使用HoneyBadger追踪黑客入门指南

大家好，欢迎观看。我是John Strand，在这个视频中，我们将讨论一下HoneyBadger。在许多其他视频和内容中，当谈到归因或网络欺骗时，您可以专注于创建会信标回传的文档或元素，很多时候您可以收集发出信标的IP地址。这没问题，但IP地址的地理定位并不那么精确，但我们可以做得更好，我们有一个特定的工具，由我们Black Hills Information Security的Bradley基于Tim Tomes（或lanmaster53）的工作创建。希望这两个工具在不久的将来会合并，称为HoneyBadger。

现在，如果我们直接开始，HoneyBadger在ADHD安装中，如果您想要ADHD，可以访问activecountermeasures.com。您可以转到我们的免费工具，查看我们的项目，您会在那里看到ADHD。这当然是我用于Wild West Hackin’ Fest课程和Black Hat的发行版，所以请查看一下。一旦您设置好ADHD，所有说明都在桌面上的一个名为ADHD Usage的文件中。打开该文档后，您可以选择Attribution，然后选择HoneyBadger。

现在，一旦您进入HoneyBadger说明，它会详细说明如何设置和配置HoneyBadger。其中一个重要的注意事项是您需要一个Google API密钥才能使HoneyBadger中的地图功能正常工作。让我们谈谈这实际上做了什么。嗯，它做的是无线站点调查。这里我有一个从Hak5商店购买的USB无线适配器。那里的东西很棒。有了这个USB无线适配器，我可以调查所有无线网络。现在，您不需要USB无线适配器来使HoneyBadger工作。我不是这个意思，但您的计算机系统有能力看到周围的所有无线网络。

这是您每次打开手机寻找无线热点或计算机时看到的东西。这是因为这些接入点每秒信标约10次，宣布它们的BSSID和ESSID。BSSID是MAC地址，即接入点的媒体访问控制地址。ESSID是实际的接入点名称。HoneyBadger所做的是使攻击者的计算机系统进行无线站点调查，给我们那些SSID、BSSID和ESSID，然后它查询Google的API进行地理定位，Google会响应回来。

让我们实际看一下HoneyBadger的界面以及您会在那里看到的一些东西。首先，每当您设置HoneyBadger时，您会设置目标。现在，目标的想法是您可以设置彼此可识别的不同活动。我有demo、class、demo、Class、Spearfish，它们有不同的guids。这很重要，因为如果我设置多个不同的HoneyBadger元素，我希望能够区分它们。我可以放入Excel电子表格，可以放在网站上，可以放在各种不同的地方，这种区分很重要。

同样在这张幻灯片上，您可以生成原始宏。每当我点击宏按钮时，它实际上会带您到您会放入Excel电子表格的宏，或者如果您真的很绝望，放入Word文档。我倾向于不在Word文档中使用这种技术，因为每个人都知道不要运行Word文档中出现的任何宏。这是一个PowerShell命令，它对周围的所有不同无线网络进行无线站点调查。这就是宏。

我们还有能力踢出VB.NET代码。使用VB.NET代码，我们实际上可以将其转换为独立可执行文件，使用像vbc和Mono这样的东西。这都在课程中，也在说明中，但基本上您会安装Mono，以管理员身份启动Mono shell。我可以实际向您展示那是什么样子。我基本上可以转到开始按钮并输入“Mono”。然后，当它说Mono命令提示符时，我右键单击并以管理员身份运行它。然后，我会使用vbc实际将该代码、macro.vb转换为可执行文件，并实际将其转换为可执行文件。然后，当您运行它时，它会进行地理定位。

现在，那个可执行文件给我们巨大的灵活性，可以将其移动到各种其他格式中。我们可以转换它并将其与其他可执行文件（如VPN等）合并，然后我们可以获得攻击者的一些非常好的地理定位。现在，一旦我在ADHD中，我想向您展示地图的样子，并给您一个精度的概念。

如果我点击地图选项卡，这些是我实际触发它的所有时间，我会转到拉斯维加斯，上次我在Black Hat运行这个课程。我走得太远了，一个我无法返回的地方。让我们看看，我在Tuba City，所以大峡谷国家公园、Flagstaff，让我们回到我的小箭头。好了。让我们放大到拉斯维加斯，在Mandalay Bay上方，给您一个概念，每当您启动它时，这个东西可以有多准确。

现在，这是可执行文件。如果您将宏放入Excel电子表格中，它也会非常、非常超精确，但这真的取决于许多因素。如果他们实际上在无线网络上，您可以调出那个。在这里您可以看到是Mandalay Bay，如果我切换到卫星视图，您会看到我们上次实际触发这个时在会议中心的确切位置。这有点酷。

HoneyBadger设计用于极端水平的归因。这是使用宏或VB代码来实际做到这一点。现在，记住这一点，也记住您只是让攻击者的系统给出周围的无线网络。如果我点击日志并一直滚动到日志的底部，您可以看到每当您实际查询该数据时它是什么样子。它实际上拉取所有无线接入点。

在这里您可以看到Black Hat，然后是BSSIDs，然后它将数据提交给Google。现在，当Google通过您的手机一直使用的API接收该数据时，Google会响应这里的纬度，响应这里的经度，并还会给您以米为单位的整体精度。有时大约一百米，有时您幸运的话，低至20米。这是极端水平的归因。

现在，关于这个的合法性有问题吗？ 嗯，如果您看我们在做什么，攻击者将不得不闯入您的环境，偷东西，然后它会触发。在这种情况下他们实际上会提出指控是有点可疑的。 此外，我们使用的是您的手机每分钟使用数百次的相同API。考虑到这一点，我们作为防御者使用这些技术变得容易一点。

我希望您喜欢这个视频。请务必查看更多视频。请务必查看在圣地亚哥和Deadwood的Wild West Hackin’ Fest的课程，我希望在星期三的Enterprise Security Weekly与Paul、Matt和我自己见到您。保重，我会在另一个视频中见到您。