1. 信息收集渗透测试的基石与起点在网络安全这个领域待了十几年我见过太多新手一上来就想学各种炫酷的漏洞利用和攻击手法结果往往一头雾水甚至误入歧途。其实无论是红队攻击、蓝队防守还是渗透测试信息收集永远是第一步也是最关键、最考验耐心和细致度的一步。你可以把它想象成一场战役前的侦察工作侦察得越详细敌人的兵力部署、火力配置、防御弱点就看得越清楚后续的进攻才能有的放矢事半功倍。反之如果侦察工作草草了事你很可能对着铜墙铁壁猛攻或者错过了最薄弱的侧门。这篇文章我想和你系统性地聊聊信息收集。它不是简单地罗列几个工具命令而是带你理解背后的逻辑、方法和心法。从你拿到一个目标可能是一个公司名、一个域名、一个IP甚至只是一个人的名字开始到你能勾勒出一幅相对完整的目标网络资产、技术架构、人员组织乃至潜在脆弱点的“作战地图”这整个过程就是信息收集。我会从最基础的公开资源情报收集OSINT讲起逐步深入到更主动的技术探测并分享我踩过的坑和总结出的高效工作流。无论你是刚入门的安全爱好者还是想体系化提升技能的从业者这篇长文都值得你花时间阅读和收藏。2. 信息收集的核心框架与分类在开始具体操作之前我们必须建立一个清晰的认知框架。信息收集不是漫无目的地瞎搜而是有层次、有策略的推进。我通常将其分为四个主要层面它们之间存在递进和交叉关系。2.1 公开来源情报收集这是信息收集的起点也是法律风险最低、资源最丰富的领域。OSINT的核心思想是目标在互联网上留下的所有公开痕迹都是我们的情报源。这包括但不限于公司信息官网、招聘信息会透露技术栈如“招聘Java开发工程师熟悉Spring Cloud”、新闻稿、投资者关系页面、企业工商信息天眼查、企查查等。人员信息员工在领英、脉脉、微博、技术社区GitHub、CSDN、知乎的账号和发言。一个员工在Stack Overflow上提问时贴出的错误日志可能无意中暴露了内部系统路径或版本信息。资产信息域名、子域名、关联的IP地址段、持有的移动应用App Store/应用宝、微信公众号、小程序等。技术信息网站使用的技术框架Wappalyzer插件可以快速识别、第三方服务如CDN、云WAF、邮箱服务商、历史DNS记录、备案信息。注意进行OSINT时务必遵守相关法律法规和平台的使用条款。我们的目的是模拟攻击者视角进行学习与研究所有操作应在授权测试或个人学习环境中进行切勿对未授权目标进行骚扰或非法数据爬取。2.2 主动技术探测在OSINT获取到初步资产如域名、IP后就需要进行更主动的技术交互来获取更深层的信息。这就像侦察兵开始用望远镜仔细观察哨所和工事。端口扫描与服务识别确定目标IP开放了哪些端口如80/HTTP, 443/HTTPS, 22/SSH, 3306/MySQL以及运行在这些端口上的服务及其具体版本。一个过时且有已知漏洞的Apache版本就是明确的攻击入口。目录与文件枚举寻找网站根目录下隐藏的、未链接的但可能可访问的文件或目录例如/admin/,/backup/,/phpinfo.php,/.git/等。这些地方常常存放着管理后台、源代码备份或配置文件。网络拓扑与架构探测尝试识别目标使用的网络设备路由器、防火墙、负载均衡、CDN以及内部网络结构如果存在信息泄露。工具如traceroute可以帮助理解数据包路径。2.3 漏洞信息关联这不是直接扫描漏洞而是将前两步收集到的信息与已知的漏洞库、暴露面进行关联分析。已知漏洞匹配将识别出的软件、框架、中间件、插件的具体版本号在CVE、CNVD、Exploit-DB等漏洞库中进行查询看是否存在公开的、可利用的漏洞。敏感信息泄露检查检查GitHub等代码托管平台是否有员工误传了含有密码、API密钥、配置文件的代码仓库。检查网盘、文库站点是否有泄露的内部文档。历史漏洞与安全事件搜索目标公司历史上是否被公开披露过安全漏洞或数据泄露事件这往往能揭示其安全防护的薄弱环节或遗留问题。2.4 社会工程学信息收集这部分侧重于“人”的因素。通过收集关键人员的个人信息姓名、职位、邮箱、电话、社交习惯为可能的鱼叉式钓鱼攻击或密码猜解做准备。例如收集到公司邮箱格式如firstname.lastnamecompany.com和员工姓名列表就可以生成一批可能的邮箱账户进行撞库或钓鱼测试。3. 从入门到精通手把手实战信息收集理论说再多不如动手操作一遍。下面我将以一个虚构的测试目标example-test.com为例展示一个相对完整的信息收集流程。请记住所有操作必须在你有合法权限测试的环境中进行例如自己的虚拟机、授权的靶场如Vulnhub, HackTheBox或获得明确书面授权的渗透测试项目。3.1 阶段一基础OSINT与资产发现假设我们只知道一个主域名example-test.com。1. 子域名枚举子域名常常是发现新攻击面的关键。一个主站可能防护严密但其测试子站test.example-test.com、办公OA子站oa.example-test.com或老旧遗留系统old.example-test.com可能漏洞百出。工具与方法被动枚举利用第三方聚合数据不直接与目标交互。推荐subfinder,amass(passive mode),Sublist3r。例如subfinder -d example-test.com -silent | tee subdomains.txt字典爆破使用大型子域名字典尝试解析。推荐altdns生成变体配合massdns进行高速解析。常用字典有subdomains-top1million-5000.txt。证书透明度日志证书在签发时会被公开记录。crt.sh网站或certspotter工具可以查询到为某个域名及其子域名签发的所有SSL证书是发现子域名的宝藏。搜索引擎语法site:*.example-test.com或-site:www.example-test.com site:*.example-test.com。实操心得将多种工具的结果合并、去重后你会得到一个初步的子域名列表。不要迷信单一工具。用httpx或httprobe快速探测哪些子域名是“活”的有HTTP/HTTPS服务这能大幅缩小后续深入扫描的范围。cat subdomains.txt | httpx -silent -title -status-code -tech-detect -o live_subdomains.txt这条命令能同时获取存活状态、状态码、页面标题和使用的技术效率极高。2. 企业基础信息与关联资产工具与方法企查查/天眼查查询公司注册信息、分支机构、关联企业。子公司或兄弟公司的网络可能和主目标存在信任关系或共享资源。备案查询通过工信部备案系统或第三方网站查询域名备案信息可能获得公司全称、主办单位性质、甚至备案的IP地址段。ASN查询如果目标规模较大可能拥有自己的自治系统号ASN。通过whois或bgp.he.net查询其IP段所属的ASN有时能发现该ASN下属于同一公司的其他IP网段从而扩大资产范围。App与小程序在各大应用市场搜索公司名或相关关键词寻找其移动端资产。小程序则可在微信内搜索。3.2 阶段二技术栈识别与网络探测现在我们有了一个存活资产列表live_subdomains.txt。1. Web技术栈指纹识别工具与方法浏览器插件Wappalyzer,BuiltWith。适合手动浏览时快速查看。命令行工具whatweb,webanalyze。适合批量扫描。whatweb -i live_subdomains.txt --colornever --log-jsontech_stack.json关注点Web服务器Nginx/Apache/IIS、编程语言/框架PHP/Java Spring/.NET、前端框架React/Vue、中间件Tomcat/WebLogic、第三方服务Google Analytics, Cloudflare, WAF标识、CMSWordPress, Joomla及其具体版本。2. 端口扫描与服务探测这是直接与目标网络交互的一步需谨慎避免触发安全设备的告警。工具与方法全能选手nmap。它是端口扫描的瑞士军刀。快速扫描nmap -sS -T4 -F target-ip。-sS是SYN半开扫描相对隐蔽-T4是速度-F是快速模式扫描常见100个端口。全端口与服务版本探测nmap -sS -sV -sC -O -p- target-ip。-p-扫描所有65535个端口-sV探测服务版本-sC运行默认脚本-O尝试识别操作系统。注意全端口扫描速度慢、流量大极易被察觉。针对Webnmap -sV --scripthttp-title,http-headers,http-enum -p 80,443,8080,8443 target-ip。http-enum脚本会枚举常见的Web路径。速度之王masscan。它能在极短时间内扫描整个互联网的某个端口。适用于在授权的大规模资产中发现开放端口。用法示例masscan -p1-65535 target-ip-range --rate1000。警告速率--rate设置过高会严重影响目标网络务必在授权范围内使用。实操心得对于外部渗透测试优先扫描从OSINT阶段获取的已知IP和云服务IP。将nmap的-sS(SYN扫描) 与-sT(全连接扫描) 结合使用。某些防火墙会丢弃SYN包但允许完整的TCP三次握手。发现非标准端口如8080, 8888, 9000上运行的Web服务或者22端口SSH开放都是需要重点关注的入口点。结果整理将nmap输出保存为XML格式-oX方便用nmap-parse-output等工具解析或导入到像Dradis这样的报告平台。3. 目录与文件枚举工具与方法字典驱动dirsearch,gobuster,ffuf。它们通过加载一个包含常见路径的字典文件进行爆破。dirsearch -u https://target.example-test.com -e php,asp,aspx,jsp,html,js -w /path/to/dictionary.txt-e指定扩展名-w指定字典文件。一个好的字典是关键推荐SecLists项目中的Discovery/Web-Content目录下的字典。纯速度feroxbuster。用Rust编写速度非常快。智能发现katana或crawleye。它们不仅是爬虫还能解析JS文件发现通过前端代码动态加载的API端点这对于现代单页面应用SPA尤为重要。注意事项速率限制使用-t(线程数) 和--delay(延迟) 参数控制请求频率避免把网站打挂或触发IP封禁。过滤干扰关注状态码为200成功、301/302重定向、403禁止访问但路径存在、500服务器错误的响应。对于大量返回404或相同大小的403响应可以设置过滤器排除。重点目标发现/admin/,/phpmyadmin/,/wp-admin/,/backup/,/config/,/api/等目录要重点记录。3.3 阶段三深入分析与关联拓展1. 漏洞信息关联分析手动查询将识别出的Apache 2.4.49、WordPress 5.7等具体版本号输入到以下平台exploit-db.com(SearchSploit)nvd.nist.gov(NVD)cnvd.org.cn(CNVD)cve.mitre.org自动化工具nuclei。它基于社区维护的庞大漏洞模板库能自动对目标进行多种已知漏洞的检测。使用前需要更新模板库 (nuclei -update-templates)。nuclei -l live_subdomains.txt -t /path/to/nuclei-templates/ -o nuclei_results.txt警告nuclei功能强大但部分检测模板可能具有侵入性。务必在授权范围内使用并仔细阅读模板说明。2. GitHub等代码仓库监控方法高级搜索在GitHub使用关键词搜索如example-test.com password,example-test.com api_key,example-test.com config,公司名以及常见的配置文件后缀如.env,config.json,id_rsa。工具gitrob,truffleHog。这些工具可以克隆指定用户或组织的仓库并扫描提交历史中的敏感信息如硬编码的密钥、密码。Google Dorking使用特定的搜索语法例如site:github.com example-test.com AND (key OR password OR secret) filetype:sql example-test.com3. 网络拓扑与旁站、C段探测旁站指共享同一台服务器IP的其他网站。如果目标网站www.example-test.com托管在虚拟主机上那么攻破同一IP上的任何一个弱网站都可能影响到目标。通过IP反查域名可以找到旁站。# 使用 dig 或 host 获取目标IP dig short www.example-test.com # 假设获得 IP 为 192.0.2.100 # 使用在线工具或 whois 查询该IP上绑定的所有域名C段探测指目标IP所在的整个C类网络如192.0.2.0/24。公司往往将一批服务器部署在相邻的IP地址上。扫描C段可能发现开发服务器、测试环境、内部系统等防护较弱的目标。nmap -sn 192.0.2.0/24 # 先进行Ping扫描发现存活主机 nmap -sS -sV -p 80,443,22,3389 192.0.2.1-254 # 对存活主机进行重点端口扫描重要C段扫描属于大范围网络探测法律风险极高绝对禁止在未获得明确授权的情况下对任何非自有网络进行此类操作。4. 高效工作流与自动化实践手动执行以上所有步骤是低效的。资深从业者都会搭建自己的自动化信息收集流水线。我的个人工作流核心是Bash脚本 Python胶水代码 可视化报告。1. 工具链整合脚本我写了一个简单的Bash脚本框架将各个工具串联起来#!/bin/bash TARGET$1 OUTPUT_DIRrecon_$TARGET_$(date %Y%m%d) mkdir -p $OUTPUT_DIR echo [*] Starting OSINT for $TARGET # 1. 子域名枚举 subfinder -d $TARGET -silent | tee $OUTPUT_DIR/subfinder.txt amass enum -passive -d $TARGET -o $OUTPUT_DIR/amass_passive.txt # 合并去重 cat $OUTPUT_DIR/subfinder.txt $OUTPUT_DIR/amass_passive.txt | sort -u $OUTPUT_DIR/all_subs.txt echo [*] Probing for live subdomains cat $OUTPUT_DIR/all_subs.txt | httpx -silent -title -status-code -tech-detect -o $OUTPUT_DIR/live_subs_with_info.txt # 提取纯URL cat $OUTPUT_DIR/live_subs_with_info.txt | awk {print $1} $OUTPUT_DIR/live_subs_urls.txt echo [*] Taking screenshots (for quick visual assessment) cat $OUTPUT_DIR/live_subs_urls.txt | aquatone -out $OUTPUT_DIR/aquatone_report echo [*] Basic directory brute-forcing on main target dirsearch -u https://$TARGET -e php,html,js,json -w /usr/share/seclists/Discovery/Web-Content/quickhits.txt -o $OUTPUT_DIR/dirsearch_main.txt echo [*] Scanning top ports on live hosts (extract IPs first) # 这里需要从 live_subs_urls.txt 中解析出IP略复杂通常先对主域IP进行扫描 nmap -sS -sV -T4 -F $(dig short $TARGET) -oN $OUTPUT_DIR/nmap_quick_scan.txt echo [*] Recon completed. Results in $OUTPUT_DIR/这个脚本只是一个起点你可以根据需要添加nuclei扫描、waybackurls获取历史URL、git-dork等功能。2. 可视化与报告收集到的信息是零散的需要整合。aquatone它不仅截图还能生成一个漂亮的HTML报告按状态码、标题分组展示所有子域名一目了然。spiderfoot一个强大的OSINT自动化平台有Web界面可以模块化地运行各种信息收集查询并自动关联数据。自定义仪表板将httpx、nmap、nuclei的JSON输出用Python的pandas和plotly库进行分析和可视化生成资产画像、风险统计图等。3. 信息整理与思维导图工具跑完后最终要靠人脑分析。我习惯使用思维导图工具如XMind将收集到的信息结构化中心节点目标公司一级分支资产域名/IP/App、人员、组织架构、技术栈、第三方服务二级分支每个资产下挂载端口、服务、目录、漏洞、截图三级分支每个漏洞关联的CVE编号、利用方式、风险等级这样一张清晰的“攻击面地图”就形成了后续的渗透测试工作就可以基于此地图按风险高低有序展开。5. 常见问题、误区与排查技巧Q1扫描速度太慢怎么办A这是一个平衡问题。速度太快易被屏蔽太慢影响效率。分层扫描先快速扫描-F常见端口对发现的开放端口再进行全端口或深度版本探测。调整参数nmap的-T参数0-5控制速度-T3是默认-T4更快但更易被察觉。--max-rate和--min-rate可精确控制发包速率。使用更快的工具对于纯端口发现masscan远快于nmap。对于Web目录枚举feroxbuster和ffuf比老旧的dirb快得多。分布式扫描在授权的大型内网测试中可以使用多台机器同时扫描不同网段。Q2我的IP被目标防火墙/ WAF封禁了A这是信息收集阶段的常态也是防守方能力的体现。使用代理池通过轮换不同的HTTP/SOCKS代理或使用Tor网络来变换源IP。但要注意很多公开代理不稳定且可能记录你的流量。降低频率大幅增加请求间隔--delay模拟真人浏览行为。修改User-Agent使用常见的浏览器UA避免使用工具默认的UA如curl/7.68.0。利用CDN节点如果目标使用了CDN其边缘节点的安全策略可能比源站宽松。但直接攻击CDN通常不是目的。接受现实对于防护严密的商业目标主动扫描被阻断是正常的。此时应更侧重于OSINT和社会工程学等非交互式或低交互式方法。Q3收集到的信息太多太杂如何筛选重点A信息过载是另一个常见问题。我的筛选原则是新鲜度优先刚发现的、新上线的子域名或服务可通过证书透明度日志的发布时间判断往往安全配置不完善。非常规入口关注非80/443端口上的Web服务、罕见的服务类型。脆弱技术栈快速匹配已知漏洞的组件版本如Apache Log4j 2.x,Spring Framework 5.3.18。管理界面任何看起来像后台登录、API文档/swagger-ui/、监控面板/grafana/的地址。错误信息页面上爆出的详细错误信息如SQL错误、堆栈跟踪可能泄露路径、数据库结构或代码片段。Q4工具报错或没有结果如何排查网络连通性首先用ping和curl确认目标是否可达DNS解析是否正常。工具参数仔细阅读工具的--help确认参数使用是否正确。例如dirsearch的-u参数需要完整的URL包括http://。字典问题目录枚举没结果尝试换一个更全面或更针对性的字典。SecLists项目里有针对不同技术栈PHP, ASP, WordPress的专用字典。权限问题某些扫描如UDP端口扫描、OS检测需要root权限。查看日志使用工具的-v(verbose) 参数输出详细日志看请求是否发出、收到了什么响应。信息收集是一门艺术也是渗透测试中我最喜欢的部分。它没有固定的“必杀技”更多的是耐心、好奇心、创造力和对细节的把握。每一次信息收集都像是在拼一张巨大的、不完整的拼图你需要从各个角落寻找碎片并推断出全貌。这个过程本身就充满了挑战和乐趣。希望这篇长文能为你提供一张清晰的“寻宝图”。记住能力越大责任越大始终在合法合规的范围内运用这些知识和技能。
渗透测试信息收集：从OSINT到自动化侦察的完整实战指南
发布时间：2026/6/29 1:09:33
1. 信息收集渗透测试的基石与起点在网络安全这个领域待了十几年我见过太多新手一上来就想学各种炫酷的漏洞利用和攻击手法结果往往一头雾水甚至误入歧途。其实无论是红队攻击、蓝队防守还是渗透测试信息收集永远是第一步也是最关键、最考验耐心和细致度的一步。你可以把它想象成一场战役前的侦察工作侦察得越详细敌人的兵力部署、火力配置、防御弱点就看得越清楚后续的进攻才能有的放矢事半功倍。反之如果侦察工作草草了事你很可能对着铜墙铁壁猛攻或者错过了最薄弱的侧门。这篇文章我想和你系统性地聊聊信息收集。它不是简单地罗列几个工具命令而是带你理解背后的逻辑、方法和心法。从你拿到一个目标可能是一个公司名、一个域名、一个IP甚至只是一个人的名字开始到你能勾勒出一幅相对完整的目标网络资产、技术架构、人员组织乃至潜在脆弱点的“作战地图”这整个过程就是信息收集。我会从最基础的公开资源情报收集OSINT讲起逐步深入到更主动的技术探测并分享我踩过的坑和总结出的高效工作流。无论你是刚入门的安全爱好者还是想体系化提升技能的从业者这篇长文都值得你花时间阅读和收藏。2. 信息收集的核心框架与分类在开始具体操作之前我们必须建立一个清晰的认知框架。信息收集不是漫无目的地瞎搜而是有层次、有策略的推进。我通常将其分为四个主要层面它们之间存在递进和交叉关系。2.1 公开来源情报收集这是信息收集的起点也是法律风险最低、资源最丰富的领域。OSINT的核心思想是目标在互联网上留下的所有公开痕迹都是我们的情报源。这包括但不限于公司信息官网、招聘信息会透露技术栈如“招聘Java开发工程师熟悉Spring Cloud”、新闻稿、投资者关系页面、企业工商信息天眼查、企查查等。人员信息员工在领英、脉脉、微博、技术社区GitHub、CSDN、知乎的账号和发言。一个员工在Stack Overflow上提问时贴出的错误日志可能无意中暴露了内部系统路径或版本信息。资产信息域名、子域名、关联的IP地址段、持有的移动应用App Store/应用宝、微信公众号、小程序等。技术信息网站使用的技术框架Wappalyzer插件可以快速识别、第三方服务如CDN、云WAF、邮箱服务商、历史DNS记录、备案信息。注意进行OSINT时务必遵守相关法律法规和平台的使用条款。我们的目的是模拟攻击者视角进行学习与研究所有操作应在授权测试或个人学习环境中进行切勿对未授权目标进行骚扰或非法数据爬取。2.2 主动技术探测在OSINT获取到初步资产如域名、IP后就需要进行更主动的技术交互来获取更深层的信息。这就像侦察兵开始用望远镜仔细观察哨所和工事。端口扫描与服务识别确定目标IP开放了哪些端口如80/HTTP, 443/HTTPS, 22/SSH, 3306/MySQL以及运行在这些端口上的服务及其具体版本。一个过时且有已知漏洞的Apache版本就是明确的攻击入口。目录与文件枚举寻找网站根目录下隐藏的、未链接的但可能可访问的文件或目录例如/admin/,/backup/,/phpinfo.php,/.git/等。这些地方常常存放着管理后台、源代码备份或配置文件。网络拓扑与架构探测尝试识别目标使用的网络设备路由器、防火墙、负载均衡、CDN以及内部网络结构如果存在信息泄露。工具如traceroute可以帮助理解数据包路径。2.3 漏洞信息关联这不是直接扫描漏洞而是将前两步收集到的信息与已知的漏洞库、暴露面进行关联分析。已知漏洞匹配将识别出的软件、框架、中间件、插件的具体版本号在CVE、CNVD、Exploit-DB等漏洞库中进行查询看是否存在公开的、可利用的漏洞。敏感信息泄露检查检查GitHub等代码托管平台是否有员工误传了含有密码、API密钥、配置文件的代码仓库。检查网盘、文库站点是否有泄露的内部文档。历史漏洞与安全事件搜索目标公司历史上是否被公开披露过安全漏洞或数据泄露事件这往往能揭示其安全防护的薄弱环节或遗留问题。2.4 社会工程学信息收集这部分侧重于“人”的因素。通过收集关键人员的个人信息姓名、职位、邮箱、电话、社交习惯为可能的鱼叉式钓鱼攻击或密码猜解做准备。例如收集到公司邮箱格式如firstname.lastnamecompany.com和员工姓名列表就可以生成一批可能的邮箱账户进行撞库或钓鱼测试。3. 从入门到精通手把手实战信息收集理论说再多不如动手操作一遍。下面我将以一个虚构的测试目标example-test.com为例展示一个相对完整的信息收集流程。请记住所有操作必须在你有合法权限测试的环境中进行例如自己的虚拟机、授权的靶场如Vulnhub, HackTheBox或获得明确书面授权的渗透测试项目。3.1 阶段一基础OSINT与资产发现假设我们只知道一个主域名example-test.com。1. 子域名枚举子域名常常是发现新攻击面的关键。一个主站可能防护严密但其测试子站test.example-test.com、办公OA子站oa.example-test.com或老旧遗留系统old.example-test.com可能漏洞百出。工具与方法被动枚举利用第三方聚合数据不直接与目标交互。推荐subfinder,amass(passive mode),Sublist3r。例如subfinder -d example-test.com -silent | tee subdomains.txt字典爆破使用大型子域名字典尝试解析。推荐altdns生成变体配合massdns进行高速解析。常用字典有subdomains-top1million-5000.txt。证书透明度日志证书在签发时会被公开记录。crt.sh网站或certspotter工具可以查询到为某个域名及其子域名签发的所有SSL证书是发现子域名的宝藏。搜索引擎语法site:*.example-test.com或-site:www.example-test.com site:*.example-test.com。实操心得将多种工具的结果合并、去重后你会得到一个初步的子域名列表。不要迷信单一工具。用httpx或httprobe快速探测哪些子域名是“活”的有HTTP/HTTPS服务这能大幅缩小后续深入扫描的范围。cat subdomains.txt | httpx -silent -title -status-code -tech-detect -o live_subdomains.txt这条命令能同时获取存活状态、状态码、页面标题和使用的技术效率极高。2. 企业基础信息与关联资产工具与方法企查查/天眼查查询公司注册信息、分支机构、关联企业。子公司或兄弟公司的网络可能和主目标存在信任关系或共享资源。备案查询通过工信部备案系统或第三方网站查询域名备案信息可能获得公司全称、主办单位性质、甚至备案的IP地址段。ASN查询如果目标规模较大可能拥有自己的自治系统号ASN。通过whois或bgp.he.net查询其IP段所属的ASN有时能发现该ASN下属于同一公司的其他IP网段从而扩大资产范围。App与小程序在各大应用市场搜索公司名或相关关键词寻找其移动端资产。小程序则可在微信内搜索。3.2 阶段二技术栈识别与网络探测现在我们有了一个存活资产列表live_subdomains.txt。1. Web技术栈指纹识别工具与方法浏览器插件Wappalyzer,BuiltWith。适合手动浏览时快速查看。命令行工具whatweb,webanalyze。适合批量扫描。whatweb -i live_subdomains.txt --colornever --log-jsontech_stack.json关注点Web服务器Nginx/Apache/IIS、编程语言/框架PHP/Java Spring/.NET、前端框架React/Vue、中间件Tomcat/WebLogic、第三方服务Google Analytics, Cloudflare, WAF标识、CMSWordPress, Joomla及其具体版本。2. 端口扫描与服务探测这是直接与目标网络交互的一步需谨慎避免触发安全设备的告警。工具与方法全能选手nmap。它是端口扫描的瑞士军刀。快速扫描nmap -sS -T4 -F target-ip。-sS是SYN半开扫描相对隐蔽-T4是速度-F是快速模式扫描常见100个端口。全端口与服务版本探测nmap -sS -sV -sC -O -p- target-ip。-p-扫描所有65535个端口-sV探测服务版本-sC运行默认脚本-O尝试识别操作系统。注意全端口扫描速度慢、流量大极易被察觉。针对Webnmap -sV --scripthttp-title,http-headers,http-enum -p 80,443,8080,8443 target-ip。http-enum脚本会枚举常见的Web路径。速度之王masscan。它能在极短时间内扫描整个互联网的某个端口。适用于在授权的大规模资产中发现开放端口。用法示例masscan -p1-65535 target-ip-range --rate1000。警告速率--rate设置过高会严重影响目标网络务必在授权范围内使用。实操心得对于外部渗透测试优先扫描从OSINT阶段获取的已知IP和云服务IP。将nmap的-sS(SYN扫描) 与-sT(全连接扫描) 结合使用。某些防火墙会丢弃SYN包但允许完整的TCP三次握手。发现非标准端口如8080, 8888, 9000上运行的Web服务或者22端口SSH开放都是需要重点关注的入口点。结果整理将nmap输出保存为XML格式-oX方便用nmap-parse-output等工具解析或导入到像Dradis这样的报告平台。3. 目录与文件枚举工具与方法字典驱动dirsearch,gobuster,ffuf。它们通过加载一个包含常见路径的字典文件进行爆破。dirsearch -u https://target.example-test.com -e php,asp,aspx,jsp,html,js -w /path/to/dictionary.txt-e指定扩展名-w指定字典文件。一个好的字典是关键推荐SecLists项目中的Discovery/Web-Content目录下的字典。纯速度feroxbuster。用Rust编写速度非常快。智能发现katana或crawleye。它们不仅是爬虫还能解析JS文件发现通过前端代码动态加载的API端点这对于现代单页面应用SPA尤为重要。注意事项速率限制使用-t(线程数) 和--delay(延迟) 参数控制请求频率避免把网站打挂或触发IP封禁。过滤干扰关注状态码为200成功、301/302重定向、403禁止访问但路径存在、500服务器错误的响应。对于大量返回404或相同大小的403响应可以设置过滤器排除。重点目标发现/admin/,/phpmyadmin/,/wp-admin/,/backup/,/config/,/api/等目录要重点记录。3.3 阶段三深入分析与关联拓展1. 漏洞信息关联分析手动查询将识别出的Apache 2.4.49、WordPress 5.7等具体版本号输入到以下平台exploit-db.com(SearchSploit)nvd.nist.gov(NVD)cnvd.org.cn(CNVD)cve.mitre.org自动化工具nuclei。它基于社区维护的庞大漏洞模板库能自动对目标进行多种已知漏洞的检测。使用前需要更新模板库 (nuclei -update-templates)。nuclei -l live_subdomains.txt -t /path/to/nuclei-templates/ -o nuclei_results.txt警告nuclei功能强大但部分检测模板可能具有侵入性。务必在授权范围内使用并仔细阅读模板说明。2. GitHub等代码仓库监控方法高级搜索在GitHub使用关键词搜索如example-test.com password,example-test.com api_key,example-test.com config,公司名以及常见的配置文件后缀如.env,config.json,id_rsa。工具gitrob,truffleHog。这些工具可以克隆指定用户或组织的仓库并扫描提交历史中的敏感信息如硬编码的密钥、密码。Google Dorking使用特定的搜索语法例如site:github.com example-test.com AND (key OR password OR secret) filetype:sql example-test.com3. 网络拓扑与旁站、C段探测旁站指共享同一台服务器IP的其他网站。如果目标网站www.example-test.com托管在虚拟主机上那么攻破同一IP上的任何一个弱网站都可能影响到目标。通过IP反查域名可以找到旁站。# 使用 dig 或 host 获取目标IP dig short www.example-test.com # 假设获得 IP 为 192.0.2.100 # 使用在线工具或 whois 查询该IP上绑定的所有域名C段探测指目标IP所在的整个C类网络如192.0.2.0/24。公司往往将一批服务器部署在相邻的IP地址上。扫描C段可能发现开发服务器、测试环境、内部系统等防护较弱的目标。nmap -sn 192.0.2.0/24 # 先进行Ping扫描发现存活主机 nmap -sS -sV -p 80,443,22,3389 192.0.2.1-254 # 对存活主机进行重点端口扫描重要C段扫描属于大范围网络探测法律风险极高绝对禁止在未获得明确授权的情况下对任何非自有网络进行此类操作。4. 高效工作流与自动化实践手动执行以上所有步骤是低效的。资深从业者都会搭建自己的自动化信息收集流水线。我的个人工作流核心是Bash脚本 Python胶水代码 可视化报告。1. 工具链整合脚本我写了一个简单的Bash脚本框架将各个工具串联起来#!/bin/bash TARGET$1 OUTPUT_DIRrecon_$TARGET_$(date %Y%m%d) mkdir -p $OUTPUT_DIR echo [*] Starting OSINT for $TARGET # 1. 子域名枚举 subfinder -d $TARGET -silent | tee $OUTPUT_DIR/subfinder.txt amass enum -passive -d $TARGET -o $OUTPUT_DIR/amass_passive.txt # 合并去重 cat $OUTPUT_DIR/subfinder.txt $OUTPUT_DIR/amass_passive.txt | sort -u $OUTPUT_DIR/all_subs.txt echo [*] Probing for live subdomains cat $OUTPUT_DIR/all_subs.txt | httpx -silent -title -status-code -tech-detect -o $OUTPUT_DIR/live_subs_with_info.txt # 提取纯URL cat $OUTPUT_DIR/live_subs_with_info.txt | awk {print $1} $OUTPUT_DIR/live_subs_urls.txt echo [*] Taking screenshots (for quick visual assessment) cat $OUTPUT_DIR/live_subs_urls.txt | aquatone -out $OUTPUT_DIR/aquatone_report echo [*] Basic directory brute-forcing on main target dirsearch -u https://$TARGET -e php,html,js,json -w /usr/share/seclists/Discovery/Web-Content/quickhits.txt -o $OUTPUT_DIR/dirsearch_main.txt echo [*] Scanning top ports on live hosts (extract IPs first) # 这里需要从 live_subs_urls.txt 中解析出IP略复杂通常先对主域IP进行扫描 nmap -sS -sV -T4 -F $(dig short $TARGET) -oN $OUTPUT_DIR/nmap_quick_scan.txt echo [*] Recon completed. Results in $OUTPUT_DIR/这个脚本只是一个起点你可以根据需要添加nuclei扫描、waybackurls获取历史URL、git-dork等功能。2. 可视化与报告收集到的信息是零散的需要整合。aquatone它不仅截图还能生成一个漂亮的HTML报告按状态码、标题分组展示所有子域名一目了然。spiderfoot一个强大的OSINT自动化平台有Web界面可以模块化地运行各种信息收集查询并自动关联数据。自定义仪表板将httpx、nmap、nuclei的JSON输出用Python的pandas和plotly库进行分析和可视化生成资产画像、风险统计图等。3. 信息整理与思维导图工具跑完后最终要靠人脑分析。我习惯使用思维导图工具如XMind将收集到的信息结构化中心节点目标公司一级分支资产域名/IP/App、人员、组织架构、技术栈、第三方服务二级分支每个资产下挂载端口、服务、目录、漏洞、截图三级分支每个漏洞关联的CVE编号、利用方式、风险等级这样一张清晰的“攻击面地图”就形成了后续的渗透测试工作就可以基于此地图按风险高低有序展开。5. 常见问题、误区与排查技巧Q1扫描速度太慢怎么办A这是一个平衡问题。速度太快易被屏蔽太慢影响效率。分层扫描先快速扫描-F常见端口对发现的开放端口再进行全端口或深度版本探测。调整参数nmap的-T参数0-5控制速度-T3是默认-T4更快但更易被察觉。--max-rate和--min-rate可精确控制发包速率。使用更快的工具对于纯端口发现masscan远快于nmap。对于Web目录枚举feroxbuster和ffuf比老旧的dirb快得多。分布式扫描在授权的大型内网测试中可以使用多台机器同时扫描不同网段。Q2我的IP被目标防火墙/ WAF封禁了A这是信息收集阶段的常态也是防守方能力的体现。使用代理池通过轮换不同的HTTP/SOCKS代理或使用Tor网络来变换源IP。但要注意很多公开代理不稳定且可能记录你的流量。降低频率大幅增加请求间隔--delay模拟真人浏览行为。修改User-Agent使用常见的浏览器UA避免使用工具默认的UA如curl/7.68.0。利用CDN节点如果目标使用了CDN其边缘节点的安全策略可能比源站宽松。但直接攻击CDN通常不是目的。接受现实对于防护严密的商业目标主动扫描被阻断是正常的。此时应更侧重于OSINT和社会工程学等非交互式或低交互式方法。Q3收集到的信息太多太杂如何筛选重点A信息过载是另一个常见问题。我的筛选原则是新鲜度优先刚发现的、新上线的子域名或服务可通过证书透明度日志的发布时间判断往往安全配置不完善。非常规入口关注非80/443端口上的Web服务、罕见的服务类型。脆弱技术栈快速匹配已知漏洞的组件版本如Apache Log4j 2.x,Spring Framework 5.3.18。管理界面任何看起来像后台登录、API文档/swagger-ui/、监控面板/grafana/的地址。错误信息页面上爆出的详细错误信息如SQL错误、堆栈跟踪可能泄露路径、数据库结构或代码片段。Q4工具报错或没有结果如何排查网络连通性首先用ping和curl确认目标是否可达DNS解析是否正常。工具参数仔细阅读工具的--help确认参数使用是否正确。例如dirsearch的-u参数需要完整的URL包括http://。字典问题目录枚举没结果尝试换一个更全面或更针对性的字典。SecLists项目里有针对不同技术栈PHP, ASP, WordPress的专用字典。权限问题某些扫描如UDP端口扫描、OS检测需要root权限。查看日志使用工具的-v(verbose) 参数输出详细日志看请求是否发出、收到了什么响应。信息收集是一门艺术也是渗透测试中我最喜欢的部分。它没有固定的“必杀技”更多的是耐心、好奇心、创造力和对细节的把握。每一次信息收集都像是在拼一张巨大的、不完整的拼图你需要从各个角落寻找碎片并推断出全貌。这个过程本身就充满了挑战和乐趣。希望这篇长文能为你提供一张清晰的“寻宝图”。记住能力越大责任越大始终在合法合规的范围内运用这些知识和技能。
![华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)
![华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)
