信息收集-2
信息收集-2
常见端口：
| 端口 | 服务 | 渗透用途 |
|---|---|---|
| tcp 20,21 | FTP | 允许匿名的上传下载，爆破，嗅探，win 提权，远程执行 (proftpd1.3.5), 各类后门 (proftpd,vsftp 2.3.4) |
| tcp 22 | SSH | 可根据已搜集到的信息尝试爆破，v1 版本可中间人，ssh 隧道及内网代理转发，文件传输等等 |
| tcp 23 | Telnet | 爆破，嗅探，一般常用于路由，交换登陆，可尝试弱口令 |
| tcp 25 | SMTP | 邮件伪造，vrfy/expn 查询邮件用户信息，可使用 smtp-user enum 工具来自动跑 |
| tcp/udp 53 | DNS | 允许区域传送，dns 劫持，缓存投毒，欺骗以及各种基于 dns 隧道的远控 |
| tcp/udp 69 | TFTP | 尝试下载目标及其的各类重要配置文件 |
| tcp 80-89,443,8440-8450,8080-8089 | 各种常用的 Web 服务端口 | 可尝试经典的 topn,vpn,owa,webmail, 目标 oa, 各类 Java 控制台，各类服务器 Web 管理面板，各类 Web 中间件漏洞利用，各类 Web 框架漏洞利用等等…… |
| tcp 110 | POP3 | 可尝试爆破，嗅探 |
| tcp 111,2049 | NFS | 权限配置不当 |
| tcp 137,139,445 | Samba | 可尝试爆破以及 smb 自身的各种远程执行类漏洞利用，如，ms08-067,ms17-010, 嗅探等…… |
| tcp 143 | IMAP | 可尝试爆破 |
| udp 161 | SNMP | 爆破默认团队字符串，搜集目标内网信息 |
| tcp 389 | LDAP | ldap 注入，允许匿名访问，弱口令 |
| tcp 512,513,514 | Linux rexec | 可爆破，rlogin 登陆 |
| tcp 873 | Rsync | 匿名访问，文件上传 |
| tcp 1194 | OpenVPN | 想办法钓 VPN 账号，进内网 |
| tcp 1352 | Lotus | 弱口令，信息泄漏，爆破 |
| tcp 1433 | SQL Server | 注入，提权，sa 弱口令，爆破 |
| tcp 1521 | Oracle | tns 爆破，注入，弹 shell |
| tcp 1500 | ISPmanager | 弱口令 |
| tcp 1723 | PPTP | 爆破，想办法钓 VPN 账号，进内网 |
| tcp 2082,2083 | cPanel | 弱口令 |
| tcp 2181 | ZooKeeper | 未授权访问 |
| tcp 2601,2604 | Zebra | 默认密码 zerbra |
| tcp 3128 | Squid | 弱口令 |
| tcp 3312,3311 | kangle | 弱口令 |
| tcp 3306 | MySQL | 注入，提权，爆破 |
| tcp 3389 | Windows rdp | shift 后门 [需要 03 以下的系统], 爆破，ms12-020 |
| tcp 3690 | SVN | svn 泄露，未授权访问 |
| tcp 4848 | GlassFish | 弱口令 |
| tcp 5000 | Sybase/DB2 | 爆破，注入 |
| tcp 5432 | PostgreSQL | 爆破，注入，弱口令 |
| tcp 5900,5901,5 | VNC | 弱口令爆破 |
| tcp 5984 | CouchDB | 未授权导致的任意指令执行 |
| tcp 6379 | Redis | 可尝试未授权访问，弱口令爆破 |
| tcp 7001,7002 | WebLogic | Java 反序列化，弱口令 |
| tcp 8000 | Ajenti | 弱口令 |
| tcp 8009 | tomcat Ajp | Tomcat-Ajp 协议漏洞 |
| tcp 8443 | Plesk | 弱口令 |
| tcp 8069 | Zabbix | 远程执行，SQL 注入 |
| tcp 8080-8089 | Jenkins,JBoss | 反序列化，控制台弱口令 |
| tcp 9080-9081,9090 | WebSphere | Java 反序列化 / 弱口令 |
| tcp 9200,9300 | ElasticSearch | 远程执行 |
| tcp 11211 | Memcached | 未授权访问 |
| tcp 27017,27018 | MongoDB | 爆破，未授权访问 |
| tcp 50070,50030 | Hadoop | 默认端口未授权访问 |
端口扫描：Nmap、Masscan、网络空间
https://github.com/robertdavidgraham/masscan
waf:
云 WAF：百度安全宝、阿里云盾、长亭雷池，华为云，亚马逊云等
硬件 WAF：绿盟、安恒、深信服、知道创宇等公司商业产品
软件 WAF：宝塔，安全狗、D 盾等
代码级 WAF：自己写的 waf 规则，防止出现注入等，一般是在代码里面写死的
遇到云 WAF，硬件 WAF 基本很难绕过，能绕过也没有什么可利用的东西
蜜罐：
低交互式蜜罐 ：通常是指与操作系统交互程度较低的蜜罐系统，仅开放一些简单的服务或端口，用来检测扫描和连接，这种容易被识别。
中交互式蜜罐 ：介于低交互式和高交互式之间，能够模拟操作系统更多的服务，让攻击者看起来更像一个真实的业务，从而对它发动攻击，这样蜜罐就能获取到更多有价值的信息。
高交互式 ：指的是与操作系统交互很高的蜜罐，它会提供一个更真实的环境，这样更容易吸引入侵者，有利于掌握新的攻击手法和类型，但同样也会存在隐患，会对真实网络造成攻击。
原理：
伪装与仿真：蜜罐模仿真实系统的服务和响应，让攻击者信以为真。
监控与日志：系统详尽记录所有与蜜罐的交互，包括网络包、系统日志、命令行操作等。
数据分析：利用自动化工具和人工分析来解析收集的数据，识别攻击模式和趋势。
1，国外蜜罐产品
一些常见的蜜罐产品包括：
- Cowrie: Cowrie 是一个基于 Python 的 SSH/Telnet 蜜罐，旨在模拟 SSH 和 Telnet 服务，并记录攻击者的行为。
- Honeyd: Honeyd 是一个虚拟蜜罐框架，可以模拟各种网络服务，并产生大量的虚假网络流量，以吸引攻击者。
- Kippo: Kippo 是一个交互式 SSH 蜜罐，可以模拟 SSH 服务，并记录攻击者的输入和行为，以便分析和防御。
- Glastopf: Glastopf 是一个 Web 应用蜜罐，可以模拟各种 Web 服务，并记录攻击者的 Web 请求和攻击行为。
- Thug: Thug 是一个低交互式蜜罐，可以模拟 Web 浏览器，并记录恶意网站的行为和攻击代码。
- DTK (Damn Vulnerable Linux)：一个故意设计漏洞的 Linux 发行版，常用于蜜罐部署和安全教育。
- Conpot：专注于工业控制系统的蜜罐，模拟 SCADA 系统来检测针对工控网络的攻击。
2，国内蜜罐产品
- 知道创宇 - 创宇蜜罐：这是知道创宇公司推出的一款蜜罐产品，专门设计用于模拟真实环境，吸引并监测攻击者的行为，提供攻击预警与行为分析功能。
- 长亭科技 - 谛听：长亭科技开发的谛听蜜罐系统，同样着眼于高仿真度和高交互性，能够有效吸引攻击者并收集其攻击手法与意图。
基本识别方法：
1.用 Nmap 等 Scan 工具，同一个机器同时开放很多 Port 的。
2.因为很多蜜罐都设置在相同或临近的网段。所以，同一个网段（e.g. ／24），很多机器都开放相同的 Port，回应相似的 Response。
3.去 Shodan／Censys 查
CDN：
传统访问：用户访问域名–> 解析服务器 IP–> 访问目标主机
普通 CDN：用户访问域名–>CDN 节点–> 真实服务器 IP–> 访问目标主机
带 WAF 的 CDN：用户访问域名–>CDN 节点（WAF）–> 真实服务器 IP–> 访问目标主机
#CDN 配置及绕过：
配置 1：加速域名 - 需要启用加速的域名
配置 2：加速区域 - 需要启用加速的地区
配置 3：加速类型 - 需要启用加速的资源
#CDN 的判定：
超级 Ping：https://17ce.com/
超级 Ping：https://ping.chinaz.com/
各地 ping（出现多个 ip 存在 CDN）
后置：绑定 HOSTS 访问解析
CDN 绕过：
1，子域名访问真实 ip（与加速配置有关），国外访问（加速区域没有配置全球访问）
2，漏洞利用，比如 RCE，SSRF
3，邮件系统：让它主动给你发送邮件
部署架构的邮件服务系统主动向用户发送邮件的话，邮件头部的源码会包含邮件服务系统的真实 ip
对方使用第三方邮件发送就不存在 ip 比如：@126.com，@qq.com 等
常见的邮箱出发点：
1，RSS 订阅
2，邮箱注册，激活处
3，邮箱找回密码处
4，产品更新的邮件推送
5，某业务执行后发送的邮件通知
6，员工邮箱，邮箱管理系统平台等入口的忘记密码
你给未知的邮箱发送：（需要自己的邮箱服务器不能第三方）
网站查询：
