信息打点-WEB应用-设备平台
WEB应用
5.设备平台
5.1端口扫描
5.2WAF
5.2.1WAF介绍
5.2.2WAF分类
5.2.3WAF识别
5.3蜜罐
5.3.1蜜罐介绍
5.3.2蜜罐攻防交互分类
5.3.3蜜罐功能分类
5.3.4蜜罐识别
5.4CDN
5.4.1CDN介绍
5.4.2CDN识别
5.4.3CDN绕过
5.4.4Hosts文件
5.设备平台
5.1端口扫描
工具下载地址
nmap : https://nmap.org/download.html
masscan : https://github.com/robertdavidgraham/masscan
网络空间 : 比如fofa、360夸克等等
工具使用教程文章
nmap : https://blog.csdn.net/qq_53079406/article/details/125263917
masscan : https://blog.csdn.net/qq_53079406/article/details/125266331
编译masscan：https://www.cnblogs.com/lzy575566/p/15513726.html
| 端口 | 服务 | 渗透用途 |
|---|---|---|
| tcp 20,21 | FTP | 允许匿名的上传下载,爆破,嗅探,win提权,远程执行(proftpd 1.3.5),各类后门(proftpd,vsftp 2.3.4) |
| tcp 22 | SSH | 可根据已搜集到的信息尝试爆破,v1版本可中间人,ssh隧道及内网代理转发,文件传输等等 |
| tcp 23 | Telnet | 爆破,嗅探,一般常用于路由,交换登陆,可尝试弱口令 |
| tcp 25 | SMTP | 邮件伪造,vrfy/expn查询邮件用户信息,可使用smtp-user-enum工具来自动跑 |
| tcp/udp 53 | DNS | 允许区域传送,dns劫持,缓存投毒,欺骗以及各种基于dns隧道的远控 |
| tcp/udp 69 | TFTP | 尝试下载目标及其的各类重要配置文件 |
| tcp 80-89,443,8440-8450,8080-8089 | 各种常用的Web服务端口 | 可尝试经典的topn,,owa,webmail,目标oa,各类Java控制台,各类服务器Web管理面板,各类Web中间件漏洞利用,各类Web框架漏洞利用等等…… |
| tcp 110 | POP3 | 可尝试爆破,嗅探 |
| tcp 111,2049 | NFS | 权限配置不当 |
| tcp 137,139,445 | Samba | 可尝试爆破以及smb自身的各种远程执行类漏洞利用,如,ms08-067,ms17-010,嗅探等…… |
| tcp 143 | IMAP | 可尝试爆破 |
| udp 161 | SNMP | 爆破默认团队字符串,搜集目标内网信息 |
| tcp 389 | LDAP | ldap注入,允许匿名访问,弱口令 |
| tcp 512,513,514 | Linux rexec | 可爆破,rlogin登陆 |
| tcp 873 | Rsync | 匿名访问,文件上传 |
| tcp 1194 | OpenVPN | 想办法钓VPN账号,进内网 |
| tcp 1352 | Lotus | 弱口令,信息泄漏,爆破 |
| tcp 1433 | SQL Server | 注入,提权,sa弱口令,爆破 |
| tcp 1521 | Oracle | tns爆破,注入,弹shell… |
| tcp 1500 | ISPmanager | 弱口令 |
| tcp 1723 | PPTP | 爆破,想办法钓VPN账号,进内网 |
| tcp 2082,2083 | cPanel | 弱口令 |
| tcp 2181 | ZooKeeper | 未授权访问 |
| tcp 2601,2604 | Zebra | 默认密码zerbra |
| tcp 3128 | Squid | 弱口令 |
| tcp 3312,3311 | kangle | 弱口令 |
| tcp 3306 | MySQL | 注入,提权,爆破 |
| tcp 3389 | Windows rdp | shift后门[需要03以下的系统],爆破,ms12-020 |
| tcp 3690 | SVN | svn泄露,未授权访问 |
| tcp 4848 | GlassFish | 弱口令 |
| tcp 5000 | Sybase/DB2 | 爆破,注入 |
| tcp 5432 | PostgreSQL | 爆破,注入,弱口令 |
| tcp 5900,5901,5902 | VNC | 弱口令爆破 |
| tcp 5984 | CouchDB | 未授权导致的任意指令执行 |
| tcp 6379 | Redis | 可尝试未授权访问,弱口令爆破 |
| tcp 7001,7002 | WebLogic | Java反序列化,弱口令 |
| tcp 7778 | Kloxo | 主机面板登录 |
| tcp 8000 | Ajenti | 弱口令 |
| tcp 8009 | tomcat Ajp | Tomcat-Ajp协议漏洞 |
| tcp 8443 | Plesk | 弱口令 |
| tcp 8069 | Zabbix | 远程执行,SQL注入 |
| tcp 8080-8089 | Jenkins,JBoss | 反序列化,控制台弱口令 |
| tcp 9080-9081,9090 | WebSphere | Java反序列化/弱口令 |
| tcp 9200,9300 | ElasticSearch | 远程执行 |
| tcp 11211 | Memcached | 未授权访问 |
| tcp 27017,27018 | MongoDB | 爆破,未授权访问 |
| tcp 50070,50030 | Hadoop | 默认端口未授权访问 |
5.2WAF
5.2.1WAF介绍
WAF是Web应用防火墙（Web Application Firewall）的简称，对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，为Web应用提供防护，也称作应用防火墙，是网络安全纵深防御体系里重要的一环。WAF属于检测型及纠正型防御控制措施。
5.2.2WAF分类
云WAF : 百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等
硬件WAF : 绿盟、安恒、深信服、知道创宇等公司商业产品
软件WAF : 宝塔，安全狗、D盾等
代码级WAF : 自己写的waf规则，防止出现注入等，一般是在代码里面写死的
5.2.3WAF识别
1.拦截页面
和平常的404不一样 , 详细拦截图片参考下面文章 :
https://blog.csdn.net/csdnmmd/article/details/122721133
2.WAF识别工具
wafw00f : https://github.com/EnableSecurity/wafw00f 安装教程参考5.2.3.1中的链接
identYwaf : https://github.com/stamparm/identywaf
工具原理
识别WAF，可以在WAF指纹目录下自行编写脚本。这类WAF识别工具的原理基本都是根据HTTP头部信息、状态码以及WAF拦截页中的图片、文字作为特征来进行检测
5.3蜜罐
5.3.1蜜罐介绍
蜜罐是一种安全威胁的防御技术，其本质在于主动暴露一些漏洞去引诱和欺骗攻击者，并且通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。
5.3.2蜜罐攻防交互分类
低交互蜜罐 : 低交互蜜罐通常是最容易安装、配置、部署和维护的，它的设计和基本功能都很简单，只是模拟各种服务，攻击者仅限于与预先指定的服务进行交互。
例如，一个低交互的蜜罐可以用来模拟一个标准的Linux服务器，在Linux服务器中正在运行的FTP、SMTP和TELNET等服务。攻击者可以通过远程连接到这个蜜罐，并且获得服务的登录提示，然后通过猜测或暴力破解进行登录尝试，蜜罐将捕获并且收集这些登录尝试，攻击者与蜜罐的交互仅限于登录尝试，并不能登录到这个系统。
中交互蜜罐 : 中交互蜜罐为攻击者提供了比低交互蜜罐更多的交互能力，如提高一些低交互蜜罐无法提高的响应，但比高交互蜜罐的功能少。
例如，可以通过构建一个中交互蜜罐来模拟一个web服务器，并且呈现出蠕虫病毒攻击所需的漏洞，无论何时攻击者与蜜罐建立http连接，蜜罐都会进行响应，使攻击者有机会与模拟的web服务器进行交互。这种交互的程度比低交互的蜜罐交互程度高。在低交互的蜜罐中，攻击者可能只会获得一个http的响应提示。在蠕虫蜜罐的例子中，可以捕获攻击行为的有效载荷，以便对攻击行为进行分析。
高交互蜜罐 : 高交互蜜罐可以为构建者提供大量攻击者的信息，构建和维护非常的耗费时间，而且风险极高，在高交互性的蜜罐中，攻击者可以对真实的操作系统进行访问，系统中有着最真实的漏洞，记录下的入侵信息也都是最真实的。
5.3.3蜜罐功能分类
1.WEB蜜罐
在 Web 安全攻防对抗中，攻击模式一般分为两种：非定向 Web 攻击和定向 Web 攻击。
非定向 Web 攻击
通常由自动化脚本发起攻击，人为参与低。
应对这种攻击，低交互蜜罐足以应对。
蜜罐部署上，蜜罐部署在公网。
定向 Web 攻击
攻击多由攻击者亲身参与，攻击目标明确。
应对这种攻击，使用高交互蜜罐，足够真实。
蜜罐部署上，部署在组织的防火墙后面。
2.工控蜜罐
随着物联网的发展，研究人员发现了大量的工控设备漏洞，一些黑客使用Shodan、Zoomeye、Fofa等搜索引擎，可以快速探查特定组织暴露在网络空间中的设备资产，我们使用工控蜜罐能够欺骗这些网络资产搜索引擎，作为以攻击者视角构建的陷阱，延迟和迷惑黑客的攻击，在提高主动防御能力、获取基础威胁情报和辅助决策支撑等方面提供帮助。
3.数据库蜜罐
用来监控攻击者对数据库的攻击命令或发现利用sql注入进行的攻击。运营人员可以将访问次数据库的所有ip直接ban掉。
4.物联网蜜罐
通过对物联网终端系统进行高相似度的仿真，诱骗攻击者对虚拟终端实施攻击意图，捕获到更多有价值的攻击样本，加强系统安全防护。
5.3.4蜜罐识别
1、项目识别
https://github.com/graynjo/Heimdallr
https://github.com/360quake/quake_rs
quake.exe init apikey值
quake.exe honeypot 目标
2、人工
*端口多而有规律性
*Web访问协议就下载
*设备指纹分析（见上图）
3、网络空间
鹰图，Quake
| 蜜罐 | Quake系统搜索语法 |
|---|---|
| STRUTSHONEYPOT | app:“StrutsHoneypot” |
| CONPOT HTTP 蜜罐 | app:“Conpot Http 蜜罐” |
| CONPOT MODBUS 蜜罐 | app:“Conpot modbus 蜜罐” |
| CONPOT S7 蜜罐 | app:“Conpot s7 蜜罐” |
| KIPPO 蜜罐 | app:“kippo 蜜罐” |
| HONEYPY HTTP 蜜罐 | app:“Honeypy Http 蜜罐” |
| HONEYPY ES****蜜罐 | app:“Honeypy ES蜜罐” |
| AMUN IMAP 蜜罐 | app:“amun imap 蜜罐” |
| AMUN HTTP****蜜罐 | app:“amun http蜜罐” |
| NEPENTHES NETBIOS****蜜罐 | app:“Nepenthes netbios蜜罐” |
| NEPENTHES FTP 蜜罐 | app:“Nepenthes FTP 蜜罐” |
| SSHESAME SSH 蜜罐 | app:“sshesame ssh 蜜罐” |
| OPENCANARY****蜜罐管理后台 | app:“opencanary蜜罐管理后台” |
| DIONAEA SIPD 蜜罐 | app:“Dionaea sipd 蜜罐” |
| DIONAEA SMBD 蜜罐 | app:“Dionaea smbd 蜜罐” |
| DIONAEA HTTP 蜜罐 | app:“Dionaea Http 蜜罐” |
| DIONAEA MSSQL 蜜罐 | app:“Dionaea MSSQL 蜜罐” |
| DIONAEA FTP 蜜罐 | app:“Dionaea ftp 蜜罐” |
| DIONAEA MEMCACHED 蜜罐 | app:“Dionaea Memcached 蜜罐” |
| KOJONEY SSH 蜜罐 | app:“Kojoney SSH 蜜罐” |
| WEBLOGIC****蜜罐 | app:“weblogic蜜罐” |
| MYSQL****蜜罐 | app:“MySQL蜜罐” |
| HFISH****蜜罐 | app:“HFish蜜罐” |
| HFISH****蜜罐管理后台 | app:“HFish蜜罐管理后台” |
| HONEYTHING****物联网蜜罐 | app:“honeything物联网蜜罐” |
| ELASTICSEARCH****蜜罐 | app:“elasticsearch蜜罐” |
| HOSTUS****蜜罐 | app:“HostUS蜜罐” |
| WHOISSCANME****蜜罐 | app:“whoisscanme蜜罐” |
| 未知蜜罐 | app:“未知蜜罐” |
| COWRIE TELNETD****蜜罐 | app:“Cowrie telnetd蜜罐” |
| GLASTOPF****蜜罐 | app:“glastopf蜜罐” |
5.4CDN
5.4.1CDN介绍
CDN是什么 ?
CDN全称 Content Delivery Network , 即内容分发网络 , CDN是构建在现有网络基础之上的智能虚拟网络 , 依靠部署在各地的边缘服务器 , 通过中心平台的负载均衡、内容分发、调度等功能模块, 使用户就近获取所需内容 , 降低网络拥塞 , 提高用户访问响应速度和命中率。CDN的关键技术主要有内容存储和分发技术。
为什么要绕过CDN ?
因为边缘服务器存储的内容较少 , 所以我们要找到源服务器获得主机的更多信息。以便于接下来的渗透工作
补充知识点 :
1.传统访问：用户访问域名–>解析服务器IP–>访问目标主机
2.普通CDN：用户访问域名–>CDN节点–>真实服务器IP–>访问目标主机
3.带WAF的CDN：用户访问域名–>CDN节点（WAF）–>真实服务器IP–>访问目标主机
5.4.2CDN识别
1.使用Linux的nslookup命令
2.超级ping : https://ping.chinaz.com/ http://17ce.com/
如果ping检测 , 一个域名有多个不同的IP , 就说明存在CDN服务
3.Hosts文件中进行域名和IP之间的绑定 , 看是否能正常访问 , 访问成功说明是真实IP
5.4.3CDN绕过
1.子域名查询
所以很多站长可能只会在主站或者流量大的子站做一个CDN，而很多小站子站跟主站在同一个服务器或者同C段，此时可以通过子域对应的IP查询，帮助找到真实IP站点。
微步在线 : https://x.threatbook.cn/
上面提到的微步在线功能强大，黑客只需输入域名即可查找（如baidu.com），点击子域选项即可找到其子域，但免费用户每月只有5次免费查询机会。
Dnsdb : https://dnsdb.io/zh-cn/
黑客只需要输入baidu.com TYPE:A就可以收集到百度的子域名和IP。
Google : https://www.google.com/
谷歌站点：baidu.com-www 可以看到除WWW以外的子域
子域扫描器
Layer子域名挖掘机和lijiejie的subdomain那个工具都很不错
推荐长亭的xray
2.DNS历史记录 , 以量打量
站点在使用CDN服务之前，它的真实IP地址可能被DNS服务器所记录到，此时我们就可以通过DNS历史记录找到目标真实IP。
微步在线 : https://x.threatbook.cn/
Dnsdb : https://dnsdb.io/zh-cn/
Netcraft : https://sitereport.netcraft.com/
IPIP : https://tools.ipip.net/cdn.php
借助Securitytrails平台（https://securitytrails.com/）
攻击者可以查明真实的原始IP。他们只需在搜索字段中输入站点域名并按 ENTER，即可在左侧菜单中找到“历史数据”。
如何找到隐藏在 CloudFlare 或 Tor 背后的真实原始 IP？
除了过去的 DNS 记录，即使是当前的记录也可能泄露原始服务器 IP。例如，MX 记录是查找 IP 的常用方法。如果网站在与 Web 相同的服务器和 IP 上托管自己的邮件服务器，则原始服务器 IP 将在 MX 记录中。
而“以量打量”就是常说的ddos攻击或者说是流量耗尽攻击，在网上开CDN的时候，都会分地区流量，就比如这个节点有100M流量，当这流量用完后，用户再访问就会访问网站真实的ip地址。
3.国外访问
由于一些站点的服务对象都是在国内 , 或者因为成本原因 , 所以在国外没有CDN服务 , 如果用国外的服务器去请求站点的话 , 则会访问到站点的真实IP
工具地址 : https://tools.ipip.net/cdn.php
4.邮件头
一些站点的邮箱服务可能来自于真实的IP , 通过绑定邮箱或者验证 , 站点发送过来邮件 , 查看邮件的详情-更多-查看信头 来查看到真实的IP
5.遗留文件,扫描全网
一些站点在搭建之初，会用一些文件测试站点，例如“phpinfo()”文件，此类文件里就有可能包含了真实的IP地址。可以利用Google搜索引擎搜索关键字“site:xxx.com inurl:phpinfo.php”，搜索站点是否有遗留文件
扫描工具：fuckcdn，zmap等
5.4.4Hosts文件
1.Hosts介绍
hosts是一个没有扩展名的系统文件 , 作用是将常用的网站域名与IP地址做一个关联映射 , 当用户在浏览器访问域名时 , 系统会先从hosts文件中寻找对应的域名关联的IP地址 , 找到系统就会立即打开对应网页，如果没有找到，则系统会将网址提交 DNS 域名解析服务器进行 IP 地址的解析。
2.Hosts文件的作用
加快域名解析
构建映射关系
屏蔽垃圾网站 : 利用hosts文件把垃圾网站的域名映射到错误的IP或者本地IP上 , 就可以达到禁止访问的效果