔｙｏ

自選路由用于模擬有關(guān)的路由信息，其可以模擬任意的

網(wǎng)絡(luò)路由拓撲，通常虛擬的拓撲結(jié)構(gòu)為樹結(jié)構(gòu)，每一個節(jié)點

和每一條邊都分別代表著路由器和損失權(quán)值。當(dāng)Ｈｏｎｅｙｄ接到

包時，從根節(jié)點開始到發(fā)現(xiàn)目的ＩＰ的節(jié)點為結(jié)束，將經(jīng)過的

邊的損失權(quán)值累加起來，確定是否拋棄該包和其延遲應(yīng)該有

多少。數(shù)據(jù)包每通過一個虛擬路由器，就相應(yīng)的減少生存期

ＴＴＬ值，當(dāng)ＴＴＬ為零時，Ｈｏｎｅｙｄ發(fā)出ＩＣＭＰ超時信息。因為

自選路由組件Ｈｏｎｅｙｄ也可以將真正的系統(tǒng)加入到虛擬的路由

２０１２年第Ｏ１期

拓撲之中，當(dāng)收到一個真實系統(tǒng)的包時，包沿著網(wǎng)絡(luò)拓撲行走

直到發(fā)現(xiàn)與真實系統(tǒng)所屬的網(wǎng)絡(luò)空間直接連接的虛擬路由器。

當(dāng)真正的系統(tǒng)發(fā)出ＡＲＰ請求時，網(wǎng)絡(luò)虛擬結(jié)構(gòu)通過相應(yīng)的虛

擬路由器ＡＲＰ回復(fù)進行響應(yīng)。

２垃圾郵件所使用漏洞分析

由于制造、傳播垃圾郵件的行為都是不合法的，所以很

多垃圾郵件發(fā)布者都會想著隱藏自己的行為。圖２是垃圾郵

件發(fā)布者隱藏自己蹤跡的常用方法。

垃圾郵件發(fā)布者

服務(wù)器

受害用戶

圖２垃圾郵件商常用技術(shù)

２．１開放中繼轉(zhuǎn)發(fā)

ＳＭＴＰ協(xié)議就是簡單郵件傳輸協(xié)議，與２５端口和ＴＣＰ協(xié)

議聯(lián)系在一起，主要用于可靠的并有效的進行郵件傳輸。

在ＳＭＴＰ協(xié)議中具有中繼轉(zhuǎn)發(fā)服務(wù)，即通過別人的郵件

服務(wù)器將郵件遞送到目的地址，一般來說，中繼轉(zhuǎn)發(fā)服務(wù)針

對的對象都是有選擇的并通過認證的用戶。然而一些具有安

全漏洞的ＳＭＴＰ服務(wù)器都會無限制的開放中繼轉(zhuǎn)發(fā)服務(wù)，這

種服務(wù)器就有可能被垃圾郵件發(fā)布者發(fā)現(xiàn)并進行濫用。

２＿２開放代理

代理服務(wù)器是介于客戶端與服務(wù)器之間的另一臺服務(wù)器，

其用于獲取某種特定的服務(wù)，允許多于一臺的主機共用一個

ＩＰ地址連接互聯(lián)網(wǎng)，代理就像是一個中間人，與其他客戶端

進行連接。

一

個有安全漏洞的代理服務(wù)器允許任意一個ＩＰ地址連接

任意一個ＩＰ地址或端口，這種代理服務(wù)器稱之為開放代理。

垃圾郵件發(fā)布者會持續(xù)的掃描開放代理的代理服務(wù)器，一旦

發(fā)現(xiàn)就建立代理服務(wù)器與垃圾郵件服務(wù)器之間的連接，然后

使用代理與其他正常的郵件服務(wù)器連接，最后通過發(fā)送特定

的Ｓｍｔｐ指令即可發(fā)送垃圾郵件 ］。

３基于Ｈｏｎｅｙｄ構(gòu)建虛擬網(wǎng)絡(luò)與部署

在本文中基于Ｈｏｎｅｙｄ軟件模擬兩種服務(wù)：具有開放中

繼轉(zhuǎn)發(fā)漏洞的郵件服務(wù)器和具有開放代理漏洞的代理服務(wù)器。

２０１２年第Ｏ１期

圖３給出本文配置的郵件捕獲系統(tǒng)Ｍａｉｌ ｃａｐｔｕｒｅ的整體結(jié)構(gòu)。

ｓｅｌＬｐｕｓｈ（”２５０ Ｈｅｌｌｏ％ｓ．ｐｌｅａｓｅｄ ｔｏ ｍｅｅｔ ｙｏｕ．、ｒ＼ｎ”％ｗｈｏｍ）

童罐．￣ｍ，ａｉｌ ｃａｐｔｍ

圖３配置的Ｍａｉｌ ｃａｐｔｕｒｅ整體結(jié)構(gòu)

在Ｍａｉｌ ｃａｐｔｕｒｅ內(nèi)存在有兩臺實際存在的主機和三臺虛擬

主機，其中實際存在的主機是Ｈｏｎｅｙｄ主機和郵件服務(wù)器，這

兩臺主機與路由器直接連接，其余三臺提供的服務(wù)都是基于

Ｈｏｎｅｙｄ主機虛擬的，其本身也是由Ｈｏｎｅｙｄ主機配置文件虛擬

出來的。

對于具體的Ｍａｉｌ ｃａｐｔｕｒｅ配置，其中Ｈｏｎｅｙｄ主機的ＩＰ地

址為１９２．１６８．０．１，郵件服務(wù)器的ＩＰ地址為１９２．１６８．０．２，兩臺

主機均使用的Ｕｂｕｎｔｕ操作系統(tǒng)。

具體每一臺虛擬主機的配置如下：ｖ１，操作系統(tǒng)版本

為Ｌｉｎｕｘ ２．６．６、ＩＰ地址為１９２．１６８．０．５、主機模擬的服務(wù)為

Ｓｍｔｐ服務(wù)；Ｖ２，操作系統(tǒng)版本為Ｌｉｎｕｘ ２．６．６、ＩＰ地址為

１９２．１６８．０．４、主機模擬的服務(wù)為開放代理服務(wù)；Ｖ３，操作系統(tǒng)

版本為Ｌｉｎｕｘ ２．６．６、ＩＰ地址為１９２．１６８．０．３、主機模擬的服務(wù)

為ｗｅｂ服務(wù)。

具體的配置操作以開放中繼轉(zhuǎn)發(fā)的虛擬郵件服務(wù)器ｖ１為例

ｃｒｅａｔｅ Ｌｉｎｕｘ

ｓｅｔ Ｌｉｎｕｘ ｐｅｒｓｏｎａｌｉｔｙ“Ｌｉｎｕｘ ２．６ ６’’

ａｄｄ Ｌｉｎｕｘ ｐｒｏｔｏ ｔｃｐ ｐｏｒｔ ２５“．／ｓｃｒｉｐｔ／ｓｐａｍ．ＰＹ’’

ｂｉｎｄ Ｌｉｎｕｘ １９２．１６８．０．５

至此開放中繼轉(zhuǎn)發(fā)的虛擬郵件服務(wù)器就設(shè)置成功，其他

兩個虛擬服務(wù)的設(shè)置方法與其類似 。

其中兩個模板是整個系統(tǒng)的核心——ｓＭＴＰ開放中繼轉(zhuǎn)發(fā)

模擬器和開放代理模擬器。

對于ＳＭＴＰ模擬器，Ｈｏｎｅｙｄ接受來自２５端ＩＳｌ、ＴＣＰ協(xié)議

的數(shù)據(jù)包，并且以一個ＳＭＴＰ服務(wù)的角色進行回應(yīng)，每接受

一

份信息，其表現(xiàn)的都像一個開放中繼轉(zhuǎn)發(fā)的郵件服務(wù)器進

行轉(zhuǎn)發(fā)，其實際上信息不會被發(fā)送出去而是存儲在當(dāng)?shù)胤?wù)

器里面。下面給出ＳＭＴＰ模擬器的局部配置。

ｉｆ ｃｏｍｍａｎｄ ｉｎ【”ＨＥＬＯ”，”ＥＨＬＯ”］：

ｗｈｏｍ＝ｄａｔａ［５：］．ｓｔｒｉｐ（）

ｓｅｌｆ．ｈｅｌｌｏ＝ｗｈｏｍ

ｅｌｉｆ ｃｏｍｍａｎｄ＝＝’ＭＡＩＵ：

ｗｈｏｍ＝ｄａｔａ［１０：］．ｓｔｒｉｐ（１

ｓｅｌｆ．ｍａｉｌｆｒｏｍ＝ｗｈｏｍ

ｓｅｌｆ．ｐｕｓｈ（”２５０％８…Ｓｅｎｄｅｒ ｏｋ＼ｒ＼ｎ”％ｗｈｏｒｎ１

ｅｌｉｆ ｃｏｍｍａｎｄ＝＝’ＲＣＰＴ’：

ｗｈｏｍ＝ｄａｔａ［８：］．ｓｔｒｉｐ（）

ｓｅｌｆ．ｒｃｐｔｔｏ．ａｐｐｅｎｄ＾ｖｈｏ ｍ１

ｓｅｌＬｐｕｓｈ（”２５０％ｓ…Ｒｅｃｉｐｉｅｎｔ ｏｋ＼ｒｋｎ”％ｗｈｏｍ１

ｅｌｉｆｃｏｍｍａｎｄ＝＝’ＤＡ＿ｒＡ’：

ｓｅｌｆ．ｓｅｔ

—

ｔｅｒｍｉｎａｔｏｒ（ Ｉ，Ｉｎ．１ｒＩｎ＇

ｓｅｌｆ．ｆｏｕｎｄｔｅｒｍｉｎａｔｏｒ＝ｓｅｌｆ．ｄａｔａ

——

ｆｏｕｎｄｔｅｒｍｉｎａｔｏｒ

ｓｅｌｆ．ｐｕｓｈ（ ３５４ Ｅｎｔｅｒ ｍａｉｌ，ｅｎｄ ｗｉｔｈ”．”ｏｎ ａ ｌｉｎｅ ｂｙ ｉｔｓｅｌｆ￣ｒ＼ｎ’）

ｅｌｉｆ ｃｏｍｍａｎｄ＝＝’ＱＵＩＴ‘?

ｓｅｌＬｐｕｓｈ（”２２１％ｓ ｃｌｏｓｉｎｇ ｃｏｎｎｅｃｔｉｏｎ＼ｒ＼ｎ”％ｓｅｌｆ．ｈｏｓｔ）

ｓｅｌｆ．ｃｌｏｓｅｗｈｅｎ

＿

ｄｏｎｅ（）

ｅｌｉｆ ｃｏｍｍａｎｄ＝：’ＲＳＥＴ’?

ｓｅｌｆ．ｒｅｓｅｔ（）

ｓｅｌｆ．ｐｕｓｈ（’２５０ Ｒｅｓｅｔ ｓｔａｔｅ＼ｒ＼ｎ’）

ｅｌｓｅ：

ｓｅｌｆ．ｐｕｓｈ（”５００ Ｃｏｍｍａｎｄ ｕｎｒｅｃｏｇｎｉｚｅｄ ｎ’’）

通過配置，虛擬服務(wù)器根據(jù)接收的具體名稱，做出相應(yīng)

的響應(yīng)。例如當(dāng)接受到“ＨＥＬＯ”或“ＥＨＬＯ”指令后，需向指

令發(fā)送人回應(yīng)“Ｈｅｌｌｏ，ｐｌｅａｓｅｄ ｔｏ ｍｅｅｔ ｙｏｕ”這些回應(yīng)與正常的

郵件服務(wù)器完全相同。

對于開放代理模擬器，具體分為兩種：Ｈｔｔｐ代理模擬器

和ＳＯＣＫＳ代理模擬器。

Ｈｔｔｐ代理模擬器其正常接收多個ＴＣＰ端口的數(shù)據(jù)并提供

代理服務(wù)，當(dāng)垃圾郵件商連接該模塊時，垃圾郵件商就會要

求代理服務(wù)器連接到受害者的郵件服務(wù)器上，代理服務(wù)器收

到該請求后，不會直接響應(yīng)該請求，其會連接到自己的郵件服

務(wù)器上，并發(fā)送給垃圾郵件商一個回應(yīng)包，使之以為連接成

功。垃圾郵件商就會認為其已經(jīng)成功連接到目標ｓＭＴＰ服務(wù)器，

從而發(fā)送垃圾郵件。

ＳＯＣＫＳ代理模擬器其接受多個ＴＣＰ端口的數(shù)據(jù)并提供

ＳＯＣＫＳ代理服務(wù)，該模擬行為表現(xiàn)的像一個不需要認證的代

理，允許來自任意ＩＰ地址的連接。在成功連接到該模擬器后，

垃圾郵件商就要求連接到外部的一個ＴＣＰ端口和地址。如果

要求連接的ＴＣＰ端口號不是２５的話，就回應(yīng)一個錯誤信息；

如果ＴＣＰ端口號為２５端口的話，隨后的行為與Ｈｔｔｐ代理模

擬器類似。

４部署中存在的問題及解決方案

４．１蜜罐系統(tǒng)對系統(tǒng)的影響

由于蜜罐的特殊性，其難免會與系統(tǒng)造成一定的影響，

蜜罐部署工作重點之?就是降低對系統(tǒng)的影響。具體即根據(jù)自

己的需求選擇合適的蜜罐，對于要求不高的系統(tǒng)可部署安全

性較高的低交互式蜜罐，然后就是做到對蜜罐進行實時的監(jiān)

督和控制，由于蜜罐需要對外交互數(shù)據(jù)才能獲取價值，所以

可以在防火墻端進行一些設(shè)置來平衡交互程度和安全性之間

～ ，，． ．，．． ． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．

／２０１２年第０１期

，

的關(guān)系，Ｍａｉｌ ｃａｐｔｕｒｅ采用限制蜜罐系統(tǒng)同時連接數(shù)，周期性

的允許定量的數(shù)據(jù)傳出等方法來降低對系統(tǒng)的影響。

５結(jié)束語

蜜罐在安全領(lǐng)域的應(yīng)用已經(jīng)越來越廣泛，相對于其他機

制，蜜罐系統(tǒng)部署簡單，配置靈活，收集到的數(shù)據(jù)有很大的

針對價值，本文就是根據(jù)蜜罐技術(shù)模擬出ＳＭＴＰ的開放中繼

服務(wù)和開放代理服務(wù)，然后構(gòu)建出一個用于收集垃圾郵件的

系統(tǒng)，用于反網(wǎng)絡(luò)釣魚探測系統(tǒng)的研究。 （責(zé)編張巖）

４．２ Ｈｏｎｅｙｄ部署位置的選取

Ｍａｉｌ ｃａｐｔｕｒｅ配置的位置選取在防火墻的ＤＭＺ區(qū)，相對

于防火墻外來說，這樣可以有效與防火墻內(nèi)部的系統(tǒng)進行數(shù)據(jù)

交互并且處于相對安全的環(huán)境中，而相對于防火墻內(nèi)部來說，

這樣會接受到更多的信息，因為防火墻的保護，內(nèi)部的主機只

能接受到很少的攻擊信息，不利于蜜罐的正常工作。綜上所

述，最為合適的位置應(yīng)該部署在防火墻的ＤＭＺ內(nèi)。但部署在

參考文獻：

［１】中國反釣魚網(wǎng)站聯(lián)盟．２０１１年４月釣魚網(wǎng)站處理簡報［Ｒ】．２０１１ ４．

【２］孫言．ｇ－Ｎ絡(luò)釣魚技術(shù)研究［Ｄ】．北京：中國人民公安大學(xué)，２００９．

【３劉曉娟３１基于郵件信息提取與分析的反網(wǎng)絡(luò)釣魚技術(shù)研究【Ｄ１北

京：中國人民公安大學(xué)，２０１０．

［４】孫言、杜彥輝反網(wǎng)絡(luò)釣魚中ＵＮＩＣＯＤＥ字符相似度評估算法研

究Ⅱ］計算機工程與應(yīng)用，２００８，（２６）：８６—８７．

ＤＭＺ內(nèi)的難度很大，一旦蜜罐被攻陷，攻擊者會使用蜜罐作

為跳板來攻擊其他的服務(wù)，所以要使其他服務(wù)與蜜罐安全的

隔離，這樣也會增加ＤＭＺ部署的負擔(dān)。

４．３ Ｈｏｎｅｙｄ采集數(shù)據(jù)的方式

Ｍａｉｌ ｃａｐｔｕｒｅ所使用的數(shù)據(jù)采集方式為ＡＲＰ欺騙方式，

相對而言以ＡＲＰ欺騙方式進行數(shù)據(jù)采集的蜜罐系統(tǒng)更容易配

［５］翟繼強，葉飛．利用Ｈｏｎｅｙｄ構(gòu)建虛擬網(wǎng)絡(luò)Ｕ］．計算機安全，

２００６，（０３）：４６—４８．

置在一個現(xiàn)有的網(wǎng)絡(luò)之中。Ｈｏｎｅｙｄ采集數(shù)據(jù)的方式大體上分

為兩種，第一種方法稱之為Ｂｌａｃｋｈｏｌｉｎｇ，一般用于一個沒有

任何活動系統(tǒng)的完整網(wǎng)絡(luò)，這意味著攻擊者所瞄準的是特定

［６】Ｓｔｅｄｉｎｇ－Ｊｅｓｓｅｎ，Ｋ．，Ｖｉｊａｙｋｕｍａｒ，Ｎ．Ｌ．，ａｎｄ Ｍｏｎｔｅｓ，Ａ．Ｕｓｉｎｇ ｌｏｗ—

ｉｎｔｅｒａｃｔｉｏｎ ｈｏｎｅｙｐｏｔｓ ｔｏ ｓｔｕｄｙ ｔｈｅ ａｂｕｓｅ ｏｆ ｏｐｅｎ ｐｒｏｘｉｅｓ ｔｏ ｓｅｎｄ ｓｐａｍ［Ｊ］．

ＩＮＦＯＣＯＭＰ Ｊ０ｕｍａ１ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２００８．

網(wǎng)絡(luò)中的任意ＩＰ地址，都可以視為攻擊。因此這種方法就是

將整個網(wǎng)絡(luò)的流量都直接路由到Ｈｏｎｅｙｄ主機上：第二種方法

為ＡＲＰ欺騙，這種方法應(yīng)用在一個網(wǎng)絡(luò)中同時具有實際存在

的系統(tǒng)和虛擬的系統(tǒng)，其目的在于將所有非存在的系統(tǒng)的流量

【７ Ｒｏｓｈｅｎ Ｃｈａｎｄｒａｎ，Ｓａｎｇｉｔ７Ｊａ Ｐａｋ￣ａ．Ｓｉｍｕｌａｔｉｎｇ Ｎｅｔｗｏｒｋｓ ｗｉｔｈ Ｈｏｎｅｙｄ【

ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｐａｌａｄｉｏｎ ｎｅｔ／ｐａｐｅｒ／ｓｉｍｕｌａｔｉｎｇ＿ｎｅｔｗｏｒｋｓ＿ｗｉｔｈ

Ｈｏｎｅｙｄ．ｐｄｆ，２０１１—１２—１５

［８］Ｌａｎｃｅ Ｓｐｉｔｚｎｅｒ ｈｏｎｅｙｐｏｔｓ：追蹤黑客【Ｍ］．北京：清華大學(xué)出版社，

２００４

都轉(zhuǎn)發(fā)給Ｈｏｎｅｙｄ主機 ］。

上接第２５頁

［７］Ｔｙｌｅｒ Ｍｏｏｒｅ，Ｒｉｃｈａｒｄ Ｃｌａｙｔｏｎ．Ｔｈｅ Ｉｍｐａｃｔ ｏｆ Ｉｎｃｅｎｔｉｖｅｓ ｏｎ Ｎｏｔｉｃｅ

ａｎｄ Ｔａｋｅ—ｄｏｗｎ［Ｃ１．Ｉｎ Ｐｒｏｃ ｏｆ ｔｈｅ ７ｔｈ ｗｏｒｋｓｈｏｐ ｏｎ ｔｈｅ Ｅｃｏｎｏｍｉｃｓ ｏｆ

Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，Ｎｅｗ Ｈａｍｐｓｈｉｒｅ ＵＳＡ

Ｔｕｎｅ ２５－２８ ２００７：１－２４．

，

Ｌｅａｒｎｉｎｇ ｔｏ Ｄｅｔｅｃｔ Ｍａｌｉｃｉｏｕｓ Ｗｅｂ Ｓｉｔｅｓ ｆｒｏｍ Ｓｕｓｐｉｃｉｏｕｓ ＵＲＬｓ［Ｃ】．Ｉｎ

Ｐｒｏｃ．ｏｆｔｈｅ ＫＤＤ’０９

，

Ｐａｒｉｓ Ｆｒａｎｃｅ，Ｊｕｎｅ ２８－Ｊｕｌｙ １，２００９：１２４５—１２５４．

［１ ５】Ｊｕｓｔｉｎ Ｍａ，Ｌａｗｒｅｎｃｅ Ｋ．Ｓａｕｌ，Ｓｔｅｆａｎ Ｓａｖａｇｅ，ｅｔ ａ１．Ｉｄｅｎｔｉｆｙｉｎｇ

Ｓｕｓｐｉｃｉｏｕｓ ＵＲＬｓ：ａｎ Ａｐｐｌｉｃａｔｉｏｎ ｏｆ Ｌａｒｇｅ—ｓｃａｌｅ Ｏｎｌｉｎｅ Ｌｅａｒｎｉｎｇ［Ｃ】．

ＩｎＰｒｏｃ．ｏｆ ｔｈｅ ２６ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ，

［８】Ｃｈｒｉｓｔｉａｎ Ｌｕｄｌ，Ｓｅａｎ ＭｃＡＵｉｓｔｅｒ，Ｅｎｇｉｎ Ｋｉｒｄａ，ｅｔ ａ１．．Ｏｎ ｔｈｅ Ｅｆｆｅｃｔｉｖｅｎｅｓｓ

ｏｆＴｅｃｈｎｉｑｕｅｓ ｔｏ Ｄｅｔｅｃｔ Ｐｈｉｓｈｉｎｇ Ｓｉｔｅｓ［Ｃ］Ｉｎ Ｐｒｏｃ．ｏｆｔｈｅ ４ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ

Ｃｏｎｆｅ－ｒｅｎｃｅ ｏｎ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｉｎｔｒｕｓｉｏｎｓ ａｎｄ Ｍａｌｗａｒｅ

ａｎｄ Ｖｕｌｎｅｒａｂｉｌｉｔｙ

，

Ｍｏｎｔｒｅａｌ Ｃａｎａｄａ，Ｊｕｎｅ，１４—１８，２００９．

Ａｓｓｅｓｓｍｅｎｔ，Ｌｕｃｅｒｎｅ Ｓｗｉｔｚｅｒｌａｎｄ，Ｊｕｌｙ １２－１３ ２００７：２０－３９．

［１６］Ｋｕｒｔ Ｔｈｏｍａｓ，Ｃｈｒｉｓ Ｇｒｉｅｒ，Ｊｕｓｔｉｎ Ｍａ，ｅｔ ａ１．Ｄｅｓｉｇｎ ａｎｄ Ｅｖａｌｕａｔｉｏｎ

ｏｆ ａ Ｒｅａｌ—Ｔｉｍｅ ＵＲＬ Ｓｐａｍ Ｆｉｌｔｅｒｉｎｇ Ｓｅｒｖｉｃｅ［Ｃ］Ｉｎ Ｐｒｏｃ ｏｆ ｔｈｅ ＩＥＥＥ

Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ，Ｃａｌｉｆｏｍｉａ ＵＳＡ，Ｍａｖ，２２—２５，２０１ １．

［９】Ｓｔｅｖｅ Ｓｈｅｎｇ，Ｂｒａｄ Ｗａｒｄｍａｎ，Ｇａｒｙ Ｗａｒｎｅｒ，ｅｔ ａ１．Ａｎ Ｅｍｐｉｒｉｃａｌ

Ａｎａｌｙｓｉｓ ｏｆ Ｐｈｉｓｈｉｎｇ Ｂｌａｃｋｌｉｓｔｓ［Ｃ］．Ｉｎ Ｐｒｏｃ．ｏｆ ｔｈｅ ｓｉｘｔｈ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ

Ｅｍａｉｌ ａｎｄ Ａｎｔｉ—Ｓｐａｒｅ，Ｃａｌｉｆｏｍｉａ ＵＳＡ，ｊｕｌｙ １６－１７ ２００９．

【１７］Ａａｒｏｎ Ｂｌｕｍ，Ｂｒａｄ Ｗａｒｄｍａｎ，Ｔｈａｍａｒ Ｓｏｌｏｒｉｏ，ｅｔ ａ１．Ｌｅｘｉｃａｌ Ｆｅａｔｕｒｅ

ｂａｓｅｄ Ｐｈｉｓｈｉｎｇ ＵＲＬ Ｄｅｔｅｃｔｉｏｎ ｕｓｉｎｇ ｏｎｌｉｎｅ Ｌｅａｒｎｉｎｇ［Ｃ］．Ｉｎ：Ｐｒｏｃ．ｏｆ ｔｈｅ

ＡＩＳｅｃ’１０，Ｃｈｉｃａｇｏ ＵＳＡ，Ｏｃｔ．８ ２０１０：５４－６０．

［１０］Ｐａｗａｎ Ｐｒａｋａｓｈ，Ｍａｎｉｓｈ Ｋｕｍａｒ，Ｒａｍａｎａ Ｒａｏ Ｋｏｍｐｅｌｌａ，ｅｔ ａ１．

ＰｈｉｓｈＮｅｔ：Ｐｒｅｄｉｃｔｉｖｅ Ｂｌａｃｋｌｉｓｉｔｎｇ ｔｏ Ｄｅｔｅｃｔ Ｐｈｉｓｈｉｎｇ Ａｔｔａｃｋｓ［Ｃ］．Ｉｎ Ｐｒｏｃ．

ｏｆｔｈｅ ＩＥＥＥ ＩＮＦＯＣＯＭ，Ｓａｎ Ｄｉｅｇｏ Ｃａｎａｄａ

Ｍａｒｃｈ １４—１９ ２０１０１１—５．

．

［１８］Ｙｕｅ Ｚｈａｎｇ，Ｊａｓｏｎ Ｈｏｎｇ，Ｌｏｒｒｉｅ Ｃｒａｎｏｒ．ＣＡＮＴＩＮＡ：Ａ Ｃｏｎｔｅｎｔ—

Ｂａｓｅｄ Ａｐｐｒｏａｃｈ ｔｏ Ｄｅｔｅｃｔｉｎｇ Ｐｈｉｓｈｉｎｇ Ｗｅｂ Ｓｉｔｅｓ［Ｃ】．Ｉｎ Ｐｒｏｃ．ｏｆ

ＷＷＷ２００７，Ｍｂｅｍａ Ｃａｎａｄａ，Ｍ ８—１２，２００７：６３９—６４８．

［１１］ＹｅＣａｏ，ｗｅｉｌｉＨａｎ，ＹｕｅｒａｎＬｅ．Ａｎｔｉ－ｐｈｉｓｈｉｎｇＢａｓｅｄｏｎＡｕｔｏｍａｔｅｄＩｎｄｉｖｉｄｕａｌ

ｗｈｊｔｅ—Ｌｉｓｔ［Ｃ］．Ｉｎ Ｐｒｏｃ．ｏｆｔｈｅ ＤＩＭ＇０８，Ｖｉ￣ｎｉａ，ｕｓＡ，Ｏｃｔ．３１，２００８：５１—５９

［１ ２］ｓｕｊａｔａ Ｇａｒｅｒａ，Ｎｉｅｌｓ Ｐｒｏｖｏｓ，Ｍｏｎｉｃａ Ｃｈｅｗ，ｅｔ ａ１．．Ａ Ｆｒａｍｅｗｏｒｋ

ｆｏｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｍｅａｓｕｒｅｍｅｎｔ ｏｆ Ｐｈｉｓｈｉｎｇ Ａｔｔａｃｋｓ［Ｃ］．Ｉｎ Ｐｒｏｃ．ｏｆ ｔｈｅ

ＷＯＲＭ’０７，Ｖｉｒｇｉｎｉａ ＵＳＡ

Ｎｏｖ．２．２００７：１—８．

，

［１９］Ａｎｔｈｏｎｙ Ｙ．Ｆｕ Ｌｉｕ Ｗｅｎｙｉｎ，Ｘｉａｏｔｉｅ Ｄｅｎｇ，ｅｔ ａ１．．Ｄｅｔｅｃｔｉｎｇ Ｐｈｉｓｈｉｎｇ

Ｗｅｂ Ｐａｇｅｓ ｗｉｔｈ Ｖｉｓｕａｌ Ｓｉｍｉｌａｒｉｔｙ Ａｓｓｅｓｓｍｅｎｔ Ｂａｓｅｄ ｏｎ Ｅａｒｔｈ Ｍｏｖｅｒ’ｓ

Ｄｉｓｔａｎｃｅ（ＥＭＤ）Ｕ】．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎ ｏｎ Ｄｅｐｅｎｄａｂｌｅ ａｎｄ Ｓｅｃｕｒｅ

Ｃｏｍｐｕｔｅｒ，２００７，３（０４）：３０１—３１１

［２０】Ｃｈｉｈ—Ｃｈｕｎｇ Ｃｈａｎｇ，Ｃｈｉｈ－Ｊｅｎ Ｌｉｎ．ＬＩＢＳＶＭ：ａ Ｌｉｂｒａｒｙ ｆｏｒ Ｓｕｐｐｏ￣

［１３］Ｃｏｌｉｎ Ｗｈｉｔｔａｋｅｒ，Ｂｒｉａｎ Ｒｙｎｅｒ，Ｍａｒｒｉａ Ｎａｚｉ￣Ｌａｒｇｅ－Ｓｃａｌｅ Ａｕｔｏｍａｔｉｃ

Ｃｌａｓｓｉｉｆｃａｔｉｏｎ ｏｆＰｈｉｓｈｉｎｇ Ｐａｇｅｓ［ｃ］．Ｉｎ Ｐｒｏｃ．ｏｆ １７ｔｈ Ａｎｎｕａｌ Ｎｅｔｗｏｒｋ ａｎｄ

Ｄｉｓｔｉｂｕｔｅｄ ｒＳｙｓｔｅｍ，Ｃａｌｉｆｏｒｎｉａ ＵＳＡ

Ｆｅｂ ２８一Ｍａｒｃｈ ３ ２０１０．

，

Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅｓ［Ｊ】．ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｙｓｔｅｍｓ ａｎｄ

Ｔｅｃｈｎｏｌｏｇｙ，２０１１，３（０２）：１—２７．

【１４］Ｊｕｓｔｉｎ Ｍａ，Ｌａｗｒｅｎｃｅ Ｋ．Ｓａｕｌ，Ｓｔｅｆａｎ Ｓａｖａｇｅ，ｅｔ ａ１．Ｂｅｙｏｎｄ Ｂｌａｃｋｌｉｓｔｓ：

６７ ＩＬ—一