渗透测试之信息收集

一、四步踩点
1）了解安全架构
使用了哪些安全设备，比如防火墙，waf等。
该公司的网络安全人员或者是网络管理人员的配置情况。
该公司的规范制服完不完善。
2）缩小攻击范围
目标公司的IP地址范围、网络、域名、远程访问点等信息。
3） 建立信息数据库
将我们收集的数据整理，方便采取下一步的入侵行动。
4） 绘制网络拓扑
对渗透目标有充分了解后，就可以绘制该公司大致的网络拓扑图。
二、踩点目标：
1）收集网络信息
域名，网段，端口，运行的TCP\UDP服务、授权机等。
2）收集系统信息
用户及组名、路由表、系统标识、系统名称等
3）收集组织信息
员工详情、组织网站、地址和电话号码、html代码中的注释等
三、 信息收集
1）主动信息收集
主动向目标发送扫描，探测等，这一阶段主要目的是看目标开放的端口
主机上运行的服务等。（工具：nessus,openvas,burpsuit,owasp zap）
优点：效率高；缺点：容易被发现
2）被动信息收集
通过查询域名或ip的whois，邮箱反查等，在不接触目标的情况下获取
一些服务信息。主要是第三方服务（Google hacking搜索，Shodan,fofa搜索）
四、 基本信息收集技术
1）whois查询
Whois是一个标准的互联网协议，可以用收集网络注册信息，注册的域名，IP地址等信息。简单的
说，Whois就是一个用于查询域名是否已被注册以及域名的详细信息的数据库(如域名所有人、域名注册
商)。在Whois查询中，得到注册人的姓名和邮箱通常对测试个人站点非常有用，因为我们可以通过搜素
引擎和社交网络挖掘出域名所有人的很多信息。对中小站点而言，域名所有人往往就是管理员。
查询方法
站长之家：http://tool.chinaz.com
virus total：https://www.virustotal.com
kali下使用whois进行查找
2）备案信息查询
在线查询站点：
ICP备案查询网：http://www.beianbeian.com
天眼查：http://tianyancha.com
3）Google hacking语法
基本搜索：与或非：and、or、- 完整匹配：“关键词”通配符：*？
site：可以根据搜索的范围域名 如：site：baidu.com
intext：寻找正文中含有关键字的网页 如 intext：后台登录
intitle：寻找标题中含有关键字的网页 如 intitle：后台登录
allintitle ：与intitle类似，但是可以多指定几个词 如 allintitle：后台 管理员
inurl:返回URL中含关键词的网页 如 inurl：login
allinurl：与inurl类似，可多指定词 如 allinurl：login admin
filetype：指定访问的文件类型 如 site：baidu.com filetype:pdf
like:指定连接的网页 like：www.baidu.com
related：相似类型的网页 related：www.llhc.edu.cn 返回与这个网页布局相似的网页
info：返回站点的指定信息 info：www.baidu.com 返回百度的一些信息
define：返回某个词语的定义 define：白帽
简单案例
查找网站后台：site：xx.com intext：管理
site：xx.com inurl:login
site:xx.com intitle:后台
查看服务器使用的程序：site：xx.com filetype：asp\php\jsp\aspx
查看上传漏洞：site：xx.com inurl：file\load
利用index of语法发现允许目录浏览的web网站，像本地目录一样
index of /admin “index of /” +.htaccess
index of /passwd “index of /root”
index of /password “index of /cgi-bin”
index of /mail “index of /logs”
“index of /” +passwd “index of /config”
“index of /” +password.txt
参考链接：http://www.mamicode.com/info-detail-482556.html
4）Shodan的使用：
参考链接：https://www.freebuf.com/sectool/121339.html
5）FoFA的使用：
官网：https://fofa.so/
官方文档：https:fofa.so/help
6）burp suit抓包
7）GitHub
8）8src漏洞平台
补天：https://www.butian.net/
乌云：https://www.anquan.us/
国家信息安全漏洞共享平台：https://www.cnvd.org.cn
漏洞盒子：https://www.vulbox.com/
知道创宇：https://www.seebug.org/
9）子域名信息收集
子域名也是是二级域名，是指顶级域名的域名。假设目标网络规模比较大，直接从主域名入手很难，
因为一般主域名是重点防护区域，所以可以从子域名入手，然后在想办法迂回接近真正的目标。
子域名检测工具：
1.Layer子域名挖掘机、K8、sydomain、Sublist3r、dnsmaper、subDomainsBrute等
2.搜索引擎枚举
3.用Google hacking语法：site：baidu.com -www 不包含www、
4.第三方聚合应用枚举：
很多第三方服务汇聚例大量的DNS数据集，可通过它们检测某个给定域名的
子域名。只要往其搜索栏中输入域名，就可以检索到相关的域名信息。
DNSdumpster网站：http:dnsdumpster.com/
5.证书透明度公开日志枚举
证书透明度(Certificate Transparency,CT)是证书授权机构(CA)的一个项目，证书授权机构会
为每一个SSL/TLS证书发布到公共日志中。一个SSL/TLS证书通常包含域名、子域名和邮箱地址，
这些也经常成为攻击者非常希望获得的有用信息。查找某个域名所属证书的最简单的方法就是使用
搜索引擎搜索一些公开的CT日志。
Crt.sh：http://crt.sh
Censys：https://censys.io
6. 在线子域名爆破
子域名爆破网站：https://phpinfo.me/domain
IP反查绑定域名网站：http://dns.aizhan.com
10）指纹识别
指纹由于其终身不变性、唯一性和方便性，几乎成为生物特征的代名词。这里所指的是网站CMS指
纹识别、计算机操作系统及Web容器的指纹识别等。
在渗透测试中，对目标服务器进行指纹识别是相当有必要的，因为只有识别出相应的Web容器或者
CMS，才能查找与其相关的漏洞，然后才能进行相应的渗透操作。
CMS(Content Management System)又称整站系统或文章系统。在2004年以前，如果想要进行
网站内容管理，基本上都靠手工维护，但在信息爆炸的时代，完全靠人维护相当困难。所以就出现了
CMS，开放者只要给客户一个软件包，客户自己安装配置好，就可以定期更新数据来维护网站，节省了
大量的人力和物力。
常见的CMS:
Dedecms （织梦），Discuz，PHPWEB，PHPWind，PHPCMS，ECShop，Dvbbs，
SiteWeaver，ASPCMS，帝国，Z-Blog，WordPress等。
扫描工具：
御剑web指纹识别，whatweb，WebRobo，椰树，轻量web指纹识别等
在线查询：
[whatweb][http://whatweb.bugscaner.com/look/]
[云悉指纹][http://www.yunsee.cn/finger.html]