第15天：信息打点-主机架构&蜜罐识别&WAF识别&端口扫描&协议识别&服务安全 正/反向代理

佬的：https://blog.csdn.net/wushangyu32335?type=blog

正/反向代理：

正：客户端——》服务器
反：服务器——> 服务器
大型网站用 Nginx 做反向代理，客户端访问www.xxx.com时，实际请求先到 Nginx，再由 Nginx 转发给后端的 Tomcat、Apache 等应用服务器。

知识点：

1、端口扫描-应用&协议
2、WAF识别-分类&识别
3、蜜罐识别-分类&识别
解决：
1、Web服务器&应用服务器差异性
2、WAF防火墙&安全防护&识别技术
3、蜜罐平台&安全防护&识别技术

补充：

开发语言：PHP、JAVA、Ruby、Python、C#，JS等
Web服务器：Apache（80）、Nginx、IIS、lighttpd等
应用服务器：Tomcat、Jboss、Weblogic（701）、Websphere等 （有端口的开放）
数据库类型：Mysql、SqlServer、Oracle、Redis、MongoDB等
操作系统信息：Linux、windows等
应用服务信息：FTP、SSH、RDP、SMB、SMTP、LDAP、Rsync等
CDN信息：帝联、Cloudflare、网宿、七牛云、阿里云等
WAF信息：创宇盾、宝塔、ModSecurity、玄武盾、OpenRASP等。
蜜罐信息：HFish、TeaPot、T-Pot、Glastopf等
其他组件信息：fastjson、shiro、log4j、OA办公等

端口扫描：

让你了解这个服务器安装了什么样的应用/服务

常见端口服务渗透用途

工具：Nmap Masscan 网络空间

Nmap：配置中：Quick scan plus是快速扫描，intense scan all TCP ports 是全部端口扫描
open close fillter(过滤)
Masscan：在目录下直接输入cmd，进行调用 语法：测试一个至多个端口是否开通masscan.exe -p 3307 47.75.212.155
测试多个端口：masscan.exe -p 1-65535 1.15.51.4
网络空间：fofa查询

一、 常见端口服务与渗透用途

协议/端口 服务名称 渗透测试用途与漏洞利用方向
TCP 20, 21 FTP 1. 允许匿名的上传/下载
2. 弱口令爆破
3. 流量嗅探
4. Windows 提权
5. 远程执行（ProFTPD 1.3.5）
6. 各类后门利用（ProFTPD, vsFTP 2.3.4）
TCP 22 （linux远程连接） SSH 1. 根据已搜集信息尝试弱口令爆破
2. SSH v1 版本中间人攻击
3. SSH 隧道及内网代理转发
4. SCP/SFTP 文件传输
TCP 23 Telnet 1. 弱口令爆破
2. 明文流量嗅探
3. 路由、交换机设备登录尝试
4. 弱口令枚举
TCP 25 SMTP 1. 邮件伪造
2. VRFY/EXPN 指令查询邮件用户信息
3. 使用 smtp-user-enum 工具自动化用户枚举
TCP/UDP 53 DNS 1. 区域传送（Zone Transfer）利用
2. DNS 劫持
3. DNS 缓存投毒
4. DNS 欺骗
5. 基于 DNS 隧道的远程控制
TCP/UDP 69 TFTP 1. 尝试下载目标设备各类重要配置文件（如网络设备配置）
TCP 80-89、443、8440-8450、8080-8089 Web 服务（88是宝塔）（80是http,443是https） 1. 经典 TopN 漏洞扫描
2. VPN、OWA、WebMail、目标 OA 系统渗透
3. 各类 Java 控制台利用
4. 各类服务器 Web 管理面板漏洞利用
5. 各类 Web 中间件漏洞利用
6. 各类 Web 框架漏洞利用
TCP 110 POP3 1. 弱口令爆破
2. 流量嗅探
TCP 111、2049 NFS 1. 权限配置不当漏洞利用
TCP 137、139、445 Samba 1. 弱口令爆破
2. 远程执行类漏洞利用（如 MS08-067、MS17-010）
3. 流量嗅探
TCP 143 IMAP 1. 弱口令爆破
UDP 161 SNMP 1. 默认团队字符串爆破
2. 搜集目标内网信息
TCP 389 LDAP 1. LDAP 注入攻击
2. 匿名访问权限利用
3. 弱口令爆破
TCP 512、513、514 Linux rexec/rlogin 1. 弱口令爆破
2. rlogin 直接登录尝试
TCP 873 Rsync 1. 匿名访问利用
2. 未授权文件上传
TCP 1194 OpenVPN 1. VPN 账号钓鱼获取
2. 利用账号进入目标内网
TCP 1352 Lotus 1. 弱口令爆破
2. 信息泄漏挖掘
3. 账号枚举
TCP 1433 (重要) SQL Server 1. SQL 注入攻击
2. 系统提权
3. sa 账号弱口令爆破
TCP 1521 Oracle 1. TNS 服务弱口令爆破
2. SQL 注入攻击
3. 反弹 Shell 利用
TCP 1500 ISPmanager 1. 弱口令爆破
TCP 1723 PPTP 1. 弱口令爆破
2. VPN 账号钓鱼获取，进而进入内网
TCP 2082、2083 cPanel 1. 弱口令爆破
TCP 2181 ZooKeeper 1. 未授权访问利用
TCP 2601、2604 Zebra 1. 默认密码（zerbra）登录尝试
TCP 3128 Squid 1. 弱口令爆破
TCP 3312、3311 kangle 1. 弱口令爆破
TCP 3306 (重要) MySQL 1. SQL 注入攻击
2. 系统提权
3. 弱口令爆破
TCP 3389（windows远程连接） Windows RDP 1. Shift 后门利用（需 Windows Server 2003 及以下系统）
2. 弱口令爆破
3. MS12-020 漏洞利用
TCP 3690 SVN 1. SVN 源码信息泄漏利用
2. 未授权访问利用
TCP 4848 GlassFish 1. 弱口令爆破
TCP 5000 Sybase/DB2 1. 弱口令爆破
2. SQL 注入攻击
TCP 5432 PostgreSQL 1. 弱口令爆破
2. SQL 注入攻击
3. 弱口令枚举
TCP 5900、5901、5902 VNC 1. 弱口令爆破
TCP 5984 CouchDB 1. 未授权访问导致的任意指令执行
TCP 6379 (重要) Redis 1. 未授权访问利用
2. 弱口令爆破
TCP 7001、7002 WebLogic 1. Java 反序列化漏洞利用
2. 弱口令爆破
TCP 7778 Kloxo 1. 主机面板登录弱口令爆破
TCP 8000 Ajenti 1. 弱口令爆破
TCP 8009 Tomcat Ajp 1. Tomcat-Ajp 协议漏洞利用
TCP 8443 Plesk 1. 弱口令爆破
TCP 8069 Zabbix 1. 远程执行漏洞利用
2. SQL 注入攻击
TCP 8080-8089 Jenkins、JBoss (8080是Tomcat) 1. Java 反序列化漏洞利用
2. 控制台弱口令爆破
TCP 9080-9081、9090 WebSphere () 1. Java 反序列化漏洞利用
2. 弱口令爆破
TCP 9200、9300 ElasticSearch 1. 远程执行漏洞利用
TCP 11211 Memcached 1. 未授权访问利用
TCP 27017、27018 (重要) MongoDB 1. 弱口令爆破
2. 未授权访问利用
TCP 50070、50030 Hadoop（大数据） 1. 默认端口未授权访问利用

****总结：网站常用80（http） 443 (https)
注意：WAF 内网环境
内网环境可能出现情况：明明数据库端口开的，网站也能正常打开，但是你对目标进行端口扫描，发现数据库端口没有开放（排除防火墙问题)

WAF识别

1:解释：

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。
利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
总结：学会认清现实，绕不过不要钻牛角尖 退了吧

2、WAF分类：

云WAF：百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等（中大型企业）
硬件WAF：绿盟、安恒、深信服、知道创宇等公司商业产品（政府，学习，军工）
软件WAF：宝塔，安全狗、D盾等（个人）
代码级WAF：自己写的waf规则，防止出现注入等，一般是在代码里面写死的（过滤）

3、识别看图：拦截页面，identywaf项目内置

wafw00f :

https://github.com/EnableSecurity/wafw00f
图片

安装：目录下打开cmd输入：python setup.py install
使用：安装后打开wafwoof目录下cmd输入：python main.py https://jmhewang.com/
注意：查询时候关闭代理，不然无法连接
图片

identywaf:
https://github.com/stamparm/identYwaf• 使用语法：python identYwaf.py https://jmhewang.com/

网络空间也可以

3、蜜罐识别-分类&识别：

蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。
安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。
攻击方可以通过蜜罐识别技术来发现和规避蜜罐。
因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。
蓝队：部署

蜜罐分类：

根据蜜罐与攻击者之间进行的交互的程度可以将蜜罐分为三类:
低交互蜜罐、中交互蜜罐、高交互蜜罐。
当然还可以根据蜜罐模拟的目标进行分类，比如：
数据库蜜罐、工控蜜罐、物联网蜜罐、Web蜜罐等等。

蜜罐识别（Quake 系统搜索语法）

难搞哎 看响应

蜜罐类型 Quake 搜索语法
STRUTS 蜜罐 app:"StrutsHoneypot"
CONPOT HTTP 蜜罐 app:"Conpot Http 蜜罐"
CONPOT MODBUS 蜜罐 app:"Conpot modbus 蜜罐"
CONPOT S7 蜜罐 app:"Conpot s7 蜜罐"
KIPPO 蜜罐 app:"kippo 蜜罐"
HONEYPY HTTP 蜜罐 app:"Honeypy Http 蜜罐"
HONEYPY ES 蜜罐 app:"Honeypy ES蜜罐"
AMUN IMAP 蜜罐 app:"amun imap 蜜罐"
AMUN HTTP 蜜罐 app:"amun http蜜罐"
NEPENTHES NETBIOS 蜜罐 app:"Nepenthes netbios蜜罐"
NEPENTHES FTP 蜜罐 app:"Nepenthes FTP 蜜罐"
SSHESAME SSH 蜜罐 app:"sshesame ssh 蜜罐"
OPENCANARY 蜜罐管理后台 app:"opencanary蜜罐管理后台"
DIONAEA SIPD 蜜罐 app:"Dionaea sipd 蜜罐"
DIONAEA SMBD 蜜罐 app:"Dionaea smbd 蜜罐"
DIONAEA HTTP 蜜罐 app:"Dionaea Http 蜜罐"
DIONAEA MSSQL 蜜罐 app:"Dionaea MSSQL 蜜罐"
DIONAEA FTP 蜜罐 app:"Dionaea ftp 蜜罐"
DIONAEA MEMCACHED 蜜罐 app:"Dionaea Memcached 蜜罐"
KOJONEY SSH 蜜罐 app:"Kojoney SSH 蜜罐"
WEBLOGIC 蜜罐 app:"weblogic蜜罐"
MYSQL 蜜罐 app:"MySQL蜜罐"
HFISH 蜜罐 app:"HFish蜜罐"
HFISH 蜜罐管理后台 app:"HFish蜜罐管理后台"
HONEYTHING 物联网蜜罐 app:"honeything物联网蜜罐"
ELASTICSEARCH 蜜罐 app:"elasticsearch蜜罐"
HOSTUS 蜜罐 app:"HostUS蜜罐"
WHOISSCANME 蜜罐 app:"whoisscanme蜜罐"
未知蜜罐 app:"未知蜜罐"
COWRIE TELNETD 蜜罐 app:"Cowrie telnetd蜜罐"
GLASTOPF 蜜罐 app:"glastopf蜜罐"

蜜罐产品：

图片

识别原理：

web协议访问3306端口（MYSQL）时可能会下载，因为json传输

ssh mysq1应用蜜罐 搞一个可以爆破的地方爆破
蜜罐会记录攻击者的账号
密码账号密码会采用web jsonp去传输
当你去webhttp去访问这个端口采用协议去下载文件
就会弹出下载
https://mp.weixin.qq.com/s/jPz9hBmUypFyQlU27vglUg

posted @ 2026-01-16 09:14  liumiya  阅读(3)  评论(0)    收藏  举报