Web架构
开源CMS：
Discuz、WordPress、PageAdmin、蝉知等
前端技术：
HTML5、Jquery、Bootstrap、Vue、NodeJS等
开发语言：
PHP、JAVA、Ruby、Python、C#、JS、Go等
框架组件：
SpringMVC、Thinkphp、Yii、Tornado、Vue等
Web服务器：
Apache、Nginx、IIS、Lighttpd等
应用服务器：
Tomcat、Jboss、Weblogic、Websphere等
数据库类型：
端口扫描，组合判断，应用功能
Mysql、SqlServer、Oracle、Redis、MongoDB等
组合：LNMP（Linux、Nginx、Mysql、PHP）；WAMP（Windows、Apache、Mysql、PHP）
应用功能：关系型数据库、非关系型数据库、日志存储型……
操作系统信息：
Linux、Windows、Mac等
应用服务信息：
FTP、SSH、RDP、SMB、SMTP、LDAP、Rsync等
CDN信息：
帝联、Cloudflare、网宿、七牛云、阿里云等
识别CDN厂商：与ip分析一直
WAF信息：
创宇盾、宝塔、ModSecurity、玄武盾、OpenRASP等。
蜜罐信息：
HFish、TeaPot、T-Pot、Glastopf等
其他组件信息：
FastJson、Shiro、Log4j、Solr、XStream等
指纹识别：
识别是几率性的，针对于小中性站点居多（开源程序），大型核心站点识别不到
平台识别
潮汐指纹：http://finger.tidesec.com/
360指纹识别：https://fp.shuziguanxing.com/
项目识别
浏览器插件：https://github.com/AliasIO/wappalyzer
https://github.com/HackAllSec/hfinger
https://github.com/Tuhinshubhra/CMSeeK
https://github.com/lemonlove7/EHole_magic
https://github.com/emo-crab/observer_ward
icon识别
借助目标的icon图标进行识别
网络空间使用icon搜索
WAF识别：
拦截页面识别
identywaf项目内置
项目识别
https://github.com/stamparm/identYwaf
https://github.com/EnableSecurity/wafw00f
蜜罐识别：
护网对抗居多
识别原理：调试数据包
项目识别（不推荐）
https://github.com/graynjo/Heimdallr
https://github.com/360quake/quake_rs
人工识别
- 端口多而有规律性（针对多服务蜜罐）
- Web访问协议就下载（针对多服务蜜罐）
- 设备指纹分析（针对蜜罐特征）
| 蜜罐 | Quake系统搜索语法 |
|---|---|
| STRUTSHONEYPOT | app:”StrutsHoneypot” |
| CONPOT HTTP 蜜罐 | app:”Conpot Http 蜜罐” |
| CONPOT MODBUS 蜜罐 | app:”Conpot modbus 蜜罐” |
| CONPOT S7 蜜罐 | app:”Conpot s7 蜜罐” |
| KIPPO 蜜罐 | app:”kippo 蜜罐” |
| HONEYPY HTTP 蜜罐 | app:”Honeypy Http 蜜罐” |
| HONEYPY ES蜜罐 | app:”Honeypy ES蜜罐” |
| AMUN IMAP 蜜罐 | app:”amun imap 蜜罐” |
| AMUN HTTP蜜罐 | app:”amun http蜜罐” |
| NEPENTHES NETBIOS蜜罐 | app:”Nepenthes netbios蜜罐” |
| NEPENTHES FTP 蜜罐 | app:”Nepenthes FTP 蜜罐” |
| SSHESAME SSH 蜜罐 | app:”sshesame ssh 蜜罐” |
| OPENCANARY蜜罐管理后台 | app:”opencanary蜜罐管理后台” |
| DIONAEA SIPD 蜜罐 | app:”Dionaea sipd 蜜罐” |
| DIONAEA SMBD 蜜罐 | app:”Dionaea smbd 蜜罐” |
| DIONAEA HTTP 蜜罐 | app:”Dionaea Http 蜜罐” |
| DIONAEA MSSQL 蜜罐 | app:”Dionaea MSSQL 蜜罐” |
| DIONAEA FTP 蜜罐 | app:”Dionaea ftp 蜜罐” |
| DIONAEA MEMCACHED** 蜜罐 | app:”Dionaea Memcached 蜜罐” |
| KOJONEY SSH 蜜罐 | app:”Kojoney SSH 蜜罐” |
| WEBLOGIC蜜罐 | app:”weblogic蜜罐” |
| MYSQL蜜罐 | app:”MySQL蜜罐” |
| HFISH蜜罐 | app:”HFish蜜罐” |
| HFISH蜜罐管理后台 | app:”HFish蜜罐管理后台” |
| HONEYTHING物联网蜜罐 | app:”honeything物联网蜜罐” |
| ELASTICSEARCH蜜罐 | app:”elasticsearch蜜罐” |
| HOSTUS蜜罐 | app:”HostUS蜜罐” |
| WHOISSCANME蜜罐 | app:”whoisscanme蜜罐” |
| 未知蜜罐 | app:”未知蜜罐” |
| COWRIE TELNETD蜜罐 | app:”Cowrie telnetd蜜罐” |
| GLASTOPF蜜罐 | app:”glastopf蜜罐” |
| 名称 | 常用端口 | 指纹条件 |
|---|---|---|
| Glastopf | 80 | Response:”Blog Comments” and Response:”Please post your comments for the blog” |
| elastichoney | 9200 | Response:”89d3241d670db65f994242c8e838b169779e2d4″ |
| Amun | 80 | Response:”tim.bohn@gmx.net” AND Response:”johan83@freenet.de“ |
| honeypy | 80 | server:”Apache/2.4.10 (Debian)” AND html_md5_has:”fe423597bba0ea7b89db3fdc6afa471f” |
| Hfish | 80/9000 | Response:”w-logo-blue.png?ver=20131202″ AND Response:”ver=5.2.2″ AND Response:”static/x.js” AND NOT Response:”bcd” |
| opencanary | 8080/8000/8001 | title:”后台管理系统” AND (Response:”792d56046d26e08153b89a4207657387″ OR Response:”e8d9300c4cfa5fe34b73″) |
| Weblogic_honeypot | 7001 | status:404 AND header:”content-length:1165″ AND header:”WebLogic Server 10.3.6.0.171017 PSU Patch for BUG26519424 TUE SEP 12 18:34:42 IST 2017 WebLogic Server 10.3.6.0 Tue Nov 15 08:52:36 PST 2011 1441050 Oracle WebLogic Server Module Dependencies 10.3 Thu Sep 29 17:47:37 EDT 2011 Oracle WebLogic Server on JRockit Virtual Edition Module Dependencies 10.3 Wed Jun 15 17:54:24 EDT 2011″ |
| Honeypy_es | 9200 | Response:”61ccbdf1fab017166ec4b96a88e82e8ab88f43fc” |
| StrutsHoneypot | 80/8080 | html_md5_has:”416797d5db09bdfa185f9e66efd18160″ |
| Hfish 后台 | 9001 | html_md5_has:”f9dbaf9282d400fe42529b38313b0cc8″ |
| Honeything 物联网蜜罐 | Response:”body.style.left = (bodywidth – 760)/2;” | |
| Conpot Http 蜜罐 | 8080/8082 | Response:”Last-Modified: Tue, 19 May 1993 09:00:00 GMT” |
| 蜜罐 | 协议 | 端口 | 请求数据 | 响应特征 |
|---|---|---|---|---|
| whoisscanme | TCP | ALL | 空 | whoisscanme:https://github.com/bg6cq/whoisscanme |
| Cowrie | TELNET | 23/23 | 空 | \xff\xfd\x1flogin: |
| Cowrie | NET | 23 | ||
| Amun | IMAP | 143 | \r\n\r\n | a001 OK LOGIN completed |
| Dionaea | FTP | 21 | 空 | 220 Welcome to the ftp service\r\n |
| Dionaea | MSSQL | 1443 | 空 | \x04\x01\x00\x2b\x00\x00\x00\x00\x00\x00\x00\x1a\x00\x06\x01\x00\x20\x00\x01\x02\x00\x21\x00\x01\x03\x00\x22\x00\x00\x04\x00\x22\x00\x01\xff\x08\x00\x02\x10\x00\x00\x02\x00\x00\x00 |
| Kojoney | SSH | 22/2222 | 空 | SSH-2.0-Twisted\r\n |
| Nepenthes | FTP | 21 | 空 | —freeFTPd 1.0—warFTPd 1.65—\r\n |
| Nepenthes | NETBIOS | 2103 | 空 | \x82\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 |
| Conpot | S7 | 102 | 空 | Serial number of module: 88111222 |
| Conpot | MODBUS | 502 | 空 | Device Identification: Siemens SIMATIC S7-200 |
| Dionaea | Memcached | 11211 | 空 | version: “1.4.25” AND response:”pointer_size 64″ AND response:”STAT rusage_user 0.550000″ |
| Dionaea | SIP | 5060 | 空 | SIP/2.0 200 OK\r\nContent-Length: 0\r\nVia: SIP/2.0/TCP nm;branch=foo\r\nFrom: sip:nm@nm;tag=root\r\nAccept: application/sdp\r\nTo: sip:nm2@nm2\r\nContact: sip:nm2@nm2\r\nCSeq: 42 OPTIONS\r\nAllow: REGISTER, OPTIONS, INVITE, CANCEL, BYE, ACK\r\nCall-ID: 50000\r\nAccept-Language: en\r\n\r\n |
| sshsame | SSH | 2022 | 空 | SSH-2.0-sshsame |
框架组件识别：
数据包特征，报错特征……
更多识别方法及项目插件
例子：
FastJson：https://forum.butian.net/share/1679
Shiro：https://mp.weixin.qq.com/s/j1nDnb0Ub5bk2-Tq5tt2pg
本节知识点&思维导图
信息收集-Web应用-架构分析&指纹识别
信息收集-Web应用-架构分析&WAF&蜜罐
信息收集-Web应用-架构分析&框架组件识别
