1. 水泽是什么信息收集自动化工具的核心概念1.1 信息收集为什么要自动化做过安全测试或攻防演练的朋友应该深有体会真正的渗透测试中最耗时、最繁琐的不是漏洞利用而是前期的信息收集。一个目标系统可能包含多个域名、几十个IP段、几百个子域名、各种端口服务、指纹信息、敏感文件、JS接口等如果全靠手工逐个访问、逐个探测效率极低而且很容易遗漏关键资产。信息收集自动化工具的出现就是为了把这些重复性强、规则明确的探测动作固化下来通过脚本或平台化方式一键执行。这类工具通常集成子域名枚举、端口扫描、指纹识别、目录探测、接口提取等多个模块在取得合法授权的前提下能显著缩短前期侦察时间让测试人员把精力聚焦在真正的漏洞分析与利用环节。1.2 水泽工具的定位水泽ShuiZe是一款开源的信息收集自动化工具主要用于安全测试前期的资产收集与攻击面梳理。它基于Python编写在设计上参考了常见渗透测试流程把多个信息收集步骤串联成一个流水线先通过目标主域名收集子域名再对子域名解析得到的IP进行端口探测、服务识别、指纹匹配最后输出可供测试人员直接使用的资产清单。它的特点可以归结为三个“快”上手快下载源码、安装依赖、改一行配置就能跑不像商业平台需要复杂部署。收集快子域名和端口扫描阶段做了并发优化普通规模的目标通常几分钟内能完成。输出快结果以结构化文件保存方便后续整理成测试报告也可以作为后续漏洞扫描器的输入。1.3 适用人群与阅读收益如果你属于以下人群之一这篇文章会比较适合刚接触安全测试想搭建自己的信息收集工具箱的初学者。需要频繁做授权资产梳理的蓝队或红队工程师。对自动化收集流程感兴趣想研究工具原理并进行二次开发的Python开发者。读完本文你将掌握水泽工具的运行环境和安装方式。配置文件的核心含义与修改方法。完整的信息收集执行流程。常见报错的排查思路。实际项目中安全、合规的使用建议。这里需要特别强调水泽以及一切信息收集类工具只允许在获得明确授权的目标上使用。未授权对任意系统进行扫描、探测都属于违法行为。本文所有示例均以“已授权的测试环境”为前提展开。2. 环境准备与版本说明2.1 操作系统与软件要求水泽本质是一组Python脚本对操作系统没有硬性限制。Windows、Linux、macOS都可以运行但在实际使用中Linux环境如Kali Linux、Ubuntu Server兼容性最好主要是因为部分依赖库和配套工具在Linux下有更成熟的预编译包。本文示例环境如下版本需要根据你的项目实际情况调整操作系统Windows 10/11 或 Ubuntu 20.04/22.04Python3.8 及以上Git用于克隆项目源码pipPython 包管理器Python 版本建议不要低于 3.8否则部分依赖库可能不再兼容。如果你的机器上同时存在多个 Python 版本执行命令时需要注意使用 python3 和 pip3 进行区分。2.2 验证基础环境打开终端Windows 可打开 CMD 或 PowerShellLinux 直接使用 Bash依次输入以下命令确认基础环境已就绪python --version pip --version git --version预期输出大致如下Python 3.10.12 pip 22.0.2 from /usr/lib/python3/dist-packages/pip (python 3.10) git version 2.34.1如果某个命令提示“无法识别”说明对应软件未安装或未加入环境变量。Python 和 Git 的安装包均可从各自官方网站下载安装时记得勾选“Add Python to PATH”选项这样可以避免后续配置环境变量的麻烦。2.3 关于工具版本信息收集类工具迭代速度比较快子域名接口、指纹库、依赖库都在不断更新。本文以水泽项目仓库当前主分支代码为例进行讲解具体的 commit 版本和依赖版本请以你克隆到本地的仓库 README 为准。遇到版本不一致时优先查看项目文档和依赖清单不要照搬旧教程的版本号。3. 下载与安装全流程3.1 获取源码水泽托管在 GitHub 上使用 Git 克隆到本地即可。在你想存放工具的目录下执行git clone https://github.com/0x727/ShuiZe_0x727.git国内网络环境下GitHub 克隆速度可能不稳定。如果 Clone 过程经常中断可以尝试使用国内镜像地址替代或者通过代理下载 Release 压缩包再手动解压。Clone 完成后进入项目目录cd ShuiZe_0x727 ls -la正常情况下可以看到目录中包含配置脚本、核心Python文件、第三方工具目录、README等文件。以 README 为准确认当前版本默认入口脚本名称常见为 shuiZe.py。3.2 安装依赖水泽依赖较多第三方Python库官方推荐使用 requirements.txt 统一安装。在项目目录下执行pip install -r requirements.txt -i https://pypi.tuna.tsinghua.edu.cn/simple这里使用了清华 PyPI 镜像安装速度会快很多尤其是在国内服务器上。安装过程可能持续几分钟遇到某些库编译报错时常见的解决思路是升级 pippip install --upgrade pip缺少编译工具链Windows 安装 Microsoft C Build ToolsLinux 执行 apt install build-essential单独安装失败的那个库查看报错信息再处理执行提升权限命令时Linux 请使用 sudoWindows 请确认当前终端已以管理员身份运行。3.3 修改配置文件依赖安装完成后需要修改配置文件 config.py文件名可能因版本不同略有差异请以仓库说明为准。这个文件是水泽的核心控制点里面保存了网络空间测绘平台的 API 密钥、子域名枚举相关配置以及部分模块的开关选项。使用文本编辑器打开 config.py重点关注以下配置# 配置示例实际字段以项目为准 # fooToken 是第三方子域名收集平台的 API 凭证 fooToken 你的token值 # 是否开启子域名枚举 subdomain_enum True # 端口扫描的线程数 port_scan_threads 100如果没有对应平台的 API Token可以先把相关功能设为关闭或者留空跳过后续有需要时再申请补充。水泽的第三方配置接口可能发生变化填写时务必查看项目 README 中的最新说明。3.4 验证安装是否成功执行以下命令查看工具的帮助信息python shuiZe.py -h如果正常打印出参数说明和示例说明依赖安装与环境配置已经通过可以进入下一阶段的实际使用。如果提示缺少模块根据报错信息用 pip 补装对应库即可。4. 核心配置与原理解析4.1 信息收集自动化工具的核心流程水泽这类信息收集自动化工具底层逻辑是一条清晰的数据链主域名 → 子域名收集 → 解析IP → 端口探测 → 服务识别 → 指纹匹配 → 结果输出每一步都会产生中间数据传递给下一步继续处理。下面分别解释每个环节的作用。子域名收集通过证书透明度日志、DNS历史记录、第三方测绘平台 API 等方式枚举出目标主域名下所有已知子域名。这步越全面后续测试的攻击面就越大。解析IP把收集到的子域名解析为实际IP地址去重后得到目标资产的IP列表。端口探测对每个IP的常见端口进行批量连接测试判断端口是否开放。默认扫描端口范围可以配置一般包含80、443、22、3306、6379、8080等常用端口。服务识别对开放的端口发送探测请求根据返回的banner信息判断运行的服务类型和版本例如Nginx 1.18、OpenSSH 8.2等。指纹匹配把服务指纹与内置指纹库比对识别目标可能使用的CMS、框架、中间件。这步对后续漏洞探测很有帮助知道目标用了什么组件就能定向检索对应漏洞。4.2 配置项详解水泽的配置项通常围绕以下维度API 密钥部分子域名收集渠道和测绘平台需要注册后获取Token只有填入有效Token才能调用对应接口。线程参数线程数越大扫描速度越快但目标机器和本机负载也会升高。实际网络环境下过高的线程很容易触发防护设备的告警建议保持在默认值或调低。超时时间指等待目标响应的时间阈值单位通常为秒。网络环境不稳定时适当增大超时可以减少漏报。扫描范围可以限制只扫描指定IP段而不是全端口全段扫描。修改配置时建议遵循“最小改动”原则一次只改一个参数然后对比测试结果不要一次性把所有开关全部打开否则出了问题很难定位。4.3 子工具协同机制水泽目录下通常自带或调用多个子工具比如常见的有JSFinder、OneForAll、EHole等开源项目。JSFinder用于从JavaScript文件中提取URL和子域名OneForAll用于综合多家API源的子域名收集EHole用于Web指纹识别。水泽把这类工具整合到自己的流程中在子域名收集阶段先调用OneForAll类工具再用JSFinder补充JS文件里暴露的接口最终合并去重。这种整合设计的思想很值得借鉴它避免了重复造轮子把各领域最优秀的开源模块组合成一条流水线同时通过统一的入参和出参格式把模块串联起来。理解这一点后你可以在水泽基础上继续添加自己习惯使用的工具只要保证输入输出格式兼容即可。5. 实战一次完整的信息收集过程5.1 授权确认这一步是所有信息收集自动化工具使用前最重要但最容易被忽视的环节。本文假设你已经在 SRC安全应急响应中心平台提交测试申请并获得授权或者目标是你自己负责维护的服务器。再次强调任何未授权的扫描行为都是法律红线。5.2 基本命令格式水泽的命令行入口是 shuiZe.py基础运行格式如下python shuiZe.py -f target.txt其中 target.txt 每行写一个目标域名或IP示例内容example.com test.example.com 192.168.1.0/24也可以直接指定单个域名python shuiZe.py -u example.com具体参数选项可能随版本更新而变化使用前先执行 python shuiZe.py -h 确认当前版本的参数定义。5.3 运行过程执行命令后终端会输出当前阶段名称和发现的资产数量。例如[*] Start subdomain enum for example.com [] Found 12 subdomains [*] Start port scan... [] 1.2.3.4:80 open [] 1.2.3.4:443 open整个过程耗时取决于目标资产规模、线程数量和网络环境。单个域名的轻量收集通常在几分钟内完成。等待期间可以先准备结果文件的查看方式因为水泽会把结果写入到项目目录下的输出文件夹中。5.4 结果解读扫描结束后在输出目录中会生成多个文件常见的包括子域名列表.txt记录所有识别到的子域名。IP地址列表.txt记录去重后的IP。端口信息.csv记录IP、端口、服务类型的对应关系。指纹结果.txt记录Web指纹识别结果。看到结果后我建议按以下顺序做人工复核先核对子域名是否真的解析到目标系统避免把 CDN 节点、第三方托管服务当成本地资产。再检查端口信息的准确性和开放状态对高危服务如数据库、管理后台、远程桌面重点标记。最后根据指纹识别结果建立“域名-IP-服务-组件”四元组清单这份清单是后续漏洞分析的基础。5.5 单一模块单独使用水泽也可以单独调用某个子工具例如单独提取JS文件中的接口信息。这类功能通常在 tools 目录下以独立脚本方式提供例如python tools/JSFinder.py -u https://example.com单独使用的好处是可以聚焦某一类数据不用每次跑完整流程。在授权测试中JS接口提取往往能发现未授权API、内网地址泄露、硬编码密钥等问题值得重点掌握。6. 常见问题与排查思路信息收集自动化工具涉及网络请求、DNS解析、并发控制等多个环节使用中难免遇到各种问题。下表汇总了几类高频问题大家可以直接对照排查。问题现象常见原因解决思路提示“ModuleNotFoundError: No module named xxx”依赖库未安装或安装不完整重新执行 pip install -r requirements.txt单独补装缺失库Clone 速度很慢或失败GitHub 网络连接不稳定使用镜像仓库或下载Release压缩包子域名结果为空第三方API未配置Token检查配置文件申请对应平台API密钥端口扫描结果不准确目标启用了防火墙或安全组确认授权范围内适当增加扫描超时时间程序运行后闪退目标URL格式不正确检查输入文件格式确认每行一个有效域名或IP输出文件无权限写入运行目录不可写使用管理员权限或更换工作目录扫描速度太慢线程数配置过低在配置文件中适当调高线程数但要控制隐蔽性如果遇到上表未覆盖的报错一个通用的排查思路是查看完整报错栈定位是哪个库、哪个函数抛出的异常。对比项目README和依赖文件确认当前代码版本需要的依赖是否完整。到项目GitHub Issues搜索相同报错关键词通常能找到官方维护者或其他使用者的解决方案。如果是依赖库版本冲突可以通过创建虚拟环境隔离来解决。7. 最佳实践与工程建议7.1 授权与合规边界信息收集类工具本身没有善恶之分但使用方式决定了是否合法。把“授权”作为默认前提写入自己的操作流程每次扫描前都要能拿出授权凭证。商业环境中建议把授权邮件、合同条款存档扫描时间窗口和扫描范围写入测试方案。如果目标是第三方站点只测试授权范围内指定的资产不要顺藤摸瓜扫描无关资产。7.2 频率控制与隐蔽性策略自动化工具的优势在于速度快但在线上环境中速度太快反而容易引发防护系统告警。即使是合法测试也建议适当控制并发和扫描频率端口扫描线程控制在默认值或以下。对同一目标设置每秒请求数上限。避开业务高峰期运行扫描任务。优先使用被动信息收集方式减少主动探测。保持低调既是对目标系统负责也是对自己测试计划负责。7.3 数据沉淀与二次分析一次完整的授权信息收集会产生大量资产数据。如果只看输出文件不整理这些数据的价值会大打折扣。建议每次测试后按统一格式整理目标信息包括授权范围、测试时间、测试人员。资产清单域名、IP、端口、服务、指纹五类信息对应关系。关键发现高危端口、敏感接口、异常指纹、未授权资源等。后续计划下一步针对哪些端口和服务做深入测试。长期积累下来的整理结果可以形成团队内部的知识库或资产台账对新同学培训、重复测试、复盘都很有价值。7.4 二次开发扩展思路水泽的开源特性使得二次开发门槛并不高。常见的扩展方向包括增加新的子域名数据源对接更多证书透明度或在线测绘平台的API。更换指纹库用更新的Web指纹识别引擎替代内置指纹库。结果格式适配把输出结果转换为Nessus、Xray等扫描器支持的格式实现自动对接。按需裁剪流程在代码中增加条件判断支持“只做子域名收集”或“只做端口扫描”等子模式。做二次开发时优先读懂数据流的变化每个模块输入什么、输出什么、中间是否经过队列或缓存理解了数据接口后就能比较方便地替换或新增模块。8. 总结与下一步学习路线本文围绕信息收集自动化工具水泽从零开始走完了一条完整的学习路径理解了信息收集环节在安全测试中的重要性掌握了水泽工具的运行环境与安装方式拆解了配置文件和自动化流水线的核心原理并通过实际命令完成了一次从子域名枚举到端口服务识别的信息收集任务最后整理了常见报错和工程化落地的使用建议。在此基础上下一步可以根据兴趣和方向继续深入。如果你更关注Web安全可以把学习重心放在指纹识别和JS接口分析上理解不同Web组件常见漏洞的触发条件如果你更关注网络层安全可以重点研究端口服务探测的原理学习Nmap的指纹库和脚本引擎如果你对工具开发感兴趣则可以从阅读水泽源码中每个模块的输入输出开始尝试替换其中的某个子工具体验二次开发的全过程。在实际项目中优先关注以下风险未授权测试、扫描频率过高导致业务受影响、数据输出泄露敏感资产信息。把合规意识和技术操作放在同等重要的位置才是一条可持续成长的安全从业之路。后续我会继续整理信息收集方向的进阶内容包括更完整的指纹识别技巧、JS接口自动化分析、以及如何把这些工具接入到自己的安全测试流程中。