第15天：信息打点-主机架构&蜜罐识别&WAF识别&端口扫描&协议识别&服务安全_插件识别 蜜罐

第十五天

本课意义

1.Web服务器&应用服务器差异性
2.WAF防火墙&安全防护&识别技术
3.蜜罐平台&安全防护&识别技术

一、端口扫描-应用&协议

意义：

了解服务器上开放的东西，让自己的渗透思路更开阔。针对网站就使用网站的渗透思路，针对服务器就使用服务器的渗透思路

扫描范围：

• Web中间件探针

• 应用中间件探针

• 数据库类型探针

• 其他服务协议探针

---

中间件

1. Web服务器：浏览器F12中的数据包回显的Server，代表的就是服务器信息
2. 应用服务器：特点为端口服务的开放，判定应用服务器要用到端口扫描，使用端口扫描来判断服务是否存在
3. 类型

Web服务器：Apache、Nginx、IIS、lighttpd等

应用服务器：Tomcat、Jboss、Weblogic、Websphere等

1.端口扫描：

1. Nmap、Masscan、网络空间
2. 开放状态：关闭：Close 开放：Open 受到防火墙保护：Filtered
3. https://nmap.org/download.html
4. https://github.com/robertdavidgraham/masscan

---

2.使用参考：

https://blog.csdn.net/qq_53079406/article/details/125266331

https://blog.csdn.net/qq_53079406/article/details/125263917

编译masscan：https://www.cnblogs.com/lzy575566/p/15513726.html

---

考虑：

1. 防火墙
2. 内网环境

内网环境可能出现情况：明明数据库端口开的，网站也能正常打开，但是你对目标进行端口扫描，发现数据库端口没有开放（排除防火墙问题）

---

二、WAF识别-分类&识别

1.WAF解释：

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

---

2.WAF分类：

1. 云WAF：百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等
2. 硬件WAF：绿盟、安恒、深信服、知道创宇等公司商业产品
3. 软件WAF：宝塔，安全狗、D盾等
4. 代码级WAF：自己写的waf规则，防止出现注入等，一般是在代码里面写死的

---

3.识别看图：

拦截页面，identywaf项目内置

---

4.识别项目：

• wafw00f

https://github.com/EnableSecurity/wafw00f

• identywaf

https://github.com/stamparm/identYwaf

---

三、蜜罐识别-分类&识别

1.蜜罐解释：

蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。

---

2.蜜罐分类：

根据蜜罐与攻击者之间进行的交互的程度可以将蜜罐分为三类:低交互蜜罐、中交互蜜罐、高交互蜜罐。当然还可以根据蜜罐模拟的目标进行分类，比如：数据库蜜罐、工控蜜罐、物联网蜜罐、Web蜜罐等等。

---

3.蜜罐产品：

4.识别原理：

https://mp.weixin.qq.com/s/jPz9hBmUypFyQlU27vglUg

---

5.识别技术：

1.测试

大概了解组成功能等

https://hfish.net/#/

---

2.项目

项目识别

https://github.com/graynjo/Heimdallr

https://github.com/360quake/quake_rs

quake.exe init apikey值

quake.exe honeypot 目标

---

3.人工

1. 端口多而有规律性
2. Web访问协议就下载
3. 设备指纹分析（见上图）

---

5.蜜罐问题

1. 设计ssh mysql应用蜜罐——>搞一个可以尝试爆破的地方

2. 爆破——>蜜罐会记录攻击者的账号密码

3. 账号密码会采用web jsonp去传输(还是使用web功能来实现的蜜罐)

4. 转发 跳转 jsonp，对数据做了一个中转 ，在设计中，会对输入的账号密码使用了jsonp技术进行实现，所以导致了网页的下载

5. 当你去web http去访问这个端口——>采用协议去下载文件，正常情况是不会被解析的，因为采用了Web协议所以导致网页被下载了

---

四、环境复现

1.识别-Web服务器-请求返回包

1.使用F12对网页上的数据包进行查看

---

2.识别-应用服务器-端口扫描技术

1.使用nmap对网站进行端口扫描

2.使用massan对网站进行端口扫描

3.使用FOFA对网站进行端口扫描

---

3.识别-其他服务协议-端口扫描技术

1.对扫描出来的端口进行查看，分辨不同的端口所开放的不同的服务和协议

4.识别-WAF防火墙-看图&项目&指纹

1.使用鹰图对WAF进行识别

2.查看各种有WAF防护的网站所展示的图片

---

5.识别-蜜罐平台-人工&网络空间&项目

1.部署蜜罐产品

2.根据蜜罐产品对相应端口部署的蜜罐逐一进行测试查看蜜罐效果

3.安装浏览器插件Heimdallr对网站是否部署蜜罐进行识别

4.去鹰图平台搜索部署了蜜罐的网站

---