Honeyd的安装和配置
Honeyd软件依赖于下面几个库及arpd工具：
（1）Libevent：是一个非同步事件通知的函数库。
通过使用 libevent，开发者能够设定某些事件发生时所运行的函数，能够取代以往程序所使用的循环检查；
（2）Libdnet：是一个提供了跨平台的网络相关 API的函数库，包含 arp 缓存，路由表查询。IP 包及物理帧的传输等。
（3）Libpcap：是一个数据包捕获（Packet Sniffing）的函数库，大多数网络软件都以它为基础；
（4）Arpd工具：arpd执行在与honeyd同样的系统上。是honeyd众多协作工具中最重要的一个。Arpd工作时监视局域网内的流量。并通过查看honeyd系统的ARP表推断其他系统的活动与否。
当一次企图对局域网内系统的连接发生时，Arpd通过查找ARP表得知目的IP地址不存在后，就会尝试对受害者的IP地址进行ARP广播，假设honeyd得到了响应，说明目标系统确实存在，于是把目标系统的IP地址与MAC地址的相应写入honeyd的ARP表，并对这次连接尝试不动作，由于这可能是合法流量。假设Arpd没有从目标接收到Arp响应，那么它就觉得目标系统并不存在。假设这是一次攻击行为，于是就尝试充当受害者的IP地址并对攻击者作出回应。由此可见，arpd将对指定的IP地址范围内未使用的IP 用honeyd主机的MAC地址做出arp应答。这样对指定的IP地址范围内未使用的IP的连接訪问都被重定向至honeyd主机。因此这种设计在局域网中特别能最大化的诱骗蠕虫病毒的攻击。转移攻击流。为下一步检測和捕获蠕虫病毒奠定了基础。
启动honeyd前有时必须先启动arpd
启动arpd有2种
A.arpd IP
B. %arpd IP(%表示arpd的路径)由于系统本身有个arpd，有时须要指定自己安装的那个arpd的路径。
在对以上几个库进行编译安装之前。因编译安装须要，必须确保gcc已经安装，可通过指令“gcc -v”查看gcc是否已安装，若没有安装能够输入指令：sudo apt-get install g++ gcc进行安装。
注：在装gcc之前须要装build-essential,其作用是提供软件包列表信息。
此次试验我们是在Ubuntu环境下进行，网上下载的所有库的安装包及工具放在honeyd文件夹（存放在主文件文件夹下）中。
libevent的安装：
用tar -zxvf libevent-1.4.14b-stable.tar.gz解压缩
用cd libevent-1.4.14b-stable进入文件夹
用./configure检測目标特征
用make进行编译
用高权限的 make install进行安装
注：最后一步一定要用管理员权限运行，即在指令前加“sudo”,不然会提示权限不够。
余下几个库的安装基本类似，出现的一些小问题都有说明：
libdnet的安装：
tar -zxvf libdnet-1.11.tgz
cd libdnet-1.11/
./configure
make
sudo make install
libpcap的安装：
tar -zxvf libpcap-1.3.0.tar.gz
cd libpcap-1.3.0
./configure
*提示错误：缺少flex
apt-get install flex(安装flex)
./configure
make
*提示错误：未能找到yacc
apt-get install bison（安装yacc）
make
sudo make install
honeyd的安装：
tar -zxvf honeyd-1.5c.tar.gz
cd honeyd-1.5c
./configure
*提示错误：需安装libedit 或libreadline
apt-get install libedit-dev（安装libedit）
./configure
*提示错误：需安装zlib库
cd
unzip zlib-1.2.8.zip （安装zlib）
cd zlib-1.2.8
./configure
make
make install
cd honeyd-1.5c
./configure
*提示错误：无法获取libc
cp /lib/i386-linux-gnu//libc.so.6 /usr/lib/（获取libc）
./configure
*提示错误：pcap_parse没有定义
cd libpcap-1.3.0（又一次编译libpcap-1.3.0）
make clean (必做)
./configure
make
make install
cd - (回到honeyd-1.5c)
make
sudo make install
工具arpd的安装：
tar arpd-0.2.tar.gz
cd arpd-0.2/
./configure
编译报错。上网查询得到以下的解决方法：
在arpd/arpd.c文件里加入 #define __FUNCTION__ ""
make
sudo make install
虚拟出2台主机
在局域网中选择一个未被使用的IP地址。启动arpd（此处选择的是192.168.1.2和192.168.1.3，便于后面虚拟Windows主机和Linux主机），用192.168.1.150主机的MAC地址作为这两个虚拟主机的MAC地址响应。
启动honeyd时出现报错“libdnet.1: can't open sharedobjectfile”，在网上查询的都解决方法例如以下：
网上介绍若共享库文件安装到了“/usr/local/lib”或其它“非/lib或/usr/lib”文件夹下，那在运行Idconfig命令之前还要把新共享库文件夹载入到共享库配置文件/etc/ld.c.conf中。例如以下所看到的：
#cat /etc/ld.c.conf
include /etc/ld.c.conf/*.conf
#echo “/usr/local/lib”>>/etc/ld.c.conf
#Idconfig
可是在我们进行如上的改动后任然出现上述的问题，后来在网上查阅后又进行了例如以下改动：
export一个全局变量LD_LABRARY_PATH，然后执行时就会到这个文件夹下寻找共享库。（LD_LABRARY_PATH的作用是告诉loader在那些文件夹中能够找到共享库，能够设置多个搜索文件夹。在文件夹之间用逗号分隔开）
exportLD_LABRARY_PATH=/usr/local/lib:$ LD_LABRARY_PATH
网络拓扑结构：有三台主机和一个网关，一台Windows主机用于訪问虚拟服务，IP为192.168.1.115。还有一台Windows主机用于提供FTP服务。IP为192.168.1.104。一台Ubuntu主机用于配置蜜罐，IP为192.168.1.150，网关为192.168.1.1。
honeyd安装成功后，利用其虚拟出一台windows主机web server。配置文件取名为：honeyd.conf，文件内容例如以下：
create windows
set windows personality "MicrosoftWindows NT 4.0 SP3"
set windows default tcp action reset
set windows default udp action reset
add windows tcp port 80 "shhoneyd/honeyd-1.5c/scripts/web.sh"
bind 192.168.1.2 windows
上面的配置文件创建了一个叫做windows的模板，绑定了一个honeypot的IP到这个模板上。
上面的这个windows模板告诉honeyd，当一个client试图NMap探測honeypot的指纹时，把它自己伪装成Microsoft Windows NT 4.0 SP3的系统。用honeyd自带的web脚本虚拟web服务。
最初我们是在虚拟机上执行，可做到这一步是。同网段的主机无法訪问到虚拟出来的web服务。我们在网上找了各种解决的方法，检查了配置文件honeyd.conf以及虚拟server的脚本文件web.sh。发现并没有异样，检查了好几个小时。后来考虑可能是在虚拟机上执行的原因，就又一次在ubuntu的系统下把之前的重做了一遍，然后在ubuntu终端输入例如以下命令。若有主机对192.168.1.2进行訪问，那192.168.1.2将对其做出对应：
honeyd -d -fhoneyd.conf 192.168.1.2
这个命令-d代表在终端显示监听蜜罐的情况，-f代表採用honeyd.conf作为配置文件，192.168.1.2代表对IP地址为192.168.1.2的蜜罐进行监听。
当用192.168.1.115主机訪问192.168.1.2。页面显示结果例如以下：
能够看到。成功运行了honeyd自带的web脚本。这是一个简单的web页面，用于測试蜜罐的搭建是否成功。
ubuntu主机响应訪问时终端的显演示样例如以下：
192.168.1.115的主机成功与蜜罐192.168.1.2建立连接。并运行web脚本。
同理，測试IP地址为192.168.1.3蜜罐的过程类似。
完毕实验内容的配置文件内容例如以下图所看到的：
通过上图配置文件虚拟出两台主机：一台Windows主机。IP为192.168.1.2。开放80。20。21，22port。80port和22port运行虚拟服务脚本，因为FTP服务比較难模拟，所以21port设置FTP服务代理为192.168.1.104的主机，20port待用；一台Linux主机，IP为192.168.1.3，开放port和虚拟服务与Windows主机同样。
把訪问虚拟服务的client的按键记录保存在文件里
事先编写好web服务和按键记录的脚本放在web.sh文件里，后文会有对脚本代码的分析。
利用192.168.1.115訪问虚拟web服务，输入username和password例如以下所看到的：
192.168.1.150控制端得到的结果例如以下：
由结果可知192.168.1.115主机与蜜罐已连接成功且成功运行脚本web.sh文件。
点击登陆，控制主机通过python的os库调用OS类的system方法，在终端用tshark -d “ip dst192.168.1.2” -w catchlog将抓到的数据包保存在“catchlog”文件里，当中有包括username和password的数据包：
虚拟web服务脚本例如以下：
