Honeyd 是一款輕量級蜜罐守護程式，能在網路上模擬大量虛擬主機誘捕攻擊者。然而其 IP 重組代碼存在設計缺陷，允許遠程攻擊者偵測虛擬主機真實性，進而枚舉並針對性攻擊蜜罐節點。

漏洞基本資訊

漏洞原理與影響

Honeyd 處理 IP 分片重組邏輯存在缺陷，導致虛擬主機在處理特定分片封包時表現出與真實主機不同的行為特徵 (如回應差異、時間差、ICMP 錯誤訊息差異)。遠程攻擊者發送精心構造的分片封包，即可區分真實主機與 Honeyd 虛擬主機，繼而：

• 繞過蜜罐誘捕，直接攻擊真實生產主機。
• 枚舉蜜罐拓撲，針對性避開或攻擊蜜罐節點。
• 降低蜜罐部署的欺騙效果與偵測價值。

修補與緩解建議

1. 升級至 Honeyd 1.5 或更新版本 (官方已修正重組邏輯)。
2. 或套用官方補丁 adv.2006-01.patch 重新編譯安裝。
3. 部署層面：將 Honeyd 置於獨立網段、配合防火牆限制存取來源、監控異常掃描流量。
4. 蜜罐部署原則：蜜罐本身必須安全強化，否則反成跳板。定期更新、最小權限運行、網路隔離、詳細日誌審計。

參考連結

• 漏洞公告：Honeyd Advisory 2006-01
• 專案首頁：Honeyd Official Site

蜜罐技術是主動防禦的重要手段，但蜜罐軟體本身的安全性往往被忽視。此漏洞提醒我們：**防禦工具同樣需要嚴格的安全開發生命週期 (SDL) 與持續修補**，否則「引蛇出洞」可能反成「引狼入室」。