信息收集

有 CDN 的示例：

www.163.com
服务器: public1.114dns.com
Address: 114.114.114.114

非权威应答:
名称: 163.xdwscache.ourglb0.com
Addresses: 58.223.164.86

125.75.32.252
Aliases: www.163.com

www.163.com.lxdns.com
无 CDN 的示例：

xiaix.me
服务器: public1.114dns.com
Address: 114.114.114.114

非权威应答:
名称: xiaix.me
Address: 192.3.168.172

解决方法

方法一:查询历史DNS记录（推荐）

查看 IP 与 域名绑定的历史记录，可能会存在使用 CDN 前的记录，相关查询网站有：
https://dnsdb.io/zh-cn/ ###DNS查询
https://x.threatbook.cn/ ###微步在线
http://toolbar.netcraft.com/site_report?url= ###在线域名信息查询
http://viewdns.info/ ###DNS、IP等查询
https://tools.ipip.net/cdn.php ###CDN查询IP

方法二:查询子域名

方法三：网络空间引擎搜索法（推荐）

常见的有以前的钟馗之眼，[shodan](https://www.shodan.io/)，[fofa搜索](https://fofa.so/)。以fofa为例，只需输入：title:“网站的title关键字”或者body：“网站的body特征”就可以找出fofa收录的有这些关键字的ip域名，很多时候能获取网站的真实ip。

方法四:利用SSL证书寻找真实原始IP

方法五:利用HTTP标头寻找真实原始IP

方法六:利用网站返回的内容寻找真实原始IP

方法七:使用国外主机解析域名

方法八:网站漏洞查找

1
2
3

1）目标敏感文件泄露，例如：phpinfo之类的探针、GitHub信息泄露等。
2）XSS盲打，命令执行反弹shell，SSRF等。
3）无论是用社工还是其他手段，拿到了目标网站管理员在CDN的账号，从而在从CDN的配置中找到网站的真实IP。

3.4IP反查绑定的域名网站

IP关联域名，大部分网站一个IP多个域名

4.子域名收集

4.1在线平台

第三方平台查询（推荐）

主要是一些第三方网站和一些博主提供的服务

ip138（推荐）
站长工具
hackertarget
phpinfo（在线爆破）
t1h2ua（在线爆破）
dnsdumpster
zcjun（在线爆破）

权重综合查询

全国政府网站基本数据库

Address Link

5.收集主机信息

5.1常用的端口利用及解析总结

端口：21 服务：FTP/TFTP/VSFTPD 总结：爆破/嗅探/溢出/后门
端口：22 服务：ssh远程连接      总结：爆破/openssh漏洞
端口：23 服务：Telnet远程连接   总结：爆破/嗅探/弱口令
端口：25 服务：SMTP邮件服务     总结：邮件伪造
端口：53 服务：DNS域名解析系统   总结：域传送/劫持/缓存投毒/欺骗
端口：67/68 服务：dhcp服务      总结：劫持/欺骗
端口：110 服务：pop3              总结：爆破/嗅探
端口：139 服务：Samba服务         总结：爆破/未授权访问/远程命令执行
端口：143 服务：Imap协议         总结：爆破161SNMP协议爆破/搜集目标内网信息
端口：389 服务：Ldap目录访问协议 总结：注入/未授权访问/弱口令
端口：445 服务：smb              总结：ms17-010/端口溢出
端口：512/513/514 服务：Linux Rexec服务 总结：爆破/Rlogin登陆
端口：873 服务：Rsync服务                 总结：文件上传/未授权访问
端口：1080 服务：socket                  总结：爆破
端口：1352 服务：Lotus domino邮件服务   总结：爆破/信息泄漏
端口：1433 服务：mssql                  总结：爆破/注入/SA弱口令
端口：1521 服务：oracle       总结：爆破/注入/TNS爆破/反弹shell2049Nfs服务配置不当
端口：2181 服务：zookeeper服务            总结：未授权访问
端口：2375 服务：docker remote api    总结：未授权访问
端口：3306 服务：mysql                 总结：爆破/注入
端口：3389 服务：Rdp远程桌面链接        总结：爆破/shift后门
端口：4848 服务：GlassFish控制台       总结：爆破/认证绕过
端口：5000 服务：sybase/DB2数据库      总结：爆破/注入/提权
端口：5432 服务：postgresql             总结：爆破/注入/缓冲区溢出
端口：5632 服务：pcanywhere服务        总结：抓密码/代码执行
端口：5900 服务：vnc                     总结：爆破/认证绕过
端口：6379 服务：Redis数据库           总结：未授权访问/爆破
端口：7001/7002 服务：weblogic         总结：java反序列化/控制台弱口令
端口：80/443 服务：http/https         总结：web应用漏洞/心脏滴血
端口：8069 服务：zabbix服务            总结：远程命令执行/注入
端口：8161 服务：activemq             总结：弱口令/写文件
端口：8080/8089 服务：Jboss/Tomcat/Resin 总结：爆破/PUT文件上传/反序列化
端口：8083/8086 服务：influxDB         总结：未授权访问
端口：9000 服务：fastcgi                 总结：远程命令执行
端口：9090 服务：Websphere             总结：控制台爆破/java反序列化/弱口令
端口：9200/9300 服务：elasticsearch   总结：远程代码执行
端口：11211 服务：memcached             总结：未授权访问
端口：27017/27018 服务：mongodb         总结：未授权访问/爆破

5.2扫描工具

Masscan

项目地址：https://github.com/robertdavidgraham/masscan

Masscan主要是真对全网进行端口扫描

1
2
3

masscan --ping 192.168.1.0/24 --rate 10000
masscan -iL tmp_scanip_list.tmp -p1-65535 -Pn -v --randomize-hosts --banners -oX result.xml --rate 10000

Nmap

项目地址：https://github.com/nmap/nmap.

扫描存活主机

-sL 列出要扫描的ip

-sn 不进行端口扫描

-Pn 将所有主机都默认为在线，跳过主机发现

-PS/PA/PU/PY 使用TCP、SYN/ACK、UDP或SCTP协议去发现端口

-PE/PP/PM：使用ICMP响应（echo）、时间戳或子网掩码请求来发现探测

-P0 不使用IP协议的ping

-n 不做DNS解析

-R 总是做DNS反向解析

--dns-servers指定自定义的DNS服务器

--system-dns 使用操作系统的DNS

--traceroute 追踪每台主机的跳转路径

1
2
3

nmap -sP 192.168.123.1/24    //ping扫描
nmap -p0 192.168.123.1/24    //无ping扫描
nmap -PS 192.168.123.1/24    //TCP Syn Ping扫描

推荐命令

1	nmap -sC -v -A IP -p PORT -oN result.txt

常用命令

nmap -p- -Pn -sV -v -open -T4 -n -sS -O x.x.x.x
-p- 扫描全端口
-Pn 不ping扫描
-sV 扫描版本信息
-v  显示扫描过程
--open 只显示开放端口
-T4 设置时序模板为自动控制
-n  不进行dns解析
-sS SYN半连接扫描
-O 扫描操作系统

快速扫描所有端口：

1	nmap -sS -p 1-65535 -v 192.168.99.177

Masscan+Nmap

有些时候网站的入口点属于非常规端口，因此是必须要做全端口扫描，做全端口扫描的时候由于namp发包量大经常出现各种问题，如端口扫描不全、获得信息不准等等，为了解决上述问题，这里提供一个masscan+nmap结合的方式进行快速扫描。

原理：使用masscan做全端口开放检测，检测出来端口信息后，用nmap进行服务信息识别。

使用：终端输入以下命令执行即可

# masscan --ping 192.168.1.0/24 --rate 10000
  nmap -sP 192.168.1.0/24
# masscan 192.33.6.145 -p1-65535  --rate 1000 -oL ports
# ports=$(cat ports | awk -F " " '{print $3}' | sort -n | tr '\n' ','  | sed 's/,$//' | sed 's/^,,//')
# nmap -sV -p $ports 192.33.6.145
  nmap -sC -v -A IP -p PORT -oN result.txt

masnmapscan

项目地址：https://github.com/hellogoldsnakeman/masnmapscan-V1.0

masnmapscan整合了masscan和nmap两款扫描器，masscan扫描端口，nmap扫描端口对应服务，二者结合起来实现了又快又好地扫描。并且加入了针对目标资产有防火墙的应对措施。

Zmap

项目地址：https://github.com/zmap/zmap

Zmap主要是真对全网进行端口扫描

6.指纹识别

Web指纹识别技术研究与优化实现：https://www.anquanke.com/post/id/178230 常见指纹检测的对象

1、CMS信息：比如大汉CMS、织梦、帝国CMS、phpcms、ecshop等；
2、前端技术：比如HTML5、jquery、bootstrap、pure、ace等；
3、Web服务器：比如Apache、lighttpd, Nginx, IIS等；
4、应用服务器：比如Tomcat、Jboss、weblogic、websphere等；
5、开发语言：比如PHP、Java、Ruby、Python、C#等；
6、操作系统信息：比如linux、win2k8、win7、kali、centos等；
7、CDN信息：是否使用CDN，如cloudflare、360cdn、365cyd、yunjiasu等；
8、WAF信息：是否使用waf，如Topsec、Jiasule、Yundun等；
9、IP及域名信息：IP和域名注册信息、服务商信息等；
10、端口信息：有些软件或平台还会探测服务器开放的常见端口。

指纹识别

在漏洞挖掘中，对目标服务器进行指纹识别是相当有必要的，因为只有识别出相应的Web容器或者CMS，才能查找与其相关的漏洞，然后才能进行相应的渗透操作。

CMS (Content Management System)又称整站系统或文章系统。常见的CMS有Dedecms (织梦)、Discuz、 PHPWEB、 PHPWind、PHPCMS、ECShop、 Dvbbs、 SiteWeaver、 ASPCMS、帝国、Z- Blog、WordPress等。

第三方平台

工具

常用指纹识别工具有：御剑Web指纹识别、WhatWeb、Test404轻量CMS指纹识别+v2.1、椰树等，可以快速识别一些主流CMS

Github项目

7.收集敏感信息

7.1敏感信息收集网站

网盘搜索：http://www.pansou.com/ 或 https://www.lingfengyun.com/
网盘密码破解：https://www.52pojie.cn/thread-763130-1-1.html
社工信息泄露：https://www.instantcheckmate.com/、http://www.uneihan.com/
源码搜索：https://searchcode.com/、https://gitee.com/、https://gitcafe.com、https://code.csdn.net
钟馗之眼： https://www.zoomeye.org/
天眼查： https://www.tianyancha.com/ 这个有破解使用企业版查询的办法
佛法：https://fofa.so/ 帮助文档：https://fofa.so/help
微步在线：https://x.threatbook.cn/
360情报中心：https://ti.360.cn/
在线查毒：https://www.virustotal.com/l

7.2目录&后台扫描

常用工具

7kbscan
https://github.com/7kbstorm/7kbscan-WebPathBrute
DirMap
https://github.com/H4ckForJob/dirmap
dirsearch
https://github.com/maurosoria/dirsearch
Fuzz-gobuster
https://github.com/OJ/gobuster
Fuzz-dirbuster
OWASP kali自带
Fuzz-wfuzz
https://github.com/xmendez/wfuzz
Test404轻量后台扫描器+v2.0
御剑
破壳Web极速扫描器

个人比较喜欢使用Fuzz大法，不管是目录扫描、后台扫描、Web漏洞模糊测试都是非常灵活的。这几款fuzz工具都比较好用

1
2
3

基于Go开发：gobuster
基于Java开发：dirbuster
基于Python开发：wfuzz

kali默认字典目录： /usr/share/wordlists/

7.3源码泄露

常见源码泄露

/.bzr/
/CVS/Entries
/CVS/Root
/.DS_Store  MacOS自动生成
/.hg/
/.svn/ (/.svn/entries)
/.git/
/WEB-INF/src/
/WEB-INF/lib/
/WEB-INF/classes/
/WEB-INF/database.properties
/WEB-INF/web.xml
Robots.txt

上述源码泄露在Github上都可以找到相应的利用工具

A 网页扫描

通过扫描器扫描web站点，看是否有源码相关目录被泄漏，如有，再通过特殊工具恢复

工具如：破壳web扫描器、御剑扫描器

B github类信息泄漏

GitHub敏感信息泄露一直是企业信息泄露和知识产权泄露的重灾区，安全意识薄弱的同事经常会将公司的代码、各种服务的账户等极度敏感的信息『开源』到github中，github也是黑、白帽子、安全工程师的必争之地。

全自动监控github：https://sec.xiaomi.com/article/37
GitHub敏感信息泄露监控：GSIL、Github-Monitor
在GitHub中一般通过搜索网站域名、网站JS路径、网站备案、网站下的技术支持等进行敏感信息查询

C 社工方式收集

还可以在QQ群备注或介绍等，甚至混入企业qq工作群查找，这设计社工范畴了

D 源码泄露利用工具

.git源码泄露：https://github.com/lijiejie/GitHack
.DS_Store泄露：https://github.com/lijiejie/ds_store_exp
.bzr、CVS、.svn、.hg源码泄露：https://github.com/kost/dvcs-ripper

7.4备份文件泄露

备份文件泄露常见名称

backup
db
data
web
wwwroot
database
www
code
test
admin
user
sql

备份文件泄露常见后缀

.bak
.html
_index.html
.swp
.rar
.txt
.zip
.7z
.sql
.tar.gz
.tgz
.tar

备份文件泄露扫描工具

常见扫描工具有：

Test404网站备份文件扫描器 v2.0(win)
ihoneyBakFileScan(python)
ihoneyBakFileScan v0.2 多进程批量网站备份文件泄露扫描工具，根据域名自动生成相关扫描字典，自动记录扫描成功的备份地址到文件

地址：https://github.com/sry309/ihoneyBakFileScan

8.搜索引擎&情报社区

8.1GoogleHacking常用语法

intitle 搜索网页标题中包含有特定字符的网页。
例如intitle: cbi，这样网页标题中带有cbi的网页都会被搜索出来
inurl 搜索包含有特定字符的URL。
例如inurl:cbi，则可以找到带有cbi字符的URL
intext 搜索网页正文内容中的指定字符。
例如intext:pdf。这个语法类似我们平时在某些网站中使用的“文章内容搜索”功能
Site 找到与指定网站有联系的URL。
例如Site:www.58.com。所有和这个网站有联系的URL都会被显示
减号- 要求搜索结果中不含特定查询词
例如intitle:小说 - 电视剧 只会搜到小说而不会出现电视剧
domain 查找跟某网站相关的信息
例如domain:www.google.com查询在网站内容里面包含www.google.com的信息的网站
filetype 限制查找文件的格式内容
关键字+filetype:文件格式,例如电脑 + filetype:ppt
双引号,书名号,中括号精确匹配,缩小搜索范围
如果输入的关键字很长，在经过搜索引擎分析后，给出的搜索结果中的关键字，可能是拆分的。

对这搜索结果不满意我们可以加上双引号(“”) 和中括号( [] )就可以不被拆分
例如 “中国黑客协会” [中国黑客协会]

书名号《》
是百度独有的一个特殊查询语法。

书名号出现在搜索结果中，书名号括起来的内容不会被拆分
书名号在某些情况(如查找常用的电影或小说)下特别有效
例如 “《社交网络》”

基础操作符

逻辑与：and
逻辑或： or 、|
逻辑非： -
完整匹配：”关键词”
通配符：* ?

GoogleHacking其他语法

1、引号 ‘’ “ 把关键字打上引号后，把引号部分作为整体来搜索

2、or 同时搜索两个或更多的关键字

3、link 搜索某个网站的链接 link:baidu.com即返回所有和baidu做了链接的URL

4、info 查找指定站点的一些基本信息

GoogleHackingDatabase

google-hacking-database

GoogleHacking典型用法

管理后台地址

1
2
3

site:target.com intext:管理 | 后台 | 后台管理 | 登陆 | 登录 | 用户名 | 密码 | 系统 | 账号 | login | system
site:target.com inurl:login | inurl:admin | inurl:manage | inurl:manager | inurl:admin_login | inurl:system | inurl:backend
site:target.com intitle:管理 | 后台 | 后台管理 | 登陆 | 登录

上传类漏洞地址

1 2	site:target.com inurl:file site:target.com inurl:upload

注入页面

1	site:target.com inurl:php?id=

编辑器页面

1	site:target.com inurl:ewebeditor

1	site:target.com intitle:index.of

SQL错误

site:target.com intext:"sql syntax near" | intext:"syntax error has occurred" | intext:"incorrect syntax near" | intext:"unexpected end of SQL command" | intext:"Warning: mysql_connect()" | intext:”Warning: mysql_query()" | intext:”Warning: pg_connect()"

phpinfo()

1	site:target.com ext:php intitle:phpinfo "published by the PHP Group"

配置文件泄露

1	site:target.com ext: .xml \| .conf \| .cnf \| .reg \| .inf \| .rdp \| .cfg \| .txt \| .ora \| .ini

数据库文件泄露

1	site:target.com ext: .sql \| .dbf \| .mdb \| .db

日志文件泄露

1	site:target.com ext: .log

备份和历史文件泄露

1	site:target.com ext: .bkf \| .bkp \| .old \| .backup \| .bak \| .swp \| .rar \| .txt \| .zip \| .7z \| .sql \| .tar.gz \| .tgz \| .tar

公开文件泄露

1	site:target.com filetype: .doc \| .docx \| .xls \| .xlsx \| .ppt \| .pptx \| .odt \| .pdf \| .rtf \| .sxw \| .psw \| .csv

邮箱信息

1
2
3

site:target.com intext:@target.com
site:target.com 邮件
site:target.com email

社工信息

1	site:target.com intitle:账号 \| 密码 \| 工号 \| 学号 \| 身份证

8.2黑暗搜索

奇安信：https://hunter.qianxin.com/home/

FOFA

fofa.so
官方详细文档; https://fofa.so/help

domain="baidu.com"
domain=""||ip=""||host=""||title=""||header=""
protocol=“https”        #搜索指定协议类型
app="phpinfo"            #搜索某些组件相关系统
host="oldboyedu.com/"    #搜索包含有特定字符的URL
title=“powered by” && os==windows    #搜索网页标题中包含有特定字符并且系统是windows的网页

钟馗之眼

钟馗之眼： https://www.zoomeye.org/

语法举例：

#例1：搜索使用iis6.0主机：
app:"Microsoft-IIS" ver"6.0"
#例2：搜索使weblogic主机：
app:"weblogic httpd" port:7001
#例3：查询开放3389端口的主机：
port:3389
#例4：查询操作系统为Linux系统的服务器:
os:linux
#例5：查询公网摄像头：
service:”routersetup”
#例6：搜索美国的 Apache 服务器：
app:Apache country:US
#例7：搜索指定ip信息，
ip:121.42.173.26
#例8：查询有关taobao.com域名的信息，
site:taobao.com
#例9：搜索标题中包含该字符的网站，
title:weblogic