网络安全kali渗透学习 web渗透入门 ARL资产侦察灯塔系统搭建及使用

ARL资产侦察灯塔系统搭建及使用

ARL（Asset Reconnaissance Lighthouse）资产侦查灯塔旨在快速发现并整理企业外网资产并为资产构建基础数据库，无需登录凭证或特殊访问即可主动发现并识别资产，让甲方安全团队或者渗透测试人员快速寻找到指定企业资产中的脆弱点,降低资产被威胁利用的可能性并规避可能带来的不利影响。

这篇文章教大家如何使用资产检索FOFA搜索引擎收集信息ARL资产侦察灯塔系统搭建及使用

以下有视频版还有文字版

不知道怎么操作的请看文字版的，里面详细的步骤。

关注公众号侠盗男爵回复【kali系统】

视频版↓：

网络安全kali/web安全/渗透测试/-小白入门到精通 最网最全内容！_哔哩哔哩_bilibili

文字版↓：

年底了号主把我自己用到所有技术“做过的实战项目-内网实战靶场环境-渗透工具”还有很多渗透思维图谱！

资产梳理的路径会根据输入的数据进行变动与调整。如输入数据为基于域名时，采用的技术手段包括DNS枚举、智能域名生成枚举、第三方API服务来获取子域名，随后将域名解析为IP（当输入数据基于IP时，可直接进入后续阶段），既是对IP进行端口扫描、服务识别、系统识别、站点识别和WEB指纹识别，同时爬取站点URL，并对首页进行截图，完成资产发现。

当通过域名或是IP识别出对应的安全应用后，便可将其与鱼鹰(Osprey)poc漏洞检测框架、通用漏洞扫描（CRS）、漏洞预警系统（VAS）和漏洞盒子相关联，快速准确识别资产威胁，降低资产风险。

3、工具特色

更快速

无需要登录凭证或特殊访问即可发现并识别资产，使用主动发现来识别资产，资产发现速度快，普通域名任务只需数分钟。

更全面

通过域名解析、递归子域名、IP端口信息扫描、关联分析等多种方式 进行资产发现，目标支持IP, IP段和域名，完善的API接口，方便与其他平台进行联动输出资产信息，搜索引擎调用，补全无法从首页爬取的URL。

更有效

能够让甲方安全团队或者渗透测试人员更加有效地梳理在线资产，寻找到指定企业资产中的薄弱点和攻击面

4、免责声明

如果您下载、安装、使用、修改本系统及相关代码，即表明您信任本系统。在使用本系统时造成对您自己或他人任何形式的损失和伤害，我们不承担任何责任。 如您在使用本系统的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。 请您务必审慎阅读、充分理解各条款内容，特别是免除或者限制责任的条款，并选择接受或不接受。 除非您已阅读并接受本协议所有条款，否则您无权下载、安装或使用本系统。您的下载、安装、使用等行为即视为您已阅读并同意上述协议的约束。

3.5.2 资产侦察灯塔系统搭建

1、系统要求

目前暂不支持Windows，Linux和MAC建议采用Docker运行，系统配置最低2核4G。

由于自动资产发现过程中会有大量的的发包，建议采用云服务器可以带来更好的体验。

实验环境：

系统：centos7.5，主机名：xuegod63，IP地址：192.168.1.63

2、资产侦察灯塔系统搭建

1）、部署 docker 容器虚拟化平台

安装 docker 环境依赖