Day4 基础入门-Web应用&蜜罐系统&堡垒机运维&API内外接口&第三方拓展架构&部署影响

蜜罐：https://hfish.net/

测试系统：Ubuntu 20.04
一键安装：bash <(curl -sS -L https://hfish.net/webinstall.sh)
有害影响：用来钓鱼或诱惑测试人员的防护系统

买服务器的步骤就不说了，直接买吧

然后使用xshell先进行连接，我们打开我们蜜罐网站的官网

很帅的看一下帮助文档

一条命令即可搭建，然后等一会等他搭建完成

访问后台
登陆链接：https://[ip]:4433/web/
账号：admin
密码：HFish2021
以上为默认账号密码，然后我们进去第一件事就是改密码

然后再次登录

可以看到这个开了八个蜜罐，蜜罐其实就是虚拟的web端，当我们攻击的时候如果能扫到弱口令，但是登陆不进去，使得后台HFish有记录攻击者的IP

蜜罐如上，对安全渗透的影响就是用来钓鱼或诱惑测试人员的防护系统，就是红队最不想看到的

堡垒机：https://www.jumpserver.org/

测试系统：Ubuntu 20.04
一键安装：curl -sSL https://resource.fit2cloud.com/jumpserver/jumpserver/releases/latest/download/quick_start.sh | bash
有利影响：Web应用或其他应用提供给测试人员一个能获取到价值信息的系统

堡垒机是运维用的

我们直接一条命令部署curl -sSL https://resource.fit2cloud.com/jumpserver/jumpserver/releases/latest/download/quick_start.sh | bash
堡垒机是我们想看到的东西，因为如果打进去，就可以获取很多信息。

我们这边已经搭建好了，访问一下80端口，搭建之前记得把刚才搭建的蜜罐关掉，不然会占用端口导致端口冲突

可以看到我们这边已经搭建好了

这边给出的密码是ChangMe，然后默认登陆账号是admin，我修改密码为123456然后登录

登录进去之后可以看到控制台

随便创建一个

类似于这样，就是资产管控平台，上面收纳了我们有的机器和账号密码啥的，堡垒机就是这样一个管理资产的模板平台
waf不仅仅是保护我们的网站同时如果waf出现漏洞那也是我们的突破口

API接口：是一个允许不同软件应用程序之间进行通信和数据交换的接口。API定义了一组规则和协议，软件开发者可以使用这些规则和协议来访问操作系统、库、服务或其他应用程序的功能。

1、Web API:
通过HTTP协议进行通信的API，常用于Web服务和应用程序。
例如，RESTful API、GraphQL API。

2、库和框架API:
提供特定编程语言或框架功能的API，供开发者在应用程序中使用。
例如，Java API、Python标准库。

3、操作系统API:
提供操作系统功能访问的API。
例如，Windows API、POSIX API。

4、远程API:
允许在网络上远程访问服务的API。
例如，SOAP API、XML-RPC API。

例子：
内部API：比如我自己开发了一个收银系统，使用API接口可以查询到顾客数据，收入支付，销售提成等
外部API：比如我自己搭建了一个网站应用，功能需求有要借助到外部的资源，如地图，归属地，短信收发等

有利影响：
内部API：Web应用提供给测试人员一个能获取到价值信息的接口
例子:从内部提供的数据的接口

外部API：可以借助提供的API获取到当前网站不想让你获取的信息
例子:不用xxx会员也能实现xxx的搜索或者解析视频，本质上是调用的是会员的api
原理:网站中集成了会员

分析API的目录结构、接口命名规则、参数命名规则、功能和业务逻辑等，
根据这些信息可以进行接口枚举和参数枚举，进而可以进行相关的漏洞测试。

拓展应用：防火墙 消息队列 分布式等

ActiveMQ Redis Memcache Jenkins等漏洞
https://mp.weixin.qq.com/s/SEjxrUgiIIK2bveSBz6mTg
https://www.yuque.com/u25571586/dyaqbugs?# 密码：xnzx
有利影响：搭建越多应用即方便了运维也提供给测试人员更多机会

web架构

1、操作系统

Linux（必备）、微软

2、负载均衡

DNS、F5、LVS、Nginx、OpenResty、HAproxy、负载均衡SLB（阿里云）

3、分布式框架

Dubbo、Motan、Spring-Could

4、数据库中间件

DRDS （阿里云）、Mycat、360Atlas、Cobar (不维护了)

5、消息队列

RabbitMQ、ZeroMQ、Redis、ActiveMQ、Kafka

6、注册中心

Zookeeper、Redis

7、缓存

Redis、Oscache、Memcache、Ehcache

8、集成部署

Docker、Jenkins、Git、Maven

9、存储

OSS、NFS、FastDFS、MogileFS

10、数据库

MySql、Redis、MongoDB、PostgreSQL、Memcache、HBase

11、网络

专用网络VPC、弹性公网IP、CDN
以上虽然都是web架构的工具但是工具中可能存在漏洞，所以在资产收集的时候，我们也需要进行收集