1. 项目概述从“搞渗透”到“信息收集”的认知重塑“搞渗透”这个词听起来很酷带着一种隐秘而强大的光环仿佛掌握了它就能在网络世界里来去自如。很多刚接触网络安全的朋友尤其是被影视作品或一些夸张的标题吸引来的往往怀揣着“一招制敌”的幻想上来就想学怎么拿权限、怎么提权、怎么搞到核心数据。但现实是如果你连目标在哪里、是什么样子、有哪些门和窗户都搞不清楚那所谓的“渗透”就只能是漫无目的的乱撞或者更糟——一头撞在铁板上。我干了十多年安全带过不少新人见过太多人栽在这个起点上。他们把大把时间花在研究各种炫酷的漏洞利用工具上却对最基础、最核心的“信息收集”环节嗤之以鼻认为那是“体力活”、“没技术含量”。这恰恰是最大的误区。信息收集是整个渗透测试乃至所有安全评估活动的基石它决定了你后续所有行动的效率、精准度和成功率。一个顶尖的渗透测试工程师其信息收集的广度和深度往往决定了他是“脚本小子”还是真正的“狩猎者”。所以今天我们不谈那些花里胡哨的0day也不讲复杂的漏洞利用链我们就扎扎实实地聊聊“信息收集”这门手艺。你可以把它看作是渗透测试的“侦察兵”阶段目标就是绘制一张尽可能详尽的目标“作战地图”。这张地图上需要标注出目标是谁公司、组织、个人它的网络边界在哪里有哪些域名、IP它对外开放了哪些服务Web、数据库、远程管理它使用了什么技术栈操作系统、中间件、框架、CMS甚至它的员工可能在哪里无意中泄露了敏感信息代码、文档、邮箱接下来的内容我会结合我自己的实战经验和踩过的坑为你系统性地拆解信息收集的完整流程、核心工具和高级技巧。这不是一份冷冰冰的工具列表而是一套可操作、可复现的“狩猎”思维与方法论。2. 信息收集的核心思路与分层模型信息收集绝不是打开一个工具扫一遍就完事了。它需要清晰的思路和分层递进的策略。我通常将其分为四个层次被动信息收集、主动信息收集、基础设施测绘和人员资产发现。每一层都为下一层提供更精确的输入。2.1 被动信息收集隐匿的“望远镜”被动信息收集的核心原则是不与目标系统产生直接交互。我们所有的信息都来自于公开渠道或第三方平台。这样做的好处是极其隐蔽不会在目标的日志中留下任何访问记录完全符合渗透测试中“隐匿”的要求。核心目标获取目标的初始画像包括关联公司、子公司、历史用过的域名/IP、注册的邮箱、电话号码、员工在社交媒体上的信息等。常用方法与工具搜索引擎高级语法Google Hacking/Shodan/Fofa这是第一把利器。site:target.com搜索指定域名的所有收录页面。filetype:pdf site:target.com搜索目标站点上的PDF文件里面可能包含内部架构图、员工名单、会议纪要。intitle:“index of” site:target.com寻找可能存在的目录遍历漏洞。Shodan/Fofa/ZoomEye这些网络空间搜索引擎可以直接搜索暴露在公网上的设备和服务。例如在Shodan中搜索org:“Target Corp”或net:“1.2.3.0/24”可以找到属于该组织或网段的所有公网IP及其开放端口、服务横幅。域名信息挖掘Whois查询获取域名的注册人、注册邮箱、联系电话、注册商和DNS服务器信息。这些信息可能关联出其他域名通过相同的注册邮箱或电话。工具如whois命令、在线Whois网站。DNS枚举尝试发现目标的所有子域名。这是扩大攻击面的关键。字典爆破使用工具如subfinder,amass,assetfinder配合庞大的子域名字典进行枚举。证书透明度日志从crt.sh等网站查询为域名签发的SSL证书证书里常包含子域名。搜索引擎枚举利用site:*.target.com语法。虚拟主机探测同一个IP上可能绑定了多个域名。代码仓库与历史泄露GitHub/GitLab搜索目标公司的代码仓库。开发者可能不小心将含有API密钥、数据库密码、服务器配置的代码上传到了公开仓库。使用target.com password,target.com api_key,target.com config等关键词搜索。Pastebin类网站员工可能将错误日志、配置片段粘贴到这些网站寻求帮助里面可能包含敏感信息。Wayback Machine互联网档案馆查看目标网站的历史快照也许能发现已被删除但包含敏感信息如测试页面、管理后台路径的旧版本。实操心得被动收集阶段我习惯先用amass进行一轮全面的子域名枚举然后将结果导入到一个文本文件中。接着用httpx或httprobe快速探测这些域名哪些是“活”的返回HTTP响应。这个“存活域名”列表就是我们下一阶段主动扫描的目标池。这个过程自动化程度很高但关键在于字典的质量和工具的持续更新。2.2 主动信息收集精准的“雷达扫描”在被动收集获得目标列表后我们需要与目标进行“轻度”交互以确认资产存活状态并获取更详细的技术指纹。这个阶段可能会被记录但属于正常的网络访问行为。核心目标确认资产存活状态识别Web应用、服务类型和版本。常用方法与工具存活探测ICMP Ping最基础但很多服务器禁Ping。TCP Ping向目标的常见端口如80, 443, 22发送TCP SYN包根据是否收到SYN-ACK判断存活。工具如masscan极速、nmap的-sn -PS参数。HTTP/HTTPS探测对于Web资产直接发送HTTP请求更可靠。工具如httpx它能批量处理URL并返回状态码、标题、内容长度等技术指纹。端口扫描与服务识别这是主动收集的重头戏。使用nmap进行全端口或常用端口扫描。nmap -sS -sV -O -p- target_ip这是一个比较全面的扫描组合。-sSTCP SYN半开放扫描相对隐蔽。-sV版本探测尝试识别运行在端口上的服务及其具体版本号如Apache 2.4.49OpenSSH 8.2p1。版本信息是后续漏洞匹配的关键-O操作系统探测。-p-扫描所有65535个端口慎用速度慢且动静大。实战中更常用-p 1-10000,3306,3389,6379等指定关键端口范围。对于大型网段可以先使用masscan进行极速全端口扫描发现开放端口再用nmap对发现的端口进行精细化的版本探测。Web应用指纹识别识别网站使用的技术如CMSWordPress, Joomla、Web框架Spring Boot, Django、前端库jQuery, React、服务器Nginx, Apache、WAFCloudflare, AWS WAF等。工具Wappalyzer浏览器插件快速直观、whatweb命令行工具可批量、nuclei的指纹模板。手动技巧查看HTTP响应头如Server,X-Powered-By、网页源代码注释、引入的JS/CSS文件路径、特定的文件或路径如/wp-admin/,/robots.txt,/phpinfo.php。注意事项主动扫描的力度需要根据测试授权范围谨慎调整。未经授权的全端口、高强度扫描可能对目标系统造成负载压力甚至触发安全警报。在授权测试中也应与客户沟通扫描时间段和强度。3. 深度信息收集漏洞的“前兆”发现基础信息收集完成后我们手头有了一份详细的资产清单一堆存活的IP、域名、开放端口、服务版本。接下来就要从中寻找可能存在的脆弱点也就是漏洞的“前兆”。3.1 服务与版本漏洞关联这是最直接的一步。将nmap -sV扫描得到的服务及其版本号与公开的漏洞数据库进行关联。SearchsploitKali Linux自带的本地漏洞库查询工具。searchsploit Apache 2.4.49可以快速查找该版本Apache是否有已知公开漏洞。CVE数据库网站如 cve.mitre.org , nvd.nist.gov 。漏洞扫描器如Nessus,OpenVAS它们内置了庞大的CVE知识库可以自动完成版本匹配和漏洞检测。但注意它们会产生大量流量和日志。关键点并非所有旧版本都有漏洞也并非所有漏洞都可利用。需要结合漏洞的CVSS评分、是否有公开的EXP利用代码、以及目标的环境是否在DMZ是否有防护设备来综合判断优先级。3.2 Web路径与敏感文件探测对于Web应用除了指纹隐藏的路径和文件是巨大的宝库。目录/文件爆破使用字典对目标网站进行暴力枚举寻找后台登录入口、配置文件、备份文件、源码压缩包等。工具dirsearch,gobuster,ffuf。字典常用字典如common.txt,directory-list-2.3-medium.txt但最好能根据目标技术栈使用定制字典如针对Spring的字典、针对PHP的字典。示例命令ffuf -w /path/to/wordlist.txt -u https://target.com/FUZZ -fc 403,404。-fc用于过滤掉403禁止访问和404未找到的状态码专注于有回应的路径。寻找敏感信息robots.txt可能暴露不想被爬虫抓取的目录。sitemap.xml网站地图可能包含所有链接。.git/目录如果存在且可访问可能通过git dump获取网站源码。.DS_StoreMac、Thumbs.dbWindows可能泄露目录结构。phpinfo.php,info.php如果存在会泄露大量服务器配置信息。备份文件如wwwroot.zip,bak.tar.gz,database.sql.bak等。3.3 关联资产与攻击面扩大一个公司往往不止一个主域名。通过之前收集的Whois邮箱、公司名称、子公司信息可以进一步扩大攻击面。证书透明度日志扩展不仅查目标域名也查其母公司、子品牌的域名看是否有共用证书或关联子域名。ASN自治系统号查询目标公司的IP段可能属于某个特定的ASN。通过查询该ASN下的所有IP地址可能会发现其他未被域名解析的服务器如测试服务器、后台管理系统、合作伙伴接口。工具whois,bgp.he.net网站。云资产识别现代企业大量使用AWS、Azure、阿里云等云服务。可以通过搜索特定的云服务域名模式或使用如cloud_enum等工具来发现可能暴露的S3存储桶、云函数端点等。4. 信息收集的自动化与流程整合手动进行以上所有步骤是低效的。高手和新手的区别很大程度上在于自动化流程的构建。我的本地工作流大致如下这套流程可以极大地提升效率4.1 工具链搭建与脚本编写我通常使用一个简单的Bash或Python脚本作为“总控”串联各个工具。核心思路是每个工具的输出都是下一个工具的输入。#!/bin/bash # 示例一个简化的自动化信息收集脚本框架 TARGET$1 OUTPUT_DIR./scans/$TARGET-$(date %Y%m%d) mkdir -p $OUTPUT_DIR echo [*] 开始对 $TARGET 进行信息收集... echo [*] 输出目录: $OUTPUT_DIR # 1. 子域名枚举 echo [1/5] 子域名枚举... subfinder -d $TARGET -silent | tee $OUTPUT_DIR/subdomains.txt amass enum -passive -d $TARGET -o $OUTPUT_DIR/amass.txt # 合并去重 cat $OUTPUT_DIR/subdomains.txt $OUTPUT_DIR/amass.txt | sort -u $OUTPUT_DIR/all_subs.txt # 2. HTTP存活探测 echo [2/5] HTTP存活探测... cat $OUTPUT_DIR/all_subs.txt | httpx -silent -title -status-code -tech-detect -o $OUTPUT_DIR/httpx_alive.txt # 3. 从存活主机中提取IP进行端口扫描 echo [3/5] 提取IP并端口扫描... cat $OUTPUT_DIR/httpx_alive.txt | awk -F// {print $2} | awk -F: {print $1} | sort -u $OUTPUT_DIR/ips.txt for ip in $(cat $OUTPUT_DIR/ips.txt); do echo 扫描 $ip ... nmap -sS -sV -O --top-ports 1000 -oN $OUTPUT_DIR/nmap_$ip.txt $ip done wait # 4. 目录爆破 (针对前3个Web应用示例) echo [4/5] Web目录爆破... head -3 $OUTPUT_DIR/httpx_alive.txt | while read url; do domain$(echo $url | awk -F// {print $2}) echo 爆破 $domain ... ffuf -w /usr/share/wordlists/dirb/common.txt -u $url/FUZZ -t 50 -o $OUTPUT_DIR/ffuf_$domain.json -of json done wait # 5. 生成简易报告 echo [5/5] 生成报告... echo # 信息收集报告 - $TARGET $OUTPUT_DIR/report.md echo ## 存活子域名 ($(cat $OUTPUT_DIR/httpx_alive.txt | wc -l)个) $OUTPUT_DIR/report.md cat $OUTPUT_DIR/httpx_alive.txt $OUTPUT_DIR/report.md echo $OUTPUT_DIR/report.md echo ## 开放端口与服务摘要 $OUTPUT_DIR/report.md grep -h open $OUTPUT_DIR/nmap_*.txt | sort -u $OUTPUT_DIR/report.md echo [] 收集完成报告位于: $OUTPUT_DIR/report.md这个脚本非常基础实际中会更复杂包括错误处理、速率限制、结果去重与整合、调用更多工具如waybackurls获取历史URLnuclei进行初步漏洞扫描等。4.2 信息聚合与可视化收集来的数据是散乱的需要聚合分析。我推荐以下方法使用aquatone它可以将httpx或nmap的结果作为输入自动访问每个Web应用截图并生成一个漂亮的HTML报告直观展示所有Web资产。自建可视化平台对于大型项目或持续性监控可以考虑将收集到的资产域名、IP、端口、服务、漏洞存入数据库如Elasticsearch然后使用Grafana或自研前端进行可视化展示实现资产态势的实时感知。5. 高级技巧与常见问题排查5.1 绕过CDN寻找真实IP很多网站使用CDN如Cloudflare来隐藏真实服务器IP。找到真实IP是直捣黄龙的关键。历史DNS记录查询使用SecurityTrails,ViewDNS等网站查看域名的历史A记录可能在启用CDN前暴露过真实IP。子域名探测主站用了CDN但很多子域名如mail.target.com,dev.target.com,oa.target.com可能直接解析到真实IP。SSL证书关联通过crt.sh搜索目标域名签发的证书证书可能包含了其他未使用CDN的域名或直接IP。邮件服务器追踪给目标公司邮箱如infotarget.com发邮件查看邮件头中的Received字段可能透露出内部邮件服务器的IP。全网段扫描如果知道目标大概的IP段通过ASN可以用masscan扫描该网段所有IP的80/443端口然后对比返回的HTTP标题或证书寻找与主站相同的特征。5.2 处理海量结果与避免“信息过载”当目标是一个大型企业时信息收集的结果可能是成千上万的子域名和IP。如何高效处理优先级排序新颖性新发现的、不在已知资产清单里的目标优先。特殊性非常规端口非80/443开放的服务、测试/开发环境dev,test,staging、后台管理路径admin,manage优先。脆弱性关联直接匹配到已知高危漏洞版本的服务如Apache 2.4.49存在路径穿越漏洞CVE-2021-41773绝对优先。自动化初筛使用nuclei这样的工具它可以基于我们收集到的URL和主机列表自动运行上千个预定义的漏洞检测模板包括CVE、配置错误、默认凭证等快速筛选出“低垂的果实”。分类标记在报告中或数据库中对资产进行分类标记如prod生产、dev开发、external外部、internal内部暴露、critical关键。5.3 常见踩坑点与排查技巧工具没结果首先检查网络连通性ping 8.8.8.8其次检查工具字典路径是否正确最后查看目标是否有WAF或速率限制尝试降低线程-t参数增加延迟-delay。扫描被中断或IP被封这是主动扫描的常态。使用代理池如proxychains配合可用代理列表轮换IP并大幅降低扫描速度。在授权测试中应提前与客户约定扫描源IP让其加入白名单。结果杂乱不准确定期更新你的工具和字典。社区维护的字典如SecLists和工具的指纹库是持续更新的。同时对关键资产手动验证工具结果至关重要不要完全相信自动化输出。法律与授权红线这是最重要的部分绝对不要在未获得明确书面授权的情况下对任何不属于你或未授权测试的目标进行信息收集尤其是主动扫描。被动信息收集的边界相对模糊但也需谨慎避免触及数据隐私法规。始终遵循“授权测试”原则。信息收集是一门永无止境的技艺新的工具、新的数据源、新的技巧不断涌现。它的核心不在于你记住了多少个工具命令而在于你是否建立起了一套系统性的“侦察”思维明确目标、分层递进、善用工具、自动化整合、持续分析。当你拿到一个目标能像经验丰富的侦探一样从蛛丝马迹中勾勒出它的全貌和弱点时你才算真正拿到了进入渗透测试世界大门的钥匙。剩下的漏洞利用、横向移动、权限维持都是建立在这张精准“地图”之上的战术行动。这张地图画得越细你的后续行动就越从容成功率也越高。
1. 项目概述从“搞渗透”到“信息收集”的认知重塑“搞渗透”这个词听起来很酷带着一种隐秘而强大的光环仿佛掌握了它就能在网络世界里来去自如。很多刚接触网络安全的朋友尤其是被影视作品或一些夸张的标题吸引来的往往怀揣着“一招制敌”的幻想上来就想学怎么拿权限、怎么提权、怎么搞到核心数据。但现实是如果你连目标在哪里、是什么样子、有哪些门和窗户都搞不清楚那所谓的“渗透”就只能是漫无目的的乱撞或者更糟——一头撞在铁板上。我干了十多年安全带过不少新人见过太多人栽在这个起点上。他们把大把时间花在研究各种炫酷的漏洞利用工具上却对最基础、最核心的“信息收集”环节嗤之以鼻认为那是“体力活”、“没技术含量”。这恰恰是最大的误区。信息收集是整个渗透测试乃至所有安全评估活动的基石它决定了你后续所有行动的效率、精准度和成功率。一个顶尖的渗透测试工程师其信息收集的广度和深度往往决定了他是“脚本小子”还是真正的“狩猎者”。所以今天我们不谈那些花里胡哨的0day也不讲复杂的漏洞利用链我们就扎扎实实地聊聊“信息收集”这门手艺。你可以把它看作是渗透测试的“侦察兵”阶段目标就是绘制一张尽可能详尽的目标“作战地图”。这张地图上需要标注出目标是谁公司、组织、个人它的网络边界在哪里有哪些域名、IP它对外开放了哪些服务Web、数据库、远程管理它使用了什么技术栈操作系统、中间件、框架、CMS甚至它的员工可能在哪里无意中泄露了敏感信息代码、文档、邮箱接下来的内容我会结合我自己的实战经验和踩过的坑为你系统性地拆解信息收集的完整流程、核心工具和高级技巧。这不是一份冷冰冰的工具列表而是一套可操作、可复现的“狩猎”思维与方法论。2. 信息收集的核心思路与分层模型信息收集绝不是打开一个工具扫一遍就完事了。它需要清晰的思路和分层递进的策略。我通常将其分为四个层次被动信息收集、主动信息收集、基础设施测绘和人员资产发现。每一层都为下一层提供更精确的输入。2.1 被动信息收集隐匿的“望远镜”被动信息收集的核心原则是不与目标系统产生直接交互。我们所有的信息都来自于公开渠道或第三方平台。这样做的好处是极其隐蔽不会在目标的日志中留下任何访问记录完全符合渗透测试中“隐匿”的要求。核心目标获取目标的初始画像包括关联公司、子公司、历史用过的域名/IP、注册的邮箱、电话号码、员工在社交媒体上的信息等。常用方法与工具搜索引擎高级语法Google Hacking/Shodan/Fofa这是第一把利器。site:target.com搜索指定域名的所有收录页面。filetype:pdf site:target.com搜索目标站点上的PDF文件里面可能包含内部架构图、员工名单、会议纪要。intitle:“index of” site:target.com寻找可能存在的目录遍历漏洞。Shodan/Fofa/ZoomEye这些网络空间搜索引擎可以直接搜索暴露在公网上的设备和服务。例如在Shodan中搜索org:“Target Corp”或net:“1.2.3.0/24”可以找到属于该组织或网段的所有公网IP及其开放端口、服务横幅。域名信息挖掘Whois查询获取域名的注册人、注册邮箱、联系电话、注册商和DNS服务器信息。这些信息可能关联出其他域名通过相同的注册邮箱或电话。工具如whois命令、在线Whois网站。DNS枚举尝试发现目标的所有子域名。这是扩大攻击面的关键。字典爆破使用工具如subfinder,amass,assetfinder配合庞大的子域名字典进行枚举。证书透明度日志从crt.sh等网站查询为域名签发的SSL证书证书里常包含子域名。搜索引擎枚举利用site:*.target.com语法。虚拟主机探测同一个IP上可能绑定了多个域名。代码仓库与历史泄露GitHub/GitLab搜索目标公司的代码仓库。开发者可能不小心将含有API密钥、数据库密码、服务器配置的代码上传到了公开仓库。使用target.com password,target.com api_key,target.com config等关键词搜索。Pastebin类网站员工可能将错误日志、配置片段粘贴到这些网站寻求帮助里面可能包含敏感信息。Wayback Machine互联网档案馆查看目标网站的历史快照也许能发现已被删除但包含敏感信息如测试页面、管理后台路径的旧版本。实操心得被动收集阶段我习惯先用amass进行一轮全面的子域名枚举然后将结果导入到一个文本文件中。接着用httpx或httprobe快速探测这些域名哪些是“活”的返回HTTP响应。这个“存活域名”列表就是我们下一阶段主动扫描的目标池。这个过程自动化程度很高但关键在于字典的质量和工具的持续更新。2.2 主动信息收集精准的“雷达扫描”在被动收集获得目标列表后我们需要与目标进行“轻度”交互以确认资产存活状态并获取更详细的技术指纹。这个阶段可能会被记录但属于正常的网络访问行为。核心目标确认资产存活状态识别Web应用、服务类型和版本。常用方法与工具存活探测ICMP Ping最基础但很多服务器禁Ping。TCP Ping向目标的常见端口如80, 443, 22发送TCP SYN包根据是否收到SYN-ACK判断存活。工具如masscan极速、nmap的-sn -PS参数。HTTP/HTTPS探测对于Web资产直接发送HTTP请求更可靠。工具如httpx它能批量处理URL并返回状态码、标题、内容长度等技术指纹。端口扫描与服务识别这是主动收集的重头戏。使用nmap进行全端口或常用端口扫描。nmap -sS -sV -O -p- target_ip这是一个比较全面的扫描组合。-sSTCP SYN半开放扫描相对隐蔽。-sV版本探测尝试识别运行在端口上的服务及其具体版本号如Apache 2.4.49OpenSSH 8.2p1。版本信息是后续漏洞匹配的关键-O操作系统探测。-p-扫描所有65535个端口慎用速度慢且动静大。实战中更常用-p 1-10000,3306,3389,6379等指定关键端口范围。对于大型网段可以先使用masscan进行极速全端口扫描发现开放端口再用nmap对发现的端口进行精细化的版本探测。Web应用指纹识别识别网站使用的技术如CMSWordPress, Joomla、Web框架Spring Boot, Django、前端库jQuery, React、服务器Nginx, Apache、WAFCloudflare, AWS WAF等。工具Wappalyzer浏览器插件快速直观、whatweb命令行工具可批量、nuclei的指纹模板。手动技巧查看HTTP响应头如Server,X-Powered-By、网页源代码注释、引入的JS/CSS文件路径、特定的文件或路径如/wp-admin/,/robots.txt,/phpinfo.php。注意事项主动扫描的力度需要根据测试授权范围谨慎调整。未经授权的全端口、高强度扫描可能对目标系统造成负载压力甚至触发安全警报。在授权测试中也应与客户沟通扫描时间段和强度。3. 深度信息收集漏洞的“前兆”发现基础信息收集完成后我们手头有了一份详细的资产清单一堆存活的IP、域名、开放端口、服务版本。接下来就要从中寻找可能存在的脆弱点也就是漏洞的“前兆”。3.1 服务与版本漏洞关联这是最直接的一步。将nmap -sV扫描得到的服务及其版本号与公开的漏洞数据库进行关联。SearchsploitKali Linux自带的本地漏洞库查询工具。searchsploit Apache 2.4.49可以快速查找该版本Apache是否有已知公开漏洞。CVE数据库网站如 cve.mitre.org , nvd.nist.gov 。漏洞扫描器如Nessus,OpenVAS它们内置了庞大的CVE知识库可以自动完成版本匹配和漏洞检测。但注意它们会产生大量流量和日志。关键点并非所有旧版本都有漏洞也并非所有漏洞都可利用。需要结合漏洞的CVSS评分、是否有公开的EXP利用代码、以及目标的环境是否在DMZ是否有防护设备来综合判断优先级。3.2 Web路径与敏感文件探测对于Web应用除了指纹隐藏的路径和文件是巨大的宝库。目录/文件爆破使用字典对目标网站进行暴力枚举寻找后台登录入口、配置文件、备份文件、源码压缩包等。工具dirsearch,gobuster,ffuf。字典常用字典如common.txt,directory-list-2.3-medium.txt但最好能根据目标技术栈使用定制字典如针对Spring的字典、针对PHP的字典。示例命令ffuf -w /path/to/wordlist.txt -u https://target.com/FUZZ -fc 403,404。-fc用于过滤掉403禁止访问和404未找到的状态码专注于有回应的路径。寻找敏感信息robots.txt可能暴露不想被爬虫抓取的目录。sitemap.xml网站地图可能包含所有链接。.git/目录如果存在且可访问可能通过git dump获取网站源码。.DS_StoreMac、Thumbs.dbWindows可能泄露目录结构。phpinfo.php,info.php如果存在会泄露大量服务器配置信息。备份文件如wwwroot.zip,bak.tar.gz,database.sql.bak等。3.3 关联资产与攻击面扩大一个公司往往不止一个主域名。通过之前收集的Whois邮箱、公司名称、子公司信息可以进一步扩大攻击面。证书透明度日志扩展不仅查目标域名也查其母公司、子品牌的域名看是否有共用证书或关联子域名。ASN自治系统号查询目标公司的IP段可能属于某个特定的ASN。通过查询该ASN下的所有IP地址可能会发现其他未被域名解析的服务器如测试服务器、后台管理系统、合作伙伴接口。工具whois,bgp.he.net网站。云资产识别现代企业大量使用AWS、Azure、阿里云等云服务。可以通过搜索特定的云服务域名模式或使用如cloud_enum等工具来发现可能暴露的S3存储桶、云函数端点等。4. 信息收集的自动化与流程整合手动进行以上所有步骤是低效的。高手和新手的区别很大程度上在于自动化流程的构建。我的本地工作流大致如下这套流程可以极大地提升效率4.1 工具链搭建与脚本编写我通常使用一个简单的Bash或Python脚本作为“总控”串联各个工具。核心思路是每个工具的输出都是下一个工具的输入。#!/bin/bash # 示例一个简化的自动化信息收集脚本框架 TARGET$1 OUTPUT_DIR./scans/$TARGET-$(date %Y%m%d) mkdir -p $OUTPUT_DIR echo [*] 开始对 $TARGET 进行信息收集... echo [*] 输出目录: $OUTPUT_DIR # 1. 子域名枚举 echo [1/5] 子域名枚举... subfinder -d $TARGET -silent | tee $OUTPUT_DIR/subdomains.txt amass enum -passive -d $TARGET -o $OUTPUT_DIR/amass.txt # 合并去重 cat $OUTPUT_DIR/subdomains.txt $OUTPUT_DIR/amass.txt | sort -u $OUTPUT_DIR/all_subs.txt # 2. HTTP存活探测 echo [2/5] HTTP存活探测... cat $OUTPUT_DIR/all_subs.txt | httpx -silent -title -status-code -tech-detect -o $OUTPUT_DIR/httpx_alive.txt # 3. 从存活主机中提取IP进行端口扫描 echo [3/5] 提取IP并端口扫描... cat $OUTPUT_DIR/httpx_alive.txt | awk -F// {print $2} | awk -F: {print $1} | sort -u $OUTPUT_DIR/ips.txt for ip in $(cat $OUTPUT_DIR/ips.txt); do echo 扫描 $ip ... nmap -sS -sV -O --top-ports 1000 -oN $OUTPUT_DIR/nmap_$ip.txt $ip done wait # 4. 目录爆破 (针对前3个Web应用示例) echo [4/5] Web目录爆破... head -3 $OUTPUT_DIR/httpx_alive.txt | while read url; do domain$(echo $url | awk -F// {print $2}) echo 爆破 $domain ... ffuf -w /usr/share/wordlists/dirb/common.txt -u $url/FUZZ -t 50 -o $OUTPUT_DIR/ffuf_$domain.json -of json done wait # 5. 生成简易报告 echo [5/5] 生成报告... echo # 信息收集报告 - $TARGET $OUTPUT_DIR/report.md echo ## 存活子域名 ($(cat $OUTPUT_DIR/httpx_alive.txt | wc -l)个) $OUTPUT_DIR/report.md cat $OUTPUT_DIR/httpx_alive.txt $OUTPUT_DIR/report.md echo $OUTPUT_DIR/report.md echo ## 开放端口与服务摘要 $OUTPUT_DIR/report.md grep -h open $OUTPUT_DIR/nmap_*.txt | sort -u $OUTPUT_DIR/report.md echo [] 收集完成报告位于: $OUTPUT_DIR/report.md这个脚本非常基础实际中会更复杂包括错误处理、速率限制、结果去重与整合、调用更多工具如waybackurls获取历史URLnuclei进行初步漏洞扫描等。4.2 信息聚合与可视化收集来的数据是散乱的需要聚合分析。我推荐以下方法使用aquatone它可以将httpx或nmap的结果作为输入自动访问每个Web应用截图并生成一个漂亮的HTML报告直观展示所有Web资产。自建可视化平台对于大型项目或持续性监控可以考虑将收集到的资产域名、IP、端口、服务、漏洞存入数据库如Elasticsearch然后使用Grafana或自研前端进行可视化展示实现资产态势的实时感知。5. 高级技巧与常见问题排查5.1 绕过CDN寻找真实IP很多网站使用CDN如Cloudflare来隐藏真实服务器IP。找到真实IP是直捣黄龙的关键。历史DNS记录查询使用SecurityTrails,ViewDNS等网站查看域名的历史A记录可能在启用CDN前暴露过真实IP。子域名探测主站用了CDN但很多子域名如mail.target.com,dev.target.com,oa.target.com可能直接解析到真实IP。SSL证书关联通过crt.sh搜索目标域名签发的证书证书可能包含了其他未使用CDN的域名或直接IP。邮件服务器追踪给目标公司邮箱如infotarget.com发邮件查看邮件头中的Received字段可能透露出内部邮件服务器的IP。全网段扫描如果知道目标大概的IP段通过ASN可以用masscan扫描该网段所有IP的80/443端口然后对比返回的HTTP标题或证书寻找与主站相同的特征。5.2 处理海量结果与避免“信息过载”当目标是一个大型企业时信息收集的结果可能是成千上万的子域名和IP。如何高效处理优先级排序新颖性新发现的、不在已知资产清单里的目标优先。特殊性非常规端口非80/443开放的服务、测试/开发环境dev,test,staging、后台管理路径admin,manage优先。脆弱性关联直接匹配到已知高危漏洞版本的服务如Apache 2.4.49存在路径穿越漏洞CVE-2021-41773绝对优先。自动化初筛使用nuclei这样的工具它可以基于我们收集到的URL和主机列表自动运行上千个预定义的漏洞检测模板包括CVE、配置错误、默认凭证等快速筛选出“低垂的果实”。分类标记在报告中或数据库中对资产进行分类标记如prod生产、dev开发、external外部、internal内部暴露、critical关键。5.3 常见踩坑点与排查技巧工具没结果首先检查网络连通性ping 8.8.8.8其次检查工具字典路径是否正确最后查看目标是否有WAF或速率限制尝试降低线程-t参数增加延迟-delay。扫描被中断或IP被封这是主动扫描的常态。使用代理池如proxychains配合可用代理列表轮换IP并大幅降低扫描速度。在授权测试中应提前与客户约定扫描源IP让其加入白名单。结果杂乱不准确定期更新你的工具和字典。社区维护的字典如SecLists和工具的指纹库是持续更新的。同时对关键资产手动验证工具结果至关重要不要完全相信自动化输出。法律与授权红线这是最重要的部分绝对不要在未获得明确书面授权的情况下对任何不属于你或未授权测试的目标进行信息收集尤其是主动扫描。被动信息收集的边界相对模糊但也需谨慎避免触及数据隐私法规。始终遵循“授权测试”原则。信息收集是一门永无止境的技艺新的工具、新的数据源、新的技巧不断涌现。它的核心不在于你记住了多少个工具命令而在于你是否建立起了一套系统性的“侦察”思维明确目标、分层递进、善用工具、自动化整合、持续分析。当你拿到一个目标能像经验丰富的侦探一样从蛛丝马迹中勾勒出它的全貌和弱点时你才算真正拿到了进入渗透测试世界大门的钥匙。剩下的漏洞利用、横向移动、权限维持都是建立在这张精准“地图”之上的战术行动。这张地图画得越细你的后续行动就越从容成功率也越高。
)
