泷羽sec学习打卡-shodan扫描3

最新推荐文章于 2026-07-03 15:52:23 发布

原创最新推荐文章于 2026-07-03 15:52:23 发布 · 1k 阅读

27 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

声明
学习视频来自B站UP主泷羽sec,如涉及侵权马上删除文章笔记的只是方便各位师傅学习知识,以下网站只涉及学习内容,其他的都与本人无关,切莫逾越法律红线,否则后果自负

关于shodan的那些事儿-3

一、shodan3

如何查看存在cve-ip地址的详细信息？

古语有云：温故而知新，可以为师矣。
今天我们继续学习shodan，大家还记得如何使用shodan扫描信息吗？来，一起默写哈,一起回忆以下命令的含义和作用

shodan search --limit 10 --fields ip_str,pory '"\x03\x00\x00\x0b\x06\xd0\x00\x00\x124\x00"' port:3389 country:jp city:Nagoya

功能：搜索jp城市为Nagoya且漏洞特征为 '“\x03\x00\x00\x0b\x06\xd0\x00\x00\x124\x00”'且端口号为3389且以ipv4形式的10条ip地址信息
查看ip地址的的详细信息，这些信息有很多，设备名、已知cve、主机地址、组织、更新时间、端口数、端口号、端口对应的服务

shodan host xxxx.xxxx.xxxx.xxxx

在这里插入图片描述
上次学习，我们学会了download批量下载漏洞ip，使用parse对josn.gz包进行解析批量获取ip信息

如何查看一个漏洞ip的历史更改信息呢？

比如，查看ip的服务以及端口是否更改、更新时间，是否新增cve或者修复cve。--history参数

shodan search host xxxx.xxxx.xxxx.xxxx --history

这个命令实现什么功能？功能：搜索指定ip的历史信息并进行解析
使用--history参数，可以得到详细的端口号以及服务的更改信息
在这里插入图片描述
显然，很多都是机场。
那么现在我们以及已经会扫描指定cve特征的ip，会查看ip的详细信息，会下载ip信息到本地，会解析ip的信息，会查看ip的历史更改信息，那么现在我们是不是就可以组合一下命令。

如何批量获取指定cve的ip以及ip端口、服务、历史更改等信息？

1、扫描得到指定cve特征的ip

shodan search --limit 10 --fields ip_str,port '"\x03\x00\x00\x0b\x06\xd0\x00\x00\x124\x00"' conutry:jp city:Nagoya

2、批量下载指定cve特征的ip

shodan download 0708 --limit 100 --fields ip_str,port '"\x03\x00\x00\x0b\x06\xd0\x00\x00\x124\x00"'

3、解析下载的json.gz包并重定向到0708.txt文件中

shodan parse --fields 0708>0708.txt
# 这里的0708也可以换成绝对路径

4、获取指定ip历史信息

shodan host xxxx.xxxx.xxxx.xxx --history

5、获取指定ip端口以及对应服务

shodan host xxxx.xxxx.xxxx.xxxx

什么是蜜罐？

蜜罐（Honeypot）是一种网络安全技术，用于吸引、检测、扰乱和防御恶意活动。它通常是一个安全陷阱，用来模拟或伪装成真实的系统或网络服务，目的是诱使攻击者攻击或入侵，从而可以观察攻击者的行为，收集有关攻击者的信息，或者消耗攻击者的资源，而不影响实际的生产系统。
蜜罐的主要特点包括：
诱饵系统：蜜罐可以是一个简单的服务，也可以是一个完整的操作系统或网络环境，其目的是模仿真实系统以吸引攻击者。
监控和记录：蜜罐通常配备有监控工具，用于记录攻击者的行为，包括他们使用的技术和策略。
隔离环境：蜜罐被放置在隔离的环境中，以确保即使被攻破，也不会对生产系统造成影响。
欺骗和混淆：蜜罐可能包含虚假的数据或服务，以混淆攻击者，使他们难以区分真实目标。
消耗攻击者资源：通过吸引攻击者到蜜罐，可以消耗他们的时间、资源和注意力，从而减少对真实系统的攻击。

如何利用shodan查看是否为蜜罐？

这里不得不提一个参数，我们可以用--honeyscorecn参数判断是否为蜜罐
查看honeyscore参数帮助手册，会详细介绍使用格式、命令作用。
1、查看蜜罐命令帮助文档

shodan honeyscore -h

显然学好英语是重要的，回显意思很明确，第一行是格式，第二行是命令作用
在这里插入图片描述
2、检测指定ip是否为蜜罐

shodan honeyscore xxxx.xxxx.xxxx.xxxx

大多数情况下都不是蜜罐，但是蜜罐是很多的，假如使用python自动化去批量扫描统计且过滤掉蜜罐，从而提高渗透测试效率，节约时间
在这里插入图片描述
下面我们学习cve-2019-0708漏洞利用,使用vnc进行测试
1、首先，我们需要判断指定的ip是否可以ping通，也就是网络连接是否稳定

ping 192..168.xxxx.xxxx
ping www.xxxx.com

命令作用：检测指定ip网络(或者域名)是否可以连接且稳定
这里关注ttl，大多数情况下：windows的ttl>100，linux的ttl<65
在这里插入图片描述

什么是VNC？

VNC（Virtual Network Computing，虚拟网络计算）是一种远程控制技术，它允许用户通过网络连接到另一台计算机的桌面环境，实现远程操作。VNC技术使得用户可以像坐在目标计算机前一样，查看和控制远程计算机的屏幕、鼠标和键盘输入。
VNC的主要特点包括：
跨平台：VNC可以在多种操作系统上运行，包括Windows、macOS、Linux等。
远程访问：用户可以远程访问和控制位于世界任何地方的计算机。
图形界面：VNC提供了远程计算机的图形界面，用户可以直观地看到远程桌面并进行操作。
安全性：VNC支持加密连接，以保护传输的数据不被未授权访问。
应用场景广泛：VNC可以用于远程办公、技术支持、远程教学、家庭网络管理等多种场景。
VNC的工作原理大致如下：
VNC服务器：运行在目标计算机上，监听来自VNC客户端的连接请求，并发送屏幕图像和接收键盘/鼠标输入。
VNC客户端（也称为VNC Viewer）：运行在用户计算机上，用于连接到VNC服务器并接收屏幕图像，同时发送用户的键盘和鼠标输入到远程计算机。
RFB协议：VNC使用RFB（Remote Frame Buffer）协议来传输屏幕图像和输入数据。

如何复现测试空vnc？

1、搜索指定特征为"authentication disabled"，端口为5900，地区kr的

shodan search --limit 30 --fields ip_str "authentication disabled" port:5900 country:kr

这里拿到ip后再vnc中连接即可，当然这里我是准备使用自动化实现，手动的话太麻烦了
2、批量下载空vnc的ip信息，地区jp，懂得都懂，搞搞小日子

shodan download --limit 100 "authentication disabled" port:5900 country:jp

在这里插入图片描述
3、批量解析空vnc的文件包

shodan parse --fields ip_str 文件包（或者绝对路劲）>vnc.txt
示例：
shodan parse --fields ip_str '/root/authentication disabled.json.gz' >vnc.txt  
查看vnc.txt文件
cat vnc.txt