与正文无关的前言

昨天压死线撑过了第四天，发现浏览数目比前几天要多了一些，看来某些些关键字还是有比较高的吸引力，但就不知道内容是否有符合期待，所以其实也希望能得到一些建议或是回馈，有机会一定把前面没填的坑都补上，如果是符合这主题的核心目标，那我一定会尽快补上，其他有兴趣的议题也许之後也可以另外开篇章来深入探讨，在此也先谢谢愿意看完文章的每一个人，这系列到此结束谢谢

正文开始

今天继续来看Kali还有什麽工具，当进度条走到同样隶属於01 - Information Gathering下的IDS/IPS Identification，不难猜测这分类下的工具都会是用来判断目标是否有IDS或是IPS。

IDS缩写来自Intrusion Detection System，入侵侦测系统，精随来自侦测，这个系统主要功能是负责监听网路封包，让系统维护人员可以依据事先设定的安全策略，来对网路或是系统整体的运行状况进行监测，可以在发现有任何异常时，记录各种痕迹、行为，并且自动发出警报给管理人员，让管理者可以依此判断出遭受的攻击类型或者是意图。

而IPS全名Intrusion Prevention System，入侵防护系统，所以可以算是进阶版的IDS，化被动为主动，除了能侦测到行为之外，也可自动采取必要的措施，像是阻断来源IP，让不良流量无法进一步的移动到较重要的系统内部。

所以Kali这分类的工具其实就是用来判断目标主机是否拥有IPS/IDS应该具备的机制。

工具介绍

1. lbd
   lbd (Load Balancing Detector) 是用来检测目标网域是否有使用DNS或HTTP的负载平衡，通常一些流量很大的网站都会使用负载平衡器，简单说就是用多台服务器来提供单一服务，从而降低服务器的负载量，但也就是说即使你从同一入口进，但实际上真正提供服务的可能是其他服务器。这边我们以google.com这个一定需要负载平衡的网站来看。

lbd可以直接给定一个域名

lbd google.com

然後lbd就会给出类似下列的结果，从结果可以观察到它可能是利用比较date、response header，去判断目标主机是否有做负载平衡，这边我们看到了google.com是有负载平衡的，但这种判断方式不一定准确，但可以提供一定的参考性。

lbd - load balancing detector 0.4 - Checks if a given domain uses load-balancing.
                                    Written by Stefan Behte (http://ge.mine.nu)
                                    Proof-of-concept! Might give false positives.

Checking for DNS-Loadbalancing: NOT FOUND
Checking for HTTP-Loadbalancing [Server]: 
 gws
 NOT FOUND

Checking for HTTP-Loadbalancing [Date]: 08:05:27, 08:05:28, 08:05:28, 08:05:28, 08:05:28, 08:05:28, 08:05:28, 08:05:28, 08:05:28, 08:05:29, 08:05:29, 08:05:29, 08:05:29, 08:05:29, 08:05:29, 08:05:29, 08:05:29, 08:05:30, 08:05:30, 08:05:30, 08:05:30, 08:05:30, 08:05:31, 08:05:31, 08:05:31, 08:05:31, 08:05:31, 08:05:31, 08:05:31, 08:05:31, 08:05:32, 08:05:32, 08:05:32, 08:05:32, 08:05:32, 08:05:32, 08:05:32, 08:05:33, 08:05:33, 08:05:33, 08:05:33, 08:05:33, 08:05:33, 08:05:33, 08:05:34, 08:05:34, 08:05:34, 08:05:34, 08:05:34, 08:05:34, NOT FOUND

Checking for HTTP-Loadbalancing [Diff]: FOUND
< Expires: Wed, 20 Oct 2021 08:05:34 GMT
> Expires: Wed, 20 Oct 2021 08:05:35 GMT

google.com.tw does Load-balancing. Found via Methods: HTTP[Diff]

2. wafw00f
   接着介绍的是同一分类下的wafw00f，先来拆解一下工具名称，我很喜欢拆解工具名称，因为实际了解过名称由来的话，在对工具的记忆上能带来一些帮助，像是我们一般在linux上操作ls (list)、cd (change directory)，当然这些常用指令不用理解也不会忘记，但很多工具如果没有一些记忆方式的话，因为不常用而导致需要时需要额外输入一些关键字去搜寻它。扯远了，回到wafw00f，从名字可以看到有WAF，所以合理怀疑它可能跟WAF (Web Application Firewall)相关。

先直接执行工具

wafw00f

可以看到出现了一只动物，所以它可能用意是侦测到有WAF它就woof(吠)，但我实在是没懂英文字母o用数字0替代是什麽涵义...，好在有waf当记忆点便足够了。

                ______
               /      \
              (  W00f! )                                                                                                                                                     
               \  ____/                                                                                                                                                      
               ,,    __            404 Hack Not Found                                                                                                                        
           |`-.__   / /                      __     __                                                                                                                       
           /"  _/  /_/                       \ \   / /                                                                                                                       
          *===*    /                          \ \_/ /  405 Not Allowed                                                                                                       
         /     )__//                           \   /                                                                                                                         
    /|  /     /---`                        403 Forbidden                                                                                                                     
    \\/`   \ |                                 / _ \                                                                                                                         
    `\    /_\\_              502 Bad Gateway  / / \ \  500 Internal Error                                                                                                    
      `_____``-`                             /_/   \_\                                                                                                                       
                                                                                                                                                                             
                        ~ WAFW00F : v2.1.0 ~                                                                                                                                 
        The Web Application Firewall Fingerprinting Toolkit       

工具本身介绍写着The Web Application Firewall Fingerprinting Tool.，说明了它的确是个WAF识别工具，而WAF一般做的事情有

• 支援IP白名单/黑名单功能，来限制来源IP的存取行为。
• 支援URL白名单，或是定义指定时间内的访问次数。
• 支援User-Agent/Cookie等等的过滤。
• 支援日志记录，纪录所有拒绝的操作。

而wafw00f主要做了下列事情来测试目标使否存在WAF

• 发送一般的HTTP请求并分析回应，看是否存在WAF
• 发送恶意的HTTP请求并分析回应，并用简单的逻辑来判断属於何种WAF

使用-l参数来看能侦测那些WAF

wafw00f -l

节录一些结果，可以看到制造商提供的防火墙系统清单

[+] Can test for these WAFs:

  WAF Name                        Manufacturer
  --------                        ------------                                                                                                                               
                                                                                                                                                                             
  ACE XML Gateway                  Cisco                                                                                                                                     
  aeSecure                         aeSecure                         
  AireeCDN                         Airee                            
  Airlock                          Phion/Ergon                      
  Alert Logic                      Alert Logic                      
  AliYunDun                        Alibaba Cloud Computing   

接着测试一下实际测试https://example.org当作目标

wafw00f https://example.org

可以看到两道请求就测试出是属於Edgecast的防火墙系统

[*] Checking https://example.org
[+] The site https://example.org is behind Edgecast (Verizon Digital Media) WAF.
[~] Number of requests: 2

结语

今天实际体验了lbd、wafw00f两个工具，透过前者我们能够发现目标是否有负载平衡的机制，而後者提供了一些简易的测试，找到目标的防火墙系统，让後续在订立策略时能缩小范围，让执行计画更加明确。