1:被动信息收集

1.1 信息收集的内容

IP 地址段 域名信息  邮件地址 文档图片数据 公司地址
公司组织架构联系电话 / 传真号码人员姓名 / 职务目标系统使⽤的技术架构 公开的商业信息

1.2 信息用途

1. 信息描述目标2. 发现目标3. 社会工程学攻击4. 物理缺口

2: 通过DNS收集信息

2.1 DNS信息收集

将域名解析为IP地址

#-c 发送包数量，-4 代表ipv4协议
ping  www.haust.edu.cn -c 1 -4

2.2 使用全球 ping

网址： https://ping.chinaz.com/

3: 收集子域名信息

3.1 挖掘子域名的重要性

子域名是某个主域的二级域名或者多级域名，在防御措施严密情况下无法直接拿下主域，那么就可以

采用迂回战术拿下子域名，然后无限靠近主域。

3.2 域名介绍

域名分为一级域名二级域名三级域名四级域名

一级域名（Top-Level Domain, TLD）：这是域名结构中的最顶层，通常是 .com、.net、.org 等。例如：

.com

二级域名：在一级域名之前，可以是公司或组织的名称。例如：

google.com

三级域名：在二级域名之前，可以是公司内特定部门或服务的名称。例如：

maps.google.com

四级域名：在三级域名之前，可以是地区或语言的标识。例如：

www.maps.google.com

3.3 子域名挖掘方法

1. 搜索引擎挖掘如：在必应中输入 site:"innomotics.net.cn"

2. 第三方网站查询：http://tool.chinaz.com/subdomain、https://dnsdumpster.com/

3. 证书透明度公开日志枚举：https://crt.sh/

4. 子域名挖掘工具：Layer 子域名挖掘机。

输入域名进行爆破

程序会自动拼接下一级子域。比如填入

innomotics.net.cn，程序会爆破 .innomotics.net.cn 下面的域名。

域名解析IP开放端口WEB服务器网站状态

ilm.innomotics.net.cn 69.234.246.12,52.83.200.41 443 获取失败443:-

www.innomotics.net.cn 54.81.94.172,34.193.180.222 80,443获取失败80:-

dic.txt是枚举爆破的字典，可以自行更换内容和文件，名字保持dic.txt不变，即可被识别

这里面的字典，都被拼接到你输入框输入的域名，然后拼接域名

4: 使用资产检索 FOFA 搜索引擎收集信息

FOFA地址： https://fofa.info/

4.1: FOFA 基础语法

4.1.1 title 网站标题进行查询

title="北京科技大学"

4.1.2 body 页面内容进行查询

可以通过页面中包含的特定字符串来搜索资产

网页能看到的东西都是body

body="北京科技大学" && country="CN"

搜索北京科技大学body内容，城市为CN中国

查看网站正文，body内容确实有北京科技大学字样

为了更清晰我们直接打开网站查看

4.1.3 domain 根域名搜索

搜索北京科技大学（ustb.edu.cn），通过根域名去搜索资产，也可以用于子域名查找

domain="ustb.edu.cn" && country="CN"

4.1.4 host 域名搜索

搜索北京科技大学（edu.cn）搜索域名中带有"edu.cn"关键词的网站

host="edu.cn" && country="CN"

host="123.124.147.249" && country="CN"

4.1.5 is_domain 域名资产

is_domain=true

筛选拥有域名的资产

is_domain=false

筛选没有域名的资产

4.1.6 header 响应头

搜索 HTTP 响应头中含有"thinkphp"关键词的网站和 IP

header="thinkphp"

4.1.7 端口搜索

port="22" && country="CN"

4.1.8 按 http 响应状态码搜索

1xx（信息性状态码）：表示接收的请求正在处理。
2xx（成功状态码）：表示请求正常处理完毕。
3xx（重定向状态码）：需要后续操作才能完成这一请求。
4xx（客户端错误状态码）：表示请求包含语法错误或无法完成。
5xx（服务器错误状态码）：服务器在处理请求的过程中发生了错误。

搜索开放 80 或 443 端口，响应状态码为 200 的资产

(port="80" || port="443") && status_code="200"

4.1.9 搜索指定 IP 或 IP 网段

ip="101.200.45.1/24"
ip="101.200.45.106"

4.1.10 按照前后时间来进行筛选

after="2024-08-06"  之后更新的
before="2024-08-01"  之前更新的

4.1.11 地区搜索

http://www.sol.com.cn/tool/guojia.html 国家代号查询

country="CN"  通过国家的简称代码进行查询
country="中国"   通过国家中文名称进行查询
region="Zhejiang"   通过省份/地区英文名称进行查询
region="Zhejiang"     通过省份/地区英文名称进行查询
region="浙江"    通过省份/地区中文名称进行查询（仅支持中国地区）
city="beijing"  通过城市英文名称进行查询

4.1.12 通过 FOFA 搜索 phpinfo 信息泄露资产

title="phpinfo()" 或 body="allow_call_time_pass_reference"

4.1.13 搜索网站 js 路径一样的

js_name="./script/core/lib/require.js"
#也可以用的方式去搜索
body="./script/core/lib/require.js"

4.1.14 通过应用名称搜索

app="友点建站-CMS"
1.4.1.15 最佳实践

现在确定Discuz! x3.4版本存在sql注入漏洞，如何定位Discuz! x3.4版本的资产？

在论坛首页中，查看源代码可以看到对应的版本信息。页面中的信息我们可以通过body参数检索。

Discuz! X3.4" />

app="Tencent-Discuz" && body="Discuz! X3.4"