网络渗透之信息搜集

• 一、信息搜集
• • 1.1 概念
  • 1.2 分类
  • 1.3 收集那些信息
• 二、域名信息收集
• • 2.1 域名介绍
  • 2.2 域名分类
  • 2.3 域名信息查询- whois
  • • 2.3.1 whois
    • 2.3.2 whois查询
    • 2.3.3 whois查询方法
  • 2.4 域名信息收集-备案信息
• 三、子域名信息收集
• 四、IP地址信息收集
• • 4.1 IP反查域名
  • 4.2 域名查询IP
  • 4.3 CDN内容分发网络
  • • 4.3.1 判断CDN
    • 4.3.2 绕过CDN
  • 4.3 C段存活主机探测
• 五、端口扫描
• • 5.1 概念
  • 5.2 熟知端口介绍
  • • 5.2.1 FTP-21端口
    • 5.2.2 SSH-22端口
    • 5.2.3 Telnet-23端口
    • 5.2.4 SMTP-25/465端口
    • 5.2.5 WWW-80端口
    • 5.2.6 NetBIOS SessionService-139/445端口
    • 5.2.7 MySQL-3306端口
    • 5.2.8 RDP-3389端口
    • 5.2.9 Redis-6379端口
    • 5.2.10 Weblogic-7001端口
    • 5.2.11 Tomcat-8080端口
  • 5.3 扫描工具
  • • 5.3.1 Nmap扫描
• 六、网站信息收集
• • 6.1 网站指纹识别
  • 6.2 敏感文件及目录识别
  • 6.3 网站waf识别
• 七、其他信息收集
• • 6.1 历史漏洞信息

一、信息搜集

1.1 概念

• 信息收集是通过各种方式获取所需的信息，以便获取到更多的对方信息。如目标站点的IP、中间件（Apache tomcat）、脚本语言、端口、邮箱等。信息搜集包含但不限于资产收集。

1.2 分类

主动信息搜集：通过直接访问网站在网站上进行操作、对网站进行扫描等，这种是有网络流量经过目标服务器的信息收集方式，此方式会在服务器日志留下痕迹；

被动信息收集：基于公开的渠道，如搜索引擎等，在不与目标系统进行直接交互的情况下获取信息，并且尽量避免留下痕迹。

1.3 收集那些信息

二、域名信息收集

2.1 域名介绍

2.2 域名分类

2.3 域名信息查询- whois

2.3.1 whois

2.3.2 whois查询

2.3.3 whois查询方法

Web接口查询
https://whois.aliyun.com/
https://www.whois365.com/cn/
http://whois.chinaz.com/

命令行查询
whois baidu.com

2.4 域名信息收集-备案信息

Web接口查询
https://icp.chinaz.com/

三、子域名信息收集

四、IP地址信息收集

4.1 IP反查域名

https://stool.chinaz.com/same
https://tools.ipip.net/ipdomain.php

4.2 域名查询IP

https://ip.tool.chinaz.com/

4.3 CDN内容分发网络

4.3.1 判断CDN

多地ping-判断服务器是否开启了CDN
a）https://ping.chinaz.com/


在站长之家搜索百度时，发现不同地区的响应IP和响应时间不同，说明百度做了CDN内容分发；
b）http://www.webkaka.com/Ping.aspx

4.3.2 绕过CDN

a）http://www.webkaka.com/Ping.aspx
采用海外站点ping一个域名，如www.hetianlab.com，如果返回都是同一个IP地址，说明没有使用CDN，这个IP地址是一个真实的IP地址。

4.3 C段存活主机探测

nmap扫描：nmap -sP www.XXX.com/24 或者nmap -sP 192.168.1.*

nmap扫描较慢，可采用https://github.com/se55i0n/Cwebscanner进行，针对一个联网Kali主机，进入命令行，将软件克隆到Kali主机上。
进入网址https://github.com/se55i0n/Cwebscanner，点击

进入Kali主机，输入

git clone https://github.com/se55i0n/Cwebscanner.gitcd Cwebscannergit pull #进行升级

使用方法参考https://github.com/se55i0n/Cwebscanner，README；

python Cwebscan.py www.hetianlab.com #默认扫描80端口

五、端口扫描

5.1 概念

5.2 熟知端口介绍

5.2.1 FTP-21端口

5.2.2 SSH-22端口

5.2.3 Telnet-23端口

5.2.4 SMTP-25/465端口

5.2.5 WWW-80端口

5.2.6 NetBIOS SessionService-139/445端口

5.2.7 MySQL-3306端口

5.2.8 RDP-3389端口

5.2.9 Redis-6379端口

5.2.10 Weblogic-7001端口

5.2.11 Tomcat-8080端口

5.3 扫描工具

5.3.1 Nmap扫描

Network Mapper是一个开源的网络探测和安全审核工具；

nmap参考指南中文版：https://nmap.org/man/zh/

功能：

nmap -sP www.XXX.com/24 或者nmap -sP 192.168.1.* #检测网络存活主机（主机发现）

4. 基础用法

参数解释

nmap -v XXX	显示扫描过程
nmap -T时序选项	-T0：非常慢的扫描，用于IDS逃避；-T1：缓慢的扫描，用于IDS逃避；-T2：降低速度以降低带宽的消耗，一般不常用；-T3：默认，根据目标的反应时间自动调整时间；-T4：快速扫描，常用扫描方式，常在很好的网络环境下进行扫描；-T5：急速扫描，这种扫描方式以牺牲准确度来提升扫描速度
nmap -A XXX	全系统检测、启动脚本检测、扫描等
nmap -sS IP地址	SYN扫描,使用最频繁，安全，快。SYN扫描是半开放扫描，它不打开一个完全的TCP连接（一个完整的TCP连接需要3次握手），执行速度快，效率高。优点：nmap发送SYN包到远程主机，但它不产生任何会话，目标主机几乎不会把连接记入系统日志，防止对方判断为扫描攻击。
nmap -sT IP地址	全连接扫描
nmap -Pn IP地址	扫描前不需要用ping命令，有些防火墙禁止ping命令，采用此参数可以绕过ping
nmap -sV IP地址	对端口上的服务程序版本进行扫描
nmap -O IP地址	对主机的操作系统进行扫描
nmap -sA IP地址	检测哪些端口被屏蔽，用来穿透防火墙规则
nmap IP地址 -p <portnumber>	对指定端口扫描，如1-65535,1433,135, 22, 80等
nmap IP地址段	对整个网段的主机进行扫描
nmap IP地址 -oX myscan.xml	对扫描结果另存在myscan.xml，还有- oN/-oX/-oG：将报告写入文件，分别是Normal、XML、grepable三种格式
nmap -sP IP地址	仅仅对目标进行ping检测
nmap -iL IPtable.txt	扫描txt文件中的IP地址

nmap 192.168.1.2 #单主机扫描nmap 192.168.1.1/24 #子网扫描nmao 192.168.1.1 192.168.1.10 #多主机扫描nmap 192.168.1.1-100 #主机范围扫描nmap -iL target.txt #IP地址列表扫描nmap 192.168.1.1/24 --exclude 192.168.1.1 #扫描除指定IP外的所有子网主机nmap 192.168.1.1/24 --exclude xxx.txt #扫描除文件中IP外的子网主机nmap -p 80,21,23 192.168.1.1/24 #扫描主机上的特定主机

探测存活主机

-sP ：进行ping扫描打印出对ping扫描做出响应的主机,不做进一步测试(如端口扫描或者操作系统探测)：下面去扫描192.168.4/24这个网段的的主机nmap -sP 192.168.1.2-sn: Ping Scan - disable port scan #ping探测扫描主机， 不进行端口扫描 （测试过对方主机把icmp包都丢弃掉，依然能检测到对方开机状态）nmap -sn 192.168.1.2-sAnmap 192.168.1.2 -sA （发送tcp的ack包进行探测，可以探测主机是否存活）

6. 扫描全部端口

• oN/-oX/-oG：将报告写入文件，分别是Normal、XML、grepable三种格式

nmap -sS -v -T4 -Pn -p 0-65535 -oN FullTCP -iL liveHosts.txt

扫描常见端口及服务信息

nmap -sS -T4 -Pn -oG TopTCP -iL LiveHosts.txtnmap -O -T4 -Pn -oG OSDetect -iL LiveHosts.txt #操作系统扫描nmap -sV -T4 -Pn -oG TopTCP -iL LiveHosts.txt #系统版本检测

六、网站信息收集

6.1 网站指纹识别

网站基本组成：服务器（操作系统：Linux和Windows server）、中间件（web容器：Apache、tomcat、Nginx）、脚本语言（JavaScript、PHP、etc）、数据库（MySQL、SqlServer、access、oracle）；

操作系统：

网站服务/容器类型

Apache、nginx、tomcat、IIS，通过容器类型、版本可考虑对应容器存在的漏洞；

脚本类型&数据库类型

CMS识别
a）CMS：内容管理系统（Content Management System，CMS），是一种位于WEB前端（Web 服务器）和后端办公系统或流程（内容创作、编辑）之间的软件系统。内容的创作人员、编辑人员、发布人员使用内容管理系统来提交、修改、审批、发布内容。这里指的“内容”可能包括文件、表格、图片、数据库中的数据甚至视频等一切你想要发布到Internet、Intranet以及Extranet网站的信息。
b）常见CMS：dedecms(织梦)、discuz、phpcms等；

• c）识别工具：https://www.exploit-db.com/
  

6.2 敏感文件及目录识别

Github泄露

.git泄露

GitHack脚本：https://github.com/lijiejie/GitHack

.svn泄露

SVN渗透脚本：https://github.com/admintony/svnExploit

WEB-INF/web.xml泄露

网站备份文件

网站备份文件泄露工具：https://github.com/7kbstorm/7kbscan-WebPathBrute

目录探测

针对漏洞的信息泄露

6.3 网站waf识别

• waf识别：
  

wafw00f：https://github.com/EnableSecurity/wafw00f

wafw00f -l #查看可识别的waf

七、其他信息收集

6.1 历史漏洞信息

国家信息安防漏洞共享平台：http://www.cnvd.org.cn/

CVE漏洞平台：https://cve.mitre.org

乌云：https://wy.zone.ci/

国外网站：https://www.exploit-db.com/

知道创宇：https://www.seebug.org/