信息收集2-----网络空间资产搜索引擎使用

一.FOFA

官网描述：FOFA－网络空间资产搜索引擎是北京华顺信安推出的一款通过对全球网络对外开放服务的资产进行主动或被动方式探测、抓取、存储，分析整理不同种类的网络空间资产指纹信息（规则），并对符合规则的资产进行统计分析，进而快速检索全球网络空间资产的产品。它能够帮助用户迅速进行网络资产匹配，快速开展网络空间威胁态势感知、漏洞影响范围分析、应用分布统计、应用流行度排名统计等工作。

fofa: https://fofa.info/

1.基础类

基础类（General）
语法	例句	用途说明	=	!=	*=
ip	ip="1.1.1.1"	通过单一IPv4地址进行查询	✓	✓	-
	ip="220.181.111.1/24"	通过IPv4 C段进行查询	✓	✓	-
	ip="2600:9000:202a:2600:18:4ab7:f600:93a1"	通过单一Ipv6地址进行查询	✓	✓	-
port	port="6379"	通过端口号进行查询	✓	✓	✓
domain	domain="qq.com"	通过根域名进行查询	✓	✓	✓
host	host=".fofa.info"	通过主机名进行查询	✓	✓	✓
os	os="centos"	通过操作系统进行查询	✓	✓	✓
server	server="Microsoft-IIS/10"	通过服务器进行查询	✓	✓	✓
asn	asn="19551"	通过自治系统号进行搜索	✓	✓	✓
org	org="LLC Baxet"	通过所属组织进行查询	✓	✓	✓
is_domain	is_domain=true	筛选拥有域名的资产	✓	-	-
	is_domain=false	筛选没有域名的资产	✓	-	-
is_ipv6	is_ipv6=true	筛选是ipv6的资产	✓	-	-
	is_ipv6=false	筛选是ipv4的资产	✓	-	-

2.标记类

标记类（Special Label）
语法	例句	用途说明	=	!=	*=
app	app="Microsoft-Exchange"	通过FOFA整理的规则进行查询	✓	-	-
fid	fid="sSXXGNUO2FefBTcCLIT/2Q=="	通过FOFA聚合的站点指纹进行查询	✓	✓	-
product	product="NGINX"	通过FOFA标记的产品名进行查询	✓	✓	-
category	category="服务"	通过FOFA标记的分类进行查询	✓	✓	-
type	type="service"	筛选协议资产	✓	-	-
	type="subdomain"	筛选服务（网站类）资产	✓	-	-
cloud_name	cloud_name="Aliyundun"	通过云服务商进行查询	✓	✓	✓
is_cloud	is_cloud=true	筛选是云服务的资产	✓	-	-
	is_cloud=false	筛选不是云服务的资产	✓	-	-
is_fraud	is_fraud=true	筛选是仿冒垃圾站群的资产 （专业版及以上）	✓	-	-
	is_fraud=false	筛选不是仿冒垃圾站群的资产（已默认筛选）	✓	-	-
is_honeypot	is_honeypot=true	筛选是蜜罐的资产 （专业版及以上）	✓	-	-
	is_honeypot=false	筛选不是蜜罐的资产（已默认筛选）	✓	-	-

3.协议类

协议类 （type=service)
语法	例句	用途说明	=	!=	*=
protocol	protocol="quic"	通过协议名称进行查询	✓	✓	✓
banner	banner="users"	通过协议返回信息进行查询	✓	✓	✓
base_protocol	base_protocol="udp"	查询传输层为udp协议的资产	✓	✓	-
	base_protocol="tcp"	查询传输层为tcp协议的资产	✓	✓	-

4.网站类

网站类（type=subdomain）
语法	例句	用途说明	=	!=	*=
title	title="beijing"	通过网站标题进行查询	✓	✓	✓
header	header="elastic"	通过响应标头进行查询	✓	✓	✓
header_hash	header_hash="1258854265"	通过http/https响应头计算的hash值进行查询 （个人版及以上）	✓	✓	✓
body	body="网络空间测绘"	通过HTML正文进行查询	✓	✓	-
body_hash	body_hash="-2090962452"	通过HTML正文计算的hash值进行查询	✓	✓	-
js_name	js_name="js/jquery.js"	通过HTML正文包含的JS进行查询	✓	✓	✓
js_md5	js_md5="82ac3f14327a8b7ba49baa208d4eaa15"	通过JS源码进行查询	✓	✓	✓
cname	cname="ap21.inst.siteforce.com"	通过别名记录进行查询	✓	✓	✓
cname_domain	cname_domain="siteforce.com"	通过别名记录解析的主域名进行查询	✓	✓	✓
icon_hash	icon_hash="-247388890"	通过网站图标的hash值进行查询	✓	✓	-
status_code	status_code="402"	筛选服务状态为402的服务（网站）资产	✓	✓	-
icp	icp="京ICP证030173号"	通过HTML正文包含的ICP备案号进行查询	✓	✓	✓
sdk_hash	sdk_hash=="Mkb4Ms4R96glv/T6TRzwPWh3UDatBqeF"	通过网站嵌入的第三方代码计算的hash值进行查询 （商业版及以上）	✓	✓	-

5.地理位置类

地理位置（Location）
语法	例句	用途说明	=	!=	*=
country	country="CN"	通过国家的简称代码进行查询	✓	✓	-
	country="中国"	通过国家中文名称进行查询	✓	✓	-
region	region="Zhejiang"	通过省份/地区英文名称进行查询	✓	✓	-
	region="浙江"	通过省份/地区中文名称进行查询（仅支持中国地区）	✓	✓	-
city	city="Hangzhou"	通过城市英文名称进行查询	✓	✓	-

6.证书类

证书类
语法	例句	用途说明	=	!=	*=
cert	cert="baidu"	通过证书进行查询	✓	✓	✓
cert.subject	cert.subject="Oracle Corporation"	通过证书的持有者进行查询	✓	✓	✓
cert.issuer	cert.issuer="DigiCert"	通过证书的颁发者进行查询	✓	✓	✓
cert.subject.org	cert.subject.org="Oracle Corporation"	通过证书持有者的组织进行查询	✓	✓	✓
cert.subject.cn	cert.subject.cn="baidu.com"	通过证书持有者的通用名称进行查询	✓	✓	✓
cert.issuer.org	cert.issuer.org="cPanel, Inc."	通过证书颁发者的组织进行查询	✓	✓	✓
cert.issuer.cn	cert.issuer.cn="Synology Inc. CA"	通过证书颁发者的通用名称进行查询	✓	✓	✓
cert.is_valid	cert.is_valid=true	筛选证书是有效证书的资产 （个人版及以上）	✓	-	-
	cert.is_valid=false	筛选证书是无效证书的资产 （个人版及以上）	✓	-	-
cert.is_match	cert.is_match=true	筛选证书和域名匹配的资产 （个人版及以上）	✓	-	-
	cert.is_match=false	筛选证书和域名不匹配的资产 （个人版及以上）	✓	-	-
cert.is_expired	cert.is_expired=true	筛选证书已过期的资产 （个人版及以上）	✓	-	-
	cert.is_expired=false	筛选证书未过期的资产 （个人版及以上）	✓	-	-
jarm	jarm="2ad2ad0002ad2ad22c2ad2ad2ad2ad2eac92ec34bcc0cf7520e97547f83e81"	通过JARM指纹进行查询	✓	✓	✓
tls.version	tls.version="TLS 1.3"	通过tls的协议版本进行查询	✓	✓	-
tls.ja3s	tls.ja3s="15af977ce25de452b96affa2addb1036"	通过tls的ja3s指纹进行查询	✓	✓	✓

7.时间类

时间类（Last update time）
语法	例句	用途说明	=	!=	*=
after	after="2023-01-01"	筛选某一时间之后有更新的资产	✓	-	-
before	before="2023-12-01"	筛选某一时间之前有更新的资产	✓	-	-
after&before	after="2023-01-01" && before="2023-12-01"	筛选某一时间区间有更新的资产	✓	-	-

8.独立IP语法

独立IP语法（独立IP系列语法，不可和上面其他语法共用）
语法	例句	用途说明	=	!=	*=
port_size	port_size="6"	筛选开放端口数量等于6个的独立IP （个人版及以上）	✓	✓	-
port_size_gt	port_size_gt="6"	筛选开放端口数量大于6个的独立IP （个人版及以上）	✓	-	-
port_size_lt	port_size_lt="12"	筛选开放端口数量小于12个的独立IP （个人版及以上）	✓	-	-
ip_ports	ip_ports="80,161"	筛选同时开放不同端口的独立IP	✓	-	-
ip_country	ip_country="CN"	通过国家的简称代码进行查询独立IP	✓	-	-
ip_region	ip_region="Zhejiang"	通过省份/地区英文名称进行查询独立IP	✓	-	-
ip_city	ip_city="Hangzhou"	通过城市英文名称进行查询独立IP	✓	-	-
ip_after	ip_after="2021-03-18"	筛选某一时间之后有更新的独立IP	✓	-	-
ip_before	ip_before="2019-09-09"	筛选某一时间之前有更新的独立IP	✓	-	-

二.鹰图               

奇安信网络空间测绘鹰图平台（hunter）可对全球暴露在互联网上的服务器和设备进行资产探测、端口探活、协议解析、应用识别。平台通过网络空间测绘技术，将地理空间、社会空间、网络空间相互映射，将虚拟的网络空间绘制成动态、实时、有效的网络空间地图，实现互联网资产的可查、可定位，帮助客户解决互联资产暴露面梳理的难题。   

https://hunter.qianxin.com/

搜索技巧

=	模糊查询，表示查询包含关键词的资产
==	精确查询，表示查询有且仅有关键词的资产
!=	模糊剔除，表示剔除包含关键词的资产。使用!=""时，可查询值不为空的情况
!==	精确剔除，表示剔除有且仅有关键词的资产
&&、||	多种条件组合查询，&&同and，表示和；||同or，表示或
（）	括号内表示查询优先级最高

1. IP类

ip="1.1.1.1"	搜索IP为 ”1.1.1.1”的资产
ip="220.181.111.0/24"	搜索网段为"220.181.111.0"的C段资产
ip.port="80"	搜索开放端口为”80“的资产
ip.country="中国" 或 ip.country="CN"	搜索IP对应主机所在国为”中国“的资产
ip.province="江苏"	搜索IP对应主机在江苏省的资产
ip.city="北京"	搜索IP对应主机所在城市为”北京“市的资产
ip.isp="电信"	搜索运营商为”中国电信”的资产
ip.os="Windows"	搜索操作系统标记为”Windows“的资产
app="Hikvision 海康威视 Firmware 5.0+" && ip.ports="8000"	检索使用了Hikvision且ip开放8000端口的资产
ip.port_count>"2" hot	搜索开放端口大于2的IP（支持等于、大于、小于）
ip.ports="80" && ip.ports="443"	查询开放了80和443端口号的资产
ip.tag="CDN"newhot特色	查询包含IP标签"CDN"的资产 (查看枚举值)

2.domain类

is_domain=true	搜索域名标记不为空的资产
domain="qianxin.com"	搜索域名包含"qianxin.com"的网站
domain.suffix="qianxin.com" hot	搜索主域为"qianxin.com"的网站
domain.status="clientDeleteProhibited"new	搜索域名状态为"client Delete Prohibited"的网站 (查看枚举值)
domain.whois_server="whois.markmonitor.com"new	搜索whois服务器为"whois.markmonitor.com"的网站
domain.name_server="ns1.qq.com"new	搜索名称服务器为"ns1.qq.com"的网站
domain.created_date="2022-06-01"new	搜索域名创建时间为"2022-06-01"的网站
domain.expires_date="2022-06-01"new	搜索域名到期时间为"2022-06-01"的网站
domain.updated_date="2022-06-01"new	搜索域名更新时间为"2022-06-01"的网站
domain.cname="a6c56dbcc1f22283.qaxanyu.com"new	搜索cname包含“a6c56dbcc1f22283.qaxanyu.com”的网站
is_domain.cname=truenew	搜索含有cname解析记录的网站

3.WEB网站信息

is_web=truenewhot	搜索web资产
web.title="北京"	从网站标题中搜索“北京”
web.body="网络空间测绘"	搜索网站正文包含”网络空间测绘“的资产
after="2021-01-01" && before="2021-12-31"	搜索2021年的资产
web.similar="baidu.com:443"hot特色	查询与baidu.com:443网站的特征相似的资产
web.similar_icon=="17262739310191283300"hot特色	查询网站icon与该icon相似的资产
web.icon="22eeab765346f14faf564a4709f98548"hot	查询网站icon与该icon相同的资产
web.similar_id="3322dfb483ea6fd250b29de488969b35"hot特色	查询与该网页相似的资产
web.tag="登录页面"newhot特色	查询包含资产标签"登录页面"的资产 (查看枚举值)

三.钟馗之眼

ZoomEye（“钟馗之眼”）是知道创宇旗下404实验室驱动打造的网络空间搜索引擎。通过分布在全球的大量测绘节点，针对全球范围内的IPv4、IPv6地址库及网站域名库进行24小时不间断探测、识别，根据对多个服务端口协议进行测绘，最终实现对整体或局部地区的网络空间画像。

https://www.zoomeye.org

1.证书

2.IP域名

3.指纹类

还有国外Shadan https://www.shodan.io（我们称之为：撒旦），这也是一个非常优秀的主机搜索引擎，这里不列举，语法大致原理都是相似的

---

参考资料：ZoomEye_百度百科；网络空间测绘，网络空间安全搜索引擎，网络空间搜索引擎，安全态势感知 - FOFA网络空间测绘系统 ; 鹰图平台 ; ZoomEye - Cyberspace Search Engine