diff --git a/docs/1-1-honeypot.md b/docs/1-1-honeypot.md
new file mode 100644
index 0000000..ee97a27
--- /dev/null
+++ b/docs/1-1-honeypot.md
@@ -0,0 +1,6 @@
+**蜜罐** 技术本质上是一种对攻击方进行 **欺骗的技术**，通过布置一些作为 **诱饵的主机**、**网络服务** 或者 **信息**，诱使攻击方对它们实施攻击，从而可以对攻击行为进行 **捕获** 和 **分析**，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。
+
+**蜜罐** 好比是 **情报收集系统**。蜜罐好像是故意让人攻击的目标，**引诱黑客前来攻击**。所以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。
+
+
+
diff --git a/docs/1-2-spec.md b/docs/1-2-spec.md
new file mode 100644
index 0000000..ebaf7b0
--- /dev/null
+++ b/docs/1-2-spec.md
@@ -0,0 +1,9 @@
+- 安全可靠：主打低中交互蜜罐，简单有效；
+
+- 蜜罐丰富：支持SSH、FTP、TFTP、MySQL、Redis、Telnet、VNC、Memcache、Elasticsearch、Wordpress、OA系统等10多种蜜罐服务，支持用户制作自定义Web蜜罐；
+- 开放透明：支持对接微步在线X社区API、五路syslog输出、支持邮件、钉钉、企业微信、飞书、自定义WebHook告警输出；
+- 快捷管理：支持单个安装包批量部署，支持批量修改端口和服务；
+- 跨平台：支持Linux x32/x64/ARM、Windows x32/x64平台
+
+
+
diff --git a/docs/1-3-workflow.md b/docs/1-3-workflow.md
new file mode 100644
index 0000000..08ffe48
--- /dev/null
+++ b/docs/1-3-workflow.md
@@ -0,0 +1,10 @@
+HFish由控制端和节点端组成，控制端用来生成和管理节点端，并接收、分析和展示节点端回传的数据，节点端接受控制端的控制并负责构建蜜罐服务。
+
+
+
+> 融合在企业网络中
+
+
+
+
+
diff --git a/docs/2-1-docker.md b/docs/2-1-docker.md
new file mode 100644
index 0000000..c61ffde
--- /dev/null
+++ b/docs/2-1-docker.md
@@ -0,0 +1,4 @@
+### 待更新
+
+……
+
diff --git a/docs/2-1-env.md b/docs/2-1-env.md
new file mode 100644
index 0000000..31c562e
--- /dev/null
+++ b/docs/2-1-env.md
@@ -0,0 +1,83 @@
+- ### HFish的网络环境
+
+ > Server端应部署在安全区，只向少部分有网络管理权限和安全分析能力工作的人员和设备开放web和ssh端口
+
+ 服务端用于配置管理的web页面开启了https，默认访问端口为4433，默认页面在web目录下。（端口和目录，可以在config.ini中自行配置）。
+
+ ```url
+ # 举个例子如果您Server端的ip为192.168.11.11，那么您应该在浏览器中输入如下的URL进行访问。
+
+ https://192.168.11.11:4433/web/
+ ```
+
+ 此外服务端还会开放另外两个端口，节点数据回传端口默认为4434，SSH服务默认访问端口为22。
+
+ **4433端口和22端口，“只能”被安全区的管理设备访问。4434端口，“必须能”被蜜罐节点访问。**
+
+
+
+ > OneFish服务端会主动访问如下网络域名
+
+ OneFish支持IPv4和IPv6地址环境，可以在完全隔离互联网的内部网络工作，但为了最大限度感知真实威胁和对接云端接口消费威胁情报，以及接受自动化升级服务，微步在线强烈建议客户允许HFish服务端访问互联网，为兼顾安全性和服务可用性，推荐用户仅允许OneFish服务端主动访问如下网络域名、地址和端口：
+
+
+
+ | 目的IP | 协议/端口 | 对应域名 | 访问目的 |
+ | ------------------------------------------------------------ | --------- | ------------------- | ------------------------------------------------ |
+ | 103.210.21.74 | TCP/443 | hfish.io | 用于官网升级功能，建议开启 |
+ | 106.75.36.224 123.59.72.253 123.59.51.113 106.75.36.226 117.50.17.104 | TCP/443 | api.threatbook.cn | 用于威胁情报查询，如果未启用该功能，无需开放 |
+ | 该域名使用CDN解析，建议用户在实际网络中解析后开放权限 | TCP/443 | open.feishu.cn | 用于飞书告警功能，如果未使用该功能，无需开放 |
+ | 该域名使用CDN解析，建议用户在实际网络中解析后开放权限 | TCP/443 | oapi.dingtalk.com | 用于钉钉告警功能，如果未使用该功能，无需开放 |
+ | 该域名使用CDN解析，建议用户在实际网络中解析后开放权限 | TCP/443 | qyapi.weixin.qq.com | 用于企业微信告警功能，如果未使用该功能，无需开放 |
+
+
+
+ 注意：OneFish服务端仅需要通过NAT模式访问互联网，基于安全考虑，微步在线不建议用户将OneFish服务端管理接口暴露在互联网。
+
+ 1. 如果使用邮件通知，请开启相应邮件服务器的访问权限。
+
+ 2. 与此同时我们还支持 5 路syslog日志的发送，便于您的安全设备联动。请根据自己的情况开放权限。
+
+
+
+
+ ### Server端的资源要求
+
+
+
+ > 蜜罐对资源的要求根据攻击数量的区别差异很大，通常来说部署在内网的蜜罐，对性能的要求很低。
+ >
+ > 但接入公网的蜜罐对性能就会有更大的需求。
+
+ 针对我们过往的测试的情况，我们给出两个配置，一个最低配置，一个是我们的推进配置。如果您的蜜罐打算接到公网，并有比较大的攻击流量，请跟进资源占用情况，提升主机的配置。
+
+ ```wiki
+ 最低配置：Server端 1c2g100G、节点1c1g50G
+
+ 建议配置：Server端 2c4g200G、节点1c2g50G
+
+ 日志磁盘占用，受攻击数量影响较大，我们建议Server端配置200G硬盘空间以上。
+ ```
+
+
+
+ ### Server端的权限审核
+
+
+
+ > 对root权限的需求
+
+ ```wiki
+ 直接部署安装方式服务端的过程中，对于Mysql数据的安装和配置需要root权限。Server端的部署和使用不需要root权限。
+ ```
+
+
+
+ ### 节点的安全配置
+
+ > 节点因为是直接面对攻击者的，安全配置是节点安全的重要保障
+
+ 1. 外网节点和内网节点不能共用
+ 2. 如果有节点需要能被外网访问，那么建议把节点和服务端部署在DMZ区。
+ 3. 外网节点除了能访问Server端的4434（默认）端口外，不能有权限访问内网中的任何资产。
+ 4. 内网节点除了开放蜜罐服务相应端口外，其它任何端口都不应该在网络中能被用户访问到。考虑安全区设备有维护节点主机的需求，可以向有限的设备开放ssh端口。
diff --git a/docs/2-2-linux.md b/docs/2-2-linux.md
new file mode 100644
index 0000000..7e08e4d
--- /dev/null
+++ b/docs/2-2-linux.md
@@ -0,0 +1,45 @@
+- ### 手动安装
+
+ 如果上述的安装脚本您无法使用，您可以尝试用手动安装完成部署。
+
+ 到官网 [https://hfish.io](https://hfish.io/) 下载HFish最新版本安装包，按如下步骤进行安装 （以linux64位系统为例）：
+
+ > 第一步： 在当前目录创建一个路径解压安装包
+
+ ```
+ mkdir hfish
+ ```
+
+ > 第二步：将安装文件包解压到hfish目录下
+
+ ```
+ tar zxvf hfish-*-linux-amd64.tar.gz -C hfish
+ ```
+
+ > 第三步：请防火墙开启4433或者4434，确认返回success（如果有其他服务需要打开端口，使用相同命令打开。
+
+ ```
+ firewall-cmd --add-port=4433/tcp --permanent
+ firewall-cmd --add-port=4434/tcp --permanent
+ firewall-cmd --reload
+ ```
+
+ > 第四步：进入安装目录直接运行server，或者后台运行 nohup ./server &
+
+ ```
+ cd hfish
+ nohup ./server &
+ ```
+
+ > 第五步：登陆web界面
+
+ ```
+ 登陆链接：https:// [ip]:4433/web
+ 账号：admin
+ 密码：HFish2021
+ ```
+
+ 例：如果控制端的ip是192.168.1.1，登陆链接为：https://192.168.1.1:4433/web
+
+ 控制端部署完成后，请继续参考下面的【控制端配置】完成配置
+
diff --git a/docs/2-3-windows.md b/docs/2-3-windows.md
new file mode 100644
index 0000000..dc9f931
--- /dev/null
+++ b/docs/2-3-windows.md
@@ -0,0 +1,20 @@
+> 第一步：下载HFish
+
+ 访问我们官网的[下载页面](https://hfish.io/#/download)，下载最新版的服务端并解压。
+
+> 第二步：运行文件目录下的server.exe
+
+ server.exe为后台运行，启动后直接后台运行。
+
+> 第三步：登陆web界面
+
+```
+登陆链接：https:// [ip]:4433/web
+账号：admin
+密码：HFish2021
+```
+
+例：如果控制端的ip是192.168.1.1，登陆链接为：https://192.168.1.1:4433/web
+
+控制端部署完成后，请继续参考下面的【控制端配置】完成配置
+
diff --git a/docs/2-4-mariadb.md b/docs/2-4-mariadb.md
new file mode 100644
index 0000000..3d30075
--- /dev/null
+++ b/docs/2-4-mariadb.md
@@ -0,0 +1,44 @@
+- ### 数据库相关
+
+HFish系统默认使用的sqlite数据库，具体见 db/hfish.db（自带的已经初始化好的db），相关的初始化脚本见 db/sql/sqlite/V<% version %>__sqlite.sql
+
+如果您想要重置 hfish.db， 可以通过下面命令生成新的 db 文件（请确保安装了sqlite3数据库）。 替换 db/hfish.db 即可。
+
+```
+sqlite3 hfish.db < db/sql/sqlite/V<% version %>__sqlite.sql
+```
+
+
+
+**sqlite数据库无需安装，使用方便，但在遭到大规模攻击，及当前版本升级时候会存在数据丢失的问题。**
+
+因此，HFish同时**支持mysql**数据库，相关的初始化脚本见 db/sql/mysql/V<% version %>__mysql.sql。
+
+如果您想要切换到mysql数据库，可以进行以下操作（请确认已经安装了mysql数据库，推荐5.7及以上版本）
+
+> 1. 初始化数据库
+
+linux环境可以在命令行执行下述命令，然后输入密码（root用户密码）。
+
+```
+mysql -u root -p < db/sql/mysql/V<% version %>__mysql.sql
+```
+
+windows环境可以使用远程连接工具（比如sqlyog等）导入db/sql/mysql/V<% version %>__mysql.sql 脚本。
+
+
+
+> 2. 修改config.ini配置文件，数据库的连接方式，主要需要修改type和url，如下：
+
+```
+[database]
+type = sqlite3
+max_open = 50
+max_idle = 50
+url = ./db/hfish.db?cache=shared&mode=rwc
+# type = mysql
+# url = root:HFish312@tcp(:3306)/hfish?charset=utf8&parseTime=true&loc=Local
+```
+
+
+
diff --git a/docs/3-1-node.md b/docs/3-1-node.md
new file mode 100644
index 0000000..016fd93
--- /dev/null
+++ b/docs/3-1-node.md
@@ -0,0 +1,54 @@
+!> 点击增加节点，选择相应版本的【节点安装包】，确定
+
+
+
+```wiki
+- 如果您在上面的操作中，选择的是linux安装包，在【确定】后，会出现如下页面，您可以用两种方式让您的节点主机完成部署。
+1. 一句话脚本，直接在节点主机上运行
+2. 下载可执行文件，并把这个文件上传到节点主机上运行
+
+- 如果您在上面的操作中，选择的windows安装包，在【确定】后，只有一种方式供您选择。
+1. 下载可执行文件，并把这个文件上传到节点主机上运行
+```
+
+
+
+
+
+### 为节点选择服务模板
+
+> 展开蜜罐节点，选择上面创建的蜜罐模板
+
+
+
+
+
+> 刚变更模板后的蜜罐服务状态为【启用】
+
+
+
+
+
+> 节点正常完成模板加载后，服务状态应该为【在线】。如果是【离线】，说明蜜罐服务没有正常启动，请参考我们后面的【排错说明】，找到问题。
+
+
+
+
+
+### 主机失陷检测
+
+失陷蜜饵是部署在业务主机上的失陷检测蜜饵。在主机失陷情况下，通过部署虚假的账号、本地证书等失陷蜜饵，诱导攻击者转移攻击目标，并触发失陷告警。
+
+其中，主机蜜饵是一种基于部署虚假的账号密码配置文件，诱导转移攻击者攻击目标的防御手段。
+
+命令在主机运行后，会在本地生成一份虚假的“账号密码备份文件”。 当该主机被攻陷时，攻击者将被诱导，使用文件中的账号信息进行登录。借此，安全人员发现主机失陷情况。
+
+
+
+
+
+
+
+
+
+###
diff --git a/docs/3-2-services.md b/docs/3-2-services.md
new file mode 100644
index 0000000..3a3e6e3
--- /dev/null
+++ b/docs/3-2-services.md
@@ -0,0 +1,136 @@
+### 配置工作总览
+
+!> 在完成控制端的部署后，我们还需要几个配置工作让整个系统运行起来。
+
+```wiki
+1. 添加【蜜罐服务】，让系统获得相应蜜罐的能力。
+2. 创建【服务模板】，模板是数个蜜罐服务的集合，在大规模部署的环境中，模板可以帮我们更高效管理我们的集群。
+3. 【增加节点】，单机版自带一个节点，集群版不带节点。系统至少需要一个节点才能正常运行。
+4. 为蜜罐节点选择【服务模板】，选择了什么服务模板，蜜罐节点就具有了模板中的蜜罐能力。
+```
+
+
+
+### 添加蜜罐服务
+
+!> 控制端运行起来后，我们需要做的第一件事情就是下载蜜罐服务。您有2种方法可以添加蜜罐服务，任选一种即可。
+
+> 【服务管理】中下载蜜罐服务
+
+```wiki
+1. 登陆控制端后，打开【服务管理】页面，首次登陆页面上蜜罐服务都是灰色。
+2. 选择自己需要的蜜罐服务进行下载。
+```
+
+
+
+
+
+> 手动上传蜜罐服务包
+
+**当您处于离线环境不方便在线安装情况下，您可以使用手动上传安装的方式。**
+
+```wiki
+1. 下载最新官方服务包 http://img.threatbook.cn/hfish/svc/services-<% version %>.tar.gz
+2. 在新增服务页面上选择该服务包上传。
+```
+
+
+
+
+
+> *上传自定义web蜜罐
+
+ 如果您有自定义web蜜罐的需求，我们为您准备了开发样例，您可以参考我们的[文档](https://hfish.io/#/function?id=web%e8%9c%9c%e7%bd%90%e8%87%aa%e5%ae%9a%e4%b9%89%e5%bc%80%e5%8f%91)完成蜜罐的开发工作后，进行上传。
+ 当然您也可以在社区中寻找其它用户开发好的蜜罐上传后使用。
+
+
+
+### 自定义web蜜罐页面
+
+#### 通过样例了解功能实现方式
+
+> web蜜罐样例
+
+```wiki
+# 下载自定义web蜜罐样例
+http://img.threatbook.cn/hfish/svc/web-demo.zip
+```
+
+
+
+> 解压后获得两个文件
+
+```wiki
+# index.html
+# portrait.js
+```
+
+
+
+> index.html文件中的代码功能
+
+```wiki
+
+