Web安全攻防渗透测试实战指南-第一章-信息收集

目录

1.收集域名信息

Whois查询

2.收集敏感信息

3.收集子域名信息

3.1子域名检测工具

3.2搜索引擎枚举

3.3第三方聚合应用枚举

4.收集常用端口信息

5.指纹识别

6.查找真实ip

6.1目标服务器有CDN

6.2判断目标是否使用了CDN

6.3绕过CDN寻找真实IP

6.4验证获取的IP

7.收集敏感目录文件

---

1.收集域名信息

知道目标域名后，首先获取该域名的DNS服务器信息和注册人的联系信息。常见的收集方法有以下几种。

Whois查询

用Whois命令查询。例如：Whois baidu.com

还有访问whois.chinaz.com

2.收集敏感信息

可以利用搜索引擎查询域名的敏感信息，例如谷歌的：

site	指定域名
inurl	url中存在关键字的网页
intext	网页正文中的关键字
filetype	指定文件类型
intitle	网页标题中的关键字
link	link:baidu.com表示所有和百度做了链接的网页
info	查找指定网站的一些基本信息
cache	搜索google里关于某些内容的缓存

举个例子，想搜一些学校的后台网页，可以这样 “site: edu.cn intext: 后台管理”。意思是搜索网页正文中包含后台管理，并且域名后缀为edu.cn的网站。

另外，通过burpsuite的Repeater也能看到服务器的一些信息。如运行的server类型及版本、PHP版本信息等。针对不同的类型可以做不同的入侵测试。

3.收集子域名信息

3.1子域名检测工具

用layer子域名挖掘机、subDomainBrute、Sublist3r

3.2搜索引擎枚举

例如“site: baidu.com” 

3.3第三方聚合应用枚举

DNSdumpster.com

4.收集常用端口信息

通过扫描服务器上开放的端口可以判断服务器提供哪些服务，方便对症下药。所以在扫描端口的时候要注意常见服务端口。最常见的工具是Nmap，无状态扫描工具Masscan、zmap和御剑高速TCP端口扫描工具

远程连接服务端口

 

邮件服务端口

 

5.指纹识别

CMS指纹识别。常用工具御剑Web指纹识别、Whatweb、WebRobo、椰树等。

6.查找真实ip

在渗透的过程中，目标服务器可能只有一个域名，如何通过这个域名来确定目标服务器的真实ip就很重要。如果目标不存在CDN，那么用www.ip138.com就可以查询到ip，这里讲一下如何绕过CDN去寻找真实IP。

6.1目标服务器有CDN

如果目标买了CDN服务，那么直接ping域名得到的就是离我们最近的CDN服务器，而不是真实的IP地址。这就导致了我们无法获得目标的真实IP段范围。

6.2判断目标是否使用了CDN

通过ping目标主域，观察域名解析的情况，来判断目标是否使用了CDN服务。(这个没看明白）

还可以利用在线网站17CE www.17ce.com进行全国ping，看得到的ip是否一致。如果ping结果一致，那么目标极可能没有CDN。如果ip大多不一致但是很有规律，可以尝试查询ip的的归属地，判断是否有CDN。

6.3绕过CDN寻找真实IP

在确定目标使用了CDN，可以使用以下常规手段来寻找真实IP：

• 内部源邮箱。一般的邮件系统都在内部，没有经过CDN解析，通过目标网站用户注册或者RSS订阅功能，查看邮件，寻找邮件头中的邮件服务器域名ip，ping这个邮件服务器的域名，就可以获得这个目标的真实ip。（必须是目标自己的邮件服务器，第三方或者公共的邮件服务是没用的）
• 扫描网站测试文件，如phpinfo、test等，从而找到真实ip
• 分站域名。很多网站主站的访问量比较大，所以买了CDN，但是子域名访问量小，就没有买CDN。可以通过ping二级域名获取分站IP，可能会出现主站和分站不是同一个ip，但是在同一个C段下的情况。
• 国外访问。国内的CDN往往只针对国内用户。通过国外代理网站访问，App Synthetic Monitor。可能会得到真实的ip。
• 查询域名的解析记录。目标可能以前没用CDN，所以可以通过网站NETCRAFT（www.netcraft.com）来观察域名的ip历史记录，也可以大致分析出目标真实的IP段。
• 通过APP。如果目标有APP，可以用burpsuite抓取APP的请求，从里面找到目标的真实IP。
• 绕过CloudFlare CDN查找真实IP。现在很多网站都是用CloudFlare提供CDN服务，在确定了目标网站是用CDN后，可以先尝试通过在线网站Cloud FlareWatch（www.crimeflare.us/cfs.html#box）对CloudFlare客户网站进行真实IP查询。如下图所示：

 6.4验证获取的IP

如果目标是Web，最简单的验证方法是直接尝试用IP访问；或者在目标段比较大的情况下，借助类似Masscan的工具批扫描对应IP段中所有开了80、443、8080端口的IP，然后逐个尝试IP访问，观察响应结果是否为目标站点。

7.收集敏感目录文件

在渗透测试中，探测Web目录结构和隐藏的敏感文件是一个必要环节，从中可以获取网站的后台管理页面，文件上传界面、甚至可能扫描出网站的源代码。

针对网站目录的扫描主要有DirBuster、御剑后台扫描珍藏版、wwwscan、Spinder.py等工具。书里面用的是DirBuster