红队攻防
近两年免杀技术年鉴
Python免杀技术实录
AD域攻防系列微课程
免杀技术入门基础知识
深入理解CodeQL代审
开源安全项目二开计划
搞懂攻防内存马研究
深入理解SAST代审测试
C2的发展和技术分析
Fastjson姿势技巧集合
武装你的BurpSuite插件篇
CS4.5二开过HR及内扫
C#安全内网渗透工具集
红队文档书籍PDF资源
邮件钓鱼免杀完全指南
AD内网域技战法总结
渗透测试红队之信息收集
免杀致盲底层驱动BYOVD
小迪安全知识库
-
+
首页
渗透测试红队之信息收集
渗透测试红队之信息收集
# 红队信息收集，资深渗透师傅总结最全信息收集思路与实操技巧 来源转载：https://xz.aliyun.com/news/15810 **0x01 简介** 无论是做渗透测试还是红队（Red Team）的工作，信息收集都是工作前期必不可少的一个环节。渗透测试的本质是信息收集，资产信息越多，可攻击面就越广，找到突破口的机会就越大。但随着安全行业的蓬勃发展，各类信息收集技术与工具层出不穷，令人眼花缭乱。以下总结本人在实际渗透工作中常用的信息收集方法和工具。鉴于不同场景与个人习惯差异，只有契合自身需求的才是最为适宜的。本文仅旨在阐述个人见解，期望各位师傅能够依据自身经验与认知，对文中内容进行批判性地思考与探讨。 > 本文仅用于技术学习与合规交流，严禁非法滥用。因违规使用产生的一切后果，由使用者自行承担，与作者无关。 现在只对常读和星标的公众号才展示大图推送，建议大家把**渗透安全HackTwo**“设为星标”，否则可能就看不到了啦！**** 参考文章： ``` https://xz.aliyun.com/news/15810 ``` ****末尾可领取挖洞资料/加圈子 [#渗透安全HackTwo](javascript:;)**** ****0x02 正文详情**** ****平台选择**** 关于渗透测试平台的选择，可能很多师傅会立刻想到Kali Linux，Kali Linux集成了很多知名渗透测试工具，确实是个非常优秀的渗透测试平台，但是根据个人使用习惯，我感觉Kali还是有一定的局限性，比如做代码审计、免杀这类需要用到IDE的工作时，还是略显笨拙。因此这里本人使用 Windows11 系统作为信息收集工作的主力机，Kali Linux 作为辅助工具。 # 企业产权收集 > 企业产权信息收集主要收集目标业务的产权信息，例如域名产权、APP与小程序的产权、员工信息、供应链信息等 ## 在线平台 ### 企业信息 ``` 天眼查[https://www.tianyancha.com/] ``` 通过查询企业产权信息，可以获得更多的攻击面，例如APP，域名等信息。   ### 备案信息 ``` 工信部备案查询[https://beian.miit.gov.cn/] ``` 通过查询企业网站的备案号，也可以搜集到企业下的其他资产信息   ## Kali Whois查询 此外，也可以使用Kali Linux自带的whois工具进行备案信息的查询 ``` whois xxx.com ```  # 网络空间搜索引擎 > 通过网络空间搜索引擎，可以搜索到一些被搜索引擎隐藏的资产，效率较高，并且能够直观地看到站点标题以及服务信息。 ``` FOFA[https://fofa.info/] ```   # 自动化资产收集-ARL > ARL(Asset Reconnaissance Lighthouse)资产侦察灯塔系统旨在快速侦察与目标关联的互联网资产，构建基础资产信息库。 协助甲方安全团队或者渗透测试人员有效侦察和检索资产，以攻击者视角持续探测资产风险，协助用户时刻洞察资产动态，掌握安全防护薄弱点，快速收敛攻击面。  ``` 下载地址：https://github.com/ki9mu/ARL-plus-docker ``` # 移动资产收集 > 当信息收集工作完毕后 Web 页面无从下手时，可以将目光转向移动应用平台，聚焦到 APP 应用和小程序上，移动平台使用便捷，用户量大，因此功能点就比较多，攻击面就越广。 ## APP应用 APP应用可以通过查询企业的知识产权获取，或者在各大应用商店搜索获取。  ### 七麦APP软件搜索 七麦app搜索 ``` [https://www.qimai.cn/] ```  ## 公众号信息 直接使用微信的搜一搜功能  或者使用搜狗微信搜索 ``` [https://weixin.sogou.com/] ``` ## 小程序资产 一般中大型企业都有自己的小程序，通过支付宝微信等平台搜索可以获取到小i程序，或着关注公司运营人员，通过社工等方式获取小程序。  # 单一目标信息收集 > 前面通过收集了一些企业的资产信息，例如域名、app、小程序等资产，这些资产包括但不限于域名、IP、接口信息等，接下来就对这些单一的目标进行信息收集。 ## 操作系统 ### TTL值 ``` 不同的操作系统的默认TTL值是不同的， 所以我们可以通过TTL值来判断主机的操作系统，但是当用户修改了TTL值的时候，就会误导我们的判断，所以这种判断方式也不一定准确。下面是默认操作系统的TTL： ```  ### Nmap -O参数 ``` Nmap -O xxx.xxx.xxx.xxx //nmap的-O参数可以帮助判断目标所使用的操作系统 ```  ### 大小写敏感 ``` 一般情况下，windows服务器对目录的大小写是不敏感的，而linux则相反 ```   ## IP反查 使用网络空间搜索引擎或者ARL灯塔收集信息后，通常会有一些没有域名的独立IP，可以使用IP反查的手段来确定这个独立IP是否归属于该单位 ``` ip138反查[https://site.ip138.com/] ```    ## 子域名查询 当主站点没有web安全漏洞或者设置了WAF等安全产品等情况导致无法进行边界突破时，可以考虑对子域名进行渗透测试 ### DNS解析 利用DNS记录公开数据收集 ``` ip138[https://site.ip138.com/] ```  ### Gobuster #### Kali下使用gobuster爆破Dns ``` apt-get install gobuster ```  ### 网络空间搜索引擎搜索 通常，搜索引擎的主页设有相关搜索规则，多数是以 domain="xxxx.com" 的形式来搜索子域名信息   ### 在线子域名收集 ``` dnsdumpster[https://dnsdumpster.com/] ```  ### OneForAll子域名查询工具 ``` 工具下载地址[https://github.com/shmilylty/OneForAll] ``` oneforall是一款功能强大的子域收集工具 * **收集能力强大** 详细模块请阅读收集模块说明。 * **支持子域爆破**，该模块有常规的字典爆破，也有自定义的fuzz模式，支持批量爆破和递归爆破，自动判断泛解析并处理。 * **支持子域验证**，默认开启子域验证，自动解析子域DNS，自动请求子域获取title和banner，并综合判断子域存活情况。 * **支持子域爬取** 根据已有的子域，请求子域响应体以及响应体里的JS，从中再次发现新的子域。 * **支持子域置换** 根据已有的子域，使用子域替换技术再次发现新的子域。 * **支持子域接管** 默认开启子域接管风险检查，支持子域自动接管（目前只有Github，有待完善），支持批量检查。 * **处理功能强大** 发现的子域结果支持自动去除，自动DNS解析，HTTP请求探测，自动筛选出有效子域，拓展子域的Banner信息，最终支持的导出格式有`txt`, `csv`, `json`。 * **速度极快** 收集模块使用多线程调用，爆破模块使用massdns，DNS解析速度每秒可解析350000以上个域名，子域验证中DNS解析和HTTP请求使用异步多协程，多线程检查子域接管风险。 * **体验良好** 各模块都有进度条，异步保存各模块结果。 #### 安装使用 在高版本的安装及使用过程中可能会出现各种问题，参考下面这篇博客 ``` https://blog.csdn.net/weixin_49769267/article/details/131464408 ``` ``` python oneforall.py --target http://xxx.com run ```  收集完成后会将结果保存到results文件夹下  ### layer子域名挖掘机 Layer 子域名挖掘机是一款域名查询工具，可提供网站子域名查询服务；拥有简洁的界面、简单的操作模式，支持服务接口、暴力搜索、同服挖掘三种模式，支持打开网站、复制域名、复制 IP、复制 CDN、导出域名、导出 IP、导出域名 + IP、导出域名 + IP + WEB 服务器以及导出存活网站！ 工具地址 ``` https://github.com/euphrat1ca/LayerDomainFinder/releases ``` 操作简便，只需填入一级域名，选用默认或自行收集的字典后点击启动按钮即可。  ### Subfinder Subfinder 是一款专注于子域名收集的开源工具，旨在帮助安全专业人员、渗透测试人员和研究人员快速有效地发现目标域的子域名。该工具通过与多个子域名源（例如搜索引擎、DNS数据）集成，提供了一个全面的子域名搜集解决方案。 以下是 Subfinder 的一些主要特点和功能： 1. **多源搜集：** Subfinder 集成了多个子域名源，包括但不限于谷歌（Google）、Shodan、Censys、Virustotal等，以提高搜集的全面性。 2. **快速且并发：** Subfinder 被设计为快速且支持并发搜集，以加速子域名发现过程。 3. **DNS 数据源：** 工具可以利用DNS数据，通过查询DNS服务器来发现子域名。这包括常规域传输、DNS枚举和暴力破解。 4. **API支持：** Subfinder 提供了对多个子域名API的支持，以允许用户在工具中集成自定义的数据源。 5. **漏洞扫描集成：** Subfinder 还可以与漏洞扫描工具（如 Amass、Assetnote、Virustotal）进行集成，以提供更全面的信息。 6. **结果导出：** Subfinder 支持将搜集到的子域名结果导出为常见的文件格式，如文本文件、JSON和CSV。 7. **自定义字典：** 用户可以使用自定义字典进行子域名的暴力破解尝试，以满足特定的搜集需求。 Subfinder 是一个灵活而强大的工具，适用于用于渗透测试、漏洞评估、红队操作以及一般的信息搜集任务。使用 Subfinder 时，请确保在合法和授权的范围内操作，并遵循法律和道德准则。 #### 在Kali中使用Subfinder ``` sudo apt-get install subfinder ```  ``` subfinder -d xxxx.com ```  ### 证书查询 利用谷歌提出的证书透明度，可以查询到公开的子域，一般可以查询到的结果包括域、签发者、有效期和签名等 ``` crtsh[https://crt.sh/] ```  ### 威胁情报收集 ``` 微步 https://x.threatbook.cn/ ```   ### 爬虫收集 当目标比较单一或者无法提取出更多的子域名资产时，可以考虑定制爬虫的方法，对目标的JS信息、源码信息、目录信息等做更深层次的域名信息的提取  关于爬虫获取子域名的学习，可以参考这篇博客 ``` https://blog.csdn.net/qq_45859826/article/details/124030119 ``` ### 信息去重 经过在线平台和工具的收集工作，得到的域名信息有很多，但是有很多会是重复出现的，需要做去重工作，这里给出我自己写的python脚本 ``` import urllib.parse ``` ## 端口扫描 通过扫描端口，可以判断目标主机使用了哪些服务，从而对这些服务进行有针对性的信息收集、漏洞探测 #### 在线端口扫描 使用在线端口扫描，一是比较快捷、二是可以先使用在线端口扫描判断目标主机是否限制了访问频率，后续在本地进行主动端口扫描时可以通过设置线程和速率的方式绕过 ``` ToolLine[https://toolonline.net/port-scan] ``` 当然在线的端口扫描平台还不止这些，可以通过搜索引擎找到很多类似的在线扫描平台 ### Nmap ``` 工具下载地址[https://nmap.org/] ``` Nmap中文使用手册 ``` [https://www.cnblogs.com/HOsystem/p/16538678.html] ``` #### 在Kali中使用Nmap进行端口扫描 ``` nmap -sU --top-ports 20 xxx.com //扫描UDP top20端口 ```  ``` nmap -T4 -O -sV -p- kali.wiki //扫描全端口 判断操作系统 扫描部署的服务 ```  ### Masscan masscan是一个快速端口扫描器，号称是世界上最快的扫描软件，可以在几分钟内扫描整个互联网端口。 工具下载 ``` [https://github.com/robertdavidgraham/masscan] ``` ``` masscan -p 0-5000 xxx.xxx.xxx.xxx --rate=3000 //使用3000的速率扫描目标0-5000的端口开放情况 ```   在Kali中的使用和Windows基本无异，但是如果速率设置的很高的话，可能会导致扫描不全的情况出现 ### 网络测绘空间 通过测绘空间搜索单个IP地址，可以探测出目标主机开放过哪些端口服务  ## 目录扫描 ### 目录扫描字典 ``` https://github.com/arrdres/Web-Dict ``` ### 御剑目录扫描 御剑目录扫描专业版，简单实用的命令行网站目录扫描工具，支持爬虫、fuzz、自定义字典、字典变量、UA修改、假404自动过滤、扫描控速等功能。 工具下载 ``` [https://github.com/foryujian/yjdirscan] ```  ### 7KbScan 7kbscan-WebPathBrute Web路径暴力探测工具 工具下载 ``` [https://github.com/7kbstorm/7kbscan-WebPathBrute] ```  ### dirsearch dirsearch是一个基于python的命令行工具，用于暴力扫描页面结构，包括网页中的目录和文件。 工具下载 ``` [https://github.com/maurosoria/dirsearch] ```  ### Gobuster gobuster工具可以对Web目录和dns域、子域进行枚举，功能较为强大 参数 详细 描述 \-C \--cookie 请求中使用的cookie \-x \--extensions 指定枚举的扩展名 \-H \--headers 指定请求头 \-k \--no-tls-validation 跳过TLS证书验证 \-n \--no-status 不打印状态码 \-s \--status-codes 肯定的状态码 \-b \--status-codes-blacklist 负面的状态码 \-U \--username `Basic` 验证用户名 \-P \--password `Basic` 验证密码 ``` gobuster dir -u http://xxx.com/ -w directory-list.txt //使用指定字典对目标进行目录爆破 ```  ## CMS识别 通过识别CMS的类型和版本信息，可以根据该CMS公开的历史漏洞针对CMS进行漏洞探测 ### 在线CMS识别 ``` 云悉指纹识别[http://finger.tidesec.com/] ``` ### TideFinger TideFinger——指纹识别小工具，汲取整合了多个web指纹库，结合了多种指纹检测方法，让指纹检测更快捷、准确。 工具下载 ``` [https://github.com/TideSec/TideFinger] ```  ### Whatweb WhatWeb 是一款用于识别网站技术栈和特征的开源Web扫描工具。它可以自动分析网站的响应并识别出使用的Web框架、CMS、服务器、JavaScript库等技术组件。 #### Kali中使用whatweb识别目标CMS信息 ``` whatweb xxxx.com ```  ### Wappalyze Wappalyzer是一款开源的浏览器扩展，用于识别网站所使用的技术栈。它能够检测出使用的Web服务器、内容管理系统、编程语言、JavaScript库、框架等信息，并将其展示给用户。 插件可以在各个浏览器的插件商城免费下载  ### 经验判断&AI 当工具无法提供正确的CMS信息时，可以根据网站的目录结构、js信息、版权信息综合判断CMS的类型，也可以将收集到的信息提交给AI判断   ## 源码泄露 攻击者可通过泄露的源码文件，提取出网站配置信息，如数据库配置信息、云服务配置信息等，还可以根据源代码进行代码审计，导致漏洞披露。 #### 网站备份压缩文件 ``` 管理员如果将网站源代码备份在Web目录下，攻击者就通过遍历文件路径，获得备份文件。 ``` **常见的备份文件后缀**： ``` .rar ``` #### git源码泄露 `git`是一个开源的分布式版本控制系统，在执行git init初始化目录的时候，会在当前目录下自动创建一个.git目录，用来记录代码的变更记录等。发布代码的时候，如果没有把.git这个目录删除，就直接发布到了服务器上，攻击者就可以通过它来恢复源代码。 ``` 访问网站根目录/.git/文件夹是否存在，如果文件夹存在或显示403则存在 使用githack.py进行下载 ``` ##### GitHack 工具下载： ``` [https://github.com/lijiejie/GitHack] ``` ``` python3 GitHack.py http://xxxx.com/ ```  #### SVN源码泄露 `SVN`是一个开放源代码的版本控制系统。在使用SVN管理本地代码过程中，会自动生成一个名为.svn的隐藏文件夹，其中包含重要的源代码信息。网站管理员在发布代码时，没有使用‘导出’功能，而是直接复制代码文件夹到WEB服务器上，这就使.svn隐藏文件夹被暴露于外网环境，可以利用.svn/entries文件，获取到服务器源码。 ##### SvnHack 工具下载 ``` [https://github.com/callmefeifei/SvnHack] ``` 使用方法与githack基本无异，但是需要使用`python2`版本使用此工具，本人使用的python环境为`Python 2.7.18` ``` python2 SvnHack.py -u http://xxxx.com/ ```  #### GitHub源码泄漏 如果网站开发者在开发过程中自动或手动将源码上传到github等其他开源平台，并且没有正确设置访问权限，那么就可以通过搜集到的已知信息去各个开源平台搜索泄露的源代码 ``` in:name target # 仓库标题搜索含有关键字target ```  ## API与JS信息 ### Packer-Fuzzer 工具下载 ``` [ https://github.com/rtcatc/Packer-Fuzzer] ``` Packer-Fuzzer是一款针对Webpack等前端打包工具所构造的网站进行快速、高效安全检测的扫描工具。 常用命令 ``` python3 PackerFuzzer.py -u http://xxxx.com -t adv -p http://127.0.0.1:8080 -f 1 -r html ```   ### UrlFinder URLFinder是一款快速、全面、易用的页面信息提取工具，用于分析页面中的js与url,查找隐藏在其中的敏感信息或未授权api接口 工具下载 ``` [https://github.com/pingc0y/URLFinder] ``` ``` \URLFinder.exe -u http://xxxx.com -s 200,403 -m 3 ```  ### JSFinder JSFinder是一款用作快速在网站的js文件中提取URL，子域名的工具。 工具下载 ``` [https://github.com/Threezh1/JSFinder] ```  ****0x03 总结 **** 做渗透红队别上来就乱扫乱打，信息收集才是王道！先扒企业工商与备案资产，再靠测绘工具挖隐藏站点，子域名、端口挨个排查。顺带识别网站架构与 CMS，揪出备份、Git 等源码泄露漏洞，还能扒前端 JS 提取隐藏接口。把各类工具灵活搭配用好，摸透目标家底再动手，既能少走弯路，还能轻松找到突破点位，实战效率直接拉满！🔥喜欢这类文章或挖掘SRC技巧文章师傅可以点赞转发支持一下谢谢！
xiaodi
2026年5月21日 18:00
6
0 条评论
转发
收藏文档
上一篇
下一篇
手机扫码
复制链接
手机扫一扫转发分享
复制链接
分享
链接
类型
密码
更新密码
有效期
Markdown文件
Word文件
PDF文档
PDF文档（打印）