渗透测试——情报收集阶段——外围信息收集

通过DNS和IP地址挖掘目标网络信息

①whois 域名注册信息查询

whois 是一个用来查询域名注册信息的工具，一般的域名注册信息会包含：域名所有者、服务商、管理员邮件地址、域名注册日期和过期日期等。可以在MSF终端使用whois命令对域名注册信息进行查询，也可在Shell命令行使用whois进行查询。

注：进行 whois 查询时最好去掉www、ftp等前缀，这是由于机构在注册域名时通常会注册一个上层域名，其子域名由自身的域名服务器管理，在whois数据库中可能查询不到。

②nslookup 与 dig 域名查询

nslookup 与 dig 两个工具功能上类似，都可以查询指定域名所对应的IP地址，所不同的是 dig 工具可以从该域名的官方DNS服务器或指定的某个DNS服务器上查询到精确的权威解答；而nslookup只会得到DNS解析服务器保存在Cache中的非权威解答。

1. nslookup：
   使用set type=A表示对后面输入的域名进行IP地址解析，查询结果显示 baidu.com域名被解析至 220.181.57.216 和 123.125.115.110这两个IP地址。
   还可以使用 set type=MX 来查找器邮件转发(Mail Exchange)服务器。
   有些DNS服务器开放了区域传送，可以在 nslookup 中使用 1s -d example.com 命令来查看其所有的DNS记录，这些信息往往会暴露大量网络的内部拓扑信息。
   
2. dig
   dig命令的使用更为灵活，可以在 dig 中指定使用哪台DNS解析服务器进行查询，同时采用 dig 命令将会触发DNS解析服务器向官方权威DNS服务器进行一次递归查询，以获得权威解答。其基本的使用方法为：
   dig @<DNS 服务器> <待查询域名>
   

③IP2Location 地理位置查询

IP2Location 是一种由IP地址查询地理位置的方法。一些网站提供了IP到地理位置的查询服务，如GeoIP。可以在 http://www.maxmind.com 网站上使用该服务。图示是对 baidu.com 的IP地址123.125.115.110的查询结果。

若想了解更详细的地理位置信息，还可以根据结果中提供的经纬度进一步查询。
若是查询国内的IP地址，也可以在 http://www.cz88.com 进行查询。

④netcraft 网站提供的信息查询服务

大型网站会有很多子站点，为了强调子站点的独立性，一般的做法是在二级域名上设置子域名。将此类子域名枚举出来，对了解网站总体架构、业务应用等非常有帮助。在 http://searchdns.netcraft.com ，在搜索字段中输入 baidu.com ，单击“lookup”按钮后显示查询结果。

使用 netcraft 网站还能够获取一些关于网站和服务器更为详细的信息，如地理位置、域名服务器地址、服务器操作系统类型、服务器运行状况等，在浏览器中输入如下URL：http://toolbar.netcraft.com/site_report?url=http://www.baidu.com 进行查询，通过修改 “url=” 后面的url路径来查询不同网站的信息。

⑤IP2Domain 反查域名

如果渗透目标网站是一台虚拟主机，那么通过IP反查到的域名信息往往很有价值，因为一台物理服务器上面可能运行多个虚拟主机，这些虚拟主机具有不同的域名，但通常公用一个IP地址。如果知道了有哪些网站共用这台服务器，就有可能通过次胎服务器上其他网站的漏洞获取服务器控制权，进而迂回获取渗透目标的权限，这种攻击技术也称为“旁注”。
可以使用 http://s.tool.chinaz.com/same 提供的服务查询有哪些域名共用一个IP地址。该网站也可进行其他的查询，可自行探索。

---

通过搜索引擎进行信息搜集

在利用DNS域名和IP地址查询搜集到目标网络的相关位置和范围信息后，下一步就可以针对这些目标进行信息探查和搜集。目标网络对外公开的Web网站通常是探查的起始点，而许多流行的搜索引擎提供了功能强大的在线Web网站信息高级搜索功能。

①Google Hacking 技术

Google中包含了互联网上在线Web网站的海量数据，且提供了多种高级搜索功能。一些自动化的工具能够使我们更方便地利用Google及其他搜索引擎进行信息搜集，比如 SiteDigger 和 Search Diggity。

②探索网站的目录结构

如果管理员允许，Web服务器会将没有默认页面的目录以文件列表的方式显示出来。而这些开放了浏览功能的网站目录往往会透露一些网站可供浏览的页面之外的信息。
可以在Google中输入 parent directory site:testfire.net 来查找 testfire.net 上的此类目录。

类似的工作也可以借助Metasploit中的brute_dirs、dir_listing、dir_scanner等辅助模块来完成，它们主要使用暴力猜解的方式工作，故不一定能够猜解出全部的目录。

③检索特定类型的文件

一些缺乏安全意识的网站管理员为了方便往往会将类似通讯录、订单等内容敏感的文件链接到网站上，可以在Google上针对此类文件进行查找。在Google中输入 site:testfire.net filetype:xls 查询网站 testfile.net 的 xls 文件。

关键字	说明
site	指定域名
intext	正文中存在关键字的网页
intitle	标题中存在关键字的网页
info	一些基本信息
inurl	URL 中存在关键字的网页
filetype	搜索指定文件类型

---

参考：《Metasploit渗透测试魔鬼训练营》