信息收集主要是收集服务器的配置信息和网站的敏感信息，主要包括域名信息、子域名信息、目标网站信息、目标网站真实IP、目录文件、开放端口和服务、中间件信息、脚本语言等等等。结合各路大佬的收集经验，菜鸟总结了8种信息收集的方式，有不足之处，欢迎赐教，欢迎斧正。个人感觉重点是顺手的工具、有IP代理池、日常收集的强大的字典、清晰可见的思维导图和多次的实战经验。
一 收集域名信息
whois（读作“Who is”，非缩写），标准的互联网协议，是用来查询域名的IP以及所有者等信息的传输协议。简单说，就是一个用来查询域名是否已经被注册，以及注册域名的详细信息的数据库（如域名所有人、域名注册商）。 通过whois来实现对域名信息的查询。早期的whois查询多以命令列接口存在，但是现在出现了一些网页接口简化的线上查询工具，可以一次向不同的数据库查询。网页接口的查询工具仍然依赖whois协议向服务器发送查询请求，命令列接口的工具仍然被系统管理员广泛使用。whois通常使用TCP协议43端口。每个域名/IP的whois信息由对应的管理机构保存。 Whois查询我们主要关注的重点是注册商、注册人、邮件、DNS解析服务器、注册人联系电话。 目前常见的查询方法主要是通过站长工具等第三方平台查询，当然其实还可以在域名注册商那查询已经注册过的域名，例如中国万网（阿里云）、西部数码、新网、纳网、中资源、三五互联、新网互联、美橙互联、爱名网、易名网等等。还可以通过自己的注册代理机构查询。 各大注册商以及第三方站长工具的域名WHOIS信息查询地址如下： 中国万网域名WHOIS信息查询地址：https://whois.aliyun.com/ 西部数码域名WHOIS信息查询地址：https://whois.west.cn/ 新网域名WHOIS信息查询地址：http://whois.xinnet.com/domain/whois/index.jsp 纳网域名WHOIS信息查询地址：http://whois.nawang.cn/ 中资源域名WHOIS信息查询地址：https://www.zzy.cn/domain/whois.html 三五互联域名WHOIS信息查询地址：https://cp.35.com/chinese/whois.php 新网互联域名WHOIS信息查询地址：http://www.dns.com.cn/show/domain/whois/index.do 美橙互联域名WHOIS信息查询地址：https://whois.cndns.com/ 爱名网域名WHOIS信息查询地址：https://www.22.cn/domain/ 易名网域名WHOIS信息查询地址：https://whois.ename.net/ 下面是站长工具类第三方查询地址(部分网站注册人信息会隐藏或提示联系域名注册商获取，可以去who.is查询看看) Kali的查询：whois -h 注册服务器地址 域名 站长工具-站长之家域名WHOIS信息查询地址：http://whois.chinaz.com/ 爱站网域名WHOIS信息查询地址：https://whois.aizhan.com/ 腾讯云域名WHOIS信息查询地址：https://whois.cloud.tencent.com/ 国外的who.is：https://who.is/ 微步：https://x.threatbook.cn/ Virus Total:https://www.virustotal.com 还有Kali中自带的whois查询、一些集成工具等。
网站备案信息是根据国家法律法规规定，由网站所有者向国家有关部门申请的备案，是国家信息产业部对网站的一种管理途径，是为了防止在网上从事非法网站经营活动，当然主要是针对国内网站。 备案查询我们主要关注的是：单位信息例如名称、备案编号、网站负责人、法人、电子邮箱、联系电话等。 常见查询备案信息的网站如下： 天眼查：https://www.tianyancha.com/ ICP备案查询网：http://www.beianbeian.com/ 国家企业信用信息公示系统：http://www.gsxt.gov.cn/index.html 爱站的备案查询：https://icp.aizhan.com 二 收集子域名子域名也就是二级域名，是指顶级域名下的域名。收集的子域名越多，我们测试的目标就越多，目标系统渗透成功的机率也越大。主站无懈可击的时候子域名是一个很好的突破口。常用的方法有4种
检测工具有很多，但重要的是需要日常完善字典，字典强大才是硬道理。常见的有 layer子域名挖掘机、subDomainsBrute、K8、orangescan、DNSRecon、Sublist3r、dnsmaper、wydomain等等，重点推荐layer子域名挖掘机（使用简单，界面细致）、Sublist3r（列举多资源下查到的域名）和subDomainsBrute。（递归查询多级域名），此类工具github都有下载地址和使用方法。 链接如下： SubDomainBrute：https://github.com/lijiejie/subDomainsBrute Sublist3r：https://github.com/aboul3la/Sublist3r Layer（5.0增强版）：https://pan.baidu.com/s/1Jja4QK5BsAXJ0i0Ax8Ve2Q 密码:aup5 https://d.chinacycc.com（大佬推荐的说好用的很，但是收费。）
可以利用Google、Bing 、shodan和百度这样的搜索引擎进行搜索查询（site:www.xxx.com）
Google搜索语法：https://editor.csdn.net/md/?articleId=107244142 Bing搜索语法：https://blog.csdn.net/hansel/article/details/53886828 百度搜索语法：https://www.cnblogs.com/k0xx/p/12794452.html
第三方服务聚合了大量的DNS数据集，并通过它们来检索给定域名的子域名。 （1）VirusTotal：https://www.virustotal.com/#/home/search （2）DNSdumpster：https://dnsdumpster.com/
SSL/TLS证书通常包含域名、子域名和邮件地址，这些是我们需要获取的信息，通常CT是CA的一个项目，CA会把每个SSL/TLS证书发布到公共日志中，查找域名所属证书的最简单方法就是使用搜索引擎搜索一些公开CT日志。 主要网站如下： （1）https://crt.sh/ （2）https://censys.io/ （3）https://developers.facebook.com/tools/ct/ （4）https://google.com/transparencyreport/https/ct/
（1）https://phpinfo.me/domain/(不可访问) （2）http://i.links.cn/subdomain/（不可访问） （3）http://dns.aizhan.com （4）http://z.zcjun.com/（响应很快,推荐） （5）Github搜索子域名
三 真实IP收集信息收集工程中IP地址是必不可少的，在域名收集工程中我们已经对ip段收集，whois、ping测试、指纹网站都可以探测ip地址，但是很多目标服务器存在CDN，那什么是CDN，如果绕过查找真实IP呢？ CDN的全称是Content Delivery Network，即内容分发网络。CDN是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，只有在实际数据交互时才会从远程web服务器响应，降低网络拥塞，提高用户访问响应速度和命中率。CDN的关键技术主要有内容存储和分发技术。 确定有无cdn （1）很简单，使用各种多地 ping 的服务，查看对应 IP 地址是否唯一，如果不唯一多半是使用了CDN， 多地 Ping 网站有： (2)使用 nslookup 进行检测，原理同上，如果返回域名解析对应多个 IP 地址多半是使用了 CDN。有 CDN 的示例：
无 CDN 的示例：
绕过cdn的方法有多种，参考链接如下：https://www.cnblogs.com/qiudabai/p/9763739.html 提一点的是绕过云cdn，fofa的title搜索（查看源码获取title），可以发现很多cdn 缓存服务器的ip地址，部分cdn缓存服务器经过区域传送，数据库是同步的，如果可以直接访问， 即可绕过云waf进行一些扫描、注入等操作。
这里推荐一些c端、旁站的扫描网站和工具： http://www.webscan.cc/ https://phpinfo.me/bing.php（可能访问不了） 神器：https://github.com/robertdavidgraham/masscan 御剑1.5：https://download.csdn.net/download/peng119925/10722958 C端查询：IIS PUT Scanner（扫描速度快，自定义端口，有banner信息）
四 端口测试对网站域名对应的真实IP地址进行端口测试，很多有防护不能大批量扫描和漏洞测试，但是放在云上的网站如果cdn找到真实网站即可大批量扫描。 常见工具就是nmap(功能强大)、masscan、zmap和御剑tcp端口高速扫描工具(较快)，还有一些在线的端口扫描。http://coolaf.com/tool/port、https://tool.lu/portscan/index.html 参考大神的思路：我们可以在收集子域对应的的ip后整理到txt中，然后nmap批量端口扫描、服务爆破和漏洞扫描，前提是不被封禁IP，可采用代理池。 nmap -iL ip.txt --script=auth,vuln > finalscan.txt 扫描导出常见端口和漏洞。 常见端口说明和攻击方向根据web攻防这本书整理到个人博客：https://blog.csdn.net/qq_32434307/article/details/107248881 五 网站信息收集网站信息信息收集主要是：操作系统，中间件，脚本语言，数据库，服务器，web容器、waf、cdn、cms、历史漏洞、dns区域传送等，可以使用以下方法查询。 常见指纹工具：御剑web指纹识别、轻量级web指纹识别、whatweb等 （1）常见网站信息识别网站： 潮汐指纹：http://finger.tidesec.net/（推荐） 云悉(现在需要邀请码)：http://www.yunsee.cn/info.html CMS指纹识别：http://whatweb.bugscaner.com/look/ 第三方历史漏洞库：乌云、seebug、CNVD等
（2）Waf识别：https://github.com/EnableSecurity/wafw00f kali上自带wafw00f，一条命令直接使用。建议最好在kali下使用，windows下的使用很麻烦。Nmap上也包含识别waf指纹的脚本模块。
（3）Dns区域传送漏洞，我们可以通过这个漏洞发现： 1）网络的拓扑结构，服务器集中的IP地址段 2）数据库服务器的IP地址，例如上述nwpudb2.nwpu.edu.cn 3）测试服务器的IP地址，例如test.nwpu.edu.cn 4）VPN服务器地址泄露 5）其他敏感服务器 具体参考链接如下： http://www.lijiejie.com/dns-zone-transfer-1 https://blog.csdn.net/c465869935/article/details/53444117 六 敏感目录文件收集攻防测试中探测web目录和隐藏的敏感文件是很重要环境，从中可以获取网站后台管理页面、文件上传界面、备份文件、WEB-INF、robots、svn和源代码等。 主要通过工具扫描，主要有 （1）御剑(互联网有很多字典加强版) （2）7kbstorm https://github.com/7kbstorm/7kbscan-WebPathBrute
（4）爬虫（AWVS、Burpsuite、北极熊等）
（5）BBscan（lijiejie大佬的脚本：https://github.com/lijiejie/BBScastorn ） （6）凌风云搜索：https://www.lingfengyun.com/（部分用户可能上传云盘被在线抓取）
（7）github搜索
七 社会工程学收集运用社会工程学进行信息收集和物理渗透，在近期 奇安信的“攻守皆有道，百战护山河”中提及社会工程信息收集和物理渗透是他们重要攻击途径之一。 社会工程学是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段；是一种黑客攻击方法，利用欺骗等手段骗取对方信任，获取机密情报；是一种利用人性脆弱点、贪婪等等的心理表现进行攻击。我们可以从社会工作人员和社工库入手，社工一家公司销售人、商务人员、门卫、前台人员来获得个人信息、邮箱、电话、内网地址、物理门禁；我们可以欺骗销售获得邮箱回复进而获取内网IP及服务器信息，我们可以欺骗客服申请重置密码、发送vpn账户等。 我们可以通过社工库查询一些关键信息。对于很多社工库来说，存储达到T，数据量达到亿级别都是小case。内容方面包括帐号密码、邮箱地址、个人信息等等。 互联网社工库，威力有多大，就看数据库的数量和质量了，理论上达到了一定的量，很多的东西都是可以查的出来的，特别是那些基本所有网站都一个密码的，只要一个社工库的收集的其中一个数据库有他的帐号密码，那么查出来的密码就可以直接登陆该用户的其他帐号了。 八 近源信息收集（1）外接无线网卡主要是用来配合kali破解无线密码的，现在一般是通过抓握手包然后跑包来破解，还可以通过伪造SSID钓鱼、中间人攻击等等，主要是获取无线网密码、网段信息等。 （2）大菠萝可以捕获握手包并模仿目标AP。大菠萝可以完全模仿首选网络，从而实现中间人攻击，获取我们想要的无线网信息，为攻击目标系统收集信息。 （3）当前电子设备和电路的工作频率不断提高，而工作电压却逐渐降低，因此对电磁脉冲（EMP）的敏感性和易损性也不断增加。同时，电子系统中的集成电路对电磁脉冲比较敏感，往往一个较大的电磁脉冲，就会使集成块产生误码、甚至电子元器件失效或烧毁，所以我们可以使用EMP干扰来打开部分电子门禁和电子密码锁。如果我们使用EMP无法打开门禁，那我们还有一个方法，但是需要我们稍微靠近一下目标，找合适的机会破解IC卡，或复制ID卡。进而突破门禁，实现物理攻击和信息收集。 （4）当然我们也可由通过社工获取指纹信息，拓印出一个跟原指纹一模一样的指纹膜突破物理门禁、办公PC指纹识别等。 （5）如果你能接触到目标主机，那你就可以将键盘记录器接入到主机和键盘之间，并配置连接WI-FI，将键盘敲击的数据实时传回远程服务器。 （6）进入办公地点或者内网之后，可以在内网偷偷装一个PacketSquirrel，作为中间人攻击工具，PacketSquirrel可以捕获网络端点的数据包、并且可以使用VPN和反向shell获得远程访问权限，为攻击目标系统收集部分信息。 （7） badusb是HID（人机接口）攻击的一种，也称为热插拔攻击。想象一下，你可以走到一台计算机上，插入看似无害的USB驱动器，然后安装后门，窃听文档，窃取相关密码.，收集目标系统相关信息。 近源渗透的攻击方式还有很多，近源信息收集现在已经是攻防训练中的信息收集方式之一，一些详细近源攻击可关注团队小伙伴的“物联网IOT安全”公众号。 最后给大家推荐下大神整理的2019年Github上开源的安全渗透攻击类工具Jihe：https://zhuanlan.zhihu.com/p/53112370 参考大佬链接： https://www.freebuf.com/database/195169.html https://www.freebuf.com/articles/web/204883.html https://www.cnblogs.com/nul1/p/11311731.html E N D 关 于 我 们 Tide安全团队正式成立于2019年1月，是新潮信息旗下以互联网攻防技术研究为目标的安全团队，团队致力于分享高质量原创文章、开源安全工具、交流安全技术，研究方向覆盖网络攻防、系统安全、Web安全、移动终端、安全开发、物联网/工控安全/AI安全等多个领域。 团队作为“省级等保关键技术实验室”先后与哈工大、齐鲁银行、聊城大学、交通学院等多个高校名企建立联合技术实验室，近三年来在网络安全技术方面开展研发项目60余项，获得各类自主知识产权30余项，省市级科技项目立项20余项，研究成果应用于产品核心技术研究、国家重点科技项目攻关、专业安全服务等。对安全感兴趣的小伙伴可以加入或关注我们。 
上一篇：对话 MySQL 之父 Monty：超越 MySQL 很难，但我做到了！ 下一篇：打造定制化的Metasploit-第八课 |
（3）搜索引擎（Google、baidu、bing等），搜索引擎搜索敏感文件也较为常见，一般是这样：site:xxx.xxx filetype:xls。
我知道你
