信息打点-主机架构&蜜罐识别&WAF识别&端口扫描&协议识别&服务安全

本节课涉及领域

web服务器和应用服务器这两个可以统称为中间件，分类的原因是因为支持运行的业务不一样，比如java的业务上面的web服务器就很麻烦，但是对于应用服务器就会很简单

1、Web服务器

网站常见端口就是80http还有443https

Apache、Nginx、IIS、lighttpd等

2、应用服务器：

特点，具有端口服务的开放，比如apache服务器，就只会开放网站协议的80端口，但是weblogic如果上面还有一个网站的话，除了软件本身的端口，还会开放一个网站的端口

Tomcat、Jboss、Weblogic、Websphere等

3、数据库类型：

也会开放端口，具体端口号看列表

Mysql、SqlServer、Oracle、Redis、MongoDB等

4、应用服务信息：

FTP文件传输协议、SSH(Linux服务器的远程链接协议)、RDP(Windows的远程链接协议，就是那个远程连接桌面那个东西，使用的话默认开启的就是3389)、SMB、SMTP邮件服务、LDAP、Rsync等

5、WAF信息：

创宇盾、宝塔、ModSecurity、玄武盾、OpenRASP等。

6、蜜罐信息：

HFish、TeaPot、T-Pot、Glastopf等

各个端口对应的服务及响应的渗透思路

识别-Web服务器-请求返回包

访问网站回显的信息，在这里就会暴露出服务器是什么，但是这只能针对web服务器，应用服务器就需要用到端口扫描才知道服务器是什么

识别-应用服务器-其他服务协议-端口扫描技术

端口扫描可以检测到下面的东西：

-Web中间件探针

-应用中间件探针

-数据库类型探针

-其他服务协议探针

工具：

Nmap：

https://nmap.org/download.html

nmap的使用参考：

https://blog.csdn.net/qq_53079406/article/details/125266331

https://blog.csdn.net/qq_53079406/article/details/125263917

更推荐使用

扫描模式，采用不同的协议，有时候是TCP的，有时候是ICMP的去扫

1、常规模式扫描

3、所有端口都扫，信息最全面

4、扫描不带ping的

5、带ping的扫描

6、快扫

7、加一些参数的快扫，扫描的信息可能就会全一些，比如说版本，这个用的最多

浏览器访问对应端口，只能访问http的

有三个状态，open，close，filtered

close：说明关闭了，压根没开，不用想了

filtered：说明有可能开了，但也有可能没开，造成这样的原因有可能是因为一些防护，防火墙应用导致的（防火墙关闭不代表完全不能通信，因为含有白名单），所以大部分都是开的，但是阻止了探测的流量进入，受到了一些保护

Masscan：

https://github.com/robertdavidgraham/masscan

扫描速度过快、只能检测到开启的端口

编译masscan：https://www.cnblogs.com/lzy575566/p/15513726.html

masscan需要编译，网上只有源码，编译的时候要修改这里，修改成自己的版本，就可以编译了

然后按照步骤改成这两个，选择生成解决方案，就编译成功了

网络空间：

属于被动收集，没做什么事情，通过网上的接口，平台，工具去查网上的信息，没有实际用自己的主机去接触到目标

搜索完之后，点击结果的ip聚合，就能看到

但是因为他的数据是一直在更新的一直在爬取，所以有可能输入目标后没有东西

考虑：

1、防火墙

2、内网环境：

因为内网环境会有一个外网的ip来进行交互，相当于走了一个代理，所以扫的ip扫的是外网的，内网环境是扫不到的

内网环境可能出现情况：明明数据库端口开的，网站也能正常打开，但是你对目标进行端口扫描，发现数据库端口没有开放（排除防火墙问题）

识别-WAF防火墙-看图&项目&指纹

WAF解释：

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

WAF分类：

1、云WAF：

百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等

价格相对于软件waf会贵

是防护等级最强的

是实时通讯的，有人登陆了账号会发短信啥的

2、硬件WAF：

绿盟、安恒、深信服、知道创宇等公司商业产品

中大型企业，政要，官方的机构会用

防护等级很强，但是可拓展性不强

3、软件WAF：

宝塔，安全狗、D盾等

个人网站，小中型企业喜欢用；非法的，黑色领域的，也会喜欢用这种

目前只有这个可以绕过

4、代码级WAF：

自己写的waf规则，防止出现注入等，一般是在代码里面写死的

识别

通过拦截的页面可以识别waf：

拦截页面，identywaf项目内置

识别项目：

1、wafw00f

https://github.com/EnableSecurity/wafw00f

2、identywaf

https://github.com/stamparm/identYwaf

3、还可以用网络空间引擎去查

识别-蜜罐平台-人工&网络空间&项目

蜜罐解释：

蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。

蜜罐分类：

根据蜜罐与攻击者之间进行的交互的程度可以将蜜罐分为三类:低交互蜜罐、中交互蜜罐、高交互蜜罐。当然还可以根据蜜罐模拟的目标进行分类，比如：数据库蜜罐、工控蜜罐、物联网蜜罐、Web蜜罐等等。

高交互：可以理解成一直忽悠攻击者，是根据分类的不同来设置不同的蜜罐

蜜罐产品：

识别原理：

https://mp.weixin.qq.com/s/jPz9hBmUypFyQlU27vglUg

识别技术：

搭建

大概了解组成功能等

https://hfish.net/#/

像这种，会自动开启4433端口，那么如果在端口扫描的过程中发现了，那就可以知道开了蜜罐了

在这里可以管理那些端口对应的是什么蜜罐

在这里就可以看到被攻击的信息

识别项目

1、https://github.com/graynjo/Heimdallr：

要把这个设置打开

识别到蜜罐就会提示，但是会误报，而且误报率很高

2、https://github.com/360quake/quake_rs：

初始化步骤

quake.exe init apikey值

quake.exe honeypot 目标

3、人工

(1)端口多而有规律性：

因为不能占用正常使用的端口而导致的

这就是端口多，会出现很多的端口

(2)Web访问协议就下载：

这个是充分条件，就是出现了就一定是蜜罐，但是蜜罐不全有这个东西

意思就是说，我们会搞mysql，ssh的蜜罐，给攻击者一个可以爆破的地方，按常理来说，web是无法访问mysql协议的网站的，请求是没法解析的，但是蜜罐的特性，爆破会记录攻击者的账号密码，然后账号密码使用jsonp（类似于跳转，重定向的技术）去传输，这个传输是个web功能，所以当你用web协议去请求这个蜜罐的时候，反而请求会被解析然后去下载

(3)设备指纹分析：

这个就是设备指纹分析，最后那一栏是返回值

4、网络空间

鹰图，Quake

本栏目推荐文章
• API架构风格
• Flex&Bison
• Windows Server 2016 & 2019 工作站速配脚本
• Windows 10 中，可以使用 PowerShell 添加打印和文件服务的角色功能组件，包括 Internet 打印客户端、LPD 打印服务和 LPR 端口监视器 PowerShell 添加打印机并创建新的 LPR 端口。以下是添加打印机和创建新端口的 PowerShell 命令在 Windows 10 中，可以使用 PowerShell 添加 LPR 兼容打印机。
• 银行业数据架构的前世今生
• 浅谈6种流行的API架构风格
• Spring Boot和 Spring Cloud的区别；单体架构与微服务架构的区别以及优缺点
• 软件架构实践 V2：第二章
• BS 架构 和 CS 架构
• 解析x86与x64：架构之争、性能较量与未来趋势

amp 蜜罐 端口 架构 主机amp蜜罐 端口 架构 amp端口 架构 资产 端口 流量 主机 端口 一行 命令 主机 端口 防火墙 主机 多域名 端口 虚拟主机 主机 宿主机 宿主 端口vmware 端口 主机k8s k8 端口 宿主机 宿主 容器 主机linux amp ip