渗透测试之信息收集（二）
4、收集常用端口信息
最常见的扫描工具：Namp、无状态端口扫描工具 Masscan、ZMap 和御剑高速 TCP 端口扫描工具
常见的端口：
文件共享服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 21/22/69 | Ftp/Tftp 文件传输协议 | 允许匿名的上传、下载、爆破和嗅探操作 |
| 2049 | Nfs 服务 | 配置不当 |
| 139 | Samba 服务 | 爆破、未授权访问、远程代码执行 |
| 389 | Ldap 目录访问协议 | 注入、允许匿名访问、弱口令 |
远程连接服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 22 | SSH 远程连接 | 爆破、SSH 隧道及内网代码转发、文件传输 |
| 23 | Telnet 远程连接 | 爆破、嗅探、弱口令 |
| 3389 | Rdp 远程桌面连接 | Shift 后门（需要 Windows Server 2003 以下的系统）、爆破 |
| 5900 | VNC | 弱口令爆破 |
| 5632 | PyAnywhere 服务 | 抓密码、代码执行 |
Web 应用服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 80/443/8080 | 常见的 Web 服务端口 | Web 攻击、爆破、对应服务器版本漏洞 |
| 7001/7002 | WebLogic 控制台 | Java 反序列化，弱口令 |
| 8080/8089 | Jboss/Resin/Jetty/Jenkins | 反序列化、控制台弱口令 |
| 9090 | WebSphere 控制台 | Java 反序列化、弱口令 |
| 4848 | GlassFish 控制台 | 弱口令 |
| 1352 | Lotus domain 邮件服务 | 弱口令、信息泄漏、爆破 |
| 10000 | Webmin-Web 控制面板 | 弱口令 |
数据库服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 3306 | MySQL | 注入、提取、爆破 |
| 1433 | MSSQL 数据库 | 注入、提取、SA 弱口令、爆破 |
| 1521 | Oracle 数据库 | TNS 爆破、注入、反弹 Shell |
| 5432 | PostgreSQL 数据库 | 爆破、注入、弱口令 |
| 27017/27018 | MongDB | 爆破、未授权访问 |
| 6379 | Redis 数据库 | 可尝试未授权访问、弱口令爆破 |
| 5000 | SysBase/DB2 数据库 | 爆破、注入 |
邮件服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 25 | SMTP 邮件服务 | 邮件伪造 |
| 110 | POP3 协议 | 爆破、嗅探 |
| 143 | IMAP 协议 | 爆破 |
网络常见协议端口
| 端口号 | 端口说明 | 攻击方向 |
| 53 | DNS 域名系统 | 允许区域传送、DNS 劫持、缓存投毒、欺骗 |
| 67/68 | DHCP 服务 | 劫持、欺骗 |
| 161 | SNMP 协议 | 爆破、搜集目标内网信息 |
特殊服务端口
| 端口号 | 端口说明 | 攻击方向 |
| 2181 | Zookeeper 服务 | 未授权访问 |
| 8069 | Zabbix 服务 | 远程执行、SQL 注入 |
| 9200/9300 | Elasticsearch 服务 | 远程执行 |
| 11211 | Memcache 服务 | 未授权访问 |
| 512/513/514 | Linux Rexec 服务 | 爆破、Rlogin 登录 |
| 873 | Rsync 服务 | 匿名访问、文件上传 |
| 3690 | SVN 服务 | SVN 泄漏、未授权访问 |
| 50000 | SAP Management Console | 远程执行 |
5、指望识别
CMS 指纹识别、计算机操作系统、Web 容器的指纹识别
常见的 CMS 有 Dedecms（织梦）、Discuz、PHPWEB、PHPWind、PHPCMS、ECShop、Dvbbs、SiteWravers、ASPCMS、帝国、Z-Blog、WordPress 等。
代表工具有御剑 Web 指纹识别、WhatWeb、WebRobo、椰树、轻量 WEB 指纹识别等，可以快速识别一些主流 CMS 等
在线网站查询 CMS 指纹识别：
BugScaner:http://whatweb.bugscaner.com/look/
云悉指纹:http://www.yunsee.cn/finger.html
和 WhatWeb:http://whatweb.net/(访问不了)
6、查找真实 IP
如果目标服务器不存在 CDN，可以直接通过 www.ip138.com 获取目标的一些 IP 及域名信息。
（1）目标服务器存在 CDN
（2）判断目标是否使用了 CDN
Ping+ 目标域名
在线网站 17CE(http://www.17ce.com)
（3）绕过 CDN 寻找真实 IP
内部邮箱源
扫描网站测试文件
分站域名
国外访问，国外在线代理网站 App Synthetic Monitor(http://asm.ca.com/en/ping.php)
查询域名的解析记录，网站 NETCRAFT(http://www.netcraft.com/)
如果目标网站有自己的 App，可以尝试利用 Fiddler 或 Burp Suite 抓取 App 的请求，从里面找到目标的真实 IP
绕过 CloudFlare CDN 查找真实 IP，在线网站 Clode FlareWatch(http://www.crimeFlare.us/cfs.html#box)
（4）验证获取的 IP
Masscan 的工具，然后尝试逐个访问。
7、收集敏感目录文件
针对网站目录的扫描主要有 DIrBuster、御剑后台扫描珍藏版、www.scan、Spinder.py（轻量级快速单文件目录后台扫描）、Sensitivefilescan（轻量级快速单文件目录后台扫描）、Weakfilescan（轻量级快速单文件目录扫描）等工具。
DirBuster 是 OWASP 开发的一款基于 Java 编写的、专门用于探测 Web 服务器的目录和隐藏文件，需要在 Java 运行环境（JRE）下安装。
a. 准备 JAVA 运行环境（此教程为 jdk1.8 版本）
https://www.oracle.com/java/technologies/javase/javase-jdk8-downloads.html
b. 下载时要求使用 Oracle 账号，有账号直接登录，没有账号需要创建账号，账号创建成功后开始下载
c. 双击下载好的 jdk-8u341-windows-x64.exe 开始安装，下一步
d.cmd 输入 java -version 确认是否安装成功
e. 安装完成后配置环境变量
①点击‘计算机 - 属性 - 高级系统设置 - 高级 - 环境变量’
②设置 JAVA_HOME：新建系统变量
变量名：JAVA_HOME
变量值：JDK 路径
③设置 Path：在系统变量中编辑 Path
变量名：Path
变量值：%JAVA_HOME%\bin （JDK 中 bin 的路径）
④cmd 输入 javac 确认环境变量是否配置成功
f.DirBuster 下载和安装
下载地址：https://sourceforge.net/projects/dirbuster/，下载好后进行安装，安装完成后在安装的文件夹中双击打开 DirBuster.jar
g.DirBuster 的简单使用
双击打开 DirBuster.jar2. 按步骤进行设置
①在 Target URL 中输入要扫描的网址，如：输入 http://eng.kuas.edu.tw/
②设置工作方法为 Auto Switch（HEAD and GET）
③设置线程数，建议 20-30，太大容易引起系统死机
④设置扫描类型，选择 List based brute force，点击 Browse 选择字典（安装好后系统自带字典，也可以自己编写字典）
⑤在 Select starting options 中选择 URL Fuzz 方式进行扫描，在 URL to fuzz 中输入 /{dir}
⑥点击 Start 开始扫描
8、社会工程学
利用社会工程学，攻击者可以从人员的口中（邮件、QQ、电话等）挖掘出本应该是秘密的信息。