文章目录
- 前言
- 一、资产信息收集
-
- 1.主域名资产收集
- 1）ICP备案查询
- 2）DNS记录查询
- 3）Whois查询包括在线网站和邮箱反查
- 4）IP反查可利用网络空间搜索引擎或者威胁情报中心
- 2.子域名资产收集
- 1）DNS域传送
- 2）公开dns数据集
- 3）通过搜索引擎
- 4）通过网络空间搜索引擎
- 5）子域名的信息泄露包括JS文件泄露、网络爬虫等
- 6）一些在线网站子域名查询
- 7）子域名爆破工具
- 8）批量域名存活探测工具
- 9）SSL/TLS证书查询
- 10）利用证书透明度收集子域
- 3.IP和C段资产收集
- 1）绕过CDN寻找真实IP
- 2）通过网络空间搜索引擎搜集：
- 3）IP和C段资产扫描：
- 4）主机发现
- 5）操作系统识别
- 6）常见端口漏洞和默认设备口令详见web专栏。
- 4.其他
- 二、网站指纹识别
-
- 1.网站指纹识别
- 2.网站waf识别
- 三、敏感信息收集
-
- 1.网站漏洞扫描
- 2.目录扫描
- 3.JS信息收集
- 4.通过在线网站和各种网盘搜集
- 5.通过搜索引擎和代码仓库搜集敏感信息
正常工作中，有的客户可能资产列表给的会很详细，但是有的可能就会给个主域名甚至就给个名字，所以这个时候就需要我们自己手动信息收集了。
注册域名的时候留下的信息。比如域名注册人的邮箱、电话号码、姓名等。根据这些信息可以尝试制作社工密码，或者查出更多的资产等等，也可以反查注册人，邮箱，电话，机构及更多的域名。
DNS服务器分为主服务器，备份服务器，缓存服务器。 域传送是指备份服务器从主服务器上复制数据，然后更新自身的数据库，以达到数据同步的目的，这样是为了增加冗余，一旦主服务器出现问题可直接让备份服务器做好支撑工作。 而域传送漏洞则是由于DNS配置不当，导致匿名用户可以获取某个域的所有记录，造成整个网络的拓扑结构泄露给潜在的攻击者，凭借这份网络蓝图，攻击者可以节省大量的扫描时间，同时提升了目标的准确度。 DNS域传送漏洞检测方式有三种：nslookup，dig，和使用nmap脚本。
https://hackertarget.com/find-dns-host-records/ https://www.netcraft.com/
通过谷歌、百度、搜狗、360、bing等hack搜索语法搜索子域名。
a）可利用github直接搜索域名或者网站的js文件泄露子域名，JSFinder，JSINFO-SCAN和SubDomainizer都是从网站js文件中搜索子域名的工具。
b）利用文件泄漏，很多网站有跨域策略文件crossdomain.xml、站点地图sitemap.xml和robots.txt等，其中也可能存在子域名的信息。 c）利用网络爬虫，很多网站的页面中，会有跳转到其他系统的功能，如OA、邮箱系统等，其中可能就包含有其他子域名相关的信息，此外部署了内容安全策略（CSP）的网站在header头Content-Security-Policy中，也可能存在域名的信息。可使用burpsuite或者awvs类工具对站点进行爬取分析。
要向用户提供加密流量，网站必须先向可信的证书授权中心 (CA) 申请证书。然后，当用户尝试访问相应网站时，此证书即会被提供给浏览器以验证该网站。近年来，由于 HTTPS 证书系统存在结构性缺陷，证书以及签发证书的 CA 很容易遭到入侵和操纵。Google 的证书透明度项目旨在通过提供一个用于监测和审核 HTTPS 证书的开放式框架，来保障证书签发流程安全无虞。可以使用以下网站来查询
a）多地ping，可以使用以下两个网站。
采用各地 dns 解析的方式来判断是否存在cdn，如果ip一致则不存在相反就是存在的。 知乎是使用了腾讯云的cdn，所以无法直接获取到它的真实IP，这对后续的工作造成了困扰，可以采用网站标题匹配的方法来进行查找， 
之后我们到fofa来进行titie匹配，然后逐个查看。 
b）利用证书序列号 
一串16进制字符，我们需要将其调整为10进制来满足知乎的搜索结果。
然后在fofa中使用cert 语法进行查询，域名和ip能够都访问网站就为真实ip。
c）利用nslookup
d）利用Fofa、Shadon等搜索引擎。
e）ping域名而不带主机名
f）采用国外DNS，这个方法主要就是针对一些cdn 只对国内的ip部署了cdn，对于国外的ip并没有部署，这样就会得到真实IP。
g）利用邮件去查
h）利用子域名
i）DNS历史解析记录，有一些网站可以查询到DNS历史解析记录，可能在很多网站并未采用cdn时候的解析记录就被记录了下来，之后也并未更换服务器，此时就能查询到真实IP地址。可以使用以下网站等等。
j）HTML 页面信息匹配
工具有：Nmap，msscan，Goby，水泽，fscan，EHole(棱洞)等等。
a）二层发现，主要利用arp协议，速度快，结果可靠，不过只能在同网段内的主机。
b）三层发现，主要利用ip、icmp协议，速度快但没有二层发现快，可以经过路由转发，理论上可以探测互联网上任意一台存活主机，但很容易被边界防火墙过滤。
c）四层发现，主要利用tcp、udp协议，速度比较慢，但是结果可靠，可以发现所有端口都被过滤的存活主机，不太容易被防火墙过滤。
知道目标存活主机的操作系统后，可以依据操作系统来实施针对性的测试。
1）如果主站及子站没有思路可以尝试其他方式，如小程序或者APP。可采用天眼查，爱企查，企查查等网站查询该企业的公众号或者APP。 
2）微信搜索公众号和小程序大家应该都知道就不举例了，支付宝也一样。 3）还可以用搜狗微信搜索公众号。 
1）在线平台：
WAF识别：wafw00f
网站漏洞扫描，各种扫描器了。如：nessus，极光，xray，AWVS，goby，AppScan，各种大神团队自己编写的扫描器等等。
目录扫描，主要扫描敏感信息、隐藏的目录和api、代码仓库、备份文件等。工具有：各种御剑，dirmap，Dirsearch，dirbuster，7kbstorm，gobuster等等。
在JS中可能会存在大量的敏感信息，包括但不限于：
- 某些服务的接口，可以测试这些接口是否有未授权等
- 子域名，可能包含有不常见或者子域名收集过程中没收集到的目标
- 密码、secretKey等敏感数据
直接百度网盘搜索，就可搜到很多在线网盘，然后进入网盘搜索关键词，如单位名、单位别称等。
