发布日期: 2021-07-20

文章字数: 3.8k

阅读时长: 14 分

信息搜集篇

简述

渗透的本质是信息收集

信息收集也叫做资产收集

信息收集是渗透测试的前期主要工作，是非常重要的环节，收集足够多的信息才能方便接下来的测试。

信息收集主要是收集网站的域名信息、子域名信息、目标网站信息、目标网站真实IP、敏感/目录文件、开放端口和中间件信息等等。通过各种渠道和手段尽可能收集到多的关于这个站点的信息，有助于我们更多的去找到渗透点，突破口。

信息搜集分类

服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等）
网站指纹识别（包括，cms，cdn，证书等） dns记录
whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等）
子域名收集，旁站，C段等
google hacking针对化搜索，word/电子表格/pdf文件，中间件版本，弱口令扫描等
扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄漏等
传输协议，通用漏洞，exp，github源码等

常见方法

whois查询

域名在注册的时候需要填入个人或者企业信息如果没有设置隐藏属性可以查询出来

通过备案号查询个人或者企业信息也可以whois反查注册人邮箱电话机构反查更多得域名和需要得信息。
收集子域名

域名分为根域名和子域名

moonsec.com 根域名顶级域名

www.moonsec.com子域名也叫二级域名

www.wiki.moonsec.com 子域名也叫三级域名四级如此类推
端口扫描

服务器需要开放服务，就必须开启端口，常见的端口是tcp 和udp两种类型

范围 0-65535 通过扫得到的端口，访问服务规划下一步渗透。
查找真实ip

企业的网站，为了提高访问速度，或者避免黑客攻击，用了cdn服务，用了cdn之后真实服务器ip会被隐藏。
探测旁站及C段

旁站:一个服务器上有多个网站通过ip查询服务器上的网站

c段:查找同一个段服务器上的网站。可以找到同样网站的类型和服务器，也可以获取同段服务器进行下一步渗透。
网络空间搜索引擎

通过这些引擎查找网站或者服务器的信息，进行下一步渗透。
扫描敏感目录/文件

通过扫描目录和文件，大致了解网站的结构，获取突破点，比如后台，文件备份，上传点。
指纹识别

获取网站的版本，属于那些cms管理系统，查找漏洞exp，下载cms进行代码审计。

在线whois查询

通过whois来对域名信息进行查询，可以查到注册商、注册人、邮箱、DNS解析服务器、注册人联系电话等。

因为有些网站信息查得到，有些网站信息查不到，所以推荐以下信息比较全的查询网站，直接输入目标站点即可查询到相关信息。

站长之家域名WHOIS信息查询地址 http://whois.chinaz.com

爱站网域名WHOIS信息查询地址 https://whois.aizhan.com/

腾讯云域名WHOIS信息查询地址 https://whois.cloud.tencent.com/

美橙互联域名WHOIS信息查询地址 https://whois.cndns.com/

爱名网域名WHOIS信息查询地址 https://www.22.cn/domain/

易名网域名WHOIS信息查询地址 https://whois.ename.net/

中国万网域名WHOIS信息查询地址 https://whois.aliyun.com/

西部数码域名WHOIS信息查询地址 https://whois.west.cn/

新网域名WHOIS信息查询地址 http://whois.xinnet.com/domain/whois/index.jsp

纳网域名WHOIS信息查询地址 http://whois.nawang.cn/

中资源域名WHOIS信息查询地址 https://www.zzy.cn/domain/whois.html

三五互联域名WHOIS信息查询地址 https://cp.35.com/chinese/whois.php

新网互联域名WHOIS信息查询地址 http://www.dns.com.cn/show/domain/whois/index.do

国外WHOIS信息查询地址 https://who.is/

在线查询网站备案

网站备案信息是根据国家法律法规规定，由网站所有者向国家有关部门申请的备案。

如果需要查询企业备案信息（单位名称、备案编号、网站负责人、电子邮箱、联系电话、法人等），推荐以下网站查询

天眼查 https://www.tianyancha.com/
ICP备案查询网http://www.beianbeian.com/
爱站备案查询https://icp.aizhan.com/
域名助手备案信息查询 http://cha.fute.com/index

搜集子域名

子域名的作用

搜集子域名可以扩大测试范围，同一域名下的二级域名都属于目标范围。

常用方式

子域名中的常见资产类型一般包括办公系统，邮箱系统，论坛，商城，其他管理系统，网站管理后台也有可能出现子域名中。

首先找到目标站点，在官网中可能会找到相关资产（多为办公系统，邮箱系统等），关注一下页面底部，也许有管理后台等收获。

查找目标域名信息方法：

FOFA title=”公司名称”
百度 intitle=公司名称
Google intitle=公司名称
站长之家，直接搜索名称或者网站域名即可查看相关信息：

http://tool.chinaz.com/
钟馗之眼 site=域名即可

https://www.zoomeye.org/

找到官网后，再收集子域名

域名的类型

A记录、别名记录(CNAME)、MX记录、TXT记录、NS记录

A(Address)记录

是用来指定主机名（或域名）对应的IP地址记录。

用户可以将该域名下的网站服务器指向到自己的web server上。同时也可以设置您域名的二级域名。

别名(CNAME)记录

也被称为规范名字。

这种记录允许您将多个名字映射到同一台计算机。通常用于同时提供WWW和MAIL服务的计算机。

例如，有一台计算机名为“host.mydomain.com”（A记录）。它同时提供WWW和MAIL服务，为了便于用户访问服务。可以为该计算机设置两个别名（CNAME）：WWW和MAIL。这两个别名的全称就是“www.mydomain.com”和“mail.mydomain.com”。实际上他们都指向“host.mydomain.com”。

如何检测CNAME记录

进入命令状态；（开始菜单 - 运行 - CMD[回车]）；
输入命令” nslookup -q=cname 这里填写对应的域名或二级域名”，查看返回的结果与设置的是否一致即可。

MX(Mail Exchanger)记录

是邮件交换记录，它指向一个邮件服务器。

用于电子邮件系统发邮件时根据收信人的地址后缀来定位邮件服务器。

例如，当Internet上的某用户要发一封信给 user@mydomain.com 时，该用户的邮件系统通过DNS查找mydomain.com这个域名的MX记录，如果MX记录存在，用户计算机就将邮件发送到MX记录所指定的邮件服务器上。

TXT记录

TXT记录一般指为某个主机名或域名设置的说明，如：

admin IN TXT “jack, mobile:13800138000”；
mail IN TXT “邮件主机, 存放在xxx ,管理人：AAA”，Jim IN TXT “contact: abc@mailserver.com“

也就是您可以设置 TXT ，以便使别人联系到您。

如何检测TXT记录

进入命令状态；（开始菜单 - 运行 - CMD[回车]）；
输入命令” nslookup -q=txt 这里填写对应的域名或二级域名”，查看返回的结果与设置的是否一致即可。

NS(Name Server)记录

是一种域名服务器记录。

用来明确当前你的域名是由哪个DNS服务器来进行解析的。

子域名在线查询

https://phpinfo.me/domain/

https://www.t1h2ua.cn/tools/

https://site.ip138.com/moonsec.com/domain.htm

https://dnsdumpster.com/

挂梯子

https://fofa.so/

https://hackertarget.com/find-dns-host-records/

通过该方法查询子域名可以得到一个目标大概的ip段，接下来可以通过ip来收集信息。

子域名挖掘工具

layer子域名挖掘

SubDomainBute

12server中安装python环境

pip install aiodns

运行命令

进入工具文件夹 cd

subDomainsBrute.py freebuf.com

subDomainsBrute.py freebuf.com –full -o freebuf2.txt

隐藏域名hosts碰撞

很多时候访问目标资产IP响应多为：401、403、404、500，但是用域名请求却能返回正常的业务系统（禁止IP直接访问），因为这大多数都是需要绑定host才能正常请求访问的（目前互联网公司基本的做法）（域名删除了A记录，但是反代的配置未更新），那么我们就可以通过收集到的目标的域名和目标资产的IP段组合起来，以 IP段+域名的形式进行捆绑碰撞，就能发现很多有意思的东西。

在发送http请求的时候，对域名和IP列表进行配对，然后遍历发送请求（就相当于修改了本地的hosts文件一样），并把相应的title和响应包大小拿回来做对比，即可快速发现一些隐蔽的资产。

进行hosts碰撞需要目标的域名和目标的相关IP作为字典

目标域名历史解析IP：

https://site.ip138.com/

https://ipchaxun.com/

ip正则：

https://www.aicesu.cn/reg/

工具host-scan-master

host填写域名

ip填写ip

host_ok返回正确匹配的值

我们之后再host_ok查看即可

端口扫描

当确定了目标大概的ip段后，可以先对ip的开放端口进行探测，一些特定服务可能开起在默认端口上，探测开放端口有利于快速收集目标资产，找到目标网站的其他功能站点。

渗透端口

21,22,23,1433,152,3306,3389,5432,5900,50070,50030,50000,27017,27018,11211,9200,9300,7001,7002,6379,5984,873,443,8000-9090,80-89,80,10000,8888,8649,8083,8080,8089,9090,7778,7001,7002,6082,5984,4440,3312,3311,3128,2601,2604,2222,2082,2083,389,88,512,513,514,1025,111,1521,445,135,139,53