第一章 信息搜集——渗透测试的灵魂

一、whois信息查询

得到域名注册人的信息（邮箱、电话号码、姓名）

• 站长之家
• Godaddy​​​​​​

二、子域名查询

可以扩大攻击范围，子域名一定是有关联的，很多时候基本属于同一个公司

1、在线工具（潮汐指纹）

2、谷歌语法（site:baidu.com）

3、利用爬虫（burp）

4、Layer子域名挖掘机

Layer百度网盘下载链接：https://pan.baidu.com/s/129RWm-YNQRW0mBMOFHDdRg?pwd=dqzp

ps：复制链接打开

5、证书查询法（crt.sh）子域名收集如直接搜索：baidu.com

6、fofa收集（fofa.info）子域名收集如：domain=baidu.com

三、目录扫描（御剑后台扫描工具下载）

百度网盘下载链接：https://pan.baidu.com/s/1miWwX5IirNw7f9Wvidr5tg?pwd=6666

ps：复制链接打开，使用有风险

四、端口检测（Nmap）

有些危险端口开放了我们可以尝试入侵，例如445|3306|22|1433|6379可以尝试爆破用某些端口存在漏洞的服务。而且有可能一台服务器上不同端口号代表着不同的Web网站。

1、在线工具（https://tool.chinaz.com/port）

2、nmap（nmap的安装教程）环境变量应该是不用配置的。对于未经授权的网站慎用

-p0（不用ping，直接扫描）
-v（显示跑过程中的详细信息）
-sS（常用的命令，跑的比较快）
-sT（比较慢，但是它会很稳定，日志留下非常多）
-F（快速扫描常用的端口）
-A（全面扫描）

 以虚拟机为例：

端口扫描状态：Opend端口开放、Closed端口关闭、Filtered端口被过滤

五、指纹识别

在渗透测试中，对目标服务器进行指纹识别是相当有必要的，因为只有识别出相应的Web容器或者CMS，才能查找与其相关的漏洞，然后才能进行相应的渗透操作。

• 潮汐指纹

六、旁站查询

旁站是指在同一ip上面的多个网站，拿下旁站时若运气好时若和主站在同一台机器上便能拿到主站。运气不好是一个内网时，可以尝试内网渗透。

• 潮汐指纹

七、C段扫描

C段指的是同一内网段内的其他服务器，每个IP有ABCD四个段，举个例子，192.168.0.1，A段就是192，B段是168，C段是0，D段是1，而C段嗅探的意思就是拿下它同一C段中的其中一台服务器，也就是说是D段1-255中的一台服务器，然后利用工具嗅探拿下该服务

• 潮汐指纹

八、内容敏感信息泄露

尝试Google语法，找到某些敏感内容，比如包含身份证号码的表格、包含服务器账号密码的敏感文件、备份数据库。

谷歌镜像站：

https://google.sb250.gq/

https://note.cm/

ps：可能失效，可自行搜索其他使用

九、网络架构

1、什么是CDN

CDN是构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。CDN的关键技术主要有内容存储和分发技术。简单来说：CDN就是缓存服务器，存储网站的静态资源，提高网站响应速度和用户体验。

2、判断是否使用CDN

3、绕过CDN

• 内部邮箱源：一般邮件系统都在系统内部，没经过CDN，通过注册或者RSS订阅收到的邮件查找。（必须是目标自己的邮件服务器）
• 子域名：一般网站主站访问量过大需要挂CDN，而子站没有
• 国外访问：https://asm.ca.com/en/ping.php，一般国内CDN只针对国内用户，国外不好说。
• 查询域名的解析记录：https://www.netcraft.com/，也许目标很久以前没用过CDN

10、小结

子域名的挖掘的意义在于扩大资产，渗透测试很可能测试一个域名，子站也都是测试范围，我们可以从子站中获取信息，或者拿到子站权限，对主网进行内网渗透。

对于一些网站，它的主站采用CDN加速，但是它的子站可能没有，因此，也可以从子站查找真实IP

Whois查询到的信息可用社工或者根据邮箱手机号进行密码组合用以爆破。

目标的真实ip也许会对我们的渗透测试提供很多便利。