DBA技术栈MongoDB：简介

015-信息打点-主机架构&蜜罐识别&WAF识别&端口扫描&协议识别&服务安全

#知识点：

#补充：

演示案例：

#识别-Web服务器-请求返回包

#识别-应用服务器-端口扫描技术

#识别-其他服务协议-端口扫描技术

• 首先选择要扫描的网址或域名：小迪渗透吧-提供最专业的渗透测试培训,web安全培训,网络安全培训,代码审计培训,安全服务培训,CTF比赛培训,SRC平台挖掘培训,红蓝对抗培训！_小迪安全,小迪渗透,小迪培训 (xiaodi8.com)

• 利用浏览器自带的检查抓包，查看表头可以获取一定的中间件服务信息但不全面

• 采用端口扫描：

  • Nmap：配置中：Quick scan plus是快速扫描，intense scan all TCP ports 是全部端口扫描

  

  • Masscan：在目录下直接输入cmd，进行调用 语法：测试一个至多个端口是否开通masscan.exe -p 3307 47.75.212.155 测试多个端口：masscan.exe -p 1-65535 1.15.51.4

  

  

  • 网络空间：直接查询即可

  

  

遇到的问题：Zenmap扫描时报错:’utf8’ codec can’t decode byte 0xc1 in position 0:invalid start byte。

原因是：环境变量有中文，无法解析

解决方式：使用虚拟机，英文用户安装即可

端口扫出的作用：可以直接选用带有http的端口粘贴在域名后进行访问

考虑：1、防火墙 2、内网环境
内网环境可能出现情况：明明数据库端口开的，网站也能正常打开，但是你对目标进行端口扫描，发现数据库端口没有开放（排除防火墙问题）

#识别-WAF防火墙-看图&项目&指纹

1、WAF解释：

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

学会认清现实，绕不过不要钻牛角尖

2、WAF分类：

3、识别看图：拦截页面，identywaf项目内置

4、识别项目：

wafw00f

https://github.com/EnableSecurity/wafw00f

• **安装：目录下打开cmd输入：python setup.py install
• **使用：安装后打开wafwoof目录下cmd输入：python main.py https://jmhewang.com/
• 注意：查询时候关闭代理，不然无法连接

identywaf

https://github.com/stamparm/identYwaf

• 使用语法：python identYwaf.py https://jmhewang.com/

#识别-蜜罐平台-人工&网络空间&项目

蜜罐解释：

蜜罐是一种安全威胁的检测技术，其本质在于引诱和欺骗攻击者，并且通过记录攻击者的攻击日志来产生价值。安全研究人员可以通过分析蜜罐的被攻击记录推测攻击者的意图和手段等信息。攻击方可以通过蜜罐识别技术来发现和规避蜜罐。因此，我们有必要站在红队攻击者的角度钻研蜜罐识别的方式方法。

蜜罐分类：

根据蜜罐与攻击者之间进行的交互的程度可以将蜜罐分为三类:低交互蜜罐、中交互蜜罐、高交互蜜罐。当然还可以根据蜜罐模拟的目标进行分类，比如：数据库蜜罐、工控蜜罐、物联网蜜罐、Web蜜罐等等。

蜜罐产品：见下图

• 识别原理：
  https://mp.weixin.qq.com/s/jPz9hBmUypFyQlU27vglUg

识别技术：

大概了解组成功能等
https://hfish.net/#/

项目识别

• https://github.com/graynjo/Heimdallr

  • 安装：打开浏览器开发者模式解压文件拖入即可

  

  

• https://github.com/360quake/quake_rs

  • 安装：解压后在目录下cmd启用quake.exe
  • quake.exe init apikey值（api值需要注册360网络空间获取360网络空间测绘 — 因为看见，所以安全
  • 使用语法：quake.exe honeypot 目标

  

人工识别

面试可能会问到的问题：

网络空间识别

鹰图，Quake

补充：蜜罐+Linux安装

Linux联网环境，一键安装（强烈推荐）

如果部署的环境为Linux，且可以访问互联网，强烈建议使用一键部署脚本进行安装和配置，在使用一键脚本前，请先配置防火墙。

如果蜜罐节点暴露在互联网，可能会出现TCP连接超过最大1024个连接数限制，导致其他连接被拒绝的情况，可手动放开机器TCP最大连接数。参考解决链接：https://www.cnblogs.com/lemon-flm/p/7975812.html

firewall-cmd --add-port=4433/tcp --permanent   #（用于web界面启动）
firewall-cmd --add-port=4434/tcp --permanent   #（用于节点与管理端通信）
firewall-cmd --reload

如之后蜜罐服务需要占用其他端口，可使用相同命令打开

bash <(curl -sS -L https://hfish.net/webinstall.sh)

登陆链接：https://192.168.200.130:4433/web/
账号：admin
密码：HFish2021

遇到问题：访问网址时候无法访问

解决：必须在前面加上https:才能正确访问到

简单配置：

问题：在访问的时候要依据开放的端口协议去对应访问不然可能访问失败