信息收集流程

星期五要做知识分享，啥也不会就分享分享信息收集吧，遇上新的方法再做补充

企业资产信息收集

股权投资信息

一般要求50%持股或者100% 持股都可以算测试目标
- 企查查
- 天眼查
组织架构信息

组织架构信息指的是目标单位的下级单位，分支机构，内部组织架构等信息。默认情况下，位于目标单位组织架构下的单位都属于资产范围，可以去官网查看这类消息

地址一 - 绿盟科技-巨人背后的专家 (nsfocus.com.cn)

域名信息收集

0x01 一级域名收集

天眼查，企查查，爱企查

域名备案信息查询系统

0x02 子域名信息收集

可以发现目标单位对外开放的更多资产

https://crt.sh/

引用谷歌的项目介绍：“要向用户提供加密流量，网站必须先向可信的证书授权中心 (CA) 申请证书。然后，当用户尝试访问相应网站时，此证书即会被提供给浏览器以验证该网站。近年来，由于 HTTPS 证书系统存在结构性缺陷，证书以及签发证书的 CA 很容易遭到入侵和操纵。Google 的证书透明度项目旨在通过提供一个用于监测和审核 HTTPS 证书的开放式框架，来保障证书签发流程安全无虞。”
DNS 域传送

域传送操作是指备用服务器向主服务器查询来刷新自己的Zone数据库，保证数据一致性。此操作的目的是为了防止主域名服务器因意外故障变得不可用时影响到全局。正常情况下,只有在网络里存在备用域名 DNS 服务器时，DNS区域传送操作才有必要执行。一旦DNS服务器被错误地配置成任何人发出请求，都向其提供Zone数据库的拷贝，就会被攻击者利用。

实现方法：

1.dig命令
如dig @ns2.xxx.com xxx.com axfr
ns2.xxx.com为提供数据的服务器，xxx.com为要传输的关键字，axfr为区域传输选项。

2.python中dns库
xfr = dns.query.xfr(where=server, zone=self.domain, timeout=5.0, lifetime=10.0)
zone = dns.zone.from_xfr(xfr)

一般情况下，DNS服务器都配置正确，关闭了dns传输或设置了白名单，漏洞利用成功的概率较低。
搜索引擎/网络空间搜索引擎
- google 语法
  
  site:nsfocus.com -www
- fofa
  
  domain="nsfocus.com"
子域名爆破

字典拼接，layer
自动化收集工具

现在很多自动化工具已经集成了很多种收集方式，比如 subfinder，oneforall

公网IP收集

ping命令：ping命令会回显出对方域名对应的IP，但只有一个，一般是非权威应答。
nslooup：会返回自己的服务器以及对方所有的服务器
dig +域名：回显出域名对应的服务器
站长工具IP whois：https://tool.chinaz.com/ipwhois

根据 IP 寻找 Web 服务

0x01 收集 IP 开放的脆弱端口

1099 javarmi
1433 mssql
1521 oracle
3306 mysql
6379 redis
7000 - 10000 常见web服务端口 
40000-60000 向日葵 RCE

推荐工具 TxPortMax

0x02 收集公网 IP 的 Web 指纹

识别网页 /HTML/CSS/JS 或者 robots.txt 的关键字，图标，文件后缀，特征目录
抓包看 http 返回消息，提取 server 字段
通过应用所在端口进行判断，比如 7001 是 weblogic
通过报错页面判断
通过二开的框架判断，比如 tp，若依
通过插件比如 Wappalyzer

0x03 Web 系统目录扫描

后台管理地址
安装包，网站备份文件
上传目录，下载目录
mysql 管理接口，phpinfo 界面
cms，框架的安装或者默认界面
网站配置文件，如 WEB-INF/web.xml
未授权 api 接口

0x04 Web 系统 JS 文件分析

jsfinder
浏览器插件

0x05 Web 系统报错信息

改 http 方法
增删改参数
找系统特性
特殊符号
Sql 错误

收集目标企业移动端资产

天眼查，小蓝本
第三方应用市场，厂商关键字
Appstore 查看开发者信息
微信搜索小程序，公众号
搜狗搜索小程序

收集目标公网泄露信息

github
语雀

个人敏感信息收集

社工库

信息收集自动化

灯塔
ez

本文采用署名-非商业性使用-相同方式共享 4.0 国际许可协议，转载请注明出处。