사전 고지: 방법에 대한 과반 보고가 있을 수 있습니다(물론 성격이 좋지 않은 경우는 제외)
예를 들어 www.wooyun.org 를 들자.
우선, www.wooyun.org 서비스가 여러 번 중단된 페이지에서 우윈이 바이두의 CDN 서비스를 사용하고 있음을 알 수 있고, 우윈의 취약점 사례를 통해 우윈이 U클라우드 서비스를 사용한다는 것도 알 수 있으며, 우윈 서버의 IP가 중국에 있다고 대담하게 추정할 수 있습니다.
0x1. CN IP를 받으세요
APNIC에서 아시아 지역에 할당된 IP를 받고, 중국의 IP는 걸러내세요.
WGET ftp://ftp.apnic.net/public/apnic/stats/apnic/delegated-apnic-latest
http://eric-zhang.googlecode.com/svn/trunk/code/bash/iproute2/ip/cnip.txt
0x2. 포트 스캔
zmap을 사용해 모든 CN을 찾기 위해 80개의 IP 포트를 스캔하세요.
음, 제 VPS로는 약 20분 정도 걸리니까 먼저 커피 한잔 하세요:)
0x3. 배너 하나 받아
zmap의 배너 그랩을 사용해 80개의 오픈 포트가 있는 호스트를 배너 스크래핑하세요
http-req에서 Host는 www.wooyun.org 를 쓰고, ulimit을 사용해 파일 디스크립터 최대 수를 더 큰 값으로 수정합니다.
직접 스캔:
자, www.wooyun.org 가 꽤 느리게 열리니 연결 타임아웃과 읽기 타임아웃을 30초로 설정하고, 그 시간 동안 영화를 보러 나갈 수 있습니다.
0x4. 데이터 처리
"80sec" 키워드를 사용하여 획득한 데이터를 간단히 필터링하세요
이 400+ 서버들은 일반적으로 세 가지 유형으로 나눌 수 있습니다:
* 바이두 CDN 서버
* HTTP 프록시 서버
* www.wooyun.com 서버
이 400+ 서버에서 다른 배너를 하면 되고, 호스트를 설정하지 말고, baidu cdn 오류 페이지, 빈 페이지, 타임아웃 등 복잡한 페이지를 걸러내면 결과를 얻을 수 있습니다. 실제 IP www.wooyun.org 담당자에게 문의했더니 역시 결과가 나왔습니다:)
총 소요 시간은 약 두 시간이었습니다.
0x5. 추측
일부 회사 테스트 서버는 공용 네트워크에 설치되어 있고, 일반적으로 호스트만 접근할 수 있으니...
0x6. 감사합니다
음, 이 주제는 누군가가 제 vps 허니팟에 설명할 수 없는 호스트를 설치하는 걸 보고 추측한 거예요. 감사합니다
|
게시됨 2015. 10. 5. 오후 2:02:40
|
|
|
|
집주인|
게시됨 2015. 10. 5. 오후 2:23:28
|
게시됨 2017. 1. 6. 오전 3:32:52