蓝队知识之互联网暴露面整理

/ 蓝队知识之互联网暴露面整理 /

文末附思路图

1

什么是互联网暴露面

互联网暴露面是指企业网络环境中的各个节点和组件，在互联网上直接或间接暴露给外部攻击者的部分。

2

暴露内容

1.暴露在互联网上的 IP 资产、域名资产等。

2.暴露的资产中存在一部分未知的资产。（重点整理边缘资产）

3.在互联网上可能会泄露的敏感信息，包括但不限:企业邮箱账号，个人邮箱账号，个人身份信息等。

4.主要业务系统的代码泄露在公开的代码平台，甚至暴露了重要数据和用户名及密码以及个人信息，包括。

5.对互联网提供访问的服务器可能开启了高危端口。

6.对互联网提供访问的服务器中会存在未修复高危漏洞风险。

7.对互联网提供访问的服务器有暴露的后台登录页面等。

3

互联网暴露面整理工作

在攻防演练前进行整理

3.1

互联网 IP 以及域名

1. 通过 FOFA、鹰图、零零信安等资产测绘工具进行整理（对导出结果进行去重）

2. 通过 OneForAll、layer 等子域名探测工具

整理目的：根据检查结果，确认无归属域名及其对应的服务器，应用等信息，补充至资产识别表的 DMZ 区资产表中。

3.2

端口服务

扫描全端口 1-65534

1.nmap 端口扫描(因扫描速度略慢，适合在时间充足的情况下使用)

2.masscan 端口扫描（扫描速度快，但准确率比 nmap 低）

整理目的：得到开放未知服务，进行指纹识别，并针对高危端口以及不必要端口进行封闭，例如（tomcat 默认端口等等）

3.3

应用

整理 Web 应用、APP 小程序、客户端程序等

整理目的：1.对应 Web 指以及后端框架整理；

2.确认 Web 管理页面，并进行合理的调整，比如：限制 ip 管理，更改访问目录；

3.关闭非必要 Web 端口（举例：weblogic 的 7001、5566，tomcat、jboss 的 8080，webshere 的 9080）

4.源代码泄露整理:针对开源框架以及易出现的框架程序合理的部署 WAF，通过扫描工具（例如：御剑、7kbscan、dirsearch）进行源代码泄露扫描。再结合 Github、码云等代码管理平台进行代码搜索。

常见搜索引擎

FOFA(资产搜索)

360quake(资产搜索)

奇安信鹰图(资产搜索)

shodan(资产搜索)

grep.app(50w 个 git 存储库)

GitHub(代码管理平台)

searchcode.com(代码搜索)

crt.sh(证书搜索)

ZoomEye(资产搜索)

敏感端口整理

21/22/69 FTP/TFTp 文件传输协议 允许匿名的上传，下载，爆破和嗅探操作

2049 NFS 服务 配置不当

139 Samba 服务 爆破，未授权的访问，远程代码执行

389 Ldap 目录访问协议 注入，允许匿名访问，弱口令

22 SSH 远程连接 爆破，SSH 隧道及内网代理转发，文件传输

23 Telnet 远程连接 爆破，嗅探，弱口令

3389 RDP 远程桌面连接 Shift 后门（需要 Windows Server 2003 以下的系统），爆破

5900 VNC 弱口令爆破

5632 PyAnywhere 服务 抓密码，代码执行

80/443/8080 常见的 wb 服务端口 web 攻击、爆破、对应服务器版本漏洞

7001/7002 Weblogic 控制台 Java 反序列化、弱口令

8080/8089 Jboss/Resin/Jetty/Jenkins 反序列化、控制台弱口令

9090 Websphere 控制台 Java 反序列化、弱口令

4848 Glassfish 控制台 弱口令

1352 Lotus domino 邮件服务 弱口令、信息泄露、爆破

10000 Webmin-Web 控制面板 弱口令

3.4

敏感信息

通过互联网搜索引擎，以及可以用到的手段收集信息

包括但不限于：

1.邮箱

2.敏感文件

3.账号密码

4.员工信息

5.工程资料

6.手机号

原文始发于微信公众号（知攻善防实验室）：蓝队知识之互联网暴露面整理