知识点

1. 端口扫描-应用&协议
2. WAF识别-分类&识别
3. 蜜罐识别-分类&识别

解决：

1. Web服务器&应用服务器差异性
2. WAF防火墙&安全防护&识别技术
3. 蜜罐平台&安全防护&识别技术

补充：

• 开发语言——PHP、JAVA、Ruby、Python、C#，JS等
• 中间件
  • Web服务器——Apache、Nginx、IIS、lighttpd等
  • 应用服务器——Tomcat、Jboss、Weblogic、Websphere等
• 数据库类型——Mysql、SqlServer、Oracle、Redis、MongoDB等
• 操作系统信息——Linux、windows等
• 应用服务信息——FTP、SSH、RDP、SMB、SMTP、LDAP、Rsync等
• WAF信息——创宇盾、宝塔、ModSecurity、玄武盾、OpenRASP等。
• 蜜罐信息——HFish、TeaPot、T-Pot、Glastopf等

常用端口

演示案例

识别-Web服务器-请求返回包&应用服务器-端口扫描技术&其他服务协议-端口扫描技术

-Web中间件探针
-应用中间件探针
-数据库类型探针
-其他服务协议探针
端口扫描：Nmap、Masscan、网络空间
开放状态：Close Open Filtered
nmap：https://nmap.org/download.html
masscan：https://github.com/robertdavidgraham/masscan

nmap使用参考：https://blog.csdn.net/qq_53079406/article/details/125263917
masscan使用参考：https://blog.csdn.net/qq_53079406/article/details/125266331

由于下载masscan之后是源码，所以需要进行编译生成exe之后方可使用
编译masscan参考链接：https://www.cnblogs.com/lzy575566/p/15513726.html
考虑：1、防火墙 2、内网环境
内网环境可能出现情况：明明数据库端口开的，网站也能正常打开，但是你对目标进行端口扫描，发现数据库端口没有开放（排除防火墙问题）

识别-WAF防火墙-看图&项目&指纹

WAF解释

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

WAF分类

• 云WAF：百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等——中大型企业或有实力的黑产使用
• 硬件WAF：绿盟、安恒、深信服、知道创宇等公司商业产品
• 软件WAF：宝塔，安全狗、D盾等——个人网站，小中型企业或小型黑产常用
• 代码级WAF：自己写的waf规则，防止出现注入等，一般是在代码里面写死的

识别看图

拦截页面，identywaf项目内置

识别项目

• wafw00f——https://github.com/EnableSecurity/wafw00f
  • eg：
    • 安全狗网站示例：https://jmhewang.com/about.asp?ClassID=7

      PS W:\wafw00f-2.2.0\wafw00f>python main.py https://jmhewang.com/
       ~ WAFW00F : v2.2.0 ~
      The Web Application Firewall Fingerprinting Toolkit
      [*] Checking https://jmhewang.com/
      [+] The site https://jmhewang.com/ is behind Safedog (SafeDog) WAF.
      [~] Number of requests: 2

    • 360WangZhanBao网站示例：http://223.111.128.103:9808/

      PS W:\wafw00f-2.2.0\wafw00f>python main.py http://223.111.128.103:9808/
      ~ WAFW00F : v2.2.0 ~
      The Web Application Firewall Fingerprinting Toolkit
      [*] Checking http://223.111.128.103:9808/
      [+] The site http://223.111.128.103:9808/ is behind 360WangZhanBao (360 Technologies) WAF.
      [~] Number of requests: 2

• identywaf——https://github.com/stamparm/identYwaf
  • eg:
    • 安全狗示例：

      PS W:\identYwaf-master> python identYwaf.py https://jmhewang.com/
      [o] initializing handlers...
      [i] checking hostname 'jmhewang.com'...
      [i] running basic heuristic test...
      [i] rejected summary: 200 ('<title>网站防火墙</title>')
      [+] non-blind match: 'Safedog'
      [i] running payload tests... (45/45)
      [=] results: '.xx.xxxxx..xxxxxxxx.xxx.x...x.xxx......x..xxx'
      [=] hardness: hard (60%)
      [=] blocked categories: SQLi, XSS, XPATHi, XXE, PHPi, PT
      [=] signature: '90fa:RVZXu261OEhCWapBYKcPk4JzWOpohM4JiUcMr2RXg1uQJbX3uhdOnthtOj+hX7AA16FcPhJOdLoXo2tKaK99n+i7c4RmkgI2FZjxtDtAeq+c3qA4chW1XaTD' 
      [+] blind match: 'Safedog' (100%)

识别-蜜罐平台-人工&网络空间&项目

蜜罐解释

蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。

蜜罐分类

根据蜜罐与攻击者之间进行的交互的程度可以将蜜罐分为三类:低交互蜜罐、中交互蜜罐、高交互蜜罐。当然还可以根据蜜罐模拟的目标进行分类，比如：数据库蜜罐、工控蜜罐、物联网蜜罐、Web蜜罐等等。

蜜罐产品

识别原理

https://mp.weixin.qq.com/s/jPz9hBmUypFyQlU27vglUg

识别技术

测试

大概了解组成功能等
一个简单的蜜罐：https://hfish.net/#/

项目识别

• 浏览器插件识别：https://github.com/graynjo/Heimdallr 存在误报，准确率不是很高
• quake识别：https://github.com/360quake/quake_rs 需要有quake积分，但是推荐使用
  • 使用前步骤：
    1. quake.exe init apikey值
    2. quake.exe honeypot 目标

人工识别

• 端口多而有规律性
• Web访问协议就下载
  • 蜜罐模仿ssh，mysql等应用蜜罐时（搞一个开源爆破的地方），蜜罐会记录攻击者爆破的账户密码，而这些数据会通过web jsonp来传输数据，而当直接访问这个端口时，会直接采用web协议将其下载下来，而正常的网站则无法正常访问该端口
• 设备指纹分析
  
  

网络空间

鹰图，Quake

参考

学习内容均来自小迪安全系列课程：http://xiaodi8.com/