Geronimo的Blog
信息搜集吗？
2026-08-22
top10漏洞常见基础讲解
00
请注意，本文编写于 84 天前，最后修改于 84 天前，其中某些信息可能已经过时。

目录

一、信息收集到底是什么？
1.1 一句话定义
1.2 两大分类
1.3 我们要收集什么？——"资产树"思维
二、阶段一：被动信息收集（不碰目标）
2.1 企业主体信息收集
2.2 根域名与备案信息
2.3 子域名收集
2.4 DNS信息收集
2.5 空间测绘平台（重中之重）
主流平台对比
FOFA 语法大全
Shodan 语法
Hunter（鹰图）语法
教育网资产测绘示例（来自EduSRC资料）
2.6 搜索引擎信息收集
Google Hacking（Google Dork）
GitHub 代码搜索（泄露重灾区）
2.7 IP资产收集与CDN绕过
获取IP的方法
CDN识别
CDN绕过：5大核心技术
2.8 其他被动收集
三、阶段二：主动信息收集（与目标交互）
3.1 端口与服务扫描
3.2 Web存活探测
3.3 Web指纹识别
3.4 目录与路径爆破
3.5 JS文件与接口分析
3.6 API文档收集
3.7 敏感信息发现
四、红队社工与个人信息收集（OSINT）
4.1 什么是社工？
4.2 人员信息收集渠道
4.3 邮箱与凭据泄露
4.4 社交媒体OSINT工具
4.5 钓鱼攻击基础（了解防御）
4.6 定制化字典生成
五、资产去重与清洗
5.1 去重
5.2 资产分级
六、自动化信息收集平台
七、常用工具速查表
7.1 子域名收集
7.2 端口扫描
7.3 目录爆破
7.4 指纹识别
7.5 敏感信息/泄露
7.6 OSINT/社工
八、实战建议
九、参考资源

前言：大多数现在挖洞都是找边缘资产，不是打没名气的，而是找有名气的边缘服务，于是就需要信息搜集，所以现在基础固然重要，但是狗运也很重要

⚠️ 法律红线：任何攻击都必须在取得书面授权的情况下进行。未经授权对目标进行扫描、爆破、社工均涉嫌违反《中华人民共和国网络安全法》《刑法》第285/286条。本文仅供学习交流。

一、信息收集到底是什么？

1.1 一句话定义

在不触发（或少触发）目标告警的前提下，尽可能多地获取目标的资产、架构、人员、技术栈等信息。

1.2 两大分类

类型定义特点举例
被动信息收集不与目标直接交互不留痕迹、隐蔽搜索引擎、Whois、备案查询、GitHub泄露
主动信息收集直接与目标交互可能留下日志端口扫描、目录爆破、子域名枚举

1.3 我们要收集什么？——"资产树"思维

拿到一个目标（比如"天津工业大学"），不要直接对着官网猛干。你要做的是把目标拆成一棵资产树：

目标单位
├── 域名资产
│   ├── www.example.com（官网）
│   ├── api.example.com（接口BaseURL）
│   ├── admin.example.com（后台）
│   ├── test.example.com（测试环境）
│   └── oa.example.com（办公系统）
├── IP资产
│   ├── 服务器IP
│   ├── 云主机IP
│   └── 历史IP（迁走了但旧服务还在）
├── Web资产
│   ├── 官网、后台、API
│   ├── 测试环境、开发环境
│   └── 文档站、Swagger、Knife4j
├── 移动端资产
│   ├── Android APP
│   ├── iOS APP
│   └── H5页面
├── 微信生态
│   ├── 小程序
│   ├── 公众号
│   └── 关联H5
└── 关联资产
    ├── 子公司
    ├── 品牌独立站点
    ├── 产品独立域名
    └── 供应商/合作方系统

核心问题：这个企业到底有哪些互联网资产？

二、阶段一：被动信息收集（不碰目标）

2.1 企业主体信息收集

拿到目标名称后，先别急着查域名，先把企业摸清楚：

  • 企业全称、曾用名
  • 品牌名称、产品名称
  • 子公司、控股公司、股权穿透
  • APP名称、公众号、小程序
  • 官方网站

常用平台：

  • 天眼查 / 企查查 / 爱企查（查股权、子公司）
  • 小蓝本 / 启信宝
  • 微信搜一搜（找公众号、小程序）

💡 技巧：子公司也是目标！红队项目中，只要属于该企业的信息系统，全在授权范围内。

2.2 根域名与备案信息

ICP备案查询（国内网站必须有备案）：

平台地址用途
工信部备案查询beian.miit.gov.cn官方，最权威
ICP备案查询站icp.aizhan.com / beian.miit.gov.cn查备案主体、备案号
站长工具tool.chinaz.com查备案域名反查

查什么：

  • 备案主体名称
  • 网站名称
  • 备案域名（一个主体可能备案几十个域名）
  • APP备案、小程序备案

Whois查询（查域名注册信息）：

bash
whois example.com
  • 注册人、注册邮箱、注册商、过期时间
  • 有些开启了隐私保护（Redacted），看不到真实信息

2.3 子域名收集

确定根域名后（如 example.com），开始扩展子域名。

收集方法：

方法工具/平台说明
证书透明度日志crt.sh / censysSSL证书会暴露子域名
搜索引擎Google / Bingsite:example.com
DNS枚举dig / dnsenum查A、CNAME、MX记录
爆破OneForAll / Subfinder / ksubdomain字典爆破子域名
聚合工具Amass（OWASP）被动+主动，子域名枚举王者

推荐工具命令：

bash
# OneForAll 被动+主动收集
python oneforall.py --target example.com run

# Subfinder 被动收集（快）
subfinder -d example.com -o subs.txt

# Amass 深度枚举
amass enum -passive -d example.com
amass enum -active -d example.com  # 主动，会发DNS请求

# 本地DNS解析验证
cat subs.txt | dnsx -a -resp-only

2.4 DNS信息收集

对子域名整理后，查DNS记录，重点关注：

记录类型含义信息价值
AIPv4地址直接得到IP
AAAAIPv6地址有些CDN没配IPv6，可能暴露真实IP
CNAME别名识别CDN、云厂商、SaaS服务
MX邮件服务器定位邮件系统，可能和Web同IP
NSDNS服务器查权威DNS，尝试区域传输
TXT文本记录常包含验证信息（如SPF、DKIM）

常用命令：

bash
# 查A记录
dig example.com A

# 查MX记录
dig +short mx example.com

# 查NS记录
dig +short ns example.com

# 尝试DNS区域传输（老漏洞，但偶尔能成功）
dig @ns1.example.com example.com axfr

DNS路径分析：

域名 → CNAME → CDN/云服务 → 最终服务器

通过CNAME可以识别使用了哪家CDN（如 *.w.kunlunsl.com = 阿里云CDN）。

2.5 空间测绘平台（重中之重）

空间测绘引擎是信息收集的"大杀器"，它们全天候扫描全网，你只需查"档案"。

主流平台对比

平台地址特点会员
FOFAfofa.info国内最强，语法丰富，中文友好有
Shodanshodan.io全球设备搜索，IoT/工控强有
Hunter（鹰图）hunter.qianxin.com奇安信出品，国内资产全有
Quakequake.360.net360出品，漏洞关联好有
ZoomEyezoomeye.org知道创宇，老牌有
Censyscensys.io证书/IPv6强，学术风有
0.zone0.zone零零信安，企业暴露面有

FOFA 语法大全

FOFA是国内使用最广泛的资产测绘引擎，掌握语法是必修课。

基础语法：

bash
# 基本结构：字段="值"
# 默认AND关系，OR用 ||，排除用 !=
字段说明示例
ip指定IPip="8.8.8.8"
port指定端口port="8080"
domain根域名相关domain="example.com"
host主机名host="admin.example.com"
title网页标题title="后台管理"
headerHTTP头header="nginx"
body网页正文body="登录"
protocol协议protocol="http"
certSSL证书cert="example.com"
app应用/组件app="Apache"
os操作系统os="Windows"
country国家country="CN"
city城市city="Beijing"
status_code状态码status_code="200"
icp备案号icp="京ICP证030173号"
icon_hash网站图标哈希icon_hash="xxxx"
js_nameJS文件名js_name="js/jquery.js"
js_md5JS文件MD5js_md5="82ac3f14327a8b7ba49baa208d4eaa15"
cnameCNAME记录cname="ap21.inst.siteforce.com"
cloud_name云服务cloud_name="Aliyundun"

组合语法示例：

bash
# 查某域名下所有Web资产
domain="example.com" && (protocol="http" || protocol="https")

# 查某教育网的管理后台
(title="后台" || title="管理") && org="China Education and Research Network Center"

# 查某高校ThinkPHP资产
"X-Powered-By:ThinkPHP" && host="edu.cn"

# 查某企业暴露的Swagger接口
body="swagger-ui" && domain="example.com"

# 查特定备案号的所有资产
icp="京ICP证xxxx号"

# 查特定证书的所有IP（绕过CDN神器）
cert="example.com" && country="CN"

高级技巧：

  • == 完全匹配，= 模糊匹配
  • title="北京" 搜标题含北京，title=="北京" 搜标题完全等于北京
  • 排除蜜罐：&& is_honeypot=false（需高级会员）

Shodan 语法

bash
# 基础
ip:8.8.8.8
port:80
hostname:example.com
title:"admin"
header:"nginx"
ssl:"example.com"          # SSL证书
org:"Google"               # 组织
country:"CN"
city:"Beijing"
os:"Windows"

# 组合
hostname:example.com port:443 ssl:true

Hunter（鹰图）语法

bash
# 域名搜索
domain="example.com"

# 标题
title="后台"

# 组合
domain="example.com" && title="登录" && status_code="200"

教育网资产测绘示例（来自EduSRC资料）

bash
# 基础教育资产匹配
((title="职业技术" || title="小学" || title="初中" || title="高中" || title="附属中学" || title="一中" || title="二中" || title="中学" || title="中等专业学校") && country="CN" && region!="HK")

# 含CERNET的更全匹配
((title="大学" || title="职业技术" || title="初中" || title="学校" || title="高中" || title="中学" || title="中等专业学校" || org="China Education and Research Network Center") && country="CN" && region!="HK")

# 某高校域名资产（以浙大为例）
host="zju.edu.cn" && (protocol="http" || protocol="https")

# 教育网管理后台
host="edu.cn" && (title="后台" || title="管理")

# ThinkPHP教育网资产
"X-Powered-By:ThinkPHP" && server=="nginx" && ((title="职业技术" || title="小学" || title="初中" || title="高中" || title="附属中学" || title="一中" || title="二中" || title="中学" || title="中等专业学校") && country="CN" && region!="HK")

# 若依框架
body="ruoyi" && host="edu.cn"

# 骑士CMS
header="think_template=default" && org="China Education and Research Network Center"

2.6 搜索引擎信息收集

Google Hacking（Google Dork）

bash
# 搜索某站点下的敏感文件
site:example.com filetype:pdf
site:example.com filetype:docx
site:example.com filetype:xls

# 搜索后台/登录页
site:example.com inurl:admin
site:example.com inurl:login
site:example.com intitle:"后台管理"

# 搜索目录遍历
site:example.com intitle:"index of"

# 搜索配置文件
site:example.com filetype:xml
site:example.com filetype:env
site:example.com inurl:.git

# 搜索包含敏感信息的页面
site:example.com "密码"
site:example.com "access_key"
site:example.com "api_key"

# 搜索Swagger/API文档
site:example.com inurl:swagger
site:example.com inurl:api-docs

GitHub 代码搜索（泄露重灾区）

GitHub是信息泄露的"金矿"，开发者常把密钥、密码、内网IP上传到公开仓库。

手动搜索语法：

bash
# 搜索密码/密钥
password example.com
api_key example.com
secret example.com
access_token example.com

# 搜索特定文件
filename:config.yml example.com
filename:.env example.com
filename:db.properties example.com

# 搜索数据库连接串
"mongodb://" example.com
"mysql://" example.com

# 搜索AK/SK
"AKID" example.com          # 腾讯云
"LTAI" example.com          # 阿里云

自动化工具：

  • TruffleHog：扫描GitHub/GitLab中的密钥，支持AI识别
  • GitDorker：大规模Dork库自动抓取
  • gitleaks：检测代码中的敏感信息
  • GSIL：GitHub敏感信息泄露监控，支持邮件告警

2.7 IP资产收集与CDN绕过

获取IP的方法

bash
# 基础方法
nslookup www.example.com
ping www.example.com
dig +short www.example.com

# 多地Ping（判断CDN）
# 使用 itdog.cn / ping.chinaz.com / ping.pe

CDN识别

什么是CDN：内容分发网络，用户访问时连接到最近的缓存节点，隐藏真实服务器IP，还能防御攻击。

如何判断是否有CDN：

  1. 多地Ping：不同地区返回不同IP → 有CDN
  2. Nslookup/Dig：看CNAME记录，如有 *.w.kunlunsl.com（阿里云）、*.cloudfront.net（AWS）等 → 有CDN

CDN绕过：5大核心技术

找到真实IP是渗透的关键，以下是常用方法：

方法1：子域名突破

  • 很多网站只为 www 配了CDN，mail.example.com、oa.example.com、admin.example.com 可能直连源站
  • 用子域名爆破工具找出未配CDN的子域名，解析IP

方法2：国外节点访问

  • 很多国内网站只买了"中国大陆加速"套餐，海外请求直接连源站
  • 用海外VPS或代理访问：curl -I https://target.com --proxy http://海外IP:端口

方法3：邮件系统溯源

  • 邮件服务器和Web服务器可能在同一台主机
  • 触发目标发邮件（注册、找回密码、订阅），查看邮件原始头信息中的 Received 字段
  • Foxmail/QQ邮箱/Gmail 都可以"查看邮件源码"
  • 从下往上找 Received: from xxx (unknown [XXX.XXX.XXX.XXX])，这个IP就是真实IP

方法4：历史DNS记录

  • 网站早期可能没上CDN，后来才加的
  • 查询历史解析记录，找到"裸奔"时期的IP
平台地址
SecurityTrailssecuritytrails.com
DNSDBdnsdb.io
ViewDNSviewdns.info
Netcraftdnsbacklink.com

方法5：空间测绘+证书查询

  • FOFA/Shodan 搜证书：cert="example.com"
  • 搜网站独有特征：title="目标独特标题" && body="备案号"
  • 排除CDN厂商IP段，剩下的就是源站

方法6：漏洞诱导（SSRF）

  • 让服务器主动访问你的VPS：nc -lvvp 8080
  • 在目标SSRF点填入 http://YOUR_VPS:8080
  • 服务器真实IP会出现在你的监听日志中

方法7：敏感文件泄露

  • 扫描 phpinfo.php、info.jsp，里面可能有 _SERVER["SERVER_ADDR"]
  • 扫描 .git、.svn、.env 等泄露

2.8 其他被动收集

收集项方法工具/平台
历史域名查老域名、拼写变体viewdns.info
关联域名同备案、同IP、同证书站长工具
网段收集C段、B段扫描fofa ip="1.1.1.0/24"
云存储桶公开S3/OSS各云厂商控制台/工具
公众号/小程序微信搜一搜手动

三、阶段二：主动信息收集（与目标交互）

3.1 端口与服务扫描

Nmap（神器，必学）：

bash
# 基础扫描
nmap -sV -O example.com

# 全端口扫描
nmap -p- -sV example.com

# 快速扫描Top 1000端口
nmap -sS -T4 example.com

# 扫描特定网段
nmap -sP 192.168.1.0/24

# 输出详细报告
nmap -A -oN result.txt example.com

Masscan（极速端口扫描）：

bash
# 扫描全网段80端口（非常快）
masscan -p80 192.168.1.0/24 --rate=10000

naabu（Go写的快速扫描器）：

bash
naabu -host example.com -top-ports 1000

3.2 Web存活探测

收集了一堆域名/IP后，要确认哪些能访问：

bash
# httpx（推荐）
cat domains.txt | httpx -title -tech -status-code -o alive.txt

# httprobe
cat domains.txt | httprobe

# 批量截图（看页面长什么样）
cat alive.txt | aquatone

3.3 Web指纹识别

识别网站用了什么技术栈（CMS、中间件、框架、WAF）：

工具用途
Wappalyzer浏览器插件，一键识别技术栈
Goby可视化扫描，带指纹识别
WhatWeb命令行指纹工具
EHole红队重点资产识别
TideFinger潮汐指纹
bash
# WhatWeb
whatweb example.com

# EHole
./ehole -l urls.txt

常见指纹目标：

  • CMS：WordPress、Drupal、Discuz、帝国CMS、Dedecms
  • 框架：ThinkPHP、SpringBoot、Django、Flask、Laravel
  • 中间件：Nginx、Apache、IIS、Tomcat、WebLogic
  • 后台：若依(RuoYi)、Jeecms、74cms骑士CMS
  • WAF：阿里云盾、腾讯云WAF、Cloudflare、安全狗

3.4 目录与路径爆破

找隐藏目录、后台、敏感文件：

工具特点
DirsearchPython，字典丰富，最常用
GobusterGo，速度快
FFufGo，极速，支持Fuzz
DirbusterKali自带，图形化
bash
# Dirsearch
python dirsearch.py -u https://example.com -e php,zip,txt,bak

# Gobuster
gobuster dir -u https://example.com -w /usr/share/wordlists/dirb/common.txt

# FFuf
ffuf -u https://example.com/FUZZ -w wordlist.txt -c

重点关注路径：

/robots.txt          # 爬虫规则，常暴露敏感路径
/sitemap.xml         # 网站地图
/.git/               # Git源码泄露
/.svn/               # SVN泄露
/.env                # 环境变量文件
/backup/             # 备份文件
/admin/ /manage/     # 后台
/swagger-ui.html     # API文档
/api/ /v1/ /v2/      # API接口
/phpinfo.php         # PHP信息

3.5 JS文件与接口分析

现代前端项目打包后，JS文件里常藏有大量接口、密钥、内网IP。

收集JS：

bash
# katana 爬虫（ProjectDiscovery出品）
katana -u https://example.com -o urls.txt

# 提取JS链接
cat urls.txt | grep "\.js$" > js.txt

分析JS：

  • SecretFinder：从JS中提取敏感信息（API密钥、URL、手机号等）
  • Packer-Fuzzer：针对Webpack等打包工具构造的网站检测
  • JSFScan.sh：JS侦查自动化脚本
bash
# SecretFinder
python SecretFinder.py -i https://example.com/app.js -o result.html

# 手动在JS中搜关键词
# api、token、key、secret、password、internal、192.168、10.0.0

3.6 API文档收集

API文档是漏洞挖掘的宝库：

  • Swagger UI：/swagger-ui.html、/v2/api-docs、/swagger-resources
  • Knife4j（国产Swagger增强）：/doc.html
  • Postman Collection、OpenAPI规范
  • 微信小程序源码（反编译后找接口）

3.7 敏感信息发现

类型工具说明
.git泄露GitHack / git-dumper恢复整个Git仓库
.svn泄露svnExploit / dvcs-ripper恢复SVN源码
.DS_Store泄露ds_store_expMac目录文件
HeapDumpheapdump_toolJVM内存转储，含密码
Swagger泄露swagger-exp / swagger-hack自动化测试接口
云存储桶泄露Cloud-Bucket-Leak-Detection-Tools六大云存储检测

四、红队社工与个人信息收集（OSINT）

4.1 什么是社工？

社会工程学（Social Engineering）是利用人的心理弱点（好奇心、信任、恐惧）获取信息或访问权限的攻击方式。技术再强的系统，人也可能是短板。

4.2 人员信息收集渠道

目标：获取员工姓名、手机号、邮箱、职位、工号、部门等信息。

渠道方法
脉脉/领英查目标公司员工、职位、部门架构
小红书/微博搜"目标公司+内推"，员工常发带工牌照片
招聘网站拉勾、BOSS直聘，看技术栈、部门信息
企业年报/招投标联系人姓名、电话、邮箱
GitHub员工提交的代码，含邮箱（git log看提交者）
邮箱格式推断常见格式：zhangsan@company.com、zs@company.com
Whois/备案注册人联系邮箱
邮件头分析从往来邮件中提取信息

4.3 邮箱与凭据泄露

查邮箱是否泄露过：

  • Have I Been Pwned (haveibeenpwned.com)
  • LeakSearch / DeHashed（社工库查询）

用途：

  • 密码复用攻击：员工在A网站泄露的密码，可能在公司系统 reused
  • 组合字典爆破：用姓名+生日+手机号生成密码字典

4.4 社交媒体OSINT工具

工具功能
Sherlock通过用户名在数百个社交平台搜索
MaigretSherlock增强版，支持3000+网站，生成HTML/PDF报告
theHarvester收集邮箱、子域名、主机名、员工姓名
SpiderFoot自动化OSINT，200+模块，生成关系图谱
Maltego可视化关联分析，把人、域名、IP连成图谱
bash
# Sherlock
python sherlock username

# theHarvester
python theHarvester.py -d example.com -b all

# SpiderFoot（Web界面）
python sf.py -l 127.0.0.1:5001

4.5 钓鱼攻击基础（了解防御）

常见社工手法：

  • 邮件钓鱼：伪造HR/IT部门发邮件，诱导点击链接或下载附件
  • 鱼叉攻击：针对特定高价值目标的精准钓鱼，邮件内容高度定制
  • 网站钓鱼：克隆目标登录页面，诱导输入账号密码
  • 伪装内推：在小红书/微博假装内推，加好友后进一步套取信息
  • 伪冒客服：针对交易所/平台客服的社工

钓鱼邮件常见特征：

  • 发件人域名相似（如 examp1e.com 替代 example.com）
  • urgency（"您的账号即将被封禁，请立即验证"）
  • 链接指向伪造页面

4.6 定制化字典生成

拿到员工信息后，生成针对性密码字典：

bash
# 中文用户名掩码生成
# 如"张三" → zhangsan、zs、zhang.san、zs123456 等

# 结合公司信息的密码规则
# 公司简称+年份：Example2024、example@2024
# 公司简称+123456：example123456
# 姓名+生日：zhangsan19950101

工具：

  • John the Ripper：密码破解，支持AI生成个性化字典
  • Cewl：从目标网站爬取关键词生成字典
  • Crunch：按规则生成字典

五、资产去重与清洗

收集了一堆资产后，必须进行去重和分级：

5.1 去重

bash
# 基础去重
cat all_domains.txt | sort -u > unique_domains.txt

# 提取根域名去重
cat domains.txt | awk -F. '{print $(NF-1)"."$NF}' | sort -u

5.2 资产分级

级别特征例子
高价值资产核心业务、后台、数据库、API网关admin、api、oa、erp
普通业务资产官网、普通业务系统www、portal
低价值资产测试环境、废弃系统、静态页面test、dev、old

优先攻击面：

  1. 测试/开发环境（防护弱）
  2. 老旧系统（补丁没打）
  3. 第三方供应商系统（容易被忽视）
  4. 邮件服务器（可能和Web同IP）

六、自动化信息收集平台

手动收集效率低，推荐几个自动化/半自动化平台：

平台/工具功能地址
Nemo自动化信息收集，内网+互联网资产github.com/hanc00l/nemo_go
reNgine自动化侦查框架github.com/yogeshojha/rengine
ScopeSentry网络空间测绘+漏洞扫描，分布式github.com/Autumn-27/ScopeSentry-Scan
ApolloScanner自动化巡航扫描，红队打点github.com/b0bac/ApolloScanner
AlliN综合渗透测试快速打点github.com/P1-Team/AlliN
Slack安全服务集成化工具平台github.com/qiwentaidi/Slack
Yakit单兵作战武器库，集成化github.com/yaklang/yakit
密探(mitan)资产收集+子域名爆破+测绘+指纹+敏感信息github.com/kkbo8005/mitan
ShadowScan自动化信息泄露扫描+资产测绘+PII提取github.com/MY0723/ShadowScan
reconFTW集成30+工具的自动化侦察github.com/six2dez/reconftw

七、常用工具速查表

7.1 子域名收集

工具命令示例
OneForAllpython oneforall.py --target example.com run
Subfindersubfinder -d example.com
Amassamass enum -passive -d example.com
ksubdomainksubdomain enum -d example.com
Layer图形化工具

7.2 端口扫描

工具命令示例
Nmapnmap -sV -O -p- example.com
Masscanmasscan -p1-65535 1.1.1.0/24 --rate=10000
naabunaabu -host example.com

7.3 目录爆破

工具命令示例
Dirsearchpython dirsearch.py -u https://example.com
Gobustergobuster dir -u https://example.com -w dict.txt
FFufffuf -u https://example.com/FUZZ -w dict.txt

7.4 指纹识别

工具用途
Wappalyzer浏览器插件
WhatWebwhatweb example.com
Goby图形化综合扫描
EHole重点资产识别

7.5 敏感信息/泄露

工具用途
TruffleHogGitHub密钥扫描
gitleaksGit仓库敏感信息检测
GitHack.git泄露利用
SecretFinderJS敏感信息提取
Packer-FuzzerWebpack打包检测

7.6 OSINT/社工

工具用途
theHarvester邮箱/子域名收集
Sherlock/Maigret社交媒体用户名追踪
SpiderFoot自动化OSINT
Maltego可视化关联分析

八、实战建议

  1. 先被动后主动：先用OSINT摸清楚，再主动扫描，减少暴露
  2. 广撒网再聚焦：先尽可能扩大资产面，再筛选高价值目标
  3. 关注"边缘"资产：测试环境、旧系统、子公司、供应商往往防护更弱
  4. 持续监控：资产是动态变化的，建议用Amass/SpiderFoot持续跟踪
  5. 做好笔记：用Excel/Notion记录每个资产的发现路径、技术栈、备注
  6. AI时代的信息收集：AI拉平了技术差距，谁能发现更多别人没注意的入口，谁就能拿到更多成果

九、参考资源

  • OSINT框架：https://osintframework.com
  • 网络空间测绘引擎：FOFA、Shodan、Hunter、Quake、ZoomEye、Censys
  • 备案查询：beian.miit.gov.cn
  • 证书透明日志：crt.sh

以上就是信息收集的完整知识体系。建议收藏后对照实践，从一个小目标开始，逐步把每个环节跑通。记住：精准侦察是高效攻击的前提，资产发现的深度决定渗透成果的上限。 🎯